電動汽車整車控制系統FMEA分析方法

李暢劉元治李想趙開成宋浩源李晶姜鵬翰

（1.中國第一汽車股份有限公司新能源開發院，長春130013；2.汽車振動噪聲與安全控制綜合技術國家重點實驗室，長春130013）

主題詞：電動汽車 整車控制FMEA

縮略語

FMEA Failure Mode and Effects Analysis

AP Action Priority

VCU Vehicle Control Unit

HIL Hardware-In-the-Loop

MIL Model-In-the-Loop

1 前言

隨著車輛電子化程度不斷提高，電控系統越來越復雜，其失效風險也隨之增加。整車控制器是電動汽車動力系統的核心控制器，是保證動力系統安全、提升整車駕駛性品質的關鍵，在相關部件出現故障時，整車控制器負責保證在不同故障狀態下，動力系統執行相應的處理措施。在此背景下，如何分析整車控制系統潛在失效模式及影響，在失效發生之前采取措施降低失效發生的風險，對于提升電控系統的質量、保證整車安全至關重要。

失效模式與后果分析（Failure Mode and Effects Analysis，FMEA）自1949年由美國軍方應用于可靠性技術評估，在航空航天、食品工業和核技術應用領域取得了廣泛的應用[1]。1977年，福特汽車開始將FMEA帶入汽車行業使用；1980年，FMEA在德國汽車協會中開始使用；1986年，FMEA被應用于VDA第4卷；1993年，美國汽車協會開始推行FMEA；2008年，AIAG發布第4版FMEA手冊；2019年，AIAG & VDA聯合發布第1版FMEA手冊[2-7]。

本文參考第1版AIAG & VDA FMEA手冊，結合整車控制器產品開發流程，闡述了新能源車整車控制系統的FMEA分析方法，使電控系統FMEA分析具有可操作性，分析步驟具有指導性，效果具有規范性。

2 AIAG&VDA FMEA方法概述

AIAG & VDA FMEA手冊最核心的方法是7步法。透過7步法的結構框架，FMEA更系統性的從輸入，經過一系列步驟轉化輸出，以達到產品質量和安全性的要求，不再是一張表格、一個交付物，而是一個具有強邏輯性的系統過程。

對于汽車電控系統來說，在充分了解設計概念后，就應該啟動系統FMEA工作，主要包括以下內容。

（1）規劃與準備階段：確定分析的范圍；

（2）結構分析階段：根據相關的電氣原理圖、網絡拓撲以及功能要求確定系統的邊界、系統中包括哪些部件、總成，系統中各部件如何交互信息，形成框圖，根據關注功能的上一級系統以及實現關注功能需要哪些下一級部件，形成結構樹；

（3）功能分析階段：明確系統需要實現的功能、要求、特性，除主要功能外，輔助功能如診斷、接口功能，也需要明確；

（4）失效分析階段：對于系統需要實現的全部功能，逐條分析其失效模式，每個失效模式可能會造成哪些后果，每條失效模式可能由哪些原因造成，形成失效鏈；

（5）風險分析階段：針對失效原因，確定當前的預防控制方法，針對失效原因/失效模式，確定探測措施，針對每個失效鏈進行嚴重度、頻度、探測度評級，確定采取措施的優先級(Action Priority,AP)；

（6）優化階段：確認降低風險的必要措施，并對措施有效性進行評估；

（7）結果文件化階段：將以上分析的過程和結果填寫到FMEA表格中，將分析過程中確定的失效預防措施作為故障診斷和處理方案，探測措施作為測試方案，整理為相應文檔，為后續開發和測試提供參考，具體步驟如圖1所示。

本文以電動汽車整車控制系統為例，對電控系統FMEA分析方法進行說明。

圖1 FMEA分析7步法

3 整車控制系統FMEA分析

3.1 規劃與準備

規劃與準備階段的目的有以下3點。

（1）確定分析對象。本文的分析對象是整車控制系統，其核心部件是整車控制器，電動汽車的高壓上下電、充電、行駛、熱管理控制功能都是由整車控制系統來實現的。在功能實現的同時，整車控制器還需要保證整車的高壓安全、行駛安全、熱管理安全。整車控制系統具備的功能應該由其上級系統分配，一般來說，在整車電子電氣架構設計時，應該對整車電氣系統功能進行分解，確定整車控制系統應該具備的功能，并形成設計開發任務書，作為開發的輸入。

（2）分析對象的邊界確定。除了實現設計開發任務書中對整車控制系統要求的功能之外，還需要考慮要實現功能的相關法規要求、具體的技術要求、技術新穎性、創新程度、設計復雜性、質量、可靠性歷史等多方面的因素。

（3）FMEA小組成員確定。FMEA團隊由涵蓋多學科專業知識的跨職能成員組成，對于電控系統來說，FMEA小組成員至少應該包含設計、測試、試驗、生產和質量相關專業成員。

在規劃與準備時，還需要確定是否有基礎FMEA，識別基礎FMEA分析的內容與本次FMEA分析的內容有哪些變化點，本次FMEA分析可只針對變化點進行分析。

另外，由于FMEA分析理論上只分析單點失效，為了盡可能的彌補FMEA分析的不足，規劃與準備階段可以對FMEA分析關注要素功能的歷史失效進行整理。因為歷史失效既包括單點失效，也有多點失效。對歷史失效進行分析，既能夠提供相應的不可缺失的失效分析案例，又可以彌補FMEA只分析單點失效的局限性。規劃與準備是結構分析的基礎。

3.2 整車控制系統結構分析

結構分析的目的是將對象分解為系統、子系統、組件或零件，并且將分析范圍可視化。系統結構由系統要素組成，系統要素包括系統、子系統、總成、部件/組件和零件。圖2為整車結構分解的示意圖，整車可以分解為動力系統、底盤系統、車身系統和電氣系統4大部分。其中，電氣系統結構較復雜，涵蓋整車所有的控制器、傳感器和執行器，實現整車所有的控制功能，包括動力系統控制、高壓/充電系統控制、熱管理系統控制、底盤系統控制、信息系統控制，各控制系統之間相互作用，相互協調，共同實現電氣系統的功能。本文所說的整車控制系統，主要包括動力系統控制、高壓/充電系統控制、熱管理系統控制的功能，并且還需要與底盤系統控制、信息系統控制有一定的交互。可見，整車電子電氣系統從結構上來說甚是復雜，更需要進行充分的FMEA分析來保證系統的可靠性。

圖2 整車結構分解示意

FMEA手冊提供了2種結構分析的工具，邊界圖和結構樹。

結構樹按層次排列系統要素，并通過結構化連接展示依賴關系。電動汽車整車控制系統的上級系統主要包括：動力系統、高壓系統和熱管理系統3部分，本文主要針對動力系統控制部分功能做分析。動力系統控制部分的結構樹如圖3所示。

圖3 整車控制系統結構樹

關注要素是驅動控制和制動控制，是由上級系統-動力系統控制分配而來。為了實現驅動控制和制動控制功能，需要的下一級零部件包括：整車控制器、加速踏板傳感器、制動踏板傳感器、電機控制單元、電池管理系統、換擋手柄控制器、網關和底盤域控制系統。

系統的結構樹確定后，邊界圖用于描述系統要素之間的交互作用。接口有5種主要類型：物理連接、材料交換、能量傳遞、數據交換和人機接口。邊界圖中顯示所有內、外部接口發生關系的性質和類型。如圖4為整車控制系統驅動/制動控制的邊界圖。

圖4 整車控制系統-動力系統控制邊界

圖4中框內為整車控制系統FMEA分析時需要考慮的部件，其核心部件是整車控制器，采集換擋手柄控制器信號，解析駕駛員檔位意圖，采集加速踏板傳感器、制動踏板傳感器信號，解析駕駛員的加速意圖和制動意圖，根據駕駛員意圖，輸出信號，控制動力系統各部件（電機、電池）協調工作實現車輛驅動、制動功能。框外是可能會對系統功能產生影響的相關部件，在后續進行功能分析和失效分析時也需要考慮外圍部件是否會因其本身失效或與關注系統交互的失效造成關注要素功能失效。結構分析是功能分析的基礎。

3.3 整車控制系統功能分析

功能分析的目的是確保要求/規范中規定的功能被適當地分配給系統要素，將產品功能可視化，將上級系統的功能要求與關注要素的功能要求關聯。

前面結構分析時確定本文系統FMEA分析的關注要素是驅動控制和制動控制，其上級系統，動力系統控制，就是驅動控制和制動控制的用戶，動力系統控制對驅動和制動的需求為用戶需求。關注要素承接用戶的需求，并且對需求進行分析、細化，確定要實現的功能，對下一級每個部件的功能要求，形成功能網。整車控制系統-驅動/制動控制功能網如圖5所示。

由圖5可見，功能結構自上至下逐漸詳細，較低級別功能描述了較高級別功能是如何被滿足的。其中，上一較高級別功能及要求描述的是從整車分解下來的需要實現的功能；關注要素功能及要求還需要識別在結構分析中識別的相關系統要素的功能；下一較低級別功能及要求或特性中還應包括在結構分析中識別的相關部件的功能。

圖5 整車控制系統-驅動/制動控制功能網

另外，上級系統對于關注要素的需求為關注要素的主功能，除了分析主功能，系統還具備一些輔助功能，如：接口功能、診斷功能和可維護性功能。

FMEA手冊中提供了可用于功能分析時的工具-參數圖，參數圖是功能所在環境的圖表展示，包括了影響輸入和輸出之間傳遞功能的因素，專注于優化輸出所需的設計決策，通過參數圖應完整地展現所分析功能的失效原因。

參數圖關注功能的實現，它可以清楚識別功能的所有影響因素，包括可控因素（控制因素）和不能適當控制的因素（噪音因素）。其中噪音因素會對系統從2個方面產生影響：

（1）直接影響系統的輸入；

（2）間接影響系統組成部分的功能。

整車控制系統驅動/制動控制的參數圖如圖6所示，系統的輸出受到3方面因素的影響，輸入因素、控制因素和噪音因素。在輸入信號確定的情況下，系統會產生預期輸出或非預期輸出，取決于控制因素和噪音因素之間的博弈。理想情況下，控制因素會使系統產生預期輸出，噪音因素會使系統產生非預期輸出。在制定相應功能需求規范（控制因素）時，如果盡可能全面的考慮了噪音因素對系統產生的影響，并且采取了規避的措施，那么因噪音因素的影響，系統產生非預期輸出的概率就會減小。進行FMEA分析的目的就是盡可能全面的考慮噪音因素對系統的影響，在控制因素中采取避免措施，最大程度的避免非預期輸出。

圖6 整車控制系統-驅動/制動控制參數

功能的完整定義將使失效分析更全面，潛在失效模式即功能的否定描述。

3.4 整車控制系統失效分析

失效分析的目的是識別失效起因、模式和影響，并顯示它們之間的關系，以便進行風險評估。

系統的結構和功能都確定后，對系統進行失效分析，確定系統應該具備的功能可能會產生哪些失效模式，失效模式會對上級系統造成哪些影響，什么原因會導致這些失效模式的產生，也就是系統的失效鏈。

失效模式從功能推斷得出，即無法滿足或提供預期功能的形式。關注要素的失效模式從6個方面來分析：

a.功能喪失；

b.功能部分失效或降級；

c.功能過度；

d.功能間歇性失效；

e.功能延時；

f.非期望功能。

圖7以驅動控制為例，列舉了其可能的6種失效模式。

圖7 驅動控制失效模式分析

失效模式確定后，下一步就是分析會導致失效模式產生的原因，即失效起因。失效起因是指失效模式發生的原因，起因造成的后果是失效模式。失效起因可能源自于下一較低級別的功能失效模式、要求和潛在噪音因素（詳見圖6參數圖），應盡可能識別每種失效模式的所有潛在起因。

以驅動控制的非期望功能“駕駛員無加速請求時，車輛加速”為例，其失效原因有2種。

(1)整車控制器失效，未正確解析加速踏板信號；

(2)加速踏板傳感器失效，未正確上報駕駛員對加速踏板的請求。

其失效網如圖8所示。

圖8 整車控制系統-驅動/制動控制失效網

由圖8可見，關注要素的失效模式，是上一級系統的失效原因，是下一級系統的失效后果。失效分析是風險分析的基礎。

3.5 風險分析與優化改進

風險分析的目的是通過評估嚴重度（S）、頻度（O）和探測度（D）來估計風險，并對需要采取的措施進行優先排序。

嚴重度定義了失效影響/后果的嚴重程度，失效影響包括了失效對涉及對象/產品本身的影響，對后續產品直到整車的影響，對最終用戶的影響，對法律法規符合性的影響。FMEA手冊中提供了嚴重度的評分標準，如表1所示，一般情況下，嚴重度的評分應該由了解失效后果的研發團隊來最終確認。

表1 嚴重度評分標準[1]

頻度的評級是對當前預防措施有效性的衡量。當前預防控制描述了如何使用現有的和計劃中的行為來減輕導致失效模式的潛在起因。FMEA手冊中頻度的評分標準如表2所示，從經驗、標準和分析工具的有效性3個維度對頻度進行評分。

表2 潛在頻度評分標準[1]

探測度的評級是對探測措施有效性的評估，用于項目交付生產之前。探測度的確定不考慮嚴重度和頻度。當前探測控制在項目交付生產前探測失效模式或失效起因是否存在。探測度評分標準詳見表3，在考慮是否會影響生產進度的基礎上，從功能、性能和可靠性3個方面對探測度進行考量。

表3 潛在探測度評分標準[1]

針對電子電氣系統的評分，存在一定的主觀性，新版FMEA手冊中推薦各公司用典型的實例對于分值進行解釋，盡可能保證同一公司/相同車型評分標準統一。

以整車控制系統為例，出現意外加速，行駛不受控，可以認為是主要功能喪失，嚴重度為8分。

對于整車控制器未正確解析加速踏板信號這種失效原因，當前從整車控制器的硬件和軟件2個方面都有預防措施：硬件方面，對于加速踏板傳感器1和傳感器2的信號采集，采用2個不同的A/D采樣芯片上的管腳來實現，避免一個采樣芯片的失效導致2路加速踏板信號都失效；軟件方面，對于加速踏板傳感器的2路信號做校驗處理，避免加速踏板信號異常突變。基于以上預防措施，整車控制器未正確解析加速踏板的頻度為4分。

當前的探測措施，硬件在環(Hardware-in-the-Loop,HIL)測試可以探測到加速踏板信號失效時，整車控制系統當前的處理措施是否能夠導致整車出現意外加速；實車測試可以測試到當系統受到各種干擾因素的影響，是否會產生意外加速，探測度取決于測試用例是否能夠全面覆蓋各種工況，這里基于實際情況，探測度為4分。

FMEA手冊中AP表建議將措施分為H（高）、M（中）、L（低）優先級別。綜合以上嚴重度、頻度和探測度的得分，整車控制器未正確解析加速踏板造成意外加速的AP優先級為M。

按照FMEA手冊的建議：AP優先級為H時，需要確定適當的優化措施；AP優先級為M時，應該采取優化措施；L可以采取措施。故上文中的示例應該采取優化措施減輕風險，并對措施的有效性進行評估。

對于整車控制器未正確解析加速踏板造成意外加速的優化措施，可以從2個方面考慮：

從設計的角度，考慮降低頻度。對于加速踏板的2路信號，在原有預防措施，2路信號進行校驗的基礎上，增加可能造成加速踏板異常變化的特殊工況進行識別，識別到異常變化的工況時，對加速踏板的變化進行斜率限制，避免加速踏板在某些工況下，短時間內發生較大的變化，這樣可以將頻度降為3。

從探測的角度，考慮降低探測度。考慮各種工況，在MIL、HIL和實車測試過程中，增加相應的測試用例，增加意外加速探測的可能性，將探測度降低為3。

從設計和探測2個方面采取措施后，頻度從4降低為3，探測度從4降低為3，AP優先級從M降低為L。風險分析結果如圖9所示。

圖9 驅動控制失效鏈、風險分析與優化改進

風險分析與優化改進是對系統開發和測試工作的梳理過程。首先，確認對于系統的各類失效，系統當前是否有相應的預防和探測措施，措施的有效性如何，是否需要優化措施來進一步保證失效情況下的系統安全。

另外，針對整車電控系統的復雜性，FMEA分析中高級別風險新增的優化措施，會對系統產生哪些影響，是否會造成新的失效，需要根據優化措施的具體情況確定是否需要針對優化措施再進行FMEA分析。

3.6 結果文件化

結果文件化的目的是對結果和分析結論進行溝通、建立文件內容、記錄采取的措施，形成FMEA報告。具體目的包括以下6方面：

（1）根據項目計劃中的初始目標，說明最終狀態；

（2）總結分析范圍并確認新的內容；

（3）對功能是如何開發的進行總結；

（4）對團隊確定的高風險失效進行總結；

（5）對已采取的和計劃中的措施進行總結；

（6）為進行中的改進措施制定計劃和時間安排。

將前面整車控制系統FMEA分析的內容進行整理，首先是結構分析和功能分析，其次是整車控制系統結構和功能分析，如表4所示。

表4 整車控制系統結構和功能分析[1]

結構分析和功能分析完成后，對于功能要求做6種類型的否定，表5以非預期功能為例，進行失效分析、風險分析。

表5 失效分析與風險分析

對于措施優先級為M的失效，采取優化措施，優化措施如表6。

表6 優化措施 分

除了FMEA表格之外，通過FMEA分析還應根據失效的嚴重度和頻度導出特殊特性清單（安全特性、重要特性）；根據當前預防措施和優化措施完善開發過程的相關標準、規范的技術文檔；根據探測措施和優化探測措施得出MIL、HIL和實車測試用例清單。

4 結束語

本文以新能源車整車控制系統為例，介紹了電控系統FMEA分析的過程和方法。FMEA分析不只是開發過程中質量提升的工具，更是一種預防性思維方式。電控系統FMEA分析能夠為開發和測試方案制定提供方法，并對完整的問題解決過程進行記錄，為后續開發和測試提供參考。