FMEDA-basierte Entwurfsoptimierung Schneller zur Safety-Freigabe: FMEDA neu gedacht

Anbieter zum Thema

ET System electronic GmbH

ISH Ingenieursozietät GmbH

IBR Leiterplatten GmbH & Co. KG

Ohne FMEDA keine Sicherheitsfreigabe. Manuelle Workflows sind langsam, teuer und fehleranfällig. Automatisierte Tools hingegen liefern in Stunden präzise Ergebnisse und schaffen Freiraum für Innovation. Wir zeigen das an einer redundanten Spannungsversorgung.

Jedes Produkt benötigt spätestens zu Produktionsbeginn Nachweise für die Sicherheitsfreigabe. Diese zu erbringen, wird häufig bis ans Ende des Designprozesses aufgeschoben, da der mit den Sicherheitsanalysen wie FMEDA (Failure Mode, Effects and Diagnostic Analysis) verbundene Aufwand gescheut wird oder die benötigten Ressourcen schlicht vorher nicht mobilisiert werden können.

Der Nachteil dieser Herangehensweise besteht darin, dass nicht nur die Sicherheitsmetriken wie FIT-Raten, sondern vor allem auch wesentlich entscheidendere Systemausfallrisiken erst spät im Prozess identifiziert werden. Dies ist mitunter in der klassischen (teil-)manuellen Vorgehensweise in existierenden FMEDA-Workflows begründet, welche zu aufwendigen und damit kostenintensiven, aber oft nur begrenzt effektiven Analysen führen. Trotz des erheblichen Zeit- und Ressourcenaufwands sind die Analysen häufig ungenau (übermäßig konservativ), und das Risiko, dass kritische Designfehler übersehen werden, bleibt weiterhin bestehen. Über derartige Fälle, die schließlich zu Katastrophen oder großangelegten Rückrufaktionen führen, wird regelmäßig berichtet (siehe Literatur).

Durch die Automatisierung von FMEDAs stellt Modelwise konsistente, hochqualitative Ergebnisse sicher, bei gleichzeitiger Reduktion des Aufwandes und entsprechend der Kosten. Dies ermöglicht frühere und häufigere Analysen und ebnet damit den Weg für einen iterativen und explorativen Designprozess. Die daraus resultierende Transformation der Agilität und Effizienz des Elektronikdesignprozesses wird in diesem Artikel anhand eines typischen Anwendungsfalls demonstriert, der zeigt, wie ein moderner, iterativer Designprozess durch eine FMEDA-basierte Optimierung ermöglicht werden kann.

Anwendungsfall: Redundante Spannungsversorgung

Im Folgenden wird das Subsystem zur Auswahl der Spannungsversorgung (Bild 1) betrachtet, das typisch für sicherheitskritische Anwendungen in Branchen wie Luft- und Raumfahrt, Automobilindustrie und industrielle Automatisierung ist. Wichtig zu bedenken ist dabei, dass es sich hierbei nur um einen Teil eines größeren Designs handelt. Das Subsystem im Beispiel umfasst 24 Komponenten, darunter drei integrierte Schaltungen (ICs). Das Gesamtsystem, aus welchem das Beispiel entlehnt ist, umfasst weit über 2.000 Komponenten.

Um eine vollständige FMEDA durchzuführen, müssen alle relevanten Fehlermodi für alle Komponenten bewertet werden. Bei einer manuellen Bewertungszeit von etwa 10 bis 20 Minuten kann der kumulierte Aufwand leicht mehrere Tage oder Wochen in Anspruch nehmen: 200 Fehlermodi × 15 Minuten pro Fehlermodus = 50 Stunden. Für das Gesamtsystem, welches knapp 300 Subsysteme umfasst, wird der Aufwand in Personenjahren gemessen. Trotz oder gerade aufgrund dieses enormen Zeit- und Arbeitsaufwands gibt es keine Garantie, dass alle potenziellen Auswirkungen erfasst werden. Werden sicherheitsrelevante Probleme identifiziert, muss nach deren Behebung eine Analyse mit demselben Aufwand durchgeführt werden, um die Auswirkungen der Designänderungen zu bewerten. Der erhebliche Aufwand für die Sicherheitsanalysen und die damit einhergehende Projektverzögerung schlagen sich direkt in den Projektkosten nieder.

Im Gegensatz dazu automatisiert die Softwarelösung Paitron von Modelwise diesen gesamten Prozess und schließt alle sicherheitskritischen Fehleranalysen in weniger als einer Stunde vollständig ab – und ermöglicht so, Designänderungen deutlich schneller erneut zu analysieren. Die Auswirkungen auf den gesamten Designprozess haben wahrhaft transformativen Charakter. Was früher Wochen intensiven Ingenieureinsatz erforderte, wird nun in wenigen Minuten Konfiguration und einer Stunde Rechenzeit für ein zuverlässiges, reproduzierbares Ergebnis erledigt. Noch bedeutender ist, dass Designänderungen und -verbesserungen, die zuvor äußerst kostspielig waren und daher oft vermieden wurden, jetzt problemlos angenommen werden können, da die Bewertung ihrer Auswirkungen eine überschaubare, planbare Aufgabe ist, die sich leicht in den Designprozess integrieren lässt.

Beschreibung des zu analysierenden Subsystems

• Das Subsystem stellt die Spannungsversorgung am Ausgang P28V_Combined sicher. Für die Spannungsversorgung stehen zwei unabhängige Quellen zur Verfügung, V_BAT und V_SEC.

• Die Hauptanforderung an das Subsystem besteht darin, dass der Ausgang P28V_Combined immer mit Strom versorgt werden muss. Aus Sicht der funktionalen Sicherheit besteht der kritische Fehlerfall also darin, dass P28V_Combined nicht ausreichend mit Strom versorgt wird. In dem Beispiel ist das der Fall, wenn die Ausgangsspannung unter den Toleranzschwellwert von 26 V fällt.

• U1 dient als Überspannungsschutz und bietet Über- und Unterspannungsschutz sowie Schutz vor Rückstrom.

• Die Strommessverstärker U2 und U3 überwachen die Ströme auf jeder Eingangsleitung.

Die Vorbereitung der Analyse des Subsystems

Zunächst werden das Modell und die jeweilige ECAD-Umgebung mit Paitron verknüpft. Paitron unterstützt die gängigen Tools von Altium, Cadence (OrCAD), Siemens (Xpedition) aber auch Ltspice, Pspice u. v. m.

Sogleich kann die Analyse auch bereits konfiguriert werden. Hierzu werden die Eingangs- und Ausgangsvariablen deklariert, wobei alle Signale der Simulationsmodelle zur Auswahl stehen. Im Beispiel wird V_SEC als Eingang für die Analyse definiert, was bedeutet, dass die Analyse den Wert manipulieren kann. V_SEC kann zwei Zustände annehmen: „low“ bei 0 V oder „high“ bei 30 V. V_OUT ist die Variable für die Spannung am Ausgang P28V_Combined. Für V_OUT werden vier Zustände unterschieden, nämlich „neg“, „UV“, „ok“ und „OV“. UV steht hierbei für Unterspannung und OV für Überspannung.

Im Anschluss werden die Sicherheitsanforderungen an das betrachtete System als Effekte kodiert. Wie oben beschrieben, ist die sicherheitskritische Anforderung, dass P28V_Combined jederzeit mit Strom versorgt bleibt. Der entsprechende Effekt, der analysiert werden soll, besteht darin, dass V_OUT niedriger als vorgesehen ist. Dies wird formalisiert als „V_OUT ist kleiner als ‚ok‘“. Meist genügt diese simple Effektkodierung, obgleich beliebige Verschachtelungen bis zu Zeitverhalten möglich sind.

Nun werden die durchzuführende Analyse (hier z. B. FMEA, FMEDA, FMECA) und der zugrundegelegte Standard (z. B. IEC 61508 oder ISO 26262) ausgewählt. Abschließend werden dann noch die Quellen für Fehlerraten (engl. „Failure rates“ nach bspw. SN 29500, MIL-HDBK-217F) und Fehlermodi (engl. „Failure modes“ nach bspw. IEC 61709, MIL-HDBK-338B) ausgewählt, sowie die Komponenten den Entitäten automatisch aus besagten Quellen zugeordnet, wodurch sichergestellt wird, dass geeignete Daten zu Ausfallraten und Ausfallarten auf alle analysierten Teile angewendet werden.

Die Analyse des Subsystems durchführen (lassen)

Sobald die Effekte kodiert sind, was vornehmlich nicht mehr als 15 Minuten in Anspruch nimmt, kann die Analyse gemäß dem gewählten Standard (hier IEC 61508) durchgeführt werden. Das Beispiel umfasst 24 Komponenten, für die Paitron mehr als 200 Fehlermodi in weniger als einer halben Stunde analysiert. Wie weiter oben bereits überschlagen, summiert sich der Aufwand für manuelle Bewertungen schnell auf einige Tage bis Wochen. Bereits für das relativ überschaubare Beispiel, schafft Paitron in der Mittagspause Freiraum für etwa eine Woche wertvolle, kreative Ingenieurszeit. Diese kann – anstatt mühsam die FMEDA selbst durchzuführen oder auf diese zu warten – dazu verwendet werden, die Ergebnisse zu analysieren und informierte Entscheidungen über Designoptimierungen vorzunehmen.

Schnell den Überblick über die Analyse bekommen: Safety-KPIs

Bild 2 zeigt die zentralen Safety-KPIs nach IEC 61508, darunter SFF, MTBF, PFD und PFH. Auffällig ist die gefährliche und nicht erkannte Fehlerrate von 0,12 FIT (λDU). Ein Blick auf die dafür verantwortlichen Komponenten erleichtert die Ursachensuche, da für jeden Fehlermodus definierte Effekte angegeben sind, die die Diagnose beschleunigen. Die Analyse verdeutlicht, wie mehrere Fehlermodi zum „Verlust der Stromversorgung“ führen können.

Bild 3 zeigt etwa Kurzschlüsse der Pins zu Masse: Das Kurzschließen der –Pins von U3 zieht den Leistungsausgang auf Masse. Bei rund 2.000 Komponenten im Gesamtsystem werden solche Designprobleme leicht übersehen. Manuelle Analysen sind aufwendig und nie fehlerfrei. Automatisierte FMEDA-Prozesse hingegen machen die Identifikation schnell und zuverlässig.

Design überarbeiten und die Analyse mühelos erneut ausführen lassen

Mit dem schnell identifizierten Designfehler kann der Entwurf überarbeitet werden, um den kritischen, gefährlichen Effekt zu verhindern. Eine naheliegende Lösung besteht darin, zwei Dioden hinzuzufügen (D2 und D3) – eine an jeder Leitung. In Sperrrichtung stellen diese sicher, dass ein Kurzschluss zu Masse bei U2 oder U3 den Ausgang (P28V_Combined) nicht mehr auf Masse zieht. Nach der Anpassung des Systemdesigns kann die bereits konfigurierte Analyse einfach erneut ausgeführt werden, um die Auswirkungen des Designupdates zu bewerten. Während dies im manuellen Prozess etwa den gleichen Aufwand erfordert wie die ursprüngliche Analyse, sind es mit Paitron nur wenige Klicks. Die Ausfallrate gefährlicher Fehler λD wird auf 0 FIT reduziert, was bestätigt, dass der Effekt „Loss of combined power“ tatsächlich verhindert wurde. Auch der Blick in die Detailanalyse bestätigt, dass Fehlermodi, die zuvor den Verlust der Stromversorgung zur Folge hatten, jetzt nur noch auf die betroffene Leitung beschränkt sind.

Fazit: Automatisierte FMEDA ermöglicht kurze Entwicklungszyklen

Die automatisierte Lösung von Modelwise ermöglicht es Entwicklern und Sicherheitsingenieuren, ihre Zeit auf das Wesentliche zu konzentrieren: innovative Produkte zu entwickeln. Die erhöhte Geschwindigkeit der FMEDA beschleunigt nicht nur den Designprozess, sondern verbessert ihn auch, indem Designfehler in jeder Phase des Designprozesses schnell identifiziert und behoben werden können. Was einst ein mühsamer Anhang an den Entwicklungsprozess war, wird zu einem wertschöpfenden, integrierten Bestandteil.

Im vorliegenden Beispiel beschränkt sich der Aufwand für eine FMEDA-basierte Designoptimierung auf nur wenige Minuten täglicher Ingenieurstätigkeit. Mit zusätzlichen Stückkosten von weniger als 10 Cent wurden sicherheitskritische Single-Point-of-Failures präzise identifiziert und dauerhaft behoben. Der Modelwise-Ansatz beschränkt sich dabei nicht nur auf Sicherheitsanalysen und Sicherheitsmetriken, sondern lässt sich auch flexibel auf nahezu alle Aspekte der Zuverlässigkeit, Verfügbarkeit, Wartbarkeit und Sicherheit (RAMS) anwenden. Stellen Sie sich vor, wie viele unterschiedliche, konkurrierende Designs gleichzeitig bewertet und detailliert verglichen werden können, und welche Innovationen durch die zuverlässige Automatisierung freigewordene Kapazität nachhaltig vorangetrieben werden können. (sb)

Literatur

Hinze, H., Tatje, C., & Freitag, M. (2024, March 22). Continental und BMW. Manager magazin

Klee, M. (2024, May 18). Boeing 737 max disaster. Rolling Stone.

https://data.transportation.gov/Automobiles/NHTSA-Recalls-by-Manufacturer/mu99-t4jn

https://www.auto-motor-und-sport.de/verkehr/ford-kuga-plug-in-hybrid-rueckruf-brandgefahr-sicherheitswarnung/

https://www.produktwarnung.eu/2025/07/21/rueckruf-ueberhitzung-osram-ruft-tyreinflate-6000-reifenpumpen-zurueck/34790

* Claudius Jordan ist Senior Engineer bei Modelwise.

(ID:50543356)