Sicher ist sicher – funktionale Sicherheit bei Automobilrelais

Anbieter zum Thema

Durch Aufsummieren der Fehlerraten aller Single Point Faults (SPF) und aller Residual Faults (RF) und der Summe der Fehlerrate aller sicherheitsbezogenen Fehler, deren Auftreten zu einer Verletzung der Sicherheitsziele führen, berechnet man die Hardware-Architektur-Metrik Single Point Fault Metric (SPFM):

SPFM = 1 – (Σλ^SPF+RF) / (Σλ^{safety-related})

Je kleiner die Ausfallraten der Einfachfehler (SPF) und der Restfehler (RF) werden, umso mehr nähert sich diese Architektur-Metrik SPFM dem Wert 1 (100%) an und ermöglicht eine Bewertung, ob der gegebene Zielwert für einen bestimmten ASIL (Automotive Safety Integrity Level) gemäß Bild 2 erreicht wird. Falls die Hardware-Architektur-Metrik SPFM den geforderten Grenzwert nicht erreicht, müssen die Einfachfehler (SPF) durch Verwendung von Bauteilen mit kleineren Ausfallraten reduziert werden oder die Restfehler (RF) sind zu reduzieren durch höhere Diagnosedeckungsgrade der geplanten Sicherheitsmechanismen.

Berücksichtigung von schlafenden Mehrfachfehlern

Die ISO 26262 fordert für jeden ermittelten Fehlermodus nicht nur die oben beschriebene Behandlung von Einfachfehlern SPF, sondern zusätzlich die Berücksichtigung von schlafenden Mehrfachfehlern MPF L, die erst mit dem gemeinsamen Auftreten eines weiteren unabhängigen Fehlers zu einer Verletzung des Sicherheitsziels führen. Also müssen für die MPF L ebenfalls Sicherheitsmechanismen definiert, entsprechende Diagnosedeckungsgrade abgeschätzt und die Ausfallraten λ^{MPF L} ermittelt werden. Durch Aufsummieren der Fehlerraten aller schlafenden Mehrfachfehler kann die Hardware-Architektur-Metrik Latent Fault Metric (LFM) bestimmt werden:

LFM = 1 – (Σλ^{MPF L}) / (Σλ^{safety-related} – Σλ^SPF+RF)

Auch diese Architektur-Metrik LFM kann hinsichtlich Erreichung des Zielwertes für einen bestimmten ASIL gemäß Bild 2 bewertet werden und ggf. durch Änderung der Architektur oder verbesserten Sicherheitsmechanismen mit höheren Diagnosedeckungsgraden optimiert werden.

Beide Architektur-Metriken ermöglichen eine Bewertung der Robustheit der Hardware-Architektur hinsichtlich der Behandlung zufälliger Hardwareausfälle.

Bewertung der probabilistischen Metrik für zufällige Hardwareausfälle, die zur Verletzung der Sicherheitsziele führen:

Für jedes Sicherheitsziel muss auch nachgewiesen werden, dass die Gesamtfehlerrate PMHF (Probabilistic Metric for random Hardware Failures) = Σλ^SPF+RF + Σλ^{MPF L} aller Hardwareelemente, die zur Verletzung des Sicherheitsziels führt, den Zielwert für einen bestimmten ASIL gemäß Bild 2 nicht überschreitet.

Da sich die in Bild 2 tabellierten Grenzwerte für die probabilistische Metrik PMHF auf die Summe aller Hardwareelemente beziehen, muss bei der Bewertung eines Relais ein komponentenspezifischer prozentualer Anteil vom Gesamtsystem vereinbart werden, mit dem sich eine akzeptable Obergrenze für zufällige Relaisausfälle bestimmen lässt. Damit kann der Nachweis erbracht werden, dass die Wahrscheinlichkeit einer Verletzung der Sicherheitsziele durch zufällige Relaisausfälle durch Einzelfehler, Mehrpunktfehler und Restfehler innerhalb akzeptabler Grenzwerte bleibt. Falls keine Sicherheitsanforderungen von Kunden vorliegen, kann das Relais auch als Safety Element out of Context (SEooC) untersucht werden.

Der dargestellte formale Umgang mit den Hardware-Metriken ermöglicht die Entdeckung und Beherrschung relaisspezifischer Hardwareausfälle in zunehmend komplexen System-Architekturen mit verteilten Entwicklungsverantwortlichkeiten in der Lieferkette. Diese Analysen für Automobilrelais gewinnen rasant an Bedeutung durch die Entwicklung von Fahrerassistenzsystemen und den Weg zum autonomen Fahren.

* Peter Kaiser ist Application Engineer bei TE Connectivity in Berlin.

Artikelfiles und Artikellinks

Link: Mehr über Automobilrelais

(ID:42848866)