ГОСТ Р ИСО 26262-5—2014
Приложение Е
(справочное)
Пример вычисления метрик архитектуры аппаратных средств:
метрики одиночного сбоя и метрики скрытого сбоя
В настоящем приложении приводится пример расчета метрики одиночного сбоя и метрики скрытого сбоя для
каждой цели безопасности конкретного устройства в соответствии с требованиями перечисления а) 8.4.7 и 8.4.8.
В рассматриваемом примере система реализует две функции, выполняемые в одном электронном блоке
управления, представленном на рисунке Е.1.
Функция 1 имеет одинвход (температура, измереннаядатчиком И3)и один выход(клапан2. управляемый 171)
и предназначена для того, чтобы открыть клапан 2. когда температура превышает 90 аС.
Если через 171 ток не протекает, токлапан 2 открыт.
Соответствующая цель безопасности 1 формулируется следующим образом: «Клапан 2 не должен быть
закрыт дольше х мс при температуре выше 100 *С». Данной цели безопасности назначается значение УПБА. рав ное
В. Безопасное состояние, клапан 2 открыт.
Значениедатчика ЯЗсчитываетсяблоком АЦП микроконтроллера. Значение сопротивления R3 уменьшается
при повышении температуры. Данный вход не контролируется. Выходной каскад, управляемый Т71. контролирует
сяаналоговым входом 1пАОС1 (механизм безопасности SM1в таблицахрисунков Е.2и Е.З). Вданном примерепред
полагается. что механизм безопасности SM1 может обнаружить определенные виды отказов Т71 с 90 %-ным
охватом диагностикой, приводящие кнарушению цели безопасности. Если SM1 обнаруживаетотказ, то активирует
ся безопасное состояние, ноникакая лампа не включается. Таким образом, считается.чтоохватдиагностикой скры
тых сбоев составляет только 80 % (водитель заметит отказ, так как начнется ухудшение
функционирования автомобиля).
У функции 2 два входа (скорость вращения колеса измеряется с помощью датчиков И и I2, генерирующих
импульсы) и один выход (клапан
1
. управляемый 161) иона предназначена, чтобы открыть клапан
1
. если скорость
автомобиля превышает 90 км/час.
Если через 161 ток не протекает, то клапан 1открыт.
Соответствующая цель безопасности 2 формулируется следующим образом: «Клапан 1 не должен быть
закрыт дольше, чему мс. если скорость превышает 100 км/час». Данной цели безопасности назначается значение
УПБА, равное С. Безопасное состояние: клапан 1открыт.
Количество сгенерированных датчиками 11 и I2 импульсов считывается микроконтроллером. Скорость вра
щения колеса вычисляется по среднему значению импульсов, получаемых от датчиков в единицу времени. Меха
низм безопасности 2 (SM2 в таблицах рисунков Е.2 и Е.З) сравнивает оба входа. Он обнаруживает отказы каждого
входасохеатом диагностикой, равным 99%. Вслучае противоречивости на выходе Out 1 устанавливается значение
«
0
* и клапан
1
открывается (нулевое значение напряжения на базе транзистора закрывает вентиль; нулевое значе ние
напряжения на 161открывает клапан 1). Таким образом, выявляется 99 % сбоев, которые могут нарушить цель
безопасности, и выполняется переход в безопасное состояние. При переходе в безопасное состояние включается
лампа L1. Таким образом, эти сбои являются на 100 % воспринимаемыми. Оставшийся 1 % сбоев является
остаточными сбоями и не скрытыми сбоями.
Выходной каскад управления Т61 контролируется аналоговым входом lnADC2 (механизм безопасности SM3 в
таблицах рисунков Е.2 и Е.З). Скорость вращения колеса вычисляется по среднему значению импульсов,
получаемых отдатчиков.
Микроконтроллер не имеет внутренней избыточности. Если нет никакой подробной информации ©соотноше
нии безопасных сбоев сложной части, то можно предположить консервативное отношение для безопасных сбоев,
равное 50 %. Также предполагается общий охват, равный 90 %, по отношению к нарушению цели безопасности,
используя внутреннее самотестирование и внешнюю сторожевую схему (механизм безопасности SM4 в таблицах
рисунков Е.2 и Е.З). Сторожевая схема получает прямойсигнал черезвыход Out 0 микроконтроллера. Если стороже
вая схема большене обновляется,тоее выходное значение будет низким. Обнаружение сбоя механизмом безопас
ности SM4 (сторожевая схема и самотестирование микроконтроллера) переводит обе функции
8
их безопасные
состояния и включает L1. Таким образом, считается, что охватдиагностикой скрытых сбоев будет равен 100 %.
L1 представляет собой светодиодный индикатор на приборной панели, он горит при обнаружении множест
венного отказа, из которых толькочасть может быть обнаружена, и указывает водителю, что безопасное состояние
функции
1
(клапан
1
открыт) было активировано
П р и м е ч а н и я
1 Отказы жгута проводов в данном примере не рассматриваются.
60