韓 虎，李云霞，滑文山，王震華，段 楠

（濰柴動力股份有限公司，山東 濰坊 261000）

0 引言

汽車工業(yè)發(fā)展歷經(jīng)百余年，從最初的純機械系統(tǒng)逐步演變成機電一體化系統(tǒng)，到當今的軟件定義汽車技術(shù)［1-2］。隨著汽車產(chǎn)業(yè)以智能化、網(wǎng)聯(lián)化、電動化、共享化為代表的“新四化”發(fā)展趨勢要求，汽車電控系統(tǒng)的功能邏輯、架構(gòu)設(shè)計以及容錯設(shè)計逐漸變得復(fù)雜化，這樣就會給系統(tǒng)可靠性的保證帶來諸多問題與挑戰(zhàn)，尤其是在電控系統(tǒng)領(lǐng)域方面。

系統(tǒng)可靠性分析一直是可靠性工程研究中的關(guān)鍵點與難點［3］。對于汽車系統(tǒng)來說，高安全性和高可靠性一直是汽車領(lǐng)域研究者孜孜不倦追求的目標。FMEA 是一種公認的汽車可靠性分析工具，已經(jīng)被廣泛應(yīng)用于汽車機械結(jié)構(gòu)和電子控制單元硬件設(shè)計中［4-9］，對于如何應(yīng)用在側(cè)重汽車軟件級電控系統(tǒng)，鮮有文獻進行報道。本文立足于系統(tǒng)工程思維角度，結(jié)合系統(tǒng)可靠性分析工具FMEA，對汽車電控系統(tǒng)的可靠性方法進行研究與應(yīng)用，提供一種識別復(fù)雜系統(tǒng)風(fēng)險因素的新思路，增強汽車電控系統(tǒng)可靠性設(shè)計。

1 系統(tǒng)工程思想

1.1 系統(tǒng)工程概要

汽車電控系統(tǒng)在汽車技術(shù)革命過程中扮演著不可替代的作用，其在整個汽車系統(tǒng)所處的位置如圖1 所示，通常由傳感器、電子控制單元和執(zhí)行器組成，集成度高且復(fù)雜，汽車電控系統(tǒng)開發(fā)是一項兼具挑戰(zhàn)與復(fù)雜的系統(tǒng)工程。它所涉及的零部件數(shù)量眾多，所使用的工程學(xué)科領(lǐng)域知識寬廣，設(shè)計復(fù)雜性及難度極高。電控系統(tǒng)作為整體所產(chǎn)生的價值主要來自各組成部分的相互聯(lián)系和相互作用關(guān)系，而且遠遠超過各組成部分的單獨貢獻之和。系統(tǒng)工程是分析解決復(fù)雜系統(tǒng)的論證、設(shè)計、生產(chǎn)和使用中評價決策和權(quán)衡優(yōu)化問題有效方法和手段［10］。系統(tǒng)工程是一種有邏輯的思維方法。

圖1 汽車電控系統(tǒng)的位置

系統(tǒng)工程有多種定義，文獻［11］將系統(tǒng)工程定義為“系統(tǒng)工程是一個正式的流程，用于開發(fā)一個復(fù)雜的系統(tǒng)，由一組既定需求驅(qū)動，這些需求源自系統(tǒng)在整個生命周期內(nèi)的預(yù)期任務(wù)”。國際系統(tǒng)工程協(xié)會（INCOSE）

將系統(tǒng)工程定義為［12］“系統(tǒng)工程是一種使系統(tǒng)能夠成功實現(xiàn)的跨學(xué)科的方法和手段”。系統(tǒng)工程專注于：在開發(fā)周期的早期階段定義客戶需要與所要求的功能性，將需求文件化，然后再進行設(shè)計綜合和系統(tǒng)確認，并同時考慮完整問題，即運行、成本、進度、性能、培訓(xùn)、支持、試驗、制造和退出。系統(tǒng)工程把所有學(xué)科和專業(yè)群體綜合為一種團隊的努力，形成從概念到生產(chǎn)再到運行的結(jié)構(gòu)化開發(fā)流程。系統(tǒng)工程以提供滿足用戶需要的高質(zhì)量產(chǎn)品為目的，同時考慮所有客戶的業(yè)務(wù)和技術(shù)需要。

遵循系統(tǒng)工程要求，依據(jù)對汽車電控系統(tǒng)的規(guī)格要求，識別構(gòu)成電控系統(tǒng)的各要素及工作機理，對電控系統(tǒng)進行邊界劃定及架構(gòu)設(shè)計，識別出各個子系統(tǒng)核心接口，同時，對系統(tǒng)可能存在的失效模式進行分析，并根據(jù)結(jié)果對車輛運行影響的失效嚴重度、發(fā)生度和探測度，識別出關(guān)鍵失效模式，并定義相應(yīng)的改進或防止措施，并指定責(zé)任人在系統(tǒng)開發(fā)和測試時采取措施并制定落實計劃［13］。汽車電控系統(tǒng)開發(fā)的最終目標是滿足利益相關(guān)者的要求和需求。

1.2 汽車電控開發(fā)V流程

在系統(tǒng)工程生命周期領(lǐng)域，常見的模型有瀑布模型［14］、螺旋模型［15］和“V”形模型［16］。在汽車行業(yè)，V模式開發(fā)是一個已經(jīng)公認的高效模式，汽車電控系統(tǒng)開發(fā)過程也遵循這個過程。圖2 所示為經(jīng)典的V 模式開發(fā)流程，涵蓋了從系統(tǒng)層面到軟件層面以及集成后的功能測試和系統(tǒng)測試等流程，其理念就是通過協(xié)同合作，使得電控系統(tǒng)設(shè)計達到高效與高質(zhì)兼得目的。

圖2 汽車電控系統(tǒng)開發(fā)V流程

汽車機械、電子控制系統(tǒng)、電氣硬件和軟件開發(fā)間存在著千絲萬縷的相互聯(lián)系，使得我們必須要有一個綜合完整的開發(fā)過程。這個過程包含開發(fā)的各個步驟，從用戶需求分析到最終的電控系統(tǒng)的驗收測試。V 模型的特點是流程嚴格有序，一個階段必須在上一階段完成后才能進行，并且每個開發(fā)階段都對應(yīng)一個測試階段，每個橫向?qū)蛹壭纬梢粋€閉環(huán)，每個縱向?qū)蛹壱画h(huán)扣一環(huán)，這樣能有效保證汽車電控系統(tǒng)產(chǎn)品可靠性與質(zhì)量。

1.3 FMEA使用背景

失效模式及影響分析FMEA 是在產(chǎn)品設(shè)計和過程設(shè)計早期階段采用的一種風(fēng)險分析技術(shù)，是一種在產(chǎn)品和過程開發(fā)中對潛在問題予以事先考慮和闡述，并能采取預(yù)防措施和探測措施以避免發(fā)生問題或防止不合格產(chǎn)品流出的分析方法，旨在提高產(chǎn)品的可靠性和質(zhì)量。

FMEA是對所關(guān)注的系統(tǒng)（這里指汽車電控系統(tǒng)）進行系統(tǒng)性分析，以識別系統(tǒng)潛在的失效模式、失效起因、失效影響的系統(tǒng)化程序［17］。成功實現(xiàn)FMEA方案的最重要因素之一是及時響應(yīng)性。在產(chǎn)品的整個生命周期內(nèi)，F(xiàn)MEA 的使用階段在產(chǎn)品質(zhì)量先期策劃APQP 各階段安排如表1 所示，要求在開發(fā)周期的早期階段實施。

表1 產(chǎn)品質(zhì)量先期策劃對應(yīng)各階段的FMEA時間安排

2 電控系統(tǒng)FMEA開發(fā)方法

系統(tǒng)FMEA是一種設(shè)計FMEA，重點是整個系統(tǒng)特有的功能和關(guān)系，關(guān)注系統(tǒng)特有的功能以及系統(tǒng)與相鄰系統(tǒng)之間的接口。電控系統(tǒng)FMEA 側(cè)重于由電子電氣部件組成的系統(tǒng)FMEA分析，分析系統(tǒng)所處的上下文交互環(huán)境以及系統(tǒng)內(nèi)部各要素之間交互的信息與關(guān)系，主要關(guān)心軟件的設(shè)計，希望通過軟件的設(shè)計，提前規(guī)避系統(tǒng)一些潛在發(fā)生失效風(fēng)險。電控系統(tǒng)FMEA 的分析流程如圖3 所示，從分析思路來說，“V”形左半部分屬于系統(tǒng)分析，其主要目的是分析電控產(chǎn)品的組成以及功能和要求的實現(xiàn)方式，屬于正向分析過程；“V”形右半部分屬于系統(tǒng)分析之上的失效分析和風(fēng)險降低，屬于反向分析過程；結(jié)果文件化屬于總結(jié)反饋及風(fēng)險溝通。從技術(shù)和管理角度來說，策劃和準備、結(jié)果文件化都屬于管理過程，而中間的結(jié)構(gòu)分析、功能分析、失效分析、風(fēng)險分析、優(yōu)化改進則是層層遞進的技術(shù)過程，理解它們的關(guān)鍵是：失效的因果關(guān)系來源于功能的因果關(guān)系。

圖3 電控系統(tǒng)FMEA分析流程

從7 步法的結(jié)構(gòu)框架視角可以看出，電控系統(tǒng)FMEA更系統(tǒng)性的從輸入開始，經(jīng)過一系列分析過程，將分析后的結(jié)果輸出，以達到產(chǎn)品質(zhì)量和安全性的要求，是一個具有強邏輯嚴謹?shù)南到y(tǒng)思維過程。啟動電控系統(tǒng)FMEA工作，主要包括以下內(nèi)容。

（1）策劃與準備階段。為電控系統(tǒng)FMEA 的開始和進行創(chuàng)造有利條件，通過所收集的要求，確定分析對象的類型為電控系統(tǒng)FMEA，以及分析的邊界及關(guān)注點。要求按來源可分為法律法規(guī)要求、行業(yè)要求、顧客要求和內(nèi)部要求。收集包含這些要求的文件或信息是策劃和準備階段中的重要工作。

（2）結(jié)構(gòu)分析階段。明確所關(guān)注系統(tǒng)結(jié)構(gòu)上的框架以及內(nèi)部構(gòu)成要素。組成系統(tǒng)的要素可以是各種系統(tǒng)、子系統(tǒng)、零部件。針對電控系統(tǒng)而言，組成它的要素這里定義為系統(tǒng)、子系統(tǒng)和部件。建立了所關(guān)注系統(tǒng)可視化結(jié)構(gòu)上的框架及構(gòu)成，就為功能分析階段的展開建立了物質(zhì)基礎(chǔ)。

（3）功能分析階段。在結(jié)構(gòu)框架的基礎(chǔ)上把所關(guān)注系統(tǒng)的功能和要求依次進行展開，確保顧客／法規(guī)指定的功能和要求被合理的分配到對應(yīng)的系統(tǒng)要素。產(chǎn)品或零部件的功能一般可以分為主要功能、次要功能、個體功能、防止損害功能和自我保護功能。掌握這些功能類型，可以減少在功能識別時的遺漏。

（4）失效分析階段。針對分析出的所關(guān)注系統(tǒng)功能，全面進行逐條功能失效分析，識別其潛在失效的因果關(guān)系，即失效影響、失效模式和失效起因。

（5）風(fēng)險分析階段。針對分析出的每條失效鏈所涉及的失效起因，評估預(yù)防控制措施從而為確定發(fā)生度評級提供基礎(chǔ)。針對失效起因／失效模式，確定探測措施（比如，診斷處理方案、功能走查、代碼動靜態(tài)測試、臺架及整車測試等），為確定探測度評級提供基礎(chǔ)。每個失效鏈采取措施的優(yōu)先級可通過嚴重度、發(fā)生度、探測度值進行判定。

（6）優(yōu)化改進階段。根據(jù)評價的風(fēng)險狀態(tài)，對措施優(yōu)先級為中或高的失效鏈進行優(yōu)化改進，降低至低風(fēng)險。

（7）結(jié)果文件化階段。把前述的分析結(jié)果形成文件，進行總結(jié)與溝通。將分析過程中確定的失效預(yù)防措施和探測措施補充到相關(guān)技術(shù)規(guī)范／文檔和測試驗證計劃中，對電控系統(tǒng)開發(fā)過程形成迭代反饋促進。

3 后處理顆粒捕集器案例應(yīng)用

汽車是一個非常復(fù)雜的系統(tǒng)，由于篇幅所限，案例以滿足國六排放法規(guī)的后處理柴油機顆粒捕集器DPF控制系統(tǒng)為例進行FMEA分析與應(yīng)用。

3.1 策劃與準備

案例的分析對象是柴油機顆粒捕集器DPF 控制系統(tǒng)，如圖4 所示，用于滿足國六排放法規(guī)對顆粒物數(shù)量和質(zhì)量的要求。它安裝在發(fā)動機排氣管路中，經(jīng)過發(fā)動機燃燒室燃燒后的廢氣流經(jīng)到DPF系統(tǒng)中，捕集廢氣中的顆粒物后，將處理后的廢氣流出，處理后的廢氣滿足法規(guī)要求。后處理DPF 系統(tǒng)涉及柴油氧化催化器DOC、柴油顆粒捕集器DPF、DOC入口／出口溫度傳感器、DPF壓差傳感器和HC噴射器。

圖4 后處理DPF系統(tǒng)

3.2 結(jié)構(gòu)分析

“結(jié)構(gòu)”定義為事物各個組成部分的搭配和排列。結(jié)構(gòu)中各個組成部分稱為結(jié)構(gòu)元素，與組織結(jié)構(gòu)圖中的機構(gòu)和崗位一樣，結(jié)構(gòu)元素之間也存在著上下層次以及相同層次的邏輯關(guān)系。

分析產(chǎn)品實現(xiàn)時，首先要識別相關(guān)要求，然后再分析這些要求的實現(xiàn)方式。在項目策劃初期，已經(jīng)收集了要求，現(xiàn)在要考慮實現(xiàn)。而考慮實現(xiàn)的第一步就是要明確由誰能夠?qū)崿F(xiàn)這些要求。這時只看到產(chǎn)品的整體是不夠的，必須要深入到它們的內(nèi)部結(jié)構(gòu)，因為正是這些結(jié)構(gòu)元素最終實現(xiàn)了這些要求。

作為結(jié)構(gòu)分析的基本工具，運用方框圖和結(jié)構(gòu)樹可以把結(jié)構(gòu)元素識別得完整且清晰。方框圖是一種圖形化的分析工具，它可以把產(chǎn)品的內(nèi)部組成部分宏觀地展現(xiàn)出來，進而描繪出它們之間以及它們和外部元素的交互作用。根據(jù)對DPF控制系統(tǒng)的分析，形成的DPF控制系統(tǒng)方框圖如圖5 所示。它的內(nèi)部結(jié)構(gòu)元素為排氣管路、DOC、DPF、燃油噴射器和DPF 碳載量感應(yīng)器。與它交互的外部元素為發(fā)動機、燃油供給系統(tǒng)、駕駛員和外部環(huán)境。通過DPF控制系統(tǒng)方框圖可以更容易理解設(shè)計的結(jié)構(gòu)以及功能的交互作用，進而減少DPF控制系統(tǒng)功能和失效分析的遺漏，而這些都是有效問題預(yù)防的基礎(chǔ)。

圖5 DPF控制系統(tǒng)方框圖

結(jié)構(gòu)樹是一種簡單地表示產(chǎn)品結(jié)構(gòu)的圖形化方法，它把產(chǎn)品按層次進行分解，然后把得到的結(jié)構(gòu)元素按照層次分明的形式展現(xiàn)出來。圖6 為DPF 控制系統(tǒng)的結(jié)構(gòu)樹展示，根層級為DPF控制系統(tǒng)，下一層級為構(gòu)成DPF控制系統(tǒng)的各結(jié)構(gòu)元素。

圖6 DPF控制系統(tǒng)方框圖

在對產(chǎn)品進行結(jié)構(gòu)分解時，可以采用模塊化的思路，對于電控系統(tǒng)來說，不如機械零部件結(jié)構(gòu)那樣層次分明，需要人為按照功能分類抽象模塊，直到較低層次的功能單元，完成電控系統(tǒng)的結(jié)構(gòu)層次分解。結(jié)構(gòu)分析具體要分解到多么詳細的層次，取決于實際的項目需求。

3.3 功能分析

功能分析過程要立足于所分析對象的不同層次結(jié)構(gòu)元素，能夠識別它們的功能和要求，并連接這些具有因果邏輯關(guān)系的功能和要求。同時，頂層的功能和要求被拆解到各組成部分的功能和要求，并一直拆解到較低層元素的功能和要求。通過對DPF 控制系統(tǒng)的結(jié)構(gòu)分析，可以總結(jié)出DPF控制系統(tǒng)的功能及要求如圖7 所示。就上下層具有因果關(guān)系的功能和要求來說，DPF 控制系統(tǒng)層級的功能和要求得以實現(xiàn)的原因是下層級DPF碳載量感知及DPF 再生控制兩部分相應(yīng)功能和要求得以實現(xiàn)，而下層兩部分的功能和要求實現(xiàn)的目的是實現(xiàn)上層DPF控制系統(tǒng)層級的功能和要求。

圖7 DPF控制系統(tǒng)功能網(wǎng)

為了準確地把握產(chǎn)品設(shè)計的界限并減少失效識別的遺漏，需要精準地識別功能的期望范圍，所以，要求的各個方面也應(yīng)該在功能分析過程中得到體現(xiàn)。很多功能都能體現(xiàn)為輸入和輸出的轉(zhuǎn)化關(guān)系，能把施加給所要分析對象的輸入轉(zhuǎn)化為它的輸出。對于這樣的功能，首先需要識別分析對象的輸入和輸出，然后把功能描述成把輸入轉(zhuǎn)化為輸出的關(guān)系。

3.4 失效分析

電控系統(tǒng)的結(jié)構(gòu)和功能都確定后，對系統(tǒng)進行失效分析，圖8 展示了電控系統(tǒng)FMEA 的多層級關(guān)聯(lián)。電控系統(tǒng)級別的失效起因是下一級別（例如，子系統(tǒng)4）的失效模式，子系統(tǒng)級別的失效模式是電控系統(tǒng)級別的失效起因，部件級別的失效影響是子系統(tǒng)級別的失效模式。在這一步，識別出所有可能的潛在失效是關(guān)鍵。為了盡可能地識別出所有可能的失效，需要總結(jié)一下失效的類型。常見的失效類型有范圍失效、偏差失效、時間失效和夾帶失效等。不僅要用常見失效類型識別潛在失效，也需要考慮和引入相似產(chǎn)品和過程的經(jīng)驗教訓(xùn)。經(jīng)驗教訓(xùn)包含了歷史上發(fā)生過的問題描述以及原因分析，它不僅反思了問題沒有成功預(yù)防以及沒有被探測出來的原因，還包含了有效解決該問題的措施。

圖8 電控系統(tǒng)FMEA各層級失效關(guān)聯(lián)

分析完DPF 控制系統(tǒng)的功能后，基于分析出的功能，對DPF控制系統(tǒng)的潛在失效進行分析。圖9 為列舉的DPF控制系統(tǒng)潛在失效鏈，中間層級的功能失效模式（如，感知DPF內(nèi)捕集的顆粒物含量過低）對上一層級功能失效產(chǎn)生影響（如，增加DPF再生燒裂風(fēng)險，無法滿足PM和PN的法規(guī)要求），中間層級的失效模式是由下一層級的失效起因（如，轉(zhuǎn)換成電壓信號過低）導(dǎo)致，失效模式、失效影響與失效起因形成了一條邏輯性強的失效鏈。

圖9 DPF控制系統(tǒng)失效鏈（部分示例）

3.5 風(fēng)險分析

風(fēng)險應(yīng)對措施主要分為預(yù)防措施和探測措施，前者的意義在于杜絕失效原因的發(fā)生或者降低其發(fā)生的概率，而后者的目的是發(fā)現(xiàn)問題的發(fā)生和發(fā)展，從而啟動反應(yīng)措施。風(fēng)險分析確定了當前的預(yù)防措施和探測措施，并評價了當前風(fēng)險大小，作為接下來觸發(fā)優(yōu)化改進的基礎(chǔ)，如果風(fēng)險得不到正確評價，評價的風(fēng)險就不能反映實際情況，優(yōu)化改進的重點就會發(fā)生偏差。

用于評估風(fēng)險等級的方法有很多，比如風(fēng)險優(yōu)先數(shù)RPN、風(fēng)險矩陣和措施優(yōu)先級AP 等。措施優(yōu)先級AP 遵循了FMEA以失效預(yù)防為目的的方法，本文使用措施優(yōu)先級AP作為風(fēng)險等級評估。

作為風(fēng)險分析的基本工具，圍繞失效鏈的措施分析可以把預(yù)防和探測措施識別得完整而有條理。為了把探測措施正確實施到位，需要對這些措施制定到驗證計劃中并追蹤執(zhí)行。

3.6 優(yōu)化改進

在優(yōu)化改進步驟中需要仔細審視所分析的失效鏈以及當前的措施，然后基于風(fēng)險的三個單項指標和措施優(yōu)先級，努力思考改進的機會，策劃、執(zhí)行、評估進一步的預(yù)防和／或探測措施來降低風(fēng)險，優(yōu)化改進所從事的電控系統(tǒng)設(shè)計。定義優(yōu)化改進措施完成后，需要指定責(zé)任人和目標完成時間，然后執(zhí)行和追蹤這些優(yōu)化改進措施，完成后再評估措施的有效性，如果措施沒達到預(yù)期的效果，則需要重復(fù)此優(yōu)化改進的過程，直到風(fēng)險可以接受為止。

根據(jù)風(fēng)險分析章節(jié)所得出的DPF控制系統(tǒng)措施優(yōu)先級均為低，不需要對其進行優(yōu)化改進。

3.7 結(jié)果文件化

在本環(huán)節(jié)，要把電控系統(tǒng)FMEA 形成文件，梳理分析內(nèi)容，對功能的開發(fā)方式進行總結(jié)和交流，新增的功能分析內(nèi)容可以納入到產(chǎn)品開發(fā)FMEA 庫里，為其他項目的FMEA分析提供復(fù)用和借鑒參考。

4 結(jié)束語

汽車是一個復(fù)雜系統(tǒng)綜合體，其安全與可靠性始終是汽車工程師矢志不渝地追求的高標準。汽車電控系統(tǒng)為汽車領(lǐng)域帶來技術(shù)革新的同時，也伴隨著系統(tǒng)失效風(fēng)險的增加。本文提出的基于系統(tǒng)工程思維框架，將系統(tǒng)工程方法與FMEA方法進行結(jié)合，以一種新的視角去研究DFMEA邏輯要點，并進行電控系統(tǒng)DFMEA 操作解析，并以滿足國六排放法規(guī)的后處理DPF控制系統(tǒng)為案例進行應(yīng)用，可為汽車電控系統(tǒng)安全性、可靠性分析工作提供借鑒參考，不斷提升電控產(chǎn)品開發(fā)質(zhì)量。