第4章功能失效与危害关联

第4章：功能失效与危害关联——功能失效模式分析

好，咱们进入第4章。前面我们聊了怎么识别危害，但有个关键问题：危害到底是怎么来的？

说白了，危害不是凭空冒出来的。它一定源于某个功能的失效。你想想看，一个刹车系统如果正常工作，怎么会导致车辆失控？只有它失效了，才会出事。

这一章，我就带你搞清楚三件事：

很多人一听到“失效”，第一反应就是“东西坏了”。其实没那么简单。我在项目中遇到过不少情况，功能本身没坏，但就是不该动的时候动了，或者该动的时候没动，这都算失效。

根据ISO 26262，功能失效模式主要分这么几类：

重点来了：同一个功能，不同的失效模式，可能导向完全不同的危害。比如“刹车功能丧失”可能导致追尾，而“刹车误触发”可能导致后车追你尾。所以分析的时候，每种失效模式都要单独过一遍。

好，现在我们知道失效模式有哪些了。下一步就是：怎么把失效和危害连起来？

我个人习惯用“失效→系统行为→危害”这个链条来思考。举个例子：

你看，这样一梳理，逻辑就清楚了。我建议你在做HARA的时候，也画这么一条链。别嫌麻烦，这一步做扎实了，后面风险等级判定就顺了。

我的小技巧：用表格把“失效模式”和“危害”一一对应起来。比如：

这样一目了然，评审的时候也方便别人理解。

嗯，这里要注意：功能失效不是自己蹦出来的。它一定有个触发条件。搞清楚触发条件，你才能知道怎么预防。

触发条件一般分三类：

避坑指南：我曾经犯过一个错——只考虑了单一故障，忽略了组合故障。比如传感器故障+软件容错逻辑失效，两个同时发生才导致危害。所以分析触发条件时，别只盯着单点，也要想想“如果两个都坏了会怎样”。

光说不练假把式。咱们拿一个实际功能——自适应巡航（ACC）——来走一遍流程。

功能描述：ACC根据前车速度自动调整本车速度，保持安全距离。

第一步：列出失效模式

第二步：关联危害

第三步：分析触发条件

你看，这么一分析，整个逻辑链条就清晰了。每个失效模式都有对应的危害，每个危害都有可能的触发条件。后面做风险等级判定的时候，你就能直接拿这些数据去评估严重度、暴露率和可控性了。

好，咱们捋一捋这章的核心：

下一章，咱们就拿着这些分析结果，开始做风险等级判定。到时候你会感谢自己今天把这一步做扎实了。

嗯，今天就到这儿。回去拿你们项目里的一个功能，按这个流程走一遍，下周咱们讨论。