嵌入式系统中软件 FMEA 分析讲解 —— 以汽车胎压监测系统（TPMS）为例 - FMEA软件-CoreFMEA
性价比高、易于上手的FMEA软件: CoreFMEA
想知道如何系统性识别嵌入式软件潜在风险、提升系统可靠性吗？本文以汽车胎压监测系统（TPMS）为例，手把手演示 AIAG & VDA FMEA 七步法：从三层级结构分解（系统级→子系统级→组件级）构建功能网，到失效链深度剖析（失效影响 - 模式 - 原因），再通过风险评估（S/O/D 评分 + AP 值判定）与针对性优化，实现从 "问题定位" 到 "风险归零" 的全流程实操。聚焦软件分层分析难点，附具体功能依存表、失效链矩阵及优化前后风险对比，助工程师快速掌握嵌入式系统 FMEA 核心逻辑，为车载电子、工业控制等领域软件可靠性设计提供可复用模板。
嵌入式系统中的软件如何进行 FMEA 分析？ FMEA软件CoreFMEA 以汽车胎压监测系统（TPMS）为例，抛砖引玉。
一、规划与准备（第一步）
本次 FMEA 分析聚焦于汽车胎压监测系统（TPMS）的软件部分。首先明确分析目标，即识别 TPMS 软件在运行过程中可能出现的潜在失效，评估其风险，并制定相应的优化措施，以提高系统的可靠性和安全性。分析范围涵盖 TPMS 软件的整个工作流程，包括传感器数据采集、数据处理、无线通信以及用户界面显示等功能模块。组建专业的 FMEA 分析团队，成员包括嵌入式软件工程师、硬件工程师、系统测试工程师以及质量管理人员等，确保从不同专业角度对系统进行全面分析。同时，制定详细的分析计划，确定各阶段的任务、时间节点和责任人，为后续的分析工作提供明确的指导。采用 CoreFMEA 软件输出 AIAG & VDA FMEA 标准表格（最终的智力产物）。
二、结构分析（第二步）
对 TPMS 软件进行结构分析时，采用三层级分解方法，即高 - 中 - 低层级，以便清晰地展现系统的层次结构和各部分之间的关系。
（一）高层级（系统级）
高层级主要关注整个 TPMS 软件系统的整体架构和核心功能模块。在 TPMS 中，高层级可定义为 "胎压监测系统软件"，它包含几个关键的子系统级模块，如传感器数据采集子系统、数据处理子系统、无线通信子系统和用户界面子系统。这些子系统相互协作，共同实现 TPMS 的整体功能，例如实时监测轮胎胎压和温度，并在异常时发出警报。
（二）中间层级（子系统级）
将高层级的各个子系统进一步分解，得到中间层级的模块。以传感器数据采集子系统为例，它可以分解为传感器驱动模块、数据滤波模块和时钟同步模块。传感器驱动模块负责与硬件传感器进行交互，获取原始的胎压和温度数据；数据滤波模块对采集到的原始数据进行处理，去除噪声和干扰，提高数据的准确性；时钟同步模块确保数据采集的时间一致性，以便后续的数据分析和处理。
（三）低层级（组件级）
低层级是对中间层级模块的进一步细化，分解为具体的软件组件。以传感器驱动模块为例，它可以包含初始化组件、数据读取组件和错误处理组件。初始化组件负责在系统启动时对传感器进行初始化配置，确保传感器正常工作；数据读取组件按照预定的协议和时序从传感器中读取数据；错误处理组件则在传感器出现故障或数据读取失败时进行相应的处理，如重试读取或发出错误信号。
在进行结构分析时，要注重各层级之间的接口和交互关系。例如，传感器数据采集子系统的输出是数据处理子系统的输入，无线通信子系统需要与数据处理子系统进行数据交互以发送监测信息等。通过明确各层级的结构和交互关系，为后续的功能分析和失效分析奠定基础。
三、功能分析（第三步）
（一）各层结构功能分析
- 高层级（系统级）功能
- 实现轮胎胎压和温度的实时监测。
- 对监测到的异常数据（如胎压过低、温度过高）进行分析和判断。
- 通过用户界面向驾驶员发出警报，如声音报警、灯光提示等。
- 与车辆的其他系统（如仪表盘系统）进行通信，共享胎压监测信息。
- 中间层级（子系统级）功能
- 传感器数据采集子系统：准确采集轮胎内传感器的胎压和温度原始数据；对采集到的数据进行初步的格式转换，以便后续处理；实时监测传感器的工作状态，如电源电压、通信连接等。
- 数据处理子系统：对采集到的原始数据进行滤波处理，去除噪声；根据预设的算法计算轮胎的实时胎压和温度值；对计算得到的数据进行合理性校验，如胎压值是否在正常范围内。
- 无线通信子系统：将处理后的胎压和温度数据以无线信号的形式发送到车辆的接收模块；接收来自车辆其他系统的控制指令，如校准指令、休眠指令等；确保无线通信的稳定性和可靠性，避免数据丢失或错误。
- 用户界面子系统：在车辆仪表盘上显示实时的胎压和温度信息；提供警报提示功能，如闪烁的警告灯、声音报警等；接收驾驶员的输入操作，如确认警报、设置胎压阈值等。
- 低层级（组件级）功能
- 传感器驱动模块中的初始化组件：对传感器的硬件寄存器进行配置，如设置采样频率、数据格式等；建立与传感器的通信连接，确保通信链路正常。
- 数据读取组件：按照预定的通信协议从传感器中读取数据；对读取的数据进行初步的错误检测，如校验和验证。
- 错误处理组件：当传感器通信失败时，进行重试操作；记录传感器的错误信息，以便后续的故障诊断。
- 数据滤波模块中的数字滤波组件：采用数字滤波算法（如均值滤波、卡尔曼滤波）对原始数据进行处理；减少数据中的随机噪声，提高数据的稳定性。
（二）功能依存关系列表（功能网）
高层级功能 | 中间层级功能 | 低层级功能 |
实时监测胎压和温度 | 传感器数据采集子系统采集原始数据 | 传感器驱动模块初始化组件配置传感器 |
数据读取组件读取传感器数据 | ||
数据处理子系统计算胎压和温度值 | 数字滤波组件对数据进行滤波 | |
数据校验组件验证数据合理性 | ||
异常数据判断和警报 | 数据处理子系统分析数据合理性 | 数据校验组件验证数据是否超出阈值 |
用户界面子系统发出警报 | 用户界面组件显示警报信息 | |
声音报警组件发出声音警报 | ||
与其他系统通信 | 无线通信子系统发送和接收数据 | 无线通信驱动组件建立通信连接 |
数据打包和解包组件处理通信数据 |
四、失效分析（第四步）
（一）各层功能失效分析
- 高层级（系统级）失效
- 失效影响：驾驶员无法及时获取轮胎胎压和温度信息，可能导致轮胎故障（如爆胎），影响行车安全；车辆其他系统无法获取胎压监测信息，影响整体系统的协同工作。
- 失效模式：系统无法启动，无法进行胎压监测；监测到异常数据时不发出警报；与其他系统通信中断。
- 失效原因：软件代码存在严重错误，导致系统崩溃；硬件故障（如传感器损坏、通信模块故障）影响软件功能；电源供应异常，导致系统无法正常工作。
- 中间层级（子系统级）失效
- 传感器数据采集子系统失效
- 失效影响：无法采集到传感器的原始数据，导致数据处理子系统无法计算胎压和温度值，高层级功能无法实现。
- 失效模式：传感器驱动模块无法与传感器建立通信连接；数据滤波模块处理后的数据误差过大；时钟同步模块失效，导致数据采集时间不一致。
- 失效原因：传感器驱动程序存在 bug，无法正确解析传感器的通信协议；数据滤波算法选择不当，无法有效去除噪声；时钟同步电路故障，导致时钟信号异常。
- 数据处理子系统失效
- 失效影响：计算得到的胎压和温度值不准确，可能导致错误的警报或不警报，影响驾驶员的判断。
- 失效模式：数据滤波处理不彻底，残留噪声；胎压和温度计算算法错误，导致结果偏差较大；数据合理性校验功能失效，无法检测到异常数据。
- 失效原因：滤波算法代码存在错误，导致滤波效果不佳；计算算法逻辑错误，如公式推导错误；校验规则设置不合理，无法覆盖所有异常情况。
- 低层级（组件级）失效
- 传感器驱动模块中的初始化组件失效
- 失效影响：传感器无法正常初始化，导致后续的数据读取操作失败，影响整个数据采集子系统的功能。
- 失效模式：无法正确配置传感器的硬件寄存器；初始化过程中出现超时错误，无法完成初始化。
- 失效原因：初始化代码存在逻辑错误，如寄存器地址错误、配置参数错误；硬件接口存在故障，如引脚接触不良、电平信号异常。
- 数据读取组件失效
- 失效影响：无法从传感器中读取到数据，或读取到的数据错误，导致数据采集子系统无法提供有效的原始数据。
- 失效模式：读取数据时出现超时，无法获取数据；读取的数据校验和错误，数据无效。
- 失效原因：通信协议解析错误，导致数据读取时机不正确；传感器故障，如内部电路损坏，无法输出正确的数据。
（二）失效链依存关系列表（失效链）
高层级-失效影响 | 中间层级-失效模式 | 低层级-失效原因 |
系统无法进行胎压监测 | 传感器数据采集子系统无法采集原始数据 | 初始化组件无法正确配置传感器寄存器 |
数据读取组件读取数据超时 | ||
监测到异常数据不发出警报 | 数据处理子系统无法检测到异常数据 | 数据校验组件校验规则设置不合理 |
用户界面子系统无法发出警报 | 声音报警组件代码存在错误，无法触发声音输出 | |
与其他系统通信中断 | 无线通信子系统通信连接断开 | 无线通信驱动组件硬件接口故障 |
五、风险评估（第五步）
以 "系统无法进行胎压监测" 这一高层级失效为例进行风险评估。
（一）最高层级失效（系统级）- 严重度 S 评估
该失效会导致驾驶员无法获取轮胎胎压和温度信息，可能引发严重的行车安全事故，如爆胎，对驾驶员和乘客的生命安全构成威胁。根据 AIAG & VDA FMEA 标准，严重度 S 评估为 9（高风险）。
（二）中间层级失效（子系统级）- 探测度 D 评估
中间层级失效为 "传感器数据采集子系统无法采集原始数据"，现有的探测控制措施是在软件中设置数据采集超时检测机制，当超过预定时间未采集到数据时，发出错误提示。但该措施可能无法及时准确地检测到所有数据采集失效情况，例如传感器偶尔出现的短暂通信故障可能被忽略。经过评估，探测度 D 为 7（中等探测能力）。
（三）最低层级失效（组件级）- 发生度 O 评估
最低层级失效原因是 "初始化组件无法正确配置传感器寄存器"，现有的预防控制措施是在软件开发过程中进行严格的代码审查和单元测试，确保初始化代码的正确性。同时，在硬件设计中采用可靠的传感器接口电路。经过评估，发生度 O 为 6（中等发生概率）。
（四）AP 值计算
根据 AIAG & VDA FMEA 的 AP 值矩阵，当 S=9，D=7，O=6 时，AP 值为 H（高优先级），需要优先采取优化措施。
六、优化（第六步）
针对 AP=H 的失效链 "系统无法进行胎压监测 - 传感器数据采集子系统无法采集原始数据 - 初始化组件无法正确配置传感器寄存器" 进行优化。
（一）中间层级失效优化
对中间层级的 "传感器数据采集子系统无法采集原始数据" 失效，添加更有力的探测措施。除了现有的超时检测机制外，增加实时的传感器状态监测功能，定期检查传感器的电源电压、通信信号强度等参数，并将监测结果记录到日志中。当检测到传感器状态异常时，立即发出警报并采取相应的恢复措施。重新评估探测度 D，由于新增的探测措施能够更全面地检测数据采集失效情况，探测度 D 降低为 5（较好探测能力）。
（二）最低层级失效优化
对最低层级的 "初始化组件无法正确配置传感器寄存器" 失效，添加更有力的预防措施。在软件开发过程中，引入形式化验证方法，对初始化代码进行严格的数学验证，确保代码的逻辑正确性。同时，在硬件设计中增加传感器寄存器配置的冗余校验电路，对配置后的寄存器值进行实时校验，确保配置正确。重新评估发生度 O，由于预防措施的加强，发生度 O 降低为 4（低发生概率）。
（三）新 AP 值计算
优化后，S=9，D=5，O=4，根据 AP 值矩阵，新的 AP 值为 M（中优先级），风险得到有效降低。
七、结果文件化（第七步）
将整个 FMEA 分析过程和结果进行文件化处理，形成正式的 FMEA 报告。报告内容包括分析的目标、范围、团队成员和计划；结构分析的三层级分解图和各层级的模块说明；功能分析的各层功能列表和功能依存关系图；失效分析的各层失效模式、影响和原因列表以及失效链图；风险评估的 S、D、O 值和 AP 值计算过程；优化措施和优化后的 S、D、O 值及 AP 值。同时，将报告分发给相关的人员和部门，如软件开发团队、硬件设计团队、质量控制部门等，以便各方了解系统的潜在风险和改进措施，为后续的产品开发和维护提供参考依据。
工欲善其事，必先利其器。
CoreFMEA软件 显著提升 FMEA 工作效率，轻松完成新版“七步法”
FMEA软件CoreFMEA - DFMEA & PFMEA
CoreFMEA 是一款符合 AIAG & VDA FMEA 标准的失效模式与影响分析的软件，专注 FMEA 核心要点，解决用户痛点。软件兼具 DFMEA 和 PFMEA。高效便捷，如常用的 Office 软件一般，界面友好，易于上手。
软件支持新版 FMEA 七步法，输出标准 FMEA 表格，还能够输出 设计验证报告DVP、控制计划 CP、过程流程图 PFD、物料清单 E-BOM、设备清单等文件。还可以自动识别特殊特性、自动翻译成多国语言、双语同步显示。
本地化部署，所有软件和数据均在用户企业内部。提供免费试用，还有专业的 FMEA 知识答疑与辅导，助力您高效完成 FMEA 工作。
本文版权归网站所有，转载请联系并注明出处:
https://www.GCITSOFT.com/article-detail/FMEA_CoreFMEA_25
