一封飞（FMEA）鸽传（MSR）书

关于对系统、车辆、人员和法规遵从性的技术影响，监视及系统响应的补充FMEA对顾客操作条件下可能出现的潜在失效起因进行了分析。该方法考虑到失效起因或失效模式是否由该系统探测到或失效影响是否由驾驶员探测到。顾客操作将理解为最终用户操作或运行操作以及维护操作。

FMEA-MSR涵盖了以下风险要素：

a)伤害的严重程度、不符合法规、功能丧失或退化，以及不可接受的质量，由(S)表示

b)在运行情况下估计的失效起因频率，由(F)表示

c)通过诊断探测和自动响应避免或限制失效影响的技术可能性，以及通过感官知觉和物理响应避免或限制失效影响的人为可能性，由(M)表示

F和M的组合系指由于失效(失效起因)和由此产生的故障行为(失效模式)所导致的失效影响发生概率的估计。

注：发生失效影响的总体概率可能更高，原因在于不同的失效起因可能导致相同的失效影响。

FMEA-MSR通过评估因监视和响应所产生的降低风险的方式增值。FMEA-MSR通过与可接受的残余风险条件进行比较并评估当前的失效风险状态，得出额外监视的必要性。该分析可以属于设计FMEA的一部分，设计FMEA中该分析的开发方面从顾客操作方面进行补充分析。但它仅在需要诊断探测维持安全性或合规性时才加以应用。

DFMEA的探测与补充FMEA-MSR的监视不同。在DFMEA中，探测控制记录了可证明满足开发和确认要求的试验能力。对于已成为系统设计一部分的监视功能，确认旨在证明诊断监视和系统响应按预期运作。相反，假设满足相应的规范的情况下，FMEA-MSR中的监视评估了顾客操作中的故障探测性能的效果。监视评级也可理解为安全性能以及系统对监视到的故障的响应的可靠性。它有利于评估是否实现安全目标，且可用于获得安全概念。

根据车辆操作系统的诊断功能，通过考虑更多的、可精确地反映所评估到的较低级别风险的因素，补充的FMEA-MSR可以解决DFMEA中被评为高级别的风险。这些附加因素有利于提高对失效风险(包括伤害风险、不合规风险、不遵守规范的风险)的描述。

FMEA-MSR有利于提供诊断、逻辑和驱动机制实现和维持安全或合规状态的能力的证据(特别是在最大故障处理时间间隔内和容错时段内的适当失效缓解能力)。

FMEA-MSR评估最终用户条件下的当前失效风险状态(不仅仅是对人员造成伤害的风险)。顾客操作期间的故障/失效探测可用于通过切换到降级的运行状态(包括禁用车辆)，通知驾驶员和/或将诊断故障代码(DTC)写入服务用控制单元来避免初始的失效影响。就FMEA而言，可靠的诊断探测和响应最终消除(预防)初始影响，并将其替换为新的，不太严重的影响。

FMEA-MSR可用于确定系统设计是否满足安全性和合规性方面的性能要求。结果可能如下：

• 出于监视的目的考虑，可能需要额外的传感器

• 可能需要处理冗余

• 真实性检查可能显示传感器故障