The Cross-Check That Couldn't See a Shared Ground
The pedal sensor reported a position the driver never commanded, and both channels agreed on it. That agreement is the whole story. The diagnostic compared channel A against channel B, and by its design a comparison cannot catch a fault that moves both channels together. The harness revision that merged two ground pins was the trigger, but the root cause sits a level higher: the Detection rating assumed the two channels could not fail at the same time.
Trigger versus assumption
Write the trigger down first, because it is where everyone will want to stop. A cost-down revision moved both sensor returns onto one terminal. Under vibration that terminal developed fretting corrosion, its contact resistance climbed, and the local ground rose with it, so each channel's output rode up by the same offset. Nobody was negligent: the revision passed its own review, the terminal was within its rating when new, and fretting on tin-plated contacts is a known, slow mechanism. The assumption that stopped holding is a different kind of thing. The original DFMEA gave the plausibility check a low Detection score because it treated the two channels as independent, and that belief lived in the analysis, not in the harness drawing that someone changed.
Why the plausibility window was blind
The cross-check allowed 150 mV of disagreement between channels before setting a fault, a sensible window for gain drift and quantisation in either channel on its own. A common-mode ground shift produces zero disagreement, so the window was never reached however large the offset grew. Redundancy only keeps a system running through a single failure when the failure path of one element shares nothing with the other. Once both channels pass through the same terminal, the structure has one single point of failure that looks like two channels. The structure tree shows this plainly if the shared return is modelled as its own element with its own failure mode, and hides it completely if the return is folded into a generic harness line, which is what the original analysis did. That was reasonable while the grounds were separate and became wrong the day they were merged.
The rule to apply
Never give Detection credit to a comparison between two channels that meet at any node in the structure tree: either model that node explicitly with its own cause and treat the comparison as blind to it, or rate Detection as though the comparison did not exist.
Catalogs carry assumptions forward
Reusable catalogs are where this kind of belief travels unseen. The sensor entry was copied from a validated programme, and its Detection score was correct for the architecture it was written for; the copy took the score but not the condition it depended on. In FMEA Tool the structure, function and failure chain sits on one page, so a reviewer looking at a cross-check control can see, in the same view, which elements feed both channels. Action Priority recalculates as soon as Detection is re-rated honestly, and here that moved the item from low to high without anyone touching Severity. The harmonised method that automotive quality standards such as IATF expect already asks for this traceability; the tool simply makes the dependency hard to hide. What remains is a design trade-off. Complementary signal slopes would turn a common ground shift into a detectable sum error at no hardware cost, while separate returns would remove the shared node for the price of a connector pin, and the programme has to decide whether it wants to detect the common cause or eliminate it.
Technical FAQ: Isn't this the harness engineer's root cause, since their change introduced the shared terminal?
No. The change was the trigger, and it was reviewed against the criteria it was given. The root cause is that the DFMEA built channel independence into the Detection score without stating it, so no change review had a way to see that merging the grounds made that score invalid. The corrective action belongs to the analysis: make independence an explicit structure element, so any future change that touches it shows up in review.
More Technical Articles on fmeatool.com
O cross-check que não enxergava um terra compartilhado
O sensor de pedal informou uma posição que o motorista nunca comandou, e os dois canais concordavam entre si. Essa concordância é a história inteira. O diagnóstico comparava o canal A com o canal B, e uma comparação, pela própria construção, não pega uma falha que desloca os dois canais juntos. A revisão do chicote que uniu dois pinos de terra foi o gatilho, mas a causa raiz está um nível acima: a nota de Detecção pressupunha que os dois canais não podiam falhar ao mesmo tempo.
Gatilho não é premissa
Registre o gatilho primeiro, porque é nele que todo mundo vai querer parar. Uma revisão de redução de custo levou os dois retornos do sensor para um único terminal. Sob vibração, esse terminal sofreu corrosão por fretting, a resistência de contato subiu e o terra local subiu junto, de modo que a saída de cada canal deslocou exatamente o mesmo offset. Ninguém foi negligente: a revisão passou pela análise prevista, o terminal estava dentro da especificação quando novo e fretting em contato estanhado é um mecanismo conhecido e lento. A premissa que deixou de valer é de outra natureza. A DFMEA original dava à checagem de plausibilidade uma Detecção baixa porque tratava os dois canais como independentes, e essa crença morava na análise, não no desenho de chicote que alguém alterou.
Por que a janela de plausibilidade era cega
A checagem tolerava 150 mV de divergência entre canais antes de acusar falha, uma janela razoável para deriva de ganho e quantização em cada canal isolado. Um deslocamento de terra em modo comum gera divergência zero, então a janela nunca era atingida, por maior que o offset ficasse. Redundância só mantém o sistema funcionando diante de uma falha única quando o caminho de falha de um elemento não compartilha nada com o outro. A partir do momento em que os dois canais passam pelo mesmo terminal, a estrutura tem um único ponto de falha com cara de dois canais. A árvore de estrutura mostra isso com clareza se o retorno compartilhado for modelado como elemento próprio, com modo de falha próprio, e esconde por completo se ele for diluído numa linha genérica de chicote, que foi o que a análise original fez. Isso era sensato enquanto os terras eram separados e ficou errado no dia em que foram unidos.
A regra que vale aplicar
Nunca dê crédito de Detecção a uma comparação entre dois canais que se encontram em qualquer nó da árvore de estrutura: ou modele esse nó explicitamente, com causa própria, e trate a comparação como cega a ele, ou avalie a Detecção como se a comparação não existisse.
Catálogo também carrega premissa
Catálogos reutilizáveis são o caminho por onde esse tipo de crença viaja sem ser visto. A entrada do sensor foi copiada de um programa validado, e a nota de Detecção estava certa para a arquitetura para a qual foi escrita; a cópia levou a nota, mas não a condição da qual ela dependia. No FMEA Tool a cadeia estrutura, função e falha fica numa página só, então quem revisa um controle de cross-check vê, na mesma tela, quais elementos alimentam os dois canais. A Action Priority é recalculada assim que a Detecção é reavaliada com honestidade, e aqui isso levou o item de baixo para alto sem ninguém mexer na Severidade. O método harmonizado que normas de qualidade automotiva como a IATF esperam já pede essa rastreabilidade; a ferramenta só torna a dependência difícil de esconder. O que sobra é uma escolha de projeto. Inclinações de sinal complementares transformariam um deslocamento de terra comum num erro de soma detectável, sem custo de hardware, enquanto retornos separados eliminariam o nó compartilhado ao preço de um pino no conector, e o programa precisa decidir se quer detectar a causa comum ou eliminá-la.
FAQ Técnica: A causa raiz não é do engenheiro de chicote, já que foi a mudança dele que criou o terminal compartilhado?
Não. A mudança foi o gatilho, e foi revisada pelos critérios que existiam. A causa raiz é que a DFMEA embutiu a independência dos canais na nota de Detecção sem declará-la, então nenhuma revisão de mudança tinha como perceber que unir os terras tornava essa nota inválida. A ação corretiva é na análise: transformar a independência num elemento explícito da estrutura, para que qualquer mudança futura que a afete apareça na revisão.
Mais Artigos Técnicos em fmeatool.com
La comprobación cruzada que no veía una masa compartida
El sensor de pedal informó una posición que el conductor nunca había pedido, y los dos canales coincidían. Esa coincidencia explica todo lo que pasó. El diagnóstico comparaba el canal A con el canal B, y una comparación, por cómo está construida, no detecta un fallo que desplaza los dos canales a la vez. La revisión del mazo que unió dos pines de masa fue el disparador, pero la causa raíz está un nivel más arriba: la nota de Detección suponía que los dos canales no podían fallar al mismo tiempo.
Disparador y supuesto no son lo mismo
Conviene dejar escrito primero el disparador, porque ahí es donde todos querrán detenerse. Una revisión de reducción de costes llevó los dos retornos del sensor a un único terminal. Con la vibración, ese terminal sufrió corrosión por fretting, la resistencia de contacto aumentó y la masa local subió con ella, de modo que la salida de cada canal se desplazó exactamente el mismo offset. Nadie fue negligente: la revisión pasó su propio análisis, el terminal estaba dentro de especificación cuando era nuevo y el fretting en contactos estañados es un mecanismo conocido y lento. El supuesto que dejó de cumplirse es de otra naturaleza. El DFMEA original daba a la comprobación de plausibilidad una Detección baja porque trataba los dos canales como independientes, y esa creencia vivía en el análisis, no en el plano del mazo que alguien modificó.
Por qué la ventana de plausibilidad no veía nada
La comprobación admitía 150 mV de discrepancia entre canales antes de marcar fallo, una ventana sensata para la deriva de ganancia y la cuantificación de cada canal por separado. Un desplazamiento de masa en modo común produce una discrepancia nula, así que la ventana nunca se alcanzaba, por grande que fuera el offset. La redundancia solo mantiene el sistema en marcha ante un fallo único cuando el camino de fallo de un elemento no comparte nada con el del otro. En cuanto los dos canales pasan por el mismo terminal, la estructura tiene un único punto de fallo que parece dos canales. El árbol de estructura lo muestra con claridad si el retorno compartido se modela como elemento propio, con su propio modo de fallo, y lo oculta por completo si se diluye en una línea genérica de mazo, que es lo que hizo el análisis original. Eso era razonable mientras las masas estaban separadas y dejó de serlo el día en que se unieron.
La regla que conviene aplicar
No concedas nunca crédito de Detección a una comparación entre dos canales que confluyen en cualquier nodo del árbol de estructura: o modelas ese nodo de forma explícita, con su propia causa, y tratas la comparación como ciega ante él, o puntúas la Detección como si la comparación no existiera.
Los catálogos también arrastran supuestos
Los catálogos reutilizables son el camino por el que este tipo de creencia viaja sin que nadie la vea. La entrada del sensor se copió de un programa validado, y su nota de Detección era correcta para la arquitectura para la que se escribió; la copia se llevó la nota, pero no la condición de la que dependía. En FMEA Tool la cadena de estructura, función y fallo cabe en una sola página, así que quien revisa un control de comprobación cruzada ve, en la misma pantalla, qué elementos alimentan a ambos canales. La Action Priority se recalcula en cuanto la Detección se vuelve a puntuar con honestidad, y aquí eso llevó el elemento de bajo a alto sin tocar la Severidad. El método armonizado que exigen normas de calidad de automoción como IATF ya pide esta trazabilidad; la herramienta solo hace que la dependencia sea difícil de esconder. Lo que queda es una decisión de diseño. Unas pendientes de señal complementarias convertirían un desplazamiento de masa común en un error de suma detectable sin coste de hardware, mientras que unos retornos separados eliminarían el nodo compartido a cambio de un pin más en el conector, y el programa tiene que decidir si quiere detectar la causa común o eliminarla.
Preguntas Frecuentes Técnicas: ¿No es la causa raíz del ingeniero de mazos, si fue su cambio el que creó el terminal compartido?
No. El cambio fue el disparador, y se revisó con los criterios que había. La causa raíz es que el DFMEA incorporó la independencia de los canales a la nota de Detección sin declararla, así que ninguna revisión de cambios podía ver que unir las masas invalidaba esa nota. La acción correctiva está en el análisis: convertir la independencia en un elemento explícito de la estructura, para que cualquier cambio futuro que la afecte aparezca en la revisión.
Más Artículos Técnicos en fmeatool.com
Une vérification croisée aveugle à la masse commune
Le capteur de pédale a signalé une position que le conducteur n'avait jamais demandée, et les deux voies étaient d'accord entre elles. Tout le problème tient dans cet accord. Le diagnostic comparait la voie A à la voie B, et une comparaison, par construction, ne voit pas un défaut qui décale les deux voies ensemble. La révision du faisceau qui a fusionné deux broches de masse a servi de déclencheur, mais la cause racine se situe un niveau plus haut: la note de Détection supposait que les deux voies ne pouvaient pas défaillir en même temps.
Le déclencheur n'est pas l'hypothèse
Il faut d'abord écrire le déclencheur noir sur blanc, parce que c'est là que tout le monde aura envie de s'arrêter. Une révision de réduction de coûts a ramené les deux retours du capteur sur une seule borne. Sous vibration, cette borne a subi de la corrosion de contact par fretting, sa résistance de contact a augmenté et la masse locale est montée avec elle, si bien que la sortie de chaque voie s'est décalée exactement du même offset. Personne n'a été négligent: la révision a passé sa propre revue, la borne respectait sa spécification à l'état neuf, et le fretting sur des contacts étamés est un mécanisme connu et lent. L'hypothèse qui a cessé de tenir est d'une autre nature. L'AMDEC produit d'origine attribuait au contrôle de plausibilité une Détection basse parce qu'elle considérait les deux voies comme indépendantes, et cette conviction vivait dans l'analyse, pas dans le plan de faisceau que quelqu'un a modifié.
Pourquoi la fenêtre de plausibilité ne voyait rien
Le contrôle tolérait 150 mV d'écart entre les voies avant de lever un défaut, une fenêtre raisonnable pour la dérive de gain et la quantification de chaque voie prise isolément. Un décalage de masse en mode commun produit un écart nul, si bien que la fenêtre n'était jamais atteinte, quelle que soit l'ampleur de l'offset. La redondance ne maintient un système en fonctionnement face à une défaillance unique que si le chemin de défaillance d'un élément ne partage rien avec celui de l'autre. Dès que les deux voies passent par la même borne, la structure comporte un point de défaillance unique qui a l'apparence de deux voies. L'arbre de structure le montre clairement si le retour commun est modélisé comme un élément à part entière, avec son propre mode de défaillance, et le cache complètement s'il est noyé dans une ligne générique « faisceau », ce qu'avait fait l'analyse d'origine. C'était raisonnable tant que les masses étaient séparées, et c'est devenu faux le jour où on les a réunies.
La règle à appliquer
N'accordez jamais de crédit de Détection à une comparaison entre deux voies qui se rejoignent en un nœud quelconque de l'arbre de structure: soit vous modélisez ce nœud explicitement, avec sa propre cause, et vous considérez la comparaison comme aveugle à son égard, soit vous cotez la Détection comme si la comparaison n'existait pas.
Les catalogues transportent aussi des hypothèses
Les catalogues réutilisables sont le chemin par lequel ce genre de conviction circule sans être vue. L'entrée du capteur avait été copiée d'un programme validé, et sa note de Détection était juste pour l'architecture pour laquelle elle avait été écrite; la copie a repris la note, mais pas la condition dont elle dépendait. Dans FMEA Tool, la chaîne structure, fonction et défaillance tient sur une seule page, de sorte que la personne qui relit un contrôle croisé voit, dans la même vue, quels éléments alimentent les deux voies. L'Action Priority se recalcule dès que la Détection est recotée honnêtement, et ici cela a fait passer l'élément de bas à haut sans que personne ne touche à la Gravité. La méthode harmonisée qu'attendent les référentiels qualité automobiles comme l'IATF demande déjà cette traçabilité; l'outil rend seulement la dépendance difficile à dissimuler. Reste un arbitrage de conception. Des pentes de signal complémentaires transformeraient un décalage de masse commun en erreur de somme détectable, sans coût matériel, tandis que des retours séparés supprimeraient le nœud commun au prix d'une broche de connecteur, et le programme doit décider s'il veut détecter la cause commune ou l'éliminer.
FAQ Technique: La cause racine n'est-elle pas celle de l'ingénieur faisceau, puisque c'est sa modification qui a créé la borne commune?
Non. La modification a été le déclencheur, et elle a été revue selon les critères qui existaient. La cause racine, c'est que l'AMDEC a intégré l'indépendance des voies dans la note de Détection sans jamais l'énoncer, si bien qu'aucune revue de modification ne pouvait voir que la fusion des masses rendait cette note caduque. L'action corrective porte sur l'analyse: faire de l'indépendance un élément explicite de la structure, pour que toute modification future qui la touche apparaisse en revue.
Plus d'Articles Techniques sur fmeatool.com
Il controllo incrociato che non vedeva una massa in comune
Il sensore del pedale ha segnalato una posizione che il conducente non aveva mai comandato, e i due canali erano d'accordo tra loro. Tutta la vicenda sta in quell'accordo. La diagnosi confrontava il canale A con il canale B, e un confronto, per come è costruito, non vede un guasto che sposta entrambi i canali insieme. La revisione del cablaggio che ha unito due pin di massa è stata l'innesco, ma la causa radice sta un livello più su: il punteggio di Detection presupponeva che i due canali non potessero guastarsi nello stesso momento.
Innesco e ipotesi sono cose diverse
L'innesco va messo per iscritto per primo, perché è lì che tutti vorranno fermarsi. Una revisione di riduzione costi ha portato i due ritorni del sensore su un unico terminale. Con le vibrazioni quel terminale ha sviluppato corrosione da fretting, la resistenza di contatto è salita e la massa locale si è alzata con lei, così l'uscita di ciascun canale si è spostata esattamente dello stesso offset. Nessuno è stato negligente: la revisione ha superato il proprio riesame, il terminale era nei limiti di specifica da nuovo e il fretting sui contatti stagnati è un meccanismo noto e lento. L'ipotesi che ha smesso di valere è di natura diversa. La DFMEA originale assegnava al controllo di plausibilità una Detection bassa perché considerava i due canali indipendenti, e questa convinzione stava nell'analisi, non nel disegno del cablaggio che qualcuno ha modificato.
Perché la finestra di plausibilità era cieca
Il controllo tollerava 150 mV di discordanza tra i canali prima di segnalare il guasto, una finestra sensata per la deriva di guadagno e la quantizzazione di ciascun canale preso da solo. Uno spostamento di massa di modo comune produce discordanza nulla, quindi la finestra non veniva mai raggiunta, per quanto grande diventasse l'offset. La ridondanza mantiene il sistema in funzione davanti a un guasto singolo solo se il percorso di guasto di un elemento non ha nulla in comune con quello dell'altro. Appena i due canali passano per lo stesso terminale, la struttura ha un unico punto di guasto che sembra due canali. L'albero di struttura lo mostra chiaramente se il ritorno condiviso è modellato come elemento a sé, con il proprio modo di guasto, e lo nasconde del tutto se viene annegato in una voce generica di cablaggio, come aveva fatto l'analisi originale. Era una scelta ragionevole finché le masse erano separate, ed è diventata sbagliata il giorno in cui sono state unite.
La regola da applicare
Non dare mai credito di Detection a un confronto tra due canali che si incontrano in un nodo qualsiasi dell'albero di struttura: o modelli quel nodo in modo esplicito, con la sua causa, e consideri il confronto cieco rispetto a esso, oppure valuti la Detection come se il confronto non esistesse.
Anche i cataloghi si portano dietro ipotesi
I cataloghi riutilizzabili sono la strada per cui questo tipo di convinzione viaggia senza che nessuno la veda. La voce del sensore era stata copiata da un programma validato, e il suo punteggio di Detection era corretto per l'architettura per cui era stato scritto; la copia ha preso il punteggio ma non la condizione da cui dipendeva. In FMEA Tool la catena struttura, funzione e guasto sta in una sola pagina, quindi chi riesamina un controllo incrociato vede, nella stessa vista, quali elementi alimentano entrambi i canali. L'Action Priority si ricalcola appena la Detection viene rivalutata onestamente, e qui questo ha portato la voce da bassa ad alta senza che nessuno toccasse la Severità. Il metodo armonizzato richiesto dagli standard di qualità automotive come IATF chiede già questa tracciabilità; lo strumento rende solo difficile nascondere la dipendenza. Resta un compromesso di progetto. Pendenze di segnale complementari trasformerebbero uno spostamento di massa comune in un errore di somma rilevabile senza costi hardware, mentre ritorni separati eliminerebbero il nodo condiviso al prezzo di un pin sul connettore, e il programma deve decidere se vuole rilevare la causa comune o eliminarla.
FAQ Tecnica: La causa radice non è dell'ingegnere del cablaggio, visto che è stata la sua modifica a creare il terminale condiviso?
No. La modifica è stata l'innesco, ed è stata riesaminata con i criteri che esistevano. La causa radice è che la DFMEA ha incorporato l'indipendenza dei canali nel punteggio di Detection senza mai dichiararla, quindi nessun riesame delle modifiche poteva accorgersi che unire le masse rendeva quel punteggio non più valido. L'azione correttiva riguarda l'analisi: fare dell'indipendenza un elemento esplicito della struttura, così che qualsiasi modifica futura che la tocchi emerga nel riesame.
Altri Articoli Tecnici su fmeatool.com
Ein Plausibilitätsvergleich, der die gemeinsame Masse nicht sah
Der Pedalsensor meldete eine Stellung, die der Fahrer nie vorgegeben hatte, und beide Kanäle stimmten darin überein. In dieser Übereinstimmung steckt der ganze Fall. Die Diagnose verglich Kanal A mit Kanal B, und ein Vergleich erkennt konstruktionsbedingt keinen Fehler, der beide Kanäle gleichzeitig verschiebt. Die Kabelbaumänderung, die zwei Massepins zusammenlegte, war der Auslöser, doch die Grundursache liegt eine Ebene höher: Die Entdeckungsbewertung setzte voraus, dass die beiden Kanäle nicht gleichzeitig ausfallen können.
Auslöser ist nicht Annahme
Zuerst gehört der Auslöser aufs Papier, denn genau dort will jeder stehen bleiben. Eine Kostensenkungsrevision führte beide Sensorrückleitungen auf einen einzigen Kontakt. Unter Vibration entwickelte dieser Kontakt Reibkorrosion, der Übergangswiderstand stieg und das lokale Massepotenzial stieg mit, sodass sich das Signal jedes Kanals um genau denselben Offset verschob. Fahrlässig war niemand: Die Revision hatte ihre eigene Prüfung bestanden, der Kontakt lag im Neuzustand innerhalb seiner Spezifikation, und Reibkorrosion an verzinnten Kontakten ist ein bekannter, langsamer Mechanismus. Die Annahme, die nicht mehr galt, ist von anderer Art. Die ursprüngliche DFMEA gab der Plausibilitätsprüfung eine niedrige Entdeckungsbewertung, weil sie die beiden Kanäle als unabhängig behandelte, und diese Überzeugung stand in der Analyse, nicht in der Kabelbaumzeichnung, die jemand geändert hat.
Warum das Plausibilitätsfenster blind war
Die Prüfung ließ 150 mV Abweichung zwischen den Kanälen zu, bevor sie einen Fehler setzte, ein vernünftiges Fenster für Verstärkungsdrift und Quantisierung jedes einzelnen Kanals. Eine Gleichtaktverschiebung der Masse erzeugt keinerlei Abweichung, also wurde das Fenster nie erreicht, egal wie groß der Offset wurde. Redundanz hält ein System bei einem Einzelfehler nur dann am Laufen, wenn der Fehlerpfad des einen Elements nichts mit dem des anderen teilt. Sobald beide Kanäle über denselben Kontakt laufen, hat die Struktur eine einzige Fehlerstelle, die nur wie zwei Kanäle aussieht. Der Strukturbaum zeigt das deutlich, wenn die gemeinsame Rückleitung als eigenes Element mit eigener Fehlerart modelliert wird, und verbirgt es völlig, wenn sie in einer pauschalen Zeile „Kabelbaum“ aufgeht, so wie in der ursprünglichen Analyse. Das war vernünftig, solange die Massen getrennt waren, und wurde an dem Tag falsch, an dem man sie zusammenlegte.
Die anzuwendende Regel
Gib einem Vergleich zwischen zwei Kanälen, die sich an irgendeinem Knoten des Strukturbaums treffen, niemals Entdeckungskredit: Entweder modellierst du diesen Knoten ausdrücklich mit eigener Ursache und behandelst den Vergleich als blind dafür, oder du bewertest die Entdeckung so, als gäbe es den Vergleich nicht.
Auch Kataloge tragen Annahmen weiter
Wiederverwendbare Kataloge sind der Weg, auf dem solche Überzeugungen unbemerkt weiterwandern. Der Sensoreintrag stammte aus einem validierten Projekt, und seine Entdeckungsbewertung war für die Architektur richtig, für die er geschrieben worden war; die Kopie übernahm die Bewertung, aber nicht die Bedingung, von der sie abhing. In FMEA Tool steht die Kette aus Struktur, Funktion und Fehler auf einer Seite, sodass jemand, der eine Vergleichsmaßnahme prüft, in derselben Ansicht sieht, welche Elemente beide Kanäle speisen. Die Action Priority wird neu berechnet, sobald die Entdeckung ehrlich neu bewertet ist, und hier stieg der Eintrag dadurch von niedrig auf hoch, ohne dass jemand die Bedeutung anrührte. Die harmonisierte Methode, die Automobil-Qualitätsnormen wie die IATF erwarten, verlangt diese Rückverfolgbarkeit bereits; das Werkzeug macht die Abhängigkeit nur schwer zu verstecken. Bleibt eine Designabwägung. Gegenläufige Signalkennlinien würden eine gemeinsame Masseverschiebung ohne Hardwarekosten in einen erkennbaren Summenfehler verwandeln, getrennte Rückleitungen würden den gemeinsamen Knoten um den Preis eines Steckerpins beseitigen, und das Projekt muss entscheiden, ob es die gemeinsame Ursache erkennen oder beseitigen will.
Technische FAQ: Liegt die Grundursache nicht beim Kabelbauingenieur, wenn doch seine Änderung den gemeinsamen Kontakt geschaffen hat?
Nein. Die Änderung war der Auslöser und wurde nach den Kriterien geprüft, die es gab. Die Grundursache ist, dass die DFMEA die Unabhängigkeit der Kanäle in die Entdeckungsbewertung eingebaut hat, ohne sie auszusprechen, sodass keine Änderungsprüfung erkennen konnte, dass das Zusammenlegen der Massen diese Bewertung ungültig machte. Die Korrekturmaßnahme gehört in die Analyse: Die Unabhängigkeit wird zu einem ausdrücklichen Strukturelement, damit jede künftige Änderung, die sie berührt, in der Prüfung auffällt.
Weitere Fachartikel auf fmeatool.com
看不见共用地线的交叉校验
踏板传感器报出了一个驾驶员从未踩到的位置，而两个通道的读数完全一致。问题恰恰出在这种一致上。诊断逻辑拿通道 A 去比通道 B，而这种比较从原理上就发现不了让两个通道同步偏移的故障。线束改版把两根地线针脚并成一根，这是触发因素，但根本原因还要往上找一层：探测度评分默认了两个通道不会同时失效。
触发因素不等于设计假设
先把触发因素写清楚，因为大家最容易在这里止步。一次降本改版把传感器的两路回线并到了同一个端子上。在振动作用下，这个端子出现微动腐蚀，接触电阻上升，局部地电位也跟着抬高，于是两个通道的输出抬高了完全相同的偏移量。这里没有谁失职：改版通过了既定评审，端子出厂时完全在规格范围内，镀锡触点的微动腐蚀本身也是已知的缓慢机理。真正失效的那条假设属于另一个层面。原始 DFMEA 把两个通道视为相互独立，因而给合理性校验打了很低的探测度分值；这个判断写在分析里，而不在任何人改过的线束图纸上。
合理性窗口为什么是盲的
该校验允许两通道之间存在 150 mV 的偏差，超过才报故障，这个窗口用来覆盖单一通道的增益漂移和量化误差是合理的。共模的地电位偏移不会产生任何偏差，所以无论偏移多大，窗口都不会被触及。只有当一个元素的失效路径与另一个元素完全不共享任何环节时，冗余才能让系统扛住单点失效。两个通道一旦经过同一个端子，结构里就只剩一个单点失效，只是看上去像两个通道。如果把共用回线建模成一个独立结构元素并赋予它自己的失效模式，结构树会把这一点暴露得清清楚楚；如果像原始分析那样把它归进笼统的“线束”一行，它就会彻底消失。地线分开时这样做无可厚非，地线合并的那天起就错了。
可以直接套用的规则
只要两个通道在结构树的任何节点上交汇，就绝不能因为它们之间的比较给予探测度加分：要么把该节点显式建模并赋予其自身原因，同时认定比较对它无效，要么在评定探测度时当这个比较根本不存在。
目录库也会把假设带着走
可复用的目录库正是这类判断悄无声息地传播的渠道。传感器条目复制自一个已验证的项目，它的探测度分值对原来的架构是正确的；复制过来的只是分值，而不是这个分值所依赖的前提。FMEA Tool 把结构、功能、失效链放在同一页面上，审查交叉校验控制的人在同一视图里就能看到哪些元素同时为两个通道供电或接地。探测度一旦被如实重评，Action Priority 会立即重新计算；在这个案例里，没有人动严重度，条目就从低升到了高。IATF 等汽车质量体系所要求的协调化方法本来就要求这种可追溯性，工具只是让这种依赖关系难以被掩盖。剩下的是一个设计取舍。采用互补斜率的信号，可以在不增加硬件成本的情况下把共同地偏移变成可检测的和值误差；分开回线则能以多占一个连接器针脚为代价彻底消除共用节点。项目必须决定，是要探测这个共因，还是要消除它。
技术常见问题 (FAQ): 共用端子是线束工程师的改动造成的，根本原因难道不该算在他头上吗？
不应该。那次改动是触发因素，而且已经按照当时既有的准则做过评审。根本原因在于 DFMEA 把通道独立性当作隐含前提写进了探测度评分，任何变更评审都无从发现合并地线会让这个评分失效。纠正措施应落在分析本身：把独立性做成结构中的显式元素，今后任何触及它的变更都会在评审中暴露出来。
更多技术文章： fmeatool.com
共通グランドを見抜けなかったクロスチェック
ペダルセンサがドライバーの操作していない位置を出力し、しかも2つのチャネルの値は一致していた。問題の核心はこの一致にある。診断はチャネルAとチャネルBを比較していたが、比較という仕組みそのものが、両チャネルを同時にずらす故障を検出できない。2本のグランドピンを1本にまとめたハーネス改訂がトリガーだったが、根本原因はその一段上にあり、検出度の評価が「2つのチャネルが同時に故障することはない」と前提していた点にある。
トリガーと前提を分けて書く
まずトリガーを書き出しておく。誰もがそこで分析を止めたくなるからだ。コストダウンの改訂で、センサの2本のリターンが1つの端子にまとめられた。振動を受けてその端子にフレッティング腐食が進み、接触抵抗が上がって局所的なグランド電位が持ち上がり、両チャネルの出力がまったく同じオフセット分だけずれた。ここに怠慢はない。改訂は所定のレビューを通っており、端子は新品時に定格内で、錫めっき接点のフレッティングは既知のゆっくり進む現象だからだ。成り立たなくなった前提は、これとは別の層にある。元のDFMEAは2つのチャネルを独立とみなし、そのうえで妥当性チェックに低い検出度を与えていた。その判断は分析の中に書かれていて、誰かが変更したハーネス図面の中にはなかった。
妥当性ウィンドウはなぜ盲目だったのか
チェックはチャネル間で150 mVまでの差を許容し、それを超えたときだけ故障を立てていた。チャネル単体のゲインドリフトや量子化誤差を吸収する幅としては妥当な値だ。だが同相のグランドシフトはチャネル間に差をまったく生まないため、オフセットがどれだけ大きくなってもウィンドウには届かない。冗長化がシングルフォールトに耐えられるのは、一方の要素の故障経路が他方と何も共有していない場合に限られる。両チャネルが同じ端子を通った時点で、構造は見かけ上2チャネルでも、実際には単一故障点を1つ抱えていることになる。共通リターンを固有の故障モードを持つ独立した構造要素としてモデル化すれば構造ツリーにはっきり現れるが、元の分析のように汎用の「ハーネス」1行に埋め込めば完全に消えてしまう。グランドが分かれていた間はそれで問題なく、統合されたその日から誤りになった。
そのまま使える判断ルール
構造ツリーのどこかのノードで合流する2つのチャネル同士の比較には決して検出度の加点を与えず、そのノードを固有の原因とともに明示的にモデル化して比較はそれに対して盲目だと扱うか、比較が存在しないものとして検出度を評価すること。
カタログは前提ごと引き継がれる
再利用カタログは、この種の前提が誰にも気づかれずに広がっていく経路になる。センサの項目は検証済みのプログラムからコピーされたもので、その検出度は元のアーキテクチャに対しては正しかった。コピーで引き継がれたのは評点だけで、評点が依存していた条件は引き継がれなかった。FMEA Toolでは構造、機能、故障の連鎖が1ページに収まっているため、クロスチェックの管理策をレビューする人は、同じ画面でどの要素が両チャネルにつながっているかを確認できる。検出度を正直に付け直した瞬間にAction Priorityが再計算され、今回の事例では誰も影響度に触れないまま、項目が低から高へ上がった。IATFのような自動車品質規格が求める調和化された手法は、もともとこのトレーサビリティを要求している。ツールは依存関係を隠しにくくしているだけだ。残るのは設計上のトレードオフである。相補的な傾きの信号にすれば、ハードウェアコストをかけずに共通グランドシフトを検出可能な和の誤差に変えられる。リターンを分ければコネクタのピンが1本増える代わりに共有ノードそのものをなくせる。プログラムは、共通原因を検出するのか除去するのかを決めなければならない。
技術FAQ: 共有端子を生んだのはハーネス担当者の変更なのだから、根本原因はその人にあるのではないか？
そうではない。その変更はトリガーであり、当時あった基準でレビューされている。根本原因は、DFMEAがチャネルの独立性を明示しないまま検出度の評点に織り込んでいたことにある。そのため、グランドの統合でその評点が無効になることを、どの変更レビューも見抜けなかった。是正処置は分析の側で行う。独立性を構造の明示的な要素にしておけば、今後それに触れる変更はレビューで必ず表に出てくる。
その他の技術記事： fmeatool.com
공용 접지를 보지 못한 교차 검증
페달 센서가 운전자가 밟지도 않은 위치를 보고했고, 두 채널의 값은 서로 일치했다. 문제의 핵심은 바로 이 일치에 있다. 진단 로직은 채널 A와 채널 B를 비교했는데, 비교라는 방식은 구조상 두 채널을 함께 밀어 올리는 고장을 잡아내지 못한다. 접지 핀 두 개를 하나로 합친 하네스 개정이 트리거였지만, 근본 원인은 한 단계 위에 있다. 검출도 평가가 두 채널이 동시에 고장 날 수 없다고 전제하고 있었던 것이다.
트리거와 전제는 다르다
트리거부터 적어 두자. 모두가 거기서 분석을 멈추고 싶어 하기 때문이다. 원가 절감 개정으로 센서의 리턴 두 가닥이 하나의 단자로 합쳐졌다. 진동을 받으면서 그 단자에 프레팅 부식이 생겼고, 접촉 저항이 올라가면서 국부 접지 전위도 함께 올라가 두 채널의 출력이 정확히 같은 오프셋만큼 떠올랐다. 여기에 과실은 없다. 개정은 정해진 검토를 통과했고, 단자는 신품일 때 정격 안에 있었으며, 주석 도금 접점의 프레팅은 이미 알려진 느린 메커니즘이다. 무너진 전제는 이와 성격이 다르다. 원래 DFMEA는 두 채널을 서로 독립된 것으로 보고 타당성 검사에 낮은 검출도를 주었는데, 그 판단은 분석 안에 있었지 누군가 수정한 하네스 도면 안에 있지 않았다.
타당성 윈도가 눈먼 이유
검사는 채널 간 차이를 150 mV까지 허용하고 그 이상일 때만 고장을 띄웠다. 개별 채널의 게인 드리프트와 양자화 오차를 흡수하기에는 합리적인 폭이다. 하지만 공통 모드 접지 이동은 채널 간 차이를 전혀 만들지 않으므로, 오프셋이 아무리 커져도 윈도에 닿지 않는다. 이중화가 단일 고장을 견디게 해 주는 것은 한 요소의 고장 경로가 다른 요소와 아무것도 공유하지 않을 때뿐이다. 두 채널이 같은 단자를 지나는 순간, 구조는 겉보기에 두 채널일 뿐 실제로는 단일 고장점 하나를 품게 된다. 공용 리턴을 고유한 고장 모드를 가진 독립 구조 요소로 모델링하면 구조 트리에 분명히 드러나지만, 원래 분석처럼 일반적인 ‘하네스’ 한 줄에 묻어 버리면 완전히 사라진다. 접지가 분리돼 있던 동안에는 그래도 괜찮았고, 합쳐진 그날부터 틀린 모델이 되었다.
바로 적용할 판단 규칙
구조 트리의 어느 노드에서든 만나는 두 채널 간의 비교에는 절대로 검출도 가점을 주지 말고, 그 노드를 고유 원인과 함께 명시적으로 모델링한 뒤 비교가 그 원인을 보지 못한다고 처리하거나, 비교가 아예 없는 것처럼 검출도를 평가하라.
카탈로그는 전제까지 함께 옮긴다
재사용 카탈로그는 이런 전제가 아무도 모르게 퍼져 나가는 통로다. 센서 항목은 검증된 프로그램에서 복사해 온 것이었고, 그 검출도는 원래 아키텍처에서는 옳았다. 복사로 넘어온 것은 점수뿐이었고, 그 점수가 기대고 있던 조건은 넘어오지 않았다. FMEA Tool은 구조, 기능, 고장 체인을 한 페이지에 보여 주므로, 교차 검증 관리 항목을 검토하는 사람은 같은 화면에서 어떤 요소가 두 채널에 동시에 연결되는지 확인할 수 있다. 검출도를 정직하게 다시 매기는 순간 Action Priority가 재계산되며, 이 사례에서는 아무도 심각도를 건드리지 않았는데도 항목이 낮음에서 높음으로 올라갔다. IATF 같은 자동차 품질 규격이 요구하는 조화된 방법론은 원래 이런 추적성을 요구한다. 도구는 그 의존 관계를 숨기기 어렵게 만들 뿐이다. 남는 것은 설계상의 절충이다. 기울기가 서로 반대인 상보 신호를 쓰면 하드웨어 비용 없이 공통 접지 이동을 검출 가능한 합계 오차로 바꿀 수 있고, 리턴을 분리하면 커넥터 핀 하나를 더 쓰는 대가로 공용 노드 자체를 없앨 수 있다. 프로그램은 공통 원인을 검출할지, 아예 제거할지를 결정해야 한다.
기술 FAQ: 공용 단자를 만든 건 하네스 엔지니어의 변경이니, 근본 원인도 그 사람에게 있는 것 아닌가?
그렇지 않다. 그 변경은 트리거였고, 당시 있던 기준에 따라 검토를 거쳤다. 근본 원인은 DFMEA가 채널 독립성을 밝히지 않은 채 검출도 점수에 녹여 넣었다는 데 있다. 그래서 어떤 변경 검토도 접지를 합치면 그 점수가 무효가 된다는 사실을 알아챌 수 없었다. 시정 조치는 분석 쪽에서 해야 한다. 독립성을 구조의 명시적 요소로 만들어 두면, 앞으로 그것을 건드리는 변경은 검토에서 반드시 드러난다.