一文解读ISO26262安全标准：术语（二）

本文继续补充一些标准中的术语，方便后续文章内容的有效理解。

分支覆盖率 branch coverage

控制流分支覆盖的比率. 100%分支覆盖率意味着100%语句覆盖率，比如，一个if语句一定要有两个分支：条件真和条件假，这样才算100%分支覆盖率。

语句覆盖率 statement coverage

指软件中已执行语句所占的百分比。

标定数据 calibration data

软件编译后将要应用的数据。比如，应用参数（例如，低怠速值，发动机特性图）。

级联失效 cascading failure

同一个item中，一个要素（element）的失效(failure)引起另一个或多个要素的失效。

共因失效 common cause failure,CCF

同一个item中，由一个根本原因引起的两个或者多个要素（element）的失效(failure)。

专用措施 dedicated measure

对违背安全目标(safety goal)的评估中声明的失效率(failure rate，针对硬件要素的失效)进行防护的措施。
比如，对来料进行专门的抽样测试，以降低与违背安全目标有关的失效模式的发生风险。

可探测的故障 detected fault

在规定的时间内，通过设计的安全机制(safety mechanism) 所探测到的故障，该安全机制用以防止故障(fault)变成潜伏故障。
比如，功能安全概念(functional safety concept，FSC)中定义的专门安全机制。

诊断测试时间间隔 diagnostic test interval

指安全机制(safety mechanism)执行在线诊断测试的时间间隔。

现场数据 field data

从相关项(item)或要素(element)的使用过程中获得的数据，包含累加的运行时间、所有的失效(failure)和维护中的异常。
现场数据通常来自于客户。

双点失效 dual-point failure

指由两个独立故障(fault)共同引起的、直接导致违背了安全目标(safety goal)的失效(failure)，引起失效的这两个独立的故障又被称为双点故障(dual-point fault)。
对于直接违背安全目标的双点失效，两个独立故障的发生是必要的，也就是说残余故障(residual fault)和安全故障(safe fault)的组合不是双点失效，因为残余故障可以直接导致违背安全目标，与第二个独立故障是否发生是没有关系的。

单点失效 single-point failure

由单点故障(single-point fault)引起并直接导致违背安全目标(safety goal)的失效(failure)。
单点失效等同于诊断覆盖率(2.25)为0%的要素(2.32)的残余失效（2.42）
比如，为微控制器的看门狗定义了至少一个安全机制，那么，这些被考虑到的故障都不是单点故障。
所以，单点故障不是残余故障。

故障响应时间 fault reaction time

从探测到故障(fault)，到进入安全状态(safe state)的时间间隔。
故障容错时间间隔 = 诊断测试时间 + 故障响应时间 + 安全状态生效时间
故障保护的过程：正常运行 -> 发生故障 -> 故障探测 -> 故障响应 -> 进入安全状态

安全故障 safe fault

不会显著增加违背安全目标(safety goal)概率的故障（fault）。
单点故障（single-point fault）、残余故障（residual fault）和双点故障（dual-point fault）不会是安全故障。
除非在安全概念中显示具有相关性，否则大于2阶的多点故障（multiple-point fault）可被认为是安全故障。

瞬态故障 transient fault