先复习概念阶段到底包含哪些活动根据ISO 26262-3概念阶段概念阶段包含三大核心活动概念阶段的本质就是在相对抽象的逻辑功能层面通过安全分析提出功能安全开发最初的安全需求。简单说就是三件事相关项定义→ “我们要分析什么”HARA分析→ “它出事了会怎样风险多大”功能安全概念→ “我们要做什么来防止”今天我们就把这三件事用ACC系统完整走一遍。第一步相关项定义Item Definition目标说清楚“我们要分析的是什么系统”画出它的边界和接口。ACC系统的相关项定义相关项名称自适应巡航控制ACC系统功能描述ACC系统能够自动调整车速以保持与前车的安全距离。系统边界关键接口接口方向接口对象交互内容➡️ 输入前向雷达目标车辆距离、相对速度➡️ 输入前向摄像头车道线、目标车辆识别➡️ 输入ESP系统车身稳定状态、轮速信号➡️ 输入驾驶员按键设定/取消、车速设定⬅️ 输出发动机/制动扭矩请求、制动压力请求⬅️ 输出仪表盘当前状态显示、报警信息约束条件仅在铺装路面可用能见度≥50m车速范围0-130km/h依赖ESP系统正常工作这一步的输出是一份《相关项定义说明书》——它是后续所有安全活动的“地基”。 第二步HARA分析——危害识别与场景构建目标找出ACC系统所有可能的危害事件。ACC系统的危害识别根据ISO 26262标准ACC系统可能存在以下几类危害危害类别具体描述传感器故障雷达或摄像头失效无法正确监测前车距离或速度软件错误系统软件缺陷导致ACC控制逻辑错误车速控制不当过度信任驾驶员过分依赖ACC紧急情况下反应不及时恶劣天气大雨、大雪或浓雾影响传感器性能静止目标识别ACC无法识别静止或缓慢移动的目标弯道性能急弯中无法维持与前车的安全距离构建危害事件危害 驾驶场景以“非预期急刹车”这个危害为例匹配不同的驾驶场景危害事件ID功能异常驾驶场景潜在后果HE-001非预期急刹车高速公路120km/h晴天后车追尾可能致命HE-002非预期急刹车高速公路120km/h雨天后车追尾侧滑HE-003非预期急刹车城市道路30km/h夜间后车轻微追尾HE-004非预期急刹车停车场5km/h基本无伤害关键洞察同一个功能异常非预期急刹车在不同的驾驶场景下风险等级天差地别。第三步HARA分析——S/E/C评分与ASIL判定目标对每个危害事件进行S/E/C评分确定ASIL等级。三维评分与ASIL判定危害事件S严重度E暴露率C可控性ASILHE-001高速晴天急刹车S3致命E4几乎每次C3难以控制DHE-002高速雨天急刹车S3致命E3每月几次C3难以控制CHE-003城市急刹车S2重伤E4几乎每次C2一般可控BHE-004停车场急刹车S0无伤害E2偶尔C1极易控制QM注意如果S、E、C中有一项为0直接判为QM——不需要功能安全措施。第四步输出安全目标Safety Goal目标针对每个危害事件制定顶层的安全要求。安全目标必须遵循SMART原则——具体、可测量、可实现、相关、有时限。ACC系统的安全目标清单危害事件ASIL安全目标HE-001DACC系统应避免在非必要情况下输出超过阈值的减速度请求安全状态为退出ACC并发出声光报警FTTI ≤ 100msHE-002CACC系统在恶劣天气条件下应检测环境状态在不可靠时主动降级或退出HE-003BACC系统在城市低速场景下的减速度请求应限制在安全范围内多个危害事件可以合并为一个安全目标ASIL等级取最高值。第五步功能安全概念FSC目标从安全目标导出功能安全需求FSR并分配至系统架构。从SG导出FSR以SG-01防止非预期急刹车ASIL-D为例用FTA方法倒推什么原因会导致“非预期急刹车”传感器误判雷达把阴影当成了障碍物控制器计算错误安全距离算错了执行器失控刹车指令执行过度通信故障CAN信号被干扰针对每个原因制定FSRID功能安全需求分配给谁ASILFSR-01雷达传感器应能正确检测前方目标距离误差≤±2m雷达模块DFSR-02控制器应正确计算安全跟车距离响应时间300ms域控制器DFSR-03执行器应限制最大减速度不超过X m/s²制动执行器DFSR-04系统应监控CAN通信检测到异常时在50ms内进入安全状态通信模块D定义安全状态和FTTI安全目标安全状态FTTISG-01非预期急刹车退出ACC声光报警恢复手动控制≤ 100msSG-02恶劣天气降级降级为普通定速巡航提示驾驶员≤ 200ms概念阶段全流程总览图把以上五个步骤串起来就是概念阶段的完整流程图