3. 功能安全概念(FSC)：安全目标定义、功能安全概念开发、安全状态定义、故障容错时间间隔(FTTI)、安全机制初步分配
好，咱们进入功能安全概念阶段。说实话，这是整个转向系统安全设计的灵魂所在。很多工程师觉得写文档麻烦，但我个人认为，FSC阶段想得越透，后面踩的坑就越少。
3.1 安全目标定义——从危害到目标的转化
安全目标怎么来？说白了，就是从上一章我们做的HARA分析结果里提炼出来的。每个危害事件，都要对应一个安全目标。
我举个例子。转向系统最常见的危害——非预期转向。你想想看，高速上方向盘自己转了10度，车就偏了。这可不是闹着玩的。
安全目标定义有几个关键要素：
- ASIL等级：直接从HARA继承，比如非预期转向通常是ASIL D
- 安全目标描述：要具体，不能含糊。比如"防止EPS产生非预期的助力扭矩"
- FTTI要求：故障发生后，系统必须在多长时间内进入安全状态
- 安全状态：故障后系统应该变成什么样
我踩过的坑：曾经有个项目，安全目标写得太笼统——"确保转向系统安全"。结果评审时被安全专家怼得体无完肤。后来我学乖了，每个安全目标都要明确：什么故障、什么场景、什么后果、什么等级。
这里给出一份典型的安全目标示例：
| 安全目标编号 | 描述 | ASIL | FTTI | 安全状态 |
|---|---|---|---|---|
| SG-01 | 防止EPS产生非预期的助力扭矩 | ASIL D | ≤100ms | 切断助力，进入机械转向 |
| SG-02 | 防止转向角度传感器信号丢失导致功能异常 | ASIL C | ≤200ms | 降级模式，使用冗余传感器 |
| SG-03 | 防止电机过温导致助力失效 | ASIL B | ≤500ms | 限制助力，逐步降级 |
3.2 功能安全概念开发——把目标变成可执行的设计
安全目标定好了，接下来就是功能安全概念（FSC）。这一步是把"要做什么"变成"怎么做"。
我个人习惯把FSC分成三个层次：
- 系统级安全概念：整体架构怎么保证安全？冗余？监控？降级？
- 子系统级安全概念：ECU、电机、传感器各自承担什么安全职责
- 组件级安全概念：具体到每个芯片、每个电路怎么实现安全机制
嗯，这里要注意。FSC不是一蹴而就的。我建议先画一个功能安全架构图，把安全相关的功能模块都标出来。
我的经验：FSC阶段一定要拉上系统工程师、硬件工程师、软件工程师一起讨论。别自己闷头写文档。有一次我闭门造车写了个FSC，结果硬件说实现不了，软件说时序不满足...后来改成每周一次安全设计评审，效率高多了。
3.3 安全状态定义——故障后系统该何去何从
安全状态，就是系统出故障后，要进入的一个"安全"的状态。转向系统的安全状态通常有几种：
- 完全关闭助力：变成纯机械转向，方向盘很重但还能控制
- 降级助力：限制助力大小，比如只提供30%的助力
- 维持当前状态：有些故障下，保持现状比切换状态更安全
你可能会问：为什么不是所有故障都直接切断助力？
我遇到过这种情况：高速上如果突然切断助力，驾驶员会吓一跳，反而可能引发事故。所以安全状态的选择，要结合具体场景。
重要提醒：安全状态不是越"安全"越好。要权衡功能可用性和安全性。比如ASIL D的系统，安全状态可能是"关闭助力"，但ASIL B的系统，可能"降级助力"就足够了。
3.4 故障容错时间间隔(FTTI)——和时间赛跑
FTTI，说白了就是"从故障发生到系统进入安全状态，最多能等多长时间"。这个时间窗口很关键。
FTTI包含几个部分：
| 阶段 | 描述 | 典型时间 |
|---|---|---|
| 故障发生 | 硬件或软件出现异常 | 0ms |
| 故障检测 | 安全机制发现故障 | 10-50ms |
| 故障响应 | 系统做出反应（如切断助力） | 10-30ms |
| 进入安全状态 | 系统稳定在安全状态 | ≤FTTI |
我做过一个项目，FTTI要求100ms。结果故障检测用了60ms，响应用了50ms，加起来110ms，超了！后来优化了检测算法，把检测时间压到30ms，才勉强达标。
避坑指南：FTTI分配时，一定要留余量。别卡着极限值设计。我曾经因为FTTI分配太紧，导致后续测试怎么都过不了，最后不得不改安全机制。
3.5 安全机制初步分配——谁来做安全保镖
安全机制，就是用来检测故障、响应故障的那些"保镖"。初步分配阶段，我们要决定每个安全目标由哪些安全机制来保障。
常见的转向系统安全机制：
- 监控机制：看门狗、电压监控、电流监控、温度监控
- 诊断机制：传感器自检、通信校验、内存校验
- 冗余机制：双传感器、双通道、双MCU
- 降级机制：限功率、限扭矩、限速度
举个例子，对于"防止非预期助力"这个安全目标，我通常会分配：
- 扭矩传感器信号合理性检查（检测故障）
- 电机电流监控（检测故障）
- 看门狗定时器（检测MCU故障）
- 助力切断继电器（响应故障）
我的习惯：安全机制分配时，我会画一个矩阵表。左边是安全目标，上面是安全机制，交叉点打勾表示"这个机制覆盖这个目标"。这样一眼就能看出有没有遗漏。
3.6 知识体系总览
下面这张图，把FSC阶段的核心逻辑串起来了。从安全目标出发，到安全概念、安全状态、FTTI，再到安全机制，环环相扣。
好了，FSC阶段的内容就这些。记住一句话：安全目标要精准，安全概念要落地，安全状态要合理，FTTI要留余量，安全机制要覆盖。这五点做到了，转向系统的功能安全设计就成功了一半。
公众号:蓝海资料掘金营，微信deep3321