4、功能安全概念（FSC）：功能安全目标的定义，功能安全概念的设计，安全机制与安全状态

好，我们进入功能安全概念（FSC）这个环节。说实话，这是整个功能安全开发中最「烧脑」但又最核心的一步。你想想看，前面我们做了HARA，拿到了ASIL等级和安全目标（SG）。但安全目标说到底只是一句「不要发生XX危害」的宣言。怎么落地？靠的就是FSC。

我个人习惯把FSC比作「安全系统的骨架」。它告诉你：为了实现安全目标，系统需要做什么？谁来负责检测故障？检测到故障后怎么办？系统要进入什么状态？这些问题，FSC都得回答清楚。

4.1 功能安全目标（SG）的再定义

在HARA阶段，我们定义的安全目标通常是这样的：

SG1：车辆在行驶过程中，应避免非预期的加速，ASIL C。
SG2：车辆在行驶过程中，应避免非预期的制动，ASIL D。

但到了FSC阶段，我们需要把这些目标「翻译」成更具体的技术要求。为什么？因为安全目标是给系统架构师和软件工程师看的，他们需要知道「到底要防什么」。

举个例子：

SG1「避免非预期加速」，在FSC里可以细化成：

• 油门踏板信号丢失时，系统应在100ms内检测到故障
• 检测到故障后，应限制扭矩输出不超过10%
• 故障恢复后，需经过驾驶员确认才能恢复正常模式

你看，这样一细化，工程师就知道该怎么做了。我在项目中遇到过，有些团队直接把HARA里的SG拿去做设计，结果开发到一半发现「这个目标太模糊，没法验证」。嗯，这是个坑，得避开。

4.2 功能安全概念（FSC）的设计

FSC的设计，说白了就是回答三个问题：

1. 谁来检测故障？（检测机制）
2. 检测到故障后怎么办？（响应措施）
3. 系统最终要变成什么样子？（安全状态）

我建议用一张表格来梳理FSC，这样结构清晰，评审时也容易过。下面是我常用的模板：

安全目标	ASIL	故障假设	检测机制	响应措施	安全状态	FTTI
SG1：避免非预期加速	C	油门踏板传感器卡滞	传感器信号合理性检查（双通道比较）	限制扭矩输出至10%，点亮警告灯	跛行回家模式	100ms
SG2：避免非预期制动	D	制动踏板信号丢失	信号超时检测（看门狗）	维持当前制动状态，禁止进一步制动	安全停车	50ms

你可能会问：「FTTI是什么？」FTTI是Fault Tolerant Time Interval，故障容错时间间隔。简单说，就是从故障发生到系统进入安全状态，最多能容忍多长时间。这个时间由危害分析决定，不是拍脑袋定的。

4.3 安全机制与安全状态

安全机制，就是用来检测和响应故障的具体手段。常见的几类：

• 检测类机制：信号范围检查、超时监控、看门狗、CRC校验、双通道比较
• 响应类机制：降级模式、故障抑制、冗余切换、安全停车
• 避免类机制：物理隔离、电气隔离、软件多样性

安全状态，则是系统在检测到故障后要进入的「安全模式」。常见的几种：

安全状态	描述	适用场景
跛行回家	系统以受限功能运行，允许车辆低速行驶到维修点	动力系统、转向系统
安全停车	系统立即停止所有危险功能，车辆安全停下	制动系统、自动驾驶
故障静默	系统停止输出，进入高阻状态，不干扰其他系统	通信总线、传感器
降级模式	关闭部分功能，保留核心安全功能	ADAS、车身控制

这里有个关键点：安全状态不是随便选的。你得考虑：

• 进入安全状态的时间是否满足FTTI？
• 安全状态本身是否安全？（比如「跛行回家」模式下，车辆还能转向吗？制动还有吗？）
• 从安全状态恢复的机制是什么？

4.4 一个完整的FSC示例

我们拿「电子助力转向系统（EPS）」来走一遍流程：

安全目标：避免非预期的转向助力丢失或错误助力，ASIL D。

FSC设计：

1. 故障假设：扭矩传感器信号异常（比如信号跳变到最大值）
2. 检测机制：传感器信号斜率监控（检查信号变化率是否超过物理极限）
3. 响应措施：立即切断助力电机驱动，点亮EPS故障灯
4. 安全状态：机械转向模式（无助力，但驾驶员仍可手动转向）
5. FTTI：200ms（因为驾驶员需要时间反应）

你看，这个设计里，安全状态是「机械转向模式」，而不是「锁死转向」。为什么？因为锁死转向会导致车辆失控，比无助力更危险。

嗯，这里要注意：FSC设计完成后，一定要做「安全验证」。怎么验证？用FMEA（失效模式与影响分析）和FTA（故障树分析）来检查每个安全机制是否有效。我习惯的做法是：先做FTA，找到所有可能导致安全目标失效的故障路径，然后针对每条路径设计安全机制，最后用FMEA来确认覆盖率。

好了，FSC的内容就这些。记住一句话：好的FSC，是让系统在故障发生时「优雅地失败」，而不是「崩溃式地失败」。下一章我们讲技术安全概念（TSC），那是把FSC进一步细化到硬件和软件层面的过程。