2、网关功能安全需求分析：HARA分析、安全目标定义、功能安全概念(FSC)导出
好，咱们进入正题。
上一章聊了网关的功能安全基础，说白了就是让大家明白「为什么要做」。这一章，咱们来点真格的——怎么做需求分析。
我个人习惯，做任何功能安全项目，第一步永远是HARA。没有HARA，后面的安全目标、功能安全概念全是空中楼阁。你想想看，连风险都没搞清楚，你怎么定义「安全」？
2.1 HARA分析：别急着写文档，先搞清楚车会怎么坏
HARA，全称Hazard Analysis and Risk Assessment。翻译成人话就是：这破玩意儿要是坏了，会出多大事？
我在项目中遇到过不少新手，上来就对着网关的功能列表一顿猛写，什么「CAN通信丢失」、「路由错误」……嗯，方向对了，但深度不够。
HARA的核心是三个维度：
- Severity (S)：危害的严重程度。S0到S3，S3就是死人级别。
- Exposure (E)：暴露在危险场景下的概率。E0到E4，E4就是天天遇到。
- Controllability (C)：驾驶员能不能控制住局面。C0到C3，C3就是完全失控。
最终的风险等级ASIL，就是由S、E、C组合出来的。QM、ASIL A、B、C、D，D最高。
我曾经犯过一个错——把「网关死机」直接定义为ASIL D。后来仔细一分析，网关死机后，车辆进入跛行模式，车速限制在30km/h，驾驶员完全可控。最后定了个ASIL B。所以，别凭感觉定等级，老老实实做场景分析。
咱们拿网关举个例子。假设网关的「路由转发」功能失效了：
| 危害事件 | S | E | C | ASIL |
|---|---|---|---|---|
| 网关丢失制动信号 | S3 | E4 | C3 | ASIL D |
| 网关丢失转向信号 | S3 | E3 | C2 | ASIL C |
| 网关丢失车窗控制信号 | S0 | E4 | C0 | QM |
看到了吗？同一个功能，不同场景下ASIL等级天差地别。这就是HARA的价值——精准定位风险。
2.2 安全目标定义：把「危险」翻译成「要求」
HARA做完了，你手里有一堆「危险事件」。比如「网关丢失制动信号，导致车辆无法减速」。好，现在我们要把它变成安全目标。
安全目标长什么样？我给大家一个模板：
安全目标编号：SG-01
描述：网关在车辆行驶过程中，必须确保制动相关信号的正确路由转发。
ASIL等级：ASIL D
安全状态：网关检测到故障后，进入安全状态，确保制动信号通过冗余路径传输。说白了，安全目标就是一句话：「别让那个坏事儿发生」。但这句话必须可验证、可测试。
写安全目标时，我习惯问自己三个问题：
- 这个目标能不能被测试？如果不能，说明写得太虚。
- 这个目标有没有明确的安全状态？没有安全状态的目标，等于没写。
- 这个目标的ASIL等级是不是和HARA一致？别自己给自己降级。
再举个例子。网关的「时间同步」功能失效了，会导致什么？
- 危险事件：时间同步丢失，导致ADAS传感器数据时间戳错乱，引发误判。
- 安全目标：网关必须确保时间同步信号的精度在±1ms以内，否则进入安全状态。
- ASIL：B（因为ADAS系统本身有冗余，所以网关这边不用定太高）
嗯，这里要注意：安全目标不是越多越好。我见过有人一个网关写了50个安全目标，最后发现一半都是重复的。精简，再精简。
2.3 功能安全概念(FSC)导出：从「目标」到「方案」
安全目标定义完了，接下来就是功能安全概念。FSC说白了就是：怎么用技术手段实现安全目标？
我个人习惯，FSC分三步走：
- 故障检测机制：怎么发现故障？
- 故障响应机制：发现故障后怎么办？
- 安全状态定义：最终要进入什么状态？
拿网关的「路由转发」功能举例：
| 安全目标 | 故障检测 | 故障响应 | 安全状态 |
|---|---|---|---|
| SG-01：确保制动信号正确路由 | 端到端CRC校验 + 超时监控 | 切换到冗余路径，同时上报故障 | 制动信号通过冗余CAN总线传输 |
| SG-02：确保时间同步精度 | 本地时钟与主时钟偏差监控 | 切换到备用时钟源，降级运行 | 时间同步精度降级到±5ms |
你看，FSC就是把安全目标「翻译」成具体的技术方案。这里有个坑——FSC不能太具体。比如你写「使用硬件看门狗监控MCU」，这就太具体了。你应该写「使用独立的时间监控机制，确保MCU在指定时间内响应」。至于用硬件看门狗还是软件看门狗，那是后面详细设计的事。
FSC阶段不要过早陷入技术细节。我见过一个团队，在FSC阶段就开始讨论用哪款MCU、用哪个GPIO引脚……结果安全目标没对齐，后面返工了三次。记住：FSC是概念设计，不是详细设计。
最后，FSC的输出要包含什么？我列个清单：
- 每个安全目标对应的功能安全概念
- 故障检测和响应机制的描述
- 安全状态的定义
- 功能安全概念的ASIL等级分配
- 与其他系统的交互接口（比如网关和ECU之间的安全通信协议）
嗯，这一章内容不少。HARA、安全目标、FSC，这三步走下来，网关的功能安全需求基本就清晰了。下一章，咱们聊聊怎么把这些需求「落地」到具体的技术方案中。
记住一句话：没有分析过的需求，就是耍流氓。