2. 功能安全基础
在 BMS（Battery Management System，电池管理系统）的 HARA 与安全目标开发中，ISO 26262 是必须掌握的基础标准。它并不是一套“建议性规范”，而是面向道路车辆电子电气系统的功能安全框架。理解其中的核心术语、ASIL 等级、安全生命周期，以及它们与 BMS 功能安全之间的映射关系，是后续开展危害分析、风险评估和安全目标定义的前提。
一、核心术语：从“危害”到“安全目标”的语义链
ISO 26262 的术语体系具有严格的逻辑递进关系。若术语理解偏差，HARA 的输出就会失真。以下术语是 BMS 功能安全开发中最常使用的：
- 相关项（Item）： 实现车辆功能的系统或系统组合，例如“BMS 电池管理功能”。
- 危害（Hazard）： 可能造成伤害的潜在来源，例如“电池过充导致热失控”。
- 危害事件（Hazardous Event）： 危害与运行场景的组合，例如“车辆行驶中电池过充”。
- 严重度（Severity, S）： 危害事件造成伤害的严重程度，分为 S0～S3。
- 暴露度（Exposure, E）： 运行场景发生的概率，分为 E0～E4。
- 可控性（Controllability, C）： 驾驶员或其他人员控制危害的能力，分为 C0～C3。
- ASIL： 由 S、E、C 组合确定的安全完整性等级，分为 A、B、C、D。
- 安全目标（Safety Goal）： 针对危害事件的顶层安全需求，例如“防止电池过充”。
- 功能安全概念（FSC）： 将安全目标分配到系统架构和功能层面的方案。
- 技术安全需求（TSR）： 从 FSC 细化到硬件、软件和接口层面的可验证需求。
这些术语构成一条清晰的语义链：相关项 → 危害 → 危害事件 → ASIL → 安全目标 → FSC → TSR。在 BMS 中，这条链最终会落到具体的监测、判断和执行动作上，例如电压采集、过充判断、继电器断开和故障上报。
二、ASIL 等级：S、E、C 的组合逻辑
ASIL 是 ISO 26262 中用于衡量安全完整性等级的核心参数。它由严重度 S、暴露度 E 和可控性 C 共同决定。ASIL D 代表最高完整性要求，ASIL A 代表最低。QM（Quality Management）表示仅需质量管理，不要求功能安全开发。
在 BMS 中，不同危害事件的 ASIL 等级差异很大。例如，电池过充可能导致热失控和人员伤害，通常会被评估为 ASIL C 或 ASIL D；而某些仅影响续航估算精度的故障，可能仅为 QM 或 ASIL A。ASIL 等级直接决定了后续开发中的验证方法、诊断覆盖率和硬件失效率目标。
| 危害事件示例 | 典型 S | 典型 E | 典型 C | 典型 ASIL |
|---|---|---|---|---|
| 行驶中电池过充导致热失控 | S3 | E3 | C3 | ASIL D |
| 行驶中电池过放导致动力中断 | S2 | E3 | C2 | ASIL C |
| 充电时温度监测失效 | S2 | E2 | C2 | ASIL B |
| SOC 估算偏差过大 | S1 | E3 | C1 | ASIL A |
| 历史数据记录丢失 | S0 | E2 | C0 | QM |
需要强调的是，ASIL 不是“拍脑袋”决定的，而是通过 HARA 中的 S、E、C 参数查表或使用标准中的组合规则得出。BMS 团队在评估时，必须结合电池化学特性、整车运行场景和驾驶员可控性进行系统分析。
三、安全生命周期：从概念到报废的闭环
ISO 26262 定义了完整的安全生命周期，覆盖概念阶段、开发阶段、生产运行阶段和报废阶段。对于 BMS 而言，安全生命周期不是一次性文档工作，而是贯穿产品全生命周期的工程活动。
在概念阶段，BMS 团队需要完成相关项定义、HARA 和安全目标制定。开发阶段则包括功能安全概念、技术安全需求、硬件和软件开发、集成与验证。生产运行阶段需要确保制造过程不引入安全缺陷，并持续监控现场故障。报废阶段则要关注电池回收和数据处理的安全要求。
BMS 安全生命周期的关键输出：
- 相关项定义文档：明确 BMS 边界、接口和功能。
- HARA 报告：包含危害事件、S/E/C 评估和 ASIL 等级。
- 安全目标：每个危害事件对应一个或多个安全目标。
- 功能安全概念：安全目标到系统功能的分配方案。
- 技术安全需求：可验证、可追溯的硬件和软件需求。
- 安全验证报告：证明安全目标被满足的证据。
四、BMS 功能安全与 ISO 26262 的映射关系
BMS 的核心功能包括电压监测、电流监测、温度监测、SOC/SOH 估算、均衡控制、继电器控制和故障诊断。这些功能在 ISO 26262 框架下，需要被映射到具体的安全目标和技术安全需求。
例如，安全目标“防止电池过充”可以分解为：电压采集通道必须具有足够的诊断覆盖率；过充判断逻辑必须在规定时间内响应；继电器断开路径必须满足 ASIL 等级要求；故障必须能够被记录和上报。这些要求最终会形成 BMS 的硬件安全机制、软件安全机制和系统级安全机制。
五、常见误区与复盘要点
误区一：把 ASIL 等级当成“功能重要性”排序。 ASIL 反映的是危害事件的风险等级，而不是功能本身的价值。某些“重要”功能可能只对应 QM，而某些“不起眼”的监测功能可能对应 ASIL D。
误区二：HARA 只做一次就结束。 当 BMS 的边界、整车运行场景或电池化学体系发生变化时，HARA 必须重新评估。
误区三：安全目标写成技术方案。 安全目标是“防止什么”，而不是“用什么芯片实现”。技术方案应放在 FSC 和 TSR 中。
复盘建议： 在 BMS 功能安全开发中，建议建立“危害事件—安全目标—TSR—测试用例”的双向追溯矩阵。每一层都要有唯一标识，确保任何一条安全需求都能追溯到危害事件，也能追溯到验证证据。这样在后续安全审核和现场问题排查时，才能快速定位影响范围。
总体来看，ISO 26262 为 BMS 功能安全提供了一套从危害识别到安全验证的完整方法论。核心术语是沟通基础，ASIL 等级是风险标尺，安全生命周期是工程框架，而 BMS 的具体功能则是这套框架的落地对象。只有把四者贯通，才能在 HARA 和安全目标开发中做到有理有据、可追溯、可验证。