2. HMI控制系统需求分析与功能安全目标
整车HMI需求到ECU功能清单的转化，是TRAVEO汽车HMI控制系统开发中最容易被低估、却最影响后期返工量的环节。整车层面提出的往往是"用户按下方向盘按键后，仪表应在200ms内给出视觉反馈"这类体验性描述，而ECU层面必须落到"哪一路GPIO采样、哪一帧CAN报文、哪一个显示图层、在什么安全状态下允许执行"。本节围绕这条转化链，讲清需求分解、ASIL等级分配、安全目标与安全机制、以及法规与OEM规范的解读方法。
一、从整车HMI需求到ECU功能清单
整车HMI需求通常来自三个源头：整车功能定义（如"驾驶模式切换需在仪表和中控同步显示"）、人机交互规范（如按键响应时间、动画帧率、背光亮度曲线）、以及法规强制项（如胎压报警、安全带提醒的显示要求）。这些需求进入ECU开发前，必须先做一次"功能归属划分"：哪些由仪表ECU承担，哪些由中控主机承担，哪些由车身控制器承担，哪些需要跨ECU协同。
划分完成后，对归属本ECU的每一项需求，逐条展开为可执行的功能清单。功能清单的最小单元应包含：功能名称、触发条件、输入信号及来源、处理逻辑、输出对象、时序约束、异常处理、以及对应的安全等级。以"驾驶模式切换显示"为例，其功能清单条目可写为：
功能名称：驾驶模式切换显示
触发条件：收到CAN ID 0x1A2 的 DriveMode 信号变化
输入信号：CAN 0x1A2.DriveMode（0=Comfort,1=Sport,2=Eco,3=Snow）
处理逻辑：去抖2帧一致后更新显示状态机；切换动画时长300ms
输出对象：仪表显示图层 Layer_Mode、背光颜色通道
时序约束：从信号有效到画面更新 ≤ 200ms
异常处理：连续500ms未收到报文 → 保持当前显示并置位通信超时标志
安全等级：QM（仅信息显示，不参与车辆控制）
这种写法把"体验需求"变成了"可测试、可分配安全等级、可追溯"的工程条目。实际项目中建议用需求管理工具维护"整车需求ID → ECU功能ID → 软件组件 → 测试用例"的双向追溯矩阵，避免后期审核时出现断链。
二、ASIL等级分配
ASIL等级不是给整个ECU打一个标签，而是按"危害事件"逐个分配。ISO 26262的思路是：先识别功能失效可能导致的危害，再评估该危害的严重度S、暴露率E、可控性C，查表得到ASIL A~D或QM。对HMI控制系统而言，绝大多数显示类功能属于QM，但以下几类必须认真评估：
- 报警类显示（如制动系统警告灯）：失效可能导致驾驶员未察觉危险，通常达到ASIL B甚至ASIL C。
- 挡位/车速等关键信息显示：错误显示可能诱导误操作，需评估S和C。
- 与驾驶控制相关的交互（如通过HMI触发驾驶模式变更）：若该模式影响动力输出，安全等级会显著上升。
- 背光与可读性：极端情况下强光下不可读可能影响警告识别，但通常通过E和C评估后仍为QM或ASIL A。
分配时要注意"同一条需求可能拆成不同ASIL"。例如"驾驶模式切换显示"本身是QM，但"驾驶模式切换请求的传输与确认"若参与动力控制，则可能是ASIL B。工程上常用"ASIL分解"（如ASIL D分解为ASIL B(D)+ASIL B(D)）来降低单点实现难度，但分解必须满足独立性要求，不能只是把同一份代码复制两份。
三、安全目标与安全机制
每个ASIL等级对应的功能，都要定义安全目标（Safety Goal）和安全状态（Safe State）。安全目标是"避免什么"，安全状态是"出事后进入什么状态"。例如：
- 安全目标：避免仪表错误显示制动系统警告状态。
- 安全状态：检测到显示链路故障时，点亮固定警告图标并置位故障码，同时通过CAN通知整车。
- 安全机制：显示数据CRC校验、图层刷新看门狗、关键信号双通道比对、故障注入自检。
安全机制要落到具体实现。以TRAVEO的显示链路为例，可用硬件CRC模块对帧缓冲关键区域做周期校验，用独立看门狗监控显示刷新任务，用SMU（安全管理单元）汇聚各模块故障并触发安全状态。安全机制的诊断覆盖率（DC）直接影响ASIL能否达成，因此每条机制都要有对应的故障注入测试用例。
四、法规与OEM规范解读
法规与OEM规范是需求的"硬约束"，解读时要区分三类：强制法规、行业标准、OEM企业规范。强制法规如GB 7258、ECE R121对警告灯的颜色、位置、点亮条件有明确规定，这类要求不可协商，必须逐条落到功能清单并标注法规条款号。行业标准如ISO 15008（车载视觉信息呈现）、ISO 26262（功能安全）提供方法论和评价准则。OEM企业规范则更细，例如某主机厂要求"所有警告类图标在-40℃~85℃下亮度衰减不超过15%"，这类指标必须转化为显示驱动和背光控制的参数约束。
解读OEM规范时，建议建立"条款 → 需求 → 验证方法"的映射表。例如OEM规范条款"上电自检应在1.5s内完成所有警告灯点亮自检"，对应需求"上电自检时序 ≤ 1500ms"，验证方法为"用示波器抓取背光使能信号与自检完成标志，测量时间差"。这样在后期审核时可以直接出示证据链。
完成上述四步后，ECU功能清单、ASIL分配表、安全目标与安全机制、法规条款映射表共同构成HMI控制系统的需求基线。这份基线是后续软件架构设计、安全分析（如FMEA、FTA）和测试用例设计的输入，也是量产审核时追溯的起点。