3. 底盘系统功能安全概念设计

在ISO 26262的概念阶段，安全目标（Safety Goal）、功能安全概念（Functional Safety Concept, FSC）和技术安全概念（Technical Safety Concept, TSC）构成了一条自上而下的分解链。对于底盘域而言，ESP（电子稳定性控制）与EPS（电动助力转向）是两个典型的安全相关系统，它们的安全目标往往涉及整车层面的运动控制，而实现这些目标的功能与技术手段则必须落到具体的子系统、组件乃至信号层面。本节以这两个系统为例，说明安全目标如何逐层分解并分配到具体的功能与技术方案中。

一、安全目标：从危害事件到顶层安全要求

安全目标来源于危害分析与风险评估（HARA）。以ESP为例，一个典型的危害事件是“车辆在高速过弯时因不足转向而失控”。若该危害事件的严重度S3、暴露率E4、可控性C3，则ASIL等级为D。对应的安全目标可表述为：“防止车辆在动态行驶中因失去横向稳定性而发生不可控的偏航运动。”该安全目标不指定具体实现方式，只规定必须避免的整车级危险状态。

EPS的典型危害事件是“转向助力突然丢失或反向助力”，可能导致驾驶员无法按预期控制车辆方向。若其ASIL等级为D，安全目标可表述为：“防止EPS在驾驶员转向请求与助力输出之间出现非预期的力矩偏差或助力丢失。”注意，安全目标始终以整车层面的行为为对象，不涉及具体的传感器或电机。

二、功能安全概念：将安全目标转化为功能架构

功能安全概念回答“系统应该做什么”来满足安全目标。它不涉及具体的硬件或软件实现，而是定义功能层面的安全机制与分配关系。

对于ESP的安全目标“防止不可控偏航”，功能安全概念可分解为以下功能：

• 横摆角速度监测功能：实时获取车辆实际横摆角速度，并与驾驶员期望值比较。
• 制动压力调节功能：当检测到不足转向或过度转向时，对单个车轮施加差异化制动。
• 发动机扭矩请求功能：通过CAN向动力系统请求降低扭矩，以恢复轮胎附着裕度。
• 故障降级功能：当ESP自身故障时，关闭稳定性控制并点亮警告灯，同时确保基础制动仍可用。

这些功能被分配到ESP控制器、轮速传感器、横摆角速度传感器、液压泵与阀体等子系统上。功能安全概念还需要定义功能间的依赖关系，例如横摆角速度信号是制动压力调节功能的输入，若该信号失效，则必须进入降级模式。

对于EPS的安全目标“防止非预期力矩偏差”，功能安全概念可分解为：

• 扭矩传感器信号冗余与比较功能：采用双通道扭矩传感器，实时比较两路信号的一致性。
• 助力扭矩限制功能：根据车速和转向角计算允许的最大助力扭矩，防止反向助力。
• 电机电流监控功能：监测电机三相电流，判断是否与请求扭矩一致。
• 安全状态切换功能：当检测到故障时，在指定时间内将助力扭矩降至零或进入被动转向模式。

功能安全概念阶段需要输出功能安全需求（FSR），每条FSR都应可追溯到安全目标，并带有ASIL等级和验证准则。

三、技术安全概念：将功能安全需求落实到技术方案

技术安全概念回答“系统如何实现这些功能”，涉及具体的传感器、执行器、通信、诊断和冗余设计。以下以ESP和EPS各举一个技术安全概念的实例。

ESP横摆角速度信号的技术安全概念：功能安全概念要求“横摆角速度信号必须可靠”。技术安全概念可采用双芯片横摆角速度传感器，两路信号通过SPI独立传输至ESP控制器。控制器内部对两路信号进行差值比较，若差值超过阈值（例如2°/s）且持续超过20ms，则判定信号失效，进入降级模式。同时，传感器自身需具备自检能力，上电时进行零偏校验，运行中监测内部谐振频率。该技术方案对应的ASIL等级为D，需满足相应的硬件架构指标（如SPFM≥99%）和随机硬件失效目标。

EPS扭矩信号的技术安全概念：功能安全概念要求“扭矩传感器信号冗余且可比较”。技术安全概念可采用双通道扭矩传感器，两路信号独立供电、独立接地，并分别进入EPS控制器的两个独立ADC通道。控制器软件中实现交叉比较，若两路扭矩差值超过0.5Nm且持续超过10ms，则判定为故障，触发安全状态。此外，还需监测扭矩信号的合理性，例如与转向角速度、电机电流的物理关系是否一致。安全状态定义为：在100ms内将助力扭矩线性降至零，同时点亮故障指示灯，并记录DTC。

四、分解与分配中的关键工程实践

在实际工程中，安全目标、功能安全概念和技术安全概念之间的分解与分配需要满足以下要求：

• 可追溯性：每一条技术安全需求都应能追溯到对应的功能安全需求，进而追溯到安全目标。通常使用需求管理工具（如DOORS或Polarion）建立链接。
• ASIL继承与分解：安全目标的ASIL等级在分解过程中可以继承，也可以按照ISO 26262的ASIL分解规则进行拆分。例如，一个ASIL D的安全目标可以分解为两个ASIL B(D)的独立功能，但必须满足独立性要求。
• 接口一致性：ESP与EPS之间可能存在功能交互，例如ESP通过CAN向EPS请求转向干预。此时，接口的安全需求必须明确，包括信号超时、校验和、冗余等。
• 安全状态定义：每个技术安全概念都必须定义明确的安全状态及其进入条件、进入时间和退出条件。安全状态可以是降级运行、关闭功能或进入被动模式。

五、ESP与EPS概念设计的对比

通过上述分解与分配，ESP和EPS的安全目标被逐步转化为可实施、可验证的技术方案。概念设计阶段的质量直接决定了后续系统开发、硬件设计和软件实现能否满足功能安全要求。因此，在项目早期就应建立清晰的安全目标、功能安全概念和技术安全概念，并确保三者之间的追溯性和一致性。