2. 功能安全基础与ISO 26262在ZF线控底盘中的落地

线控底盘把驾驶员的操纵意图从机械连杆中“解耦”出来：转向盘转角不再通过转向柱直接推动车轮，制动踏板也不再通过液压主缸直接建立轮缸压力，而是先被传感器采集为电信号，再由控制器计算目标执行量，最后驱动电机或电磁阀完成动作。这种“感知—决策—执行”的电子化链路带来了布置自由度和控制自由度，同时也把风险从“机械失效”扩展到了“电信号错误、软件逻辑错误、通信丢失、供电异常、执行器误动作”。ISO 26262 正是为道路车辆电气/电子系统提供的一套功能安全方法论，它要回答的核心问题是：当系统发生故障时，如何把对人员的伤害风险控制在可接受的范围内。

安全生命周期：从概念到退役的闭环

ISO 26262 把功能安全工作组织为一条贯穿产品全生命周期的“安全生命周期”。对 ZF 线控底盘这类安全相关系统而言，生命周期并非从写代码开始，而是从整车层面的相关项定义（Item Definition）开始。相关项定义要明确系统的功能边界、与其它系统的接口、运行场景和依赖关系。例如，一个线控转向相关项需要说明：它接收方向盘转角与扭矩信号，输出前轮转角指令，与整车 CAN/FlexRay 通信，依赖 12V 供电，并受整车稳定控制功能协调。

随后进入危害分析与风险评估（HARA），确定 ASIL 等级并导出安全目标；再制定功能安全概念（FSC），把安全目标分配到架构元素上；之后是技术安全概念（TSC）、硬件/软件开发、集成与验证、安全确认，直至量产后的运行、维护与退役。整个过程由安全计划、安全案例和确认措施贯穿，形成可追溯的证据链。对供应商而言，这条链还必须在“整车厂—Tier 1—子供应商”之间做开发接口协议（DIA）划分，明确谁负责哪一段安全活动。

ASIL 等级：用 S、E、C 三个维度定级

ASIL（Automotive Safety Integrity Level）分为 A、B、C、D 四个等级，D 最高，QM 表示仅需常规质量管理。定级由三个参数决定：严重度 S（S0–S3）、暴露率 E（E0–E4）、可控性 C（C0–C3）。三者组合后查表得到 ASIL。以线控转向为例，若在高速公路上发生“非预期转向力矩”，驾驶员可能难以对抗，严重度可判为 S3；高速行驶属于高暴露 E4；普通驾驶员在突然转向力矩下可控性较差，可判为 C3，组合结果通常为 ASIL D。而“转向助力完全丢失但机械备份仍可转向”的场景，严重度和可控性都会下降，可能只到 ASIL B 或 C。

ASIL 等级直接决定开发要求：ASIL D 要求更严格的硬件失效率指标（如单点故障度量 SPFM ≥ 99%、潜伏故障度量 LFM ≥ 90%）、更完整的软件安全机制、更独立的验证确认，以及更高的架构冗余度。ZF 线控底盘通常采用双绕组电机、双控制器、双电源、双通信通道等冗余设计，正是为了在 ASIL D 目标下满足对随机硬件失效和系统性失效的控制要求。

危害分析与风险评估：从整车危害到可执行条目

HARA 的输入是相关项定义和整车运行场景，输出是危害事件、ASIL 等级和安全目标。实际操作中，团队会先识别功能失效模式，例如“线控制动输出制动力低于驾驶员请求”“线控转向输出转角方向与请求相反”“驻车制动非预期释放”。再把每种失效放入具体场景：车速、道路类型、驾驶员操作、交通密度。场景与失效组合成危害事件，然后逐条评估 S/E/C。

以“线控制动制动力不足”为例：城市低速跟车时，S 可能为 S2、E 为 E4、C 为 C2，得到 ASIL B；而在高速紧急制动场景下，S 为 S3、E 为 E4、C 为 C3，可能升到 ASIL D。这说明同一个失效在不同场景下 ASIL 不同，安全目标必须覆盖最严苛的合理场景。HARA 的输出不是一张静态表，而是后续安全目标、功能安全概念和验证用例的源头。

安全目标设定：把风险转化为可验证的声明

安全目标（Safety Goal）是对整车层面安全状态的顶层声明，通常写成“避免非预期的……”“在……故障时保持……”。例如：“避免线控转向系统产生非预期的转向力矩”，ASIL D；“在单点故障发生时，仍应保持可被驾驶员控制的转向能力”，ASIL D。安全目标不描述具体技术方案，而是规定必须达到的安全状态和可接受的风险水平。

安全目标进一步分解为功能安全要求（FSR），再分配到架构元素。例如“避免非预期转向力矩”可分解为：FSR1 控制器应检测转角指令与实际转角偏差；FSR2 当偏差超过阈值时，应在规定时间内切断助力并进入安全状态；FSR3 安全状态应通过仪表向驾驶员告警。每条 FSR 都带有 ASIL 等级、时间约束和验证准则，形成可追溯的需求链。

功能安全概念：从目标到架构的第一次落地

功能安全概念（FSC）是安全目标与具体技术实现之间的桥梁。它要说明：系统由哪些功能组成、每个功能承担什么安全职责、故障时如何进入安全状态、安全状态如何被验证。对线控底盘而言，FSC 通常包含故障检测、故障响应、降级策略和驾驶员交互四类机制。

以线控转向为例，FSC 可以规定：控制器周期性地比较方向盘转角传感器双路信号，若偏差超过 5° 且持续 20 ms，判定为传感器故障；此时切换到单路信号并限制最大助力，同时点亮故障灯；若双路均失效，则进入“安全状态”——切断电机助力，保留机械转向路径，使驾驶员仍能通过机械连接控制车轮。这里的 5°、20 ms 是示例阈值，实际取值需根据传感器精度、采样周期和整车动力学标定。

下面这张图把本节的核心关系组织为一条“危害—定级—目标—概念—验证”的安全论证链，并标出 ZF 线控底盘上对应的典型对象与安全机制。

需要强调的是，FSC 只是概念层，它之后还要经过技术安全概念（TSC）落到具体的传感器、控制器、执行器和通信协议上，再通过硬件 FMEDA、软件安全分析、故障注入测试和整车验证来证明安全目标确实被满足。对 ZF 线控底盘而言，ASIL D 的安全目标往往意味着：关键信号必须冗余采集、关键控制器必须独立监控、关键执行器必须能在故障时进入确定的安全状态，并且整个链路的时间约束必须被逐级验证。只有把 HARA、安全目标、FSR 和验证用例串成一条可追溯的证据链，功能安全才真正从标准条款变成了可交付的工程结果。