4. SBW功能安全概念设计

任务定义

针对SBW（Steer-By-Wire）系统，依据ISO 26262完成危害分析与风险评估（HARA），确定各危害事件的ASIL等级，并输出功能安全概念（FSC），包括安全目标（SG）及其对应的功能安全要求（FSR）。本案例聚焦于转向功能丧失与错误转向两类核心危害，不覆盖电源系统内部故障及非转向类辅助功能。

1. 系统边界与危害识别

SBW系统由方向盘模块（含手感模拟电机）、控制器（ECU）、路感传感器、前轮转向执行电机及冗余通信总线构成。方向盘与转向器之间无机械连接，因此任何导致前轮无法按驾驶员意图偏转或产生非预期偏转的故障均构成危害。基于系统边界，识别出两类顶层危害：

• H1：转向功能完全丧失——行驶中前轮失去转向能力，车辆无法响应驾驶员输入。
• H2：非预期转向——无驾驶员输入时前轮自动偏转，或实际转角与指令转角严重偏离。

2. 危害分析与风险评估（HARA）

依据ISO 26262-3，针对典型驾驶场景（高速巡航、城市低速、弯道行驶）进行情境分析，评估严重度（S）、暴露概率（E）、可控性（C），确定ASIL等级。评估结果如下表：

危害	场景	S	E	C	ASIL	安全目标编号
H1	高速（>80km/h）车道保持	S3	E4	C3	ASIL D	SG1
H1	城市低速（<30km/h）转弯	S2	E4	C2	ASIL B	SG1
H2	高速行驶中非预期阶跃偏转	S3	E3	C3	ASIL D	SG2
H2	停车/低速时微小漂移	S1	E3	C1	ASIL A	SG2

综合最严苛场景，确定安全目标及ASIL等级如下：

• SG1（ASIL D）：确保在单点故障或通信中断时，转向系统仍能提供可用的转向助力或受控的降级模式，避免完全丧失转向能力。
• SG2（ASIL D）：防止无驾驶员指令的前轮非预期偏转，确保实际前轮转角与驾驶员指令转角的一致性在安全容差内。

3. 功能安全概念（FSC）设计

基于上述安全目标，将安全要求分配到系统架构元素，形成功能安全要求（FSR）。核心策略为冗余异构与监控-降级机制。

3.1 安全目标SG1的FSR分解

• FSR1.1：转向执行单元采用双独立电机（主电机M1与副电机M2），任一电机失效时，另一电机需在100ms内接管并提供不低于50%的最大助力扭矩。
• FSR1.2：ECU采用双通道锁步架构（Channel A/B），单通道故障时，健康通道需在10ms内完成切换并维持全部转向功能。
• FSR1.3：通信总线采用双路独立CAN（CAN1/CAN2），单路通信中断时，备用链路需在20ms内接管方向盘转角与电机控制报文传输。

3.2 安全目标SG2的FSR分解

• FSR2.1：方向盘转角传感器与电机位置传感器需实时交叉校验，偏差超过阈值（如5°）时，在50ms内触发降级模式并限制最大转向速率。
• FSR2.2：ECU需对驾驶员指令转角进行合理性检查（变化率限制），检测到非预期阶跃信号时，拒绝执行并切换至安全状态。
• FSR2.3：当系统检测到不可恢复的内部故障时，激活机械锁止机构（如电磁离合器），将前轮锁定在当前角度，并点亮故障指示灯。

// 当前案例缺失代码：SBW功能安全概念设计辅助脚本
// 功能：基于ISO 26262进行危害分析与风险评估(HARA)，计算ASIL等级并生成功能安全概念

#include <stdio.h>
#include <string.h>
#include <stdlib.h>

// 危害事件结构体
typedef struct {
    char hazard_id[16];          // 危害编号，如 H01
    char scenario[64];           // 运行场景
    char hazard_desc[128];       // 危害描述
    int severity;                // S0-S3 -> 0-3
    int exposure;                // E0-E4 -> 0-4
    int controllability;         // C0-C3 -> 0-3
    int asil_grade;              // 计算出的ASIL等级 0=QM,1=A,2=B,3=C,4=D
} HazardEvent;

// ASIL等级名称
const char* asil_names[] = {"QM", "ASIL A", "ASIL B", "ASIL C", "ASIL D"};

// 根据S/E/C计算ASIL等级 (ISO 26262-3:2018 Table 1)
int calculate_asil(int severity, int exposure, int controllability) {
    // 参数校验
    if (severity < 0 || severity > 3 || exposure < 0 || exposure > 4 || controllability < 0 || controllability > 3) {
        return -1; // 无效输入
    }
    
    // 如果任何参数为0，则结果为QM
    if (severity == 0 || exposure == 0 || controllability == 0) {
        return 0; // QM
    }
    
    // 基于ISO 26262-3:2018 Table 2的ASIL确定逻辑
    // 简化实现：使用查表法
    // 定义查找表 [severity][exposure][controllability]
    // 实际应用中应使用完整查找表，此处为示例逻辑
    
    // 示例逻辑（简化）：
    // S1 + E1 + C1 -> QM
    // S2 + E2 + C2 -> ASIL B
    // S3 + E3 + C3 -> ASIL D
    
    int score = severity * 10 + exposure * 2 + controllability;
    
    if (score <= 5) return 0;      // QM
    if (score <= 10) return 1;     // ASIL A
    if (score <= 15) return 2;     // ASIL B
    if (score <= 20) return 3;     // ASIL C
    return 4;                       // ASIL D
}

// 生成功能安全目标
void generate_safety_goal(HazardEvent* hazard, char* output, int output_size) {
    snprintf(output, output_size, 
        "SG_%s: 防止因%s导致的%s，在%s场景下，车辆应进入安全状态。",
        hazard->hazard_id, 
        hazard->hazard_desc,
        "危害事件",
        hazard->scenario);
}

// 主函数：SBW系统HARA分析示例
int main() {
    printf("=== SBW系统危害分析与风险评估 (HARA) ===\n\n");
    
    // 定义SBW系统的危害事件列表
    HazardEvent hazards[] = {
        // 危害1：转向功能完全丧失
        {"H01", "高速行驶", "转向功能完全丧失", 3, 3, 3, 0},
        // 危害2：非预期转向
        {"H02", "低速泊车", "非预期转向", 2, 3, 2, 0},
        // 危害3：转向力矩过大
        {"H03", "弯道行驶", "转向力矩过大导致失控", 3, 2, 2, 0},
        // 危害4：转向角度偏差
        {"H04", "直线行驶", "转向角度偏差导致偏离车道", 2, 3, 2, 0},
        // 危害5：系统延迟响应
        {"H05", "紧急避障", "转向响应延迟", 3, 2, 3, 0}
    };
    
    int num_hazards = sizeof(hazards) / sizeof(hazards[0]);
    
    // 计算每个危害的ASIL等级
    for (int i = 0; i < num_hazards; i++) {
        hazards[i].asil_grade = calculate_asil(
            hazards[i].severity, 
            hazards[i].exposure, 
            hazards[i].controllability);
    }
    
    // 输出HARA分析结果
    printf("%-8s %-12s %-20s %-6s %-6s %-6s %-10s\n", 
           "危害ID", "场景", "危害描述", "S", "E", "C", "ASIL");
    printf("--------------------------------------------------------------------\n");
    
    for (int i = 0; i < num_hazards; i++) {
        printf("%-8s %-12s %-20s %-6d %-6d %-6d %-10s\n",
               hazards[i].hazard_id,
               hazards[i].scenario,
               hazards[i].hazard_desc,
               hazards[i].severity,
               hazards[i].exposure,
               hazards[i].controllability,
               asil_names[hazards[i].asil_grade]);
    }
    
    printf("\n=== 功能安全目标 (Safety Goals) ===\n\n");
    
    // 为每个危害生成功能安全目标
    for (int i = 0; i < num_hazards; i++) {
        if (hazards[i].asil_grade > 0) {  // 只对ASIL A-D的危害生成安全目标
            char safety_goal[256];
            generate_safety_goal(&hazards[i], safety_goal, sizeof(safety_goal));
            printf("%s [ASIL %s]\n", safety_goal, asil_names[hazards[i].asil_grade]);
            printf("\n");
        }
    }
    
    printf("\n=== 功能安全概念 (Functional Safety Concept) ===\n\n");
    
    // 基于安全目标生成功能安全概念
    printf("1. 转向功能监控：\n");
    printf("   - 持续监控转向指令与实际转向角度的一致性\n");
    printf("   - 检测到偏差超过阈值时，触发降级模式\n");
    printf("   - ASIL D 要求：双通道冗余架构\n\n");
    
    printf("2. 故障响应策略：\n");
    printf("   - 检测到故障时，在100ms内切换到冗余通道\n");
    printf("   - 若双通道均故障，进入安全停车模式\n");
    printf("   - 驾驶员警告系统激活\n\n");
    
    printf("3. 系统架构要求：\n");
    printf("   - 主/从控制器架构，支持热备份\n");
    printf("   - 独立电源供应\n");
    printf("   - 传感器冗余（角度、力矩、位置）\n\n");
    
    printf("4. 安全机制分配：\n");
    printf("   - 故障检测：自检、互检、合理性检查\n");
    printf("   - 故障响应：降级、关闭、安全状态转换\n");
    printf("   - 故障通知：驾驶员警告、日志记录\n\n");
    
    printf("=== HARA分析完成 ===\n");
    
    return 0;
}

4. 安全机制与ASIL分解验证

SG1（ASIL D）通过冗余架构分解为两个独立要求：FSR1.1（ASIL D）与FSR1.2（ASIL D），两者均需满足ASIL D的随机硬件完整性指标（PMHF < 10^-8/h）。SG2（ASIL D）分解为FSR2.1（ASIL C）与FSR2.2（ASIL C）加FSR2.3（ASIL B），通过充分独立性（不同传感器、不同执行路径）实现ASIL D的分解合规性。

5. 安全状态与降级策略

定义三级降级策略，确保任何故障下车辆可控：

• Level 0（正常）：全功能，双电机协同，全速转向响应。
• Level 1（降级）：单电机或单通信链路故障，切换至冗余通道，限制最大车速至80km/h，转向助力降低30%。
• Level 2（安全停车）：双通道均失效或传感器严重不一致，激活机械锁止，限制车速至20km/h，引导驾驶员靠边停车。

6. 功能安全概念验证方案

为验证上述FSC的正确性，需进行以下测试，判定标准如下：

测试项	注入故障	预期行为	判定标准
SG1-单电机失效	断开M1供电	M2在100ms内接管	转向扭矩输出不低于50%，无失控
SG1-ECU通道故障	注入Channel A内存错误	切换至Channel B	切换时间≤10ms，转向功能连续
SG2-转角偏差	模拟方向盘与电机位置偏差8°	50ms内进入降级模式	转向速率受限，故障灯点亮
SG2-非预期阶跃	注入100°/s的阶跃指令	拒绝执行并锁止	前轮不产生偏转，系统进入Level 2

7. 安全分析工件输出

本案例最终交付物包括：HARA表格（含场景与ASIL等级）、安全目标清单（SG1/SG2）、功能安全要求规格（FSR1.x/FSR2.x）、系统架构安全机制分配图（见下方SVG）。上述工件可直接作为ISO 26262 Part 3（概念阶段）与Part 4（系统级设计）的输入文档。

8. 验证方法与判定标准

本案例的验证通过HARA评审与FSC静态分析完成，不涉及实际代码运行。验证步骤如下：

1. 完整性检查：对照系统边界清单，确认所有识别出的危害均已分配安全目标，无遗漏项。判定标准：HARA表中每个危害行均有对应的SG编号。
2. ASIL合规性检查：核对每个FSR的ASIL等级不低于其来源SG的ASIL等级（或满足分解规则）。判定标准：FSR1.x全部为ASIL D，FSR2.1/2.2为ASIL C，FSR2.3为ASIL B，且分解满足ISO 26262-9的独立性要求。
3. 可追溯性检查：建立SG→FSR→系统架构元素的追溯矩阵，确保每条FSR至少映射到一个具体的硬件/软件组件。判定标准：追溯矩阵无空白项。

上述检查通过后，即可判定本案例的功能安全概念设计满足ISO 26262概念阶段要求，可作为后续系统设计与安全验证的基线。