3、底盘控制器功能安全需求：底盘域控制器（如ESC、EPS、ABS）的功能安全相关项定义、危害分析与风险评估（HARA）
底盘域控制器是车辆动态控制的核心执行单元，ESC（电子稳定控制）、EPS（电动助力转向）、ABS（防抱死制动系统）直接作用于制动、转向和驱动扭矩分配，其失效行为可能直接导致车辆失稳、制动距离延长或转向失控。在ISO 26262框架下，功能安全工作的起点并非编写安全需求，而是先完成相关项定义（Item Definition）和危害分析与风险评估（HARA）。只有准确识别出车辆级危害、合理评估出ASIL等级并制定安全目标，后续的功能安全需求、系统架构设计和验证活动才有依据。本章围绕底盘域控制器的相关项定义、危害识别、场景分析、ASIL等级确定及安全目标制定展开，并结合ESC系统的完整案例进行拆解。
3.1 相关项定义：明确分析边界与系统上下文
3.1.1 核心原理：相关项定义是HARA的输入前提
相关项定义（Item Definition）是ISO 26262第3部分的正式活动，其目的是在整车层面明确所分析系统的功能边界、外部接口、依赖关系、运行模式及已知约束。对于底盘域控制器而言，相关项不是单一的ECU硬件，而是包含传感器（轮速、横摆角速度、转向角、制动压力）、执行器（电磁阀、电机、液压泵）、控制器（ESC/EPS/ABS的ECU）以及通信链路（CAN/CAN FD/FlexRay）在内的完整功能系统。相关项定义的质量直接决定HARA的覆盖度——如果边界划错，后续所有危害分析都会出现遗漏或冗余。
3.1.2 判断方法与操作流程
相关项定义应遵循以下操作流程：
- 收集整车级信息：包括整车质量、轴距、轮距、质心高度、轮胎规格、制动系统类型（液压/线控）、转向系统类型（C-EPS/R-EPS）、最高车速、驱动形式等。
- 明确功能清单：列出相关项在正常运行和降级模式下提供的全部功能，例如ESC的横摆稳定控制、ABS的滑移率控制、EPS的助力与回正功能。
- 定义系统边界：用接口图或表格描述相关项与外部系统（动力总成、悬架、ADAS、仪表、诊断仪）之间的信号交互。
- 识别运行模式与使用场景：包括驾驶模式（运动/经济/越野）、装载状态（空载/满载）、路面类型（干燥/湿滑/冰雪）、环境温度范围等。
- 记录已知约束与假设：例如法规要求（GB 21670、ECE R13H）、OEM平台复用策略、供应商技术方案限制等。
3.1.3 案例拆解：ESC相关项定义示例
以某B级SUV的ESC系统为例，相关项定义的关键参数如下表所示：
| 参数类别 | 具体内容 | 说明 |
|---|---|---|
| 整车质量 | 整备质量1850kg，最大总质量2350kg | 影响制动距离和稳定性控制边界 |
| 制动系统 | 液压制动，前通风盘/后实心盘，ESC模块集成ABS/TCS/VDC | ESC液压单元为关键执行器 |
| 转向系统 | C-EPS，齿条力范围0~12kN，最大转向角±540° | EPS与ESC存在扭矩干预接口 |
| 传感器 | 四轮轮速（磁电式）、横摆角速度（±100°/s）、横向加速度（±2g）、转向角（±720°） | 传感器失效模式需在HARA中覆盖 |
| 通信 | CAN FD 500kbps，与VCU/ADAS/仪表交互 | 通信中断或延迟影响功能安全 |
| 运行模式 | 正常驾驶、冰雪模式、越野模式、拖车模式 | 不同模式下ESC介入阈值不同 |
该定义明确了ESC相关项的物理边界和逻辑边界，为后续危害识别提供了基础。例如，由于明确了“最大总质量2350kg”，在分析制动失效危害时，必须考虑满载工况下的制动距离增加对严重度（S）评级的影响。
3.2 危害识别：从功能失效到车辆级危害
3.2.1 核心原理：危害是车辆级行为，而非部件失效
危害识别（Hazard Identification）的核心原则是：危害必须描述为车辆级别的、可感知的、可能导致人员伤害的事件。例如，“ESC ECU内部存储器损坏”是部件失效模式，不是危害；而“车辆在高速变道时发生不可控的过度转向”才是危害。危害识别需要将功能失效（如制动压力调节异常）转化为具体的车辆运动行为（如单侧车轮抱死导致车辆甩尾）。
3.2.2 判断方法与操作流程
危害识别通常采用结构化头脑风暴结合功能失效分析（FMEA）的方法：
- 步骤1：功能分解——将相关项功能分解为子功能，例如ESC可分为“轮速采集”“横摆角速度估算”“目标滑移率计算”“液压压力调节”“故障诊断”等。
- 步骤2：失效模式假设——对每个子功能假设失效模式：丧失（功能完全不工作）、误触发（在不需要时介入）、降级（性能下降）、振荡（输出不稳定）、延迟（响应时间超限）。
- 步骤3：车辆级影响推导——将失效模式映射到车辆运动状态变化，例如“液压压力调节异常”可能导致“单轮制动压力持续增加”进而“车辆向一侧偏驶”。
- 步骤4：危害清单编制——将车辆级影响归纳为危害事件，每个危害事件应包含“危害描述+运行场景+潜在后果”。
3.2.3 案例拆解：ESC危害识别表
下表展示了ESC系统部分危害识别结果：
| 编号 | 功能失效模式 | 车辆级危害 | 潜在后果 |
|---|---|---|---|
| HZ-01 | ESC误触发制动干预 | 车辆在干燥路面直线行驶时，单侧车轮突然制动 | 车辆突然偏驶，驾驶员可能失去控制 |
| HZ-02 | ESC丧失横摆稳定控制 | 车辆在湿滑路面转弯时无法抑制过度转向 | 车辆甩尾、旋转，可能驶入对向车道 |
| HZ-03 | ABS在紧急制动时压力调节失效 | 车轮抱死，制动距离显著增加 | 无法在预期距离内停车，碰撞风险 |
| HZ-04 | EPS助力突然丧失 | 转向力矩急剧增大，驾驶员难以转动方向盘 | 无法完成避障操作，可能偏离车道 |
| HZ-05 | EPS误施加反向扭矩 | 车辆在高速行驶时方向盘自动向一侧偏转 | 车辆偏离行驶轨迹，驾驶员纠正困难 |
3.3 场景分析与ASIL等级确定
3.3.1 核心原理：ASIL是场景依赖的量化结果
ASIL（Automotive Safety Integrity Level）等级由三个参数决定：严重度（Severity, S）、暴露率（Exposure, E）和可控性（Controllability, C）。ASIL等级从A到D逐级递增，QM（Quality Management）表示无需特殊安全措施。对于底盘控制器，由于直接涉及车辆纵向和横向运动控制，ASIL等级通常较高（B~D）。
3.3.2 判断方法与操作流程
ASIL等级确定遵循以下流程：
- 场景定义：针对每个危害事件，定义典型的运行场景，包括道路类型（高速/城市/乡村）、车速范围、交通密度、路面附着系数、环境条件（白天/夜间/雨雪）。
- 严重度S评级：评估危害发生时对乘员、其他交通参与者（如行人、骑行者）的伤害程度。S0=无伤害，S1=轻伤，S2=重伤（可能危及生命），S3=致命或危及多人生命。
- 暴露率E评级：评估车辆在危害场景中的运行时间占比。E0=几乎不可能，E1=极低（<1%），E2=低（1%~10%），E3=中等（10%~50%），E4=高（>50%）。
- 可控性C评级：评估驾驶员或其他交通参与者能否通过合理反应避免伤害。C0=完全可控，C1=简单可控（>99%的驾驶员可应对），C2=一般可控（90%~99%），C3=难以控制（<90%）。
- 查表确定ASIL：根据ISO 26262-3:2018表4的ASIL分级矩阵，由S、E、C组合确定ASIL等级。
3.3.3 案例拆解：ESC误触发危害的ASIL评级
以HZ-01（ESC误触发制动干预）为例，进行ASIL评级：
| 评级维度 | 分析过程 | 评级结果 |
|---|---|---|
| 场景定义 | 高速公路，车速120km/h，干燥路面，交通流量中等，驾驶员正常巡航 | — |
| 严重度S | 单侧车轮突然制动导致车辆突然偏驶，可能撞击护栏或相邻车辆，乘员可能受重伤 | S2 |
| 暴露率E | 车辆在高速公路上以120km/h巡航的时间占整车运行时间的15% | E3 |
| 可控性C | 即使经验丰富的驾驶员也难以在120km/h下应对突然的单侧制动，多数驾驶员会过度纠正导致更严重失稳 | C3 |
| ASIL等级 | 查表：S2+E3+C3 → ASIL C | ASIL C |
值得注意的是，如果场景改为“城市道路，车速50km/h”，严重度可能降为S1，可控性升为C2，ASIL等级可能降为B。这说明同一危害在不同场景下ASIL等级可能不同，工程实践中应取所有合理场景中的最高ASIL等级作为该危害的最终等级。
3.4 安全目标制定与HIL验证衔接
3.4.1 核心原理：安全目标是HARA的输出，也是HIL测试的输入
安全目标（Safety Goal, SG）是针对每个危害事件制定的顶层安全要求，形式为“避免……发生”，并分配ASIL等级。安全目标不涉及具体技术实现，而是描述“要防止什么”。例如，针对HZ-01的安全目标为“避免ESC在非预期工况下触发单侧制动干预”，ASIL C。安全目标还包含安全状态（如“车辆进入跛行模式，ESC功能禁用，驾驶员通过仪表获得警告”）和故障容错时间间隔（FTTI）（如“从故障发生到进入安全状态的时间不超过100ms”）。
3.4.2 判断方法与操作流程
安全目标制定流程如下：
- 步骤1：为每个危害事件定义安全目标——使用“避免+危害描述”的句式，确保安全目标与危害一一对应。
- 步骤2：分配ASIL等级——安全目标的ASIL等级继承自对应危害的最高ASIL等级。
- 步骤3：定义安全状态——明确系统在检测到故障后应进入的状态，以及如何向驾驶员提示。
- 步骤4：定义FTTI——根据危害的动力学特性确定故障检测和响应的最大允许时间。
- 步骤5：导出功能安全需求（FSR）——将安全目标细化为可验证的功能安全需求，例如“ESC控制器应在50ms内检测到轮速传感器信号丢失，并进入安全状态”。
3.4.3 案例拆解：从安全目标到HIL测试用例
以HZ-02（ESC丧失横摆稳定控制）为例，安全目标SG-02为“避免车辆在低附着路面转弯时丧失横摆稳定控制”，ASIL D。由此导出的FSR包括：
- FSR-02-01：ESC控制器应持续监测横摆角速度传感器信号，信号丢失或超出物理范围（±100°/s）时，应在20ms内检测并进入安全状态。
- FSR-02-02：当ESC检测到车辆即将发生过度转向时，应在50ms内对前外轮施加制动压力，压力上升速率不低于50bar/s。
- FSR-02-03：ESC与EPS的协同干预请求应在10ms内通过CAN FD发送至EPS控制器。
在HIL验证阶段，这些FSR直接转化为测试用例：
// HIL测试用例示例：FSR-02-01验证
Test Case ID: TC_HIL_ESC_002
目的: 验证横摆角速度传感器信号丢失后的故障响应时间
前置条件: 车辆模型为B级SUV，路面附着系数0.3，车速80km/h
操作步骤:
1. 在HIL中注入横摆角速度传感器信号丢失故障
2. 记录从故障注入到ESC进入安全状态的时间戳
3. 检查ESC是否发送故障码及仪表警告
通过标准: 故障响应时间 ≤ 20ms，安全状态正确，警告信息正确
3.5 常见误区与总结复盘
3.5.1 常见误区
| 误区描述 | 后果 | 正确做法 |
|---|---|---|
| 将部件失效模式直接作为危害 | HARA结果无法指导整车级安全设计 | 始终从车辆运动行为角度描述危害 |
| 场景分析过于单一（只考虑高速工况） | 低估或高估ASIL等级 | 覆盖城市、高速、乡村、停车场、低附着等典型场景 |
| 忽略多控制器协同失效 | 遗漏跨系统危害（如ESC+EPS协同异常） | 在相关项定义中明确跨控制器交互功能 |
| 安全目标与HIL测试脱节 | 安全目标无法验证，覆盖率不足 | 从安全目标直接推导FSR，再转化为HIL测试用例 |
| FTTI设定不合理（过长或过短） | 过短导致无法实现，过长导致安全风险 | 基于车辆动力学仿真和实车数据确定FTTI |
3.5.2 总结复盘
本章围绕底盘域控制器的功能安全需求，系统讲解了相关项定义、危害分析与风险评估（HARA）的完整方法论。核心要点可归纳为：
- 相关项定义是HARA的基石，必须明确系统边界、功能清单、接口和运行场景，否则后续分析将失去依据。
- 危害识别必须从车辆级行为出发，将功能失效转化为可感知的车辆运动异常，并覆盖丧失、误触发、降级、振荡、延迟五类失效模式。
- ASIL等级是场景依赖的量化结果，需综合评估严重度（S）、暴露率（E）和可控性（C），并取所有合理场景中的最高等级。
- 安全目标是连接HARA与HIL验证的桥梁，通过FSR细化后，可直接转化为HIL测试用例，实现从需求到验证的闭环。
在实际项目中，HARA分析通常需要跨职能团队（系统、软件、硬件、整车集成、安全）共同参与，并借助HIL平台进行场景复现和指标量化。建议在项目早期就建立HARA分析工具链（如medini analyze、APIS IQ），并与HIL测试环境打通，实现需求变更的快速追溯和验证回归。