解读ISO26262功能安全之概念阶段-TSC&FSR

01、摘要

本篇属于汽车功能安全专题系列第十三篇内容，我们主要聊到底什么是技术安全需求(TSR)和技术安全概念(TSC)。

在上一篇文章''MUNIK谈汽车功能安全系列专题分享（十二）功能安全之概念阶段-FSC&FSR''(我是链接)中，我们在概念开发阶段，通过组件层别的安全分析(FTA, FMEA)对功能安全开发最初的安全需求，即安全目标(SG)，进行细化，得到了组件级别的功能安全需求(FSR)和方案(FSC)。

在汽车功能安全领域，技术安全需求（TSR）和技术安全概念(TSC)是确保系统安全的关键概念。它们在系统设计和开发过程中起着至关重要的作用，是实现功能安全目标（SG）和功能安全需求（FSR）的技术基础。接下来，我们将详细探讨这两个概念的内涵、重要性以及它们之间的关系。

图一、TSC和SG、FSC的导出关系

02、从FSR到TSR

2.1、FSR和TSR区别

技术安全需求（TSR）是在功能安全需求（FSR）的基础上，进一步细化为技术层面的具体要求。FSR和TSR区别如下：

表1 FSR和TSR区别

区别	FSR	TSR
产生阶段	概念阶段	产品开发阶段
输入	SG、整车EE架构	FSC、产品系统架构
描述方式	功能定义	技术规范
内容	故障避免、探测、控制、容忍和切换到安全状态的策略	安全相关的技术要求、安全机制
分配	整车架构要素	产品架构要素

TSR是为了满足安全目标SG或FSR，在技术层面派生出的可实施的安全需求。TSR通常包括以下几个方面：

• 由FSR技术化的安全需求：这部分是将FSR中的逻辑功能需求转化为具体的技术参数和要求，例如定义硬件组件的技术指标、软件组件的功能要求等。
• 安全机制：这是TSR中非常重要的组成部分，它包括一系列措施，用于探测、显示和控制故障，以确保系统在出现故障时能够以一种安全的方式响应。
• Stakeholder需求：这部分需求通常与车辆使用、法律法规、生产和服务等方面相关，它们以具体的技术细节呈现，并直接并入TSR中。

2.2 TJP功能安全要求

2.2.1 TJP功能安全要求

TJP（Traffic Jam Pilot）是一种高级驾驶辅助系统（ADAS），旨在在交通拥堵情况下提供辅助驾驶功能。为帮助导出TJP TSR，假设TJP SG和FSR如下：

表2 TJP SG（示例）

SG ID	SG Description	ASIL	Safe State	FTTI
SG01	TJP应避免传感器功能丢失	D	司机警告	TBD

表3 TJP FSR（示例）

No	FSR	ASIL	Safe state	FTTI	Allocation
FSR01	激光雷达需要正确地感知环境目标	QM(D)	司机警告; 车辆刹车停车	3s	激光雷达
FSR02	激光雷达信号需要通过带E2E保护的以太网发送到 TJP ECU	B	司机警告; 车辆刹车停车	3s	激光雷达通信处理

2.2.2 TJP系统架构假设

为便于后面TSC分析，TJP ECU 设计假设如下：包含了主系统和后备系统，采用双SoC设计。主系统目标满足 ASILD，后备系统目标满足 ASILB，其中：

• 主备系统互为冗余系统。
• 雷达作为主备系统的输入，感知规定范围内的前方和侧面环境物体;
• 摄像头作为主备系统的输入，感知规定范围内的前、侧环境物体。
• 激光雷达作为主系统的输入，感知规定范围内的周围环境。
• GNSS 和 IMU 作为后备和主系统的定位输入。
• DMS 作为驾驶员监视器输入到后备和主系统。

2.2.3 TJP物理限制和约束假设假设

• 如果道路上有雪/冰，车辆可能无法完全停车。
• 如果有恶劣天气(影响传感器)，车辆可能无法准确完全停车。
• 如果传感器工作温度超出规定温度范围，车辆可能无法准确探测障碍物距离。
• TJP 系统只能在行驶速度 0~60km/h 时激活
• 任何因驾驶员误用而造成的危险都不包含在功能安全概念中
• 驾驶员接收到 TJP 报警信号后，应接管车辆控制并停车。

2.2.4 TJP系统运行模式假设

• Off Mode
• Standby Mode
• Active Mode

03、什么是TSC

一般来讲，一个完整的TSC应该包含以下主要内容:

• 系统安全架构
• 技术安全需求TSR
• 安全机制（因篇幅限制，在后续文章中讨论，请大家关注）
• 技术安全需求分配到系统架构

3.1系统安全架构

TJP 系统应根据感知单元实现感知环境，识别障碍物，规划路径，并根据 ECU 向车辆总线发送控制信号，TJP系统安全架构假设如下：

图一、TJP系统安全架构设计假设

3.2 FTTI分解

根据 FSR 和系统架构对SG01的 FTTI 进行分解，如图二所示：

图二、TJP SG01 FTTI分解假设

3.3 ASIL分解

在技术安全概念TSC中，通过使用相关的功能和安全机制，相应的ASIL等级也需要进行分解，SG01的ASIL分解示例如下表：

表4 TJP SG01 ASIL分解（示例）

功能	分解	ASIL	备注
感知功能	毫米波雷达	B(D)
激光雷达	B(D)
超声波雷达	B(D)
视觉摄像头	B(D)
激光雷达信号传输	信号传输	QM(D)	传输传感器与 ECU、ECU 与车辆总线之间的信号
信号检测	B(D)	检测信号以传输数据
……

3.4告警和降级概念

• 告警的概念

如果确认可能发生碰撞或检测到其他故障模式，TJP 将通过听觉、视觉或触觉方式向驾驶员发送警告信息。

• 降级的概念

如果确认可能发生碰撞或检测到其他故障模式，TJP 将向车辆发送减速命令，将速度限制为 0。

3.5 驾驶员要求

收到 TJP 故障警告后，由驾驶员接管车辆控制权。

3.6 技术安全要求

根据以上分析，导出SG01的技术安全要求，见表 5。

表5 TJP SG01 TSR（示例）

No	TSR	ASIL	Safe state	FTTI	Allocation
FSR01_TSR01	激光雷达对周围环境物体的感知距离为XXm，精度为XXcm，频率为XXk	QM(D)	NA	3s	Lidar
FSR02_TSR01	激光雷达应通过以太网将信号发送到TJP ECU	QM(D)	驾驶员告警；启用fallback系统	3s	Lidar processing
FSR02_TSR02	激光雷达信号处理应检查激光雷达信号通信的完整性	B(D)	驾驶员告警；启用fallback系统	2s	Lidar processing
……

04、写在最后

理解TSR和安全机制对于汽车功能安全的开发至关重要。它们不仅是实现功能安全目标的技术基础，也是确保系统在面对潜在故障时能够安全响应的关键。通过深入理解这两个概念，我们可以更好地设计和开发出符合功能安全要求的汽车系统。

在后续的内容中，我们将继续探讨功能安全系统阶段开发的其他重要方面，包括系统安全机制、安全分析FMEA、FTA、DFA等内容。希望通过这些内容，能够帮助大家更全面地理解汽车功能安全的开发过程。

最后，你是不是还为功能安全系统阶段开发不知道怎么下手而发愁，请不要犹豫，关注上海秒尼科技术服务有限公司官网，获取更多服务内容~