汽车电子ISO 26262功能安全系列（第12期）：概念阶段全流程复盘——以ACC系统为例

先复习：概念阶段到底包含哪些活动？

根据ISO 26262-3（概念阶段），概念阶段包含三大核心活动：

概念阶段的本质就是：在相对抽象的逻辑功能层面，通过安全分析提出功能安全开发最初的安全需求。

简单说就是三件事：

1. 相关项定义→ “我们要分析什么？”
2. HARA分析→ “它出事了会怎样？风险多大？”
3. 功能安全概念→ “我们要做什么来防止？”

今天我们就把这三件事，用ACC系统完整走一遍。

第一步：相关项定义（Item Definition）

目标：说清楚“我们要分析的是什么系统”，画出它的边界和接口。

ACC系统的相关项定义

相关项名称：自适应巡航控制（ACC）系统

功能描述：ACC系统能够自动调整车速，以保持与前车的安全距离。

系统边界：

关键接口：

约束条件：

• 仅在铺装路面可用
• 能见度≥50m
• 车速范围0-130km/h
• 依赖ESP系统正常工作

这一步的输出是一份《相关项定义说明书》——它是后续所有安全活动的“地基”。

🔍 第二步：HARA分析——危害识别与场景构建

目标：找出ACC系统所有可能的危害事件。

ACC系统的危害识别

根据ISO 26262标准，ACC系统可能存在以下几类危害：

构建危害事件（危害 + 驾驶场景）

以“非预期急刹车”这个危害为例，匹配不同的驾驶场景：

关键洞察：同一个功能异常（非预期急刹车），在不同的驾驶场景下，风险等级天差地别。

第三步：HARA分析——S/E/C评分与ASIL判定

目标：对每个危害事件进行S/E/C评分，确定ASIL等级。

三维评分与ASIL判定

💡注意：如果S、E、C中有一项为0，直接判为QM——不需要功能安全措施。

第四步：输出安全目标（Safety Goal）

目标：针对每个危害事件，制定顶层的安全要求。

安全目标必须遵循SMART原则——具体、可测量、可实现、相关、有时限。

ACC系统的安全目标清单

多个危害事件可以合并为一个安全目标，ASIL等级取最高值。

第五步：功能安全概念（FSC）

目标：从安全目标导出功能安全需求（FSR），并分配至系统架构。

从SG导出FSR

以SG-01（防止非预期急刹车，ASIL-D）为例：

用FTA方法倒推：什么原因会导致“非预期急刹车”？

• 传感器误判（雷达把阴影当成了障碍物）
• 控制器计算错误（安全距离算错了）
• 执行器失控（刹车指令执行过度）
• 通信故障（CAN信号被干扰）

针对每个原因，制定FSR：

定义安全状态和FTTI

概念阶段全流程总览图

把以上五个步骤串起来，就是概念阶段的完整流程图：