【示例】一份功能安全概念(FSC)文档

文档编号：FSC-HWA-001

版本：V0.1

相关项（Item）：HWA（Highway Assist，高速公路辅助驾驶系统）

状态：草稿

日期：2026-08-10

文档信息

第1章：引言与范围

1.1 目的

本文档用于定义 HWA 相关项在概念阶段的功能安全方案，包括：

• 相关项定义；
• HARA 结果汇总；
• Safety Goal 定义；
• 功能安全需求 FSR；
• 初步安全架构概念；
• DFA 要求；
• 验证与确认准则。

本文档作为后续技术安全方案 TSC、系统架构设计、软硬件开发和功能安全验证的输入。

1.2 适用范围

本文档适用于 HWA 相关项，覆盖 HWA 在高速公路或类似封闭道路条件下提供的辅助驾驶功能，包括：

• 纵向控制：自适应巡航 ACC；
• 横向控制：车道居中辅助 LCA；
• 驾驶员监控 DMS；
• 运行设计域 ODD 监测；
• 人机交互 HMI 与接管请求。

本文档不覆盖：

• 完全自动驾驶功能；
• 非高速公路场景下的自动驾驶功能；
• 车辆底盘、制动、转向等执行器的内部安全设计，但其外部安全接口需求由本文档定义。

1.3 参考标准

1.4 术语与缩写

第2章：相关项定义

2.1 Item 描述

HWA 是面向高速公路或类似封闭道路场景的辅助驾驶系统。系统可在驾驶员监控和系统状态正常的前提下，辅助驾驶员完成纵向跟车、车速调节、车道居中和车道保持等功能。

HWA 不替代驾驶员对车辆的控制责任。驾驶员应始终保持对车辆的控制权，并在系统请求时及时接管。

2.2 Item 边界

2.3 运行模式

2.4 运行设计域 ODD

2.5 系统架构概述

HWA 系统高层架构包括：

传感器层
  ├── 前视摄像头
  ├── 角雷达
  ├── 超声波传感器
  └── 定位/地图模块

HWA 核心层
  ├── 感知模块
  ├── 定位与 ODD 监测模块
  ├── 决策规划模块
  ├── 纵向控制模块
  ├── 横向控制模块
  ├── 驾驶员监控模块
  ├── HMI 模块
  └── 安全监控模块

执行接口层
  ├── 转向执行器接口
  ├── 制动执行器接口
  ├── 动力总成接口
  └── 仪表/HMI 接口

第3章：HARA 结果汇总

3.1 功能列表

3.2 危害事件清单

3.3 S/E/C 评估与 ASIL 结果

注：S/E/C 评分为示例值，实际项目应基于 HARA-HWA-001 的评估结果确定。

3.4 危害事件对应关系分析

第4章：Safety Goal 定义

4.1 Safety Goal 列表

4.2 Safety Goal 追溯关系

第5章：功能安全需求 FSR

5.1 纵向安全需求

5.2 横向安全需求

5.3 ODD 与驾驶员监控需求

5.4 安全监控需求

第6章：初步架构概念

6.1 安全架构概述

HWA 采用分层安全监控架构，包括：

功能层
  ├── 感知
  ├── 决策规划
  ├── 纵向控制
  ├── 横向控制
  ├── DMS
  └── HMI

安全监控层
  ├── 传感器合理性监控
  ├── 控制输出合理性监控
  ├── 执行器反馈监控
  ├── ODD 监控
  ├── 驾驶员状态监控
  └── 通信 E2E 监控

安全状态管理层
  ├── 功能降级
  ├── 接管请求
  └── 安全停车

6.2 安全机制分配

6.3 冗余与降级策略

第7章：DFA 要求

7.1 DFA 范围

应对以下模块和接口开展相关失效分析：

• 感知模块；
• 决策规划模块；
• 纵向控制模块；
• 横向控制模块；
• 安全监控模块；
• 传感器接口；
• 执行器接口；
• 通信链路。

7.2 DFA 方法

7.3 共因失效要求

应识别并降低以下共因失效风险：

• 同一电源导致多个模块同时失效；
• 同一通信链路导致多个信号同时错误；
• 同一传感器故障导致感知、决策、控制同时异常；
• 同一软件缺陷导致多个安全功能失效；
• 同一环境干扰导致多个传感器性能下降。

第8章：验证准则

8.1 验证策略

8.2 FSR 验证要求

• 每条 FSR 应可追溯到至少一个 Safety Goal；
• 每条 FSR 应定义验证方法；
• 高 ASIL 等级 FSR 应通过测试和/或分析验证；
• 安全机制应验证其故障检测、故障响应和故障容错能力。

8.3 安全目标确认要求

应通过集成测试、整车测试、仿真测试和场景测试确认以下安全目标：

• SG-HWA-01：纵向非预期加速、制动不足或响应过慢不会导致不可接受风险；
• SG-HWA-02：横向非预期转向或转向卡滞不会导致不可接受风险；
• SG-HWA-03：超出 ODD 时系统不会继续正常控制车辆；
• SG-HWA-04：驾驶员失能或未及时接管时系统能进入安全状态；
• SG-HWA-05：系统异常时能及时、有效地请求驾驶员接管。

附录A 追溯矩阵

附录 B：ASIL 分解记录