在上一篇：汽车功能安全基础（五）——Part3概念开发阶段-CSDN博客，通过组件级别的安全分析（FTA、FMEA）对功能安全开发最初的安全需求，即安全目标（SG）进行细化，得到组件级别的安全需求（FSR）。

为了具体实施怎样做，进一步要将FSR细化为技术层级的安全需求（TSR），为后续软件和硬件的安全开发奠定技术需求基础。

根据ISO 26262，功能安全系统开发阶段可分为以下几部分内容：

• 技术安全需求及概念开发及验证（今天主要聊聊这一部分中TSR和安全机制）

• 系统集成测试及安全确认（软件硬件开发完之后再介绍）

它们在开发过程中并不连续，分别隶属于系统开发V模型的左边和右边，中间穿插了硬件和软件开发。系统阶段技术安全需求（TSR）和概念（TSC）开发和概念阶段功能安全需求（FSR）和功能安全概念（FSC）一脉相承，和概念开发开发紧密衔接。只有硬件和软件开发完成，才能进行系统层面集成测试和需求确认。系统集成这部分我们留在软件和硬件开发之后再介绍。

目录

1、什么是TSR

1.1 定义

​​​​​​1.2 由FSR技术化的安全需求

1.3 安全机制

1.3.1 安全机制属于更深层次的TSR

1.3.2 安全机制是实现相应ASIL等级的关键之一

1.3.3 安全机制多和系统安全架构设计相关，一定程度上决定了系统安全架构

1.4 生产运行服务报废相关要求

2、怎样从FSR到TSR

---

1、什么是TSR

1.1 定义

技术安全需求（Technical Safety Requirement；TSR）是为了满足安全目标（SG）和功能安全需求（FSR），由功能安全需求（FSR）在技术层级衍生出的可实施的安全需求。

TSR = 由FSR技术化的安全需求 + 安全机制 + 生产运行服务报废相关要求

​​​​​​1.2 由FSR技术化的安全需求

由FSR技术化的技术需求包括：

• 定义逻辑功能需求时所涉及的软件组件，硬件组件（传感器，控制单元，执行单元）；
• 组件接口技术信息（如：信号名称，来源等）；
• 传输方式（CAN总线等）；
• 计算周期，软件组件不同平台复用配置需要的标定数据，硬件组件指标要求等。  

1.3 安全机制

定义：安全机制（Safety Mechanism）目的在于探测，显示和控制故障，属于功能安全事后补救措施，是TSR非常重要的组成部分，是实现功能安全，防止安全目标（SG）或者功能安全需求（FSR）违反的重要技术实现手段之一。

• 安全机制应该包含：
• 检测系统性及随机硬件故障的措施（例如：针对系统I/O，总线信号范围检查，冗余校验，有效性检测，逻辑计算单元数据流及程序流监控，控制器硬件底层软件监控等。）
• 显示故障（例如：对驾驶员进行声音，不同类型及颜色的指示灯，提示文字等预警，增加驾驶员对车辆的可控性。）
• 控制故障的措施：（例如，Fail to safe: 将系统在指定的故障容错时间间隔（FTTI）导入安全状态，包括降级，故障仲裁，故障记录等。如果不能，还需要定义紧急运行时间间隔及运行状态。或者Fail to operational，通过并行冗余系统，当一个系统失效后，进入另外一个并行系统继续提供全部或部分功能。）

1.3.1 安全机制属于更深层次的TSR

安全机制是为防止SG或FSR的违反，基于由FSR技术化的安全需求，提出的更深层次的事后补救技术安全措施，由FSR技术化得到的TSR的安全机制，主要是防止系统性故障，或硬件单点故障潜伏提出的技术安全需求。

1.3.2 安全机制是实现相应ASIL等级的关键之一

• 在系统，软件和硬件开发阶段，不同ASIL等级直接决定了应该采取哪些安全措施，以及安全措施的类型（或高级层度）。
• 越高的ASIL等级对应的安全措施，在数量和质量的要求越高（例如：对于ASILB的系统，可能具有单独时间Base的Watchdog可能就够了，但是对ASILD系统而言，可能需要上程序流逻辑监控才能满足）。

1.3.3 安全机制多和系统安全架构设计相关，一定程度上决定了系统安全架构

  例：加速踏板开度信号采集

FSR （例如：加速踏板信息必须正确（不应有非预期产生或消失，不应过大或过小……。等级：ASILD)	由FSR技术化的安全需求（TSR） 注：明确加速踏板技术信息。在实际开发过程中，为实现相应的ASIL等级，控制系统一般进行分层设计，功能安全拥有独立的软件层和硬件层，开发相对独立。	例如：加速踏板传感器类型的选取、加速踏板输出具体信号名称的定义、加速踏板信息采样时间的确定、传输方式类型的确定（AD/CAN）、传输周期确定……
	安全机制 注：更深层次的技术安全需求，保证系统功能安全的关键技术手段。	例如：加速踏板位置传感器冗余、传感器供电冗余、信号校验机制、合理性校验、降级方案，替代相应、容错时间间隔的定义……

1.4 生产运行服务报废相关要求

主要包括车辆使用，法律法规，生产和服务方面相关的安全需求。一般都是以具体技术细节直接进行呈现，所以会直接并入TSR之中。

2、怎样从FSR到TSR

TSR = 由FSR技术化的安全需求 + 安全机制 + 生产运行服务报废相关要求

• 前两部分TSR的导出，和概念阶段介绍的SG到FSR类似，都是通过安全分析（即FTA，FMEA分析方法）完成。以FTA分析为例，主要是将违反的FSR作为顶层分析事件，进行原因分析，细节就不详细阐述了，可以参考上一篇文章汽车功能安全基础（五）——Part3概念开发阶段-CSDN博客。
• 在实际的操作过程中，对于比较简单的FSR，即涉及的组件功能的比较简单，可以依据经验直接导出，对于相对比较复杂的FSR则需要进行完整的安全分析。
• 对于生产运行服务报废相关要求，一般需要根据Item Definition中定义的法律法规及之前项目经验进一步细化，一般情况下，该部分需求可以在不同项目中可以复用。