---

1. 引言：为什么 FSC 是连接安全目标与技术实现的桥梁
2. 标准理解：ISO 26262-3 Clause 7 对 FSC 的要求
3. 工程实现方法：如何做好一份功能安全概念
4. 具体案例：动力电池系统 FSC 完整过程
5. 常见陷阱与最佳实践
6. 总结与关键要点

---

1. 引言：为什么 FSC 是连接安全目标与技术实现的桥梁

真实场景：某动力电池项目 HARA 导出了 8 条安全目标，最高 ASIL D。团队直接开始写软件需求，跳过了 FSC 阶段。结果系统评审时发现：ASIL D 的"防止过充"安全目标，只由一个 BMS 软件比较器实现，没有任何冗余或 ASIL 分解——既不满足 ASIL D 的独立性要求，也没定义安全状态和 FTTI 预算。项目被迫回退到概念阶段，补充 FSC 文档后重新进入系统设计。

这个案例说明了一个核心问题：HARA 产出的是"要避免什么危害"（Safety Goal），但怎么避免、用什么架构避免、需要多快反应——这些是 FSC 要回答的问题。

在 ISO 26262 功能安全 V 模型中，功能安全概念（FSC）位于概念阶段最后一个条款（Clause 7），承接 HARA 的安全目标，产出功能安全需求（FSR），是连接概念阶段与系统阶段的关键桥梁。

FSC 回答三个核心问题：

问题	FSC 的回答	对应标准条款
要做什么才能达成安全目标？	导出功能安全需求（FSR）	7.4.2
FSR 分配给谁来实现？	分配到架构要素 + ASIL 分解	7.4.2
怎么验证安全目标达成了？	定义安全验证标准	7.4.3

⚠️ FSC vs TSC 的边界

这是功能安全实践中最容易混淆的边界。FSC（Clause 7, Part 3）描述 WHAT——要实现什么安全功能、安全状态是什么、FTTI 多长；TSC（Part 4）描述 HOW——用什么技术手段实现、具体的传感器/控制器/执行器选型、通信协议。

本文将从三个维度展开：

维度	内容
📖 标准理解	深入解读 ISO 26262-3 Clause 7 的条款要求，理解 FSR 导出、ASIL 分解、时间模型
🔧 工程实现	提供 FSR 编写方法、ASIL 分解策略、降级策略设计、FSC 文档模板
🚗 具体案例	以动力电池系统为例，完整展示从安全目标到 FSR 落地的全过程

---

2. 标准理解：ISO 26262-3 Clause 7 对 FSC 的要求

2.1 FSC 的定义与目标

ISO 26262-1:2018 对 Functional Safety Concept（功能安全概念） 的定义：

ISO 26262-1:2018, 3.67

“specification of the functional safety requirements to achieve the safety goals, and the allocation of the functional safety requirements to the system architectural design”

即：为实现安全目标而规定的功能安全需求，以及将这些需求分配到系统架构设计的规范。

FSC 的核心可以概括为三步：

第 1 步：从安全目标导出功能安全需求（FSR）
         — "要做什么才能达成安全目标？"

第 2 步：将 FSR 分配到架构要素
         — "谁来实现这些需求？是否可以 ASIL 分解？"

第 3 步：定义安全验证标准
         — "怎么证明安全目标达成了？"

2.2 Clause 7 的条款结构

ISO 26262-3:2018 Clause 7 关于 FSC 的条款结构如下：

条款号	标题	核心内容
7.1	Objectives（目标）	从安全目标导出 FSR 并分配到架构，确保安全目标可实现
7.2	General（总体要求）	FSC 基于 HARA 输出，FSR 应与安全目标一一可追溯
7.3	Inputs to this clause（输入）	7.3.1 前置条件：Item Definition + HARA（含安全目标）；7.3.2 辅助信息
7.4	Requirements and recommendations（要求与建议）	FSC 的具体执行要求（详见 2.3 节）
7.5	Work products（工作产品）	FSC 文档、FSR 清单、安全验证标准

2.3 FSC 的核心流程（Clause 7.4）

各步骤的工程含义：

步骤	标准条款	需做什么	产出物
① 确认输入	7.4.1	确认 HARA 输出的安全目标和 ASIL 等级完整	输入检查清单
② 导出 FSR	7.4.2	将每条安全目标分解为具体的 FSR	FSR 清单
③ 分配与分解	7.4.2	将 FSR 分配到架构要素，评估 ASIL 分解机会	FSR 分配表
④ 安全验证标准	7.4.3	定义验证安全目标达成的标准	安全验证标准
⑤ 验证	7.4.4	验证 FSC 的完整性和正确性	FSC 验证报告

2.4 功能安全需求（FSR）的导出

功能安全需求（FSR）是 FSC 的核心产出物。标准对 FSR 的要求：

要求	说明	示例
可追溯性	每条 FSR 可追溯到产生它的安全目标	FSR-01 → SG-01
ASIL 继承	FSR 继承对应安全目标的 ASIL	SG-01 为 ASIL D → FSR-01 为 ASIL D
描述 WHAT 不描述 HOW	FSR 描述要实现什么功能，不描述技术实现	✅ “断开充电继电器” ❌ “通过 PWM 驱动 MOSFET”
安全状态	每条安全目标必须定义安全状态	“断开继电器 + 停止充电”
降级策略	不能直接进入安全状态时，需定义降级路径	“限制充电功率 → 报警 → 断开继电器”

💡 FSR 的粒度

FSR 应该细化到"可以分配给一个架构要素"的粒度。一条安全目标通常对应 2~6 条 FSR。例如"防止过充"可以分解为：FSR-01a 检测过压、FSR-01b 断开继电器、FSR-01c 停止充电通信、FSR-01d 向 VCU 上报故障。

2.5 安全状态与时间模型

安全状态（Safe State）

ISO 26262-1:2018, 3.131

“operating mode of an item without an unreasonable level of risk”——Item 在没有不合理风险下的运行模式。

安全状态是 FSC 中的核心概念。每条安全目标必须定义对应的安全状态：

安全状态类型	说明	示例（电池系统）
直接安全状态	系统直接进入无风险状态	断开继电器，隔离高压
降级安全状态	系统降级运行，风险降低但非完全消除	限制充放电功率，请求驾驶员停车
紧急运行	在 FTTI 内无法到达安全状态时，临时保持最低安全运行	维持基本驱动扭矩到路边停车

时间模型

ISO 26262 定义了一套完整的时间模型，FSC 阶段需要为每条安全目标确定 FTTI：

参数	全称	含义
FTTI	Fault Tolerant Time Interval	从故障发生到安全状态必须达成的总时间预算
FDTI	Fault Detection Time Interval	故障检测时间——从故障发生到被检测到
FRTI	Fault Reaction Time Interval	故障反应时间——从检测到故障到进入安全状态
FHTI	Fault Handling Time Interval	故障处理时间——FDTI + FRTI
EOTTI	Emergency Operation Time Interval	紧急运行时间——在安全状态无法立即到达时

💡 关键公式

FHTI = FDTI + FRTI ≤ FTTI

FTTI 是总预算，FDTI 和 FRTI 是各阶段花费时间。两者之和必须不超过 FTTI，否则安全目标无法达成。

FTTI 示例（电池系统）：

安全目标	FTTI	FDTI（预算）	FRTI（预算）	说明
防止过充	≤ 10s	≤ 5s	≤ 5s	电压检测 + 断开继电器
碰撞后隔离高压	≤ 50ms	≤ 10ms	≤ 40ms	碰撞传感器 + 继电器断开
绝缘失效断开	≤ 1min	≤ 50s	≤ 10s	绝缘检测周期 + 断开
热管理失效	≤ 30s	≤ 10s	≤ 20s	温度检测 + 功率限制

2.6 ASIL 分解

ASIL 分解是 FSC 中最重要的工程决策之一。它允许将高 ASIL 的需求分解为多个低 ASIL 的需求，前提是各通道之间满足独立性要求。

ASIL 分解规则（ISO 26262-9:2018, Clause 5, Table 2）

原始 ASIL	分解方案 1	分解方案 2	分解方案 3
ASIL D	ASIL C(D) + ASIL A(D)	ASIL B(D) + ASIL B(D)	ASIL D(D) + ASIL QM(D)
ASIL C	ASIL B© + ASIL A©	ASIL C© + ASIL QM©	—
ASIL B	ASIL A(B) + ASIL A(B)	ASIL B(B) + ASIL QM(B)	—
ASIL A	ASIL A(A) + ASIL QM(A)	—	—

💡 标注规则

分解后的 ASIL 标注为 X(Y)，其中 X 是该要素的开发 ASIL，Y 是原始安全目标的 ASIL。例如 ASIL B(D) 表示该要素按 ASIL B 要求开发，但它服务于 ASIL D 的安全目标。

独立性要求

ASIL 分解的前提是两条通道之间必须独立——即不存在共因失效（Common Cause Failure）和级联失效（Cascading Failure）。

独立性要求	说明	验证方法
无共因失效	两个通道不因同一个外部事件同时失效	DFA（Dependent Failure Analysis）
无级联失效	一个通道的失效不会导致另一个通道失效	自由干扰分析（Freedom from Interference）
硬件独立性	不同通道使用不同的硬件资源（不同 MCU、不同传感器）	架构审查
软件独立性	不同通道使用不同的软件组件，或通过分区隔离	软件架构分析

⚠️ ASIL 分解不降低安全目标等级

分解后，安全目标仍然是 ASIL D。只是实现该安全目标的各要素按降低后的 ASIL 开发。如果两个通道中有一个失效，另一个仍然能达成安全目标。

---

3. 工程实现方法：如何做好一份功能安全概念

3.1 FSR 导出方法：从安全目标到 FSR

FSR 导出是一个"分解"过程——将一条安全目标分解为多条可实现的功能安全需求。

FSR 导出四步法：

步骤	需回答的问题	产出
① 识别安全功能	需要什么检测/控制/通信功能？	FSR 功能清单
② 定义安全状态	安全状态是什么？如何到达？	安全状态定义
③ 设计降级策略	不能直接到安全状态时怎么降级？	降级路径
④ 确定时间预算	FTTI 是多少？FDTI/FRTI 怎么分配？	时间预算表

FSR 编写模板：

编号	安全目标	FSR 描述	ASIL	安全状态	FTTI	分配要素
FSR-01a	SG-01 防止过充	检测单体电压超过上限阈值	D	断开继电器	10s	BMS-VCU
FSR-01b	SG-01 防止过充	断开充电继电器	D	同上	同上	继电器驱动
FSR-01c	SG-01 防止过充	向 PCS 发送停止充电指令	D	同上	同上	CAN通信

3.2 FSR 分配到架构要素

FSR 导出后，需要将每条 FSR 分配到具体的架构要素：

分配原则：

原则	说明
单一职责	一条 FSR 分配给一个主要架构要素
跨 Item 接口	如果 FSR 需要外部 Item 配合，定义接口需求
ASIL 标注	每条 FSR 标注 ASIL，并评估是否可以分解
不分配到实现细节	FSR 分配到"控制器"级别，不到"MCU 引脚"级别

3.3 ASIL 分解策略

ASIL 分解不是自动的——需要在 FSC 阶段评估可行性和独立性：

评估步骤	需回答的问题	方法
① 识别冗余通道	是否有两个独立的检测/控制路径？	架构分析
② 评估独立性	两个通道是否有共因/级联失效？	DFA 预分析
③ 选择分解方案	D→B(D)+B(D) 还是 D→C(D)+A(D)？	成本 vs 安全性平衡
④ 定义独立措施	如何保证独立性？	硬件隔离/软件分区
⑤ DFA 验证	确认独立性满足要求	DFA 分析报告

分解方案选择决策树：

是否有两个完全独立的硬件通道？
├─ 是 → 两个通道使用不同传感器/不同 MCU
│   ├─ 是否需要最高安全性？→ D → B(D) + B(D)（对称冗余）
│   └─ 可接受非对称？→ D → C(D) + A(D)（主从冗余）
└─ 否 → 只有一个通道
    ├─ 是否有外部独立措施？→ D → D(D) + QM(D)
    └─ 无外部措施 → 不分解，保持 ASIL D

3.4 降级策略与警告策略

标准（7.4.2）要求 FSC 包含降级策略和警告策略：

降级策略层级：

层级	策略	触发条件	驾驶员感知
L0 正常	全功能运行	无故障	无感知
L1 降级	限制性能	非严重故障	仪表黄色警告
L2 严重降级	仅安全功能	严重故障	仪表红色警告 + 声光报警
L3 安全状态	进入安全状态	危险故障	系统停止 + 警告
L4 紧急运行	最低限度运行	安全状态无法立即到达	维持基本功能到安全位置

警告策略：

警告类型	内容	示例
驾驶员警告	仪表显示、声光报警	“电池温度过高，请安全停车”
外部通信	向其他系统通报故障状态	向 VCU 发送"限制驱动扭矩"
诊断记录	UDS 故障码记录	DTC: P0A01 - 电池过压

3.5 FSC 文档模板

1. 概述
   1.1 FSC 目的与范围
   1.2 引用的 Item Definition 和 HARA
   1.3 假设与约束

2. 功能安全需求（FSR）
   2.1 FSR 清单（含追溯关系）
   2.2 每条 FSR 的详细描述
   2.3 安全状态定义
   2.4 FTTI 时间预算
   2.5 降级策略与警告策略

3. FSR 分配
   3.1 架构要素清单
   3.2 FSR-要素分配矩阵
   3.3 跨 Item 接口需求

4. ASIL 分解
   4.1 分解方案清单
   4.2 独立性论证
   4.3 DFA 预分析结论

5. 安全验证标准
   5.1 每条安全目标的验证标准
   5.2 验证场景与判据

6. 验证
   6.1 FSC 完整性检查
   6.2 评审记录

附录 A：FSR 追溯矩阵
附录 B：时间预算表
附录 C：参考文档

---

4. 具体案例：动力电池系统 FSC 完整过程

Item 名称：动力电池系统（Traction Battery System）

本节延续前两篇博客的 Item Definition 和 HARA，对动力电池系统的 8 条安全目标进行 FSC 开发。

4.1 安全目标回顾

从 HARA 导出的 8 条安全目标：

安全目标	描述	ASIL	安全状态（HARA 初步）
SG-01	防止电池过充	D	断开充电继电器
SG-02	防止行驶中非预期断电	C	维持供电/安全停车
SG-03	防止碰撞后高压未隔离	B	断开继电器/放电
SG-04	防止电池过放	B	限制放电功率
SG-05	防止热管理失效导致热失控	D	限制功率/紧急停车
SG-06	防止绝缘失效未检出	D	断开高压/报警
SG-07	防止维护模式意外上电	A	禁止闭合继电器
SG-08	防止 SOC 估算严重偏差	A	降级功率/警告

4.2 FSR 导出

对每条安全目标导出功能安全需求：

SG-01 防止电池过充（ASIL D）

FSR 编号	FSR 描述	ASIL	分配要素
FSR-01a	检测单体电压超过充电截止阈值	D	BMS 电压监测模块
FSR-01b	检测充电电流超过安全限值	D	BMS 电流监测模块
FSR-01c	断开充电继电器，切断充电回路	D	BMS → 继电器驱动
FSR-01d	向 PCS 发送停止充电指令	D	BMS → CAN-FD → PCS
FSR-01e	向 VCU 上报过充故障状态	D	BMS → CAN → VCU
FSR-01f	记录故障诊断码（DTC）	QM	BMS 诊断模块

SG-02 防止行驶中非预期断电（ASIL C）

FSR 编号	FSR 描述	ASIL	分配要素
FSR-02a	检测继电器意外断开（通过电流/电压突变）	C	BMS 电流/电压监测
FSR-02b	维持继电器闭合状态（防止误触发断开）	C	BMS 继电器控制逻辑
FSR-02c	向 VCU 报告供电异常	C	BMS → CAN → VCU
FSR-02d	VCU 执行降级扭矩策略，引导安全停车	C	VCU（外部 Item）

SG-05 防止热管理失效导致热失控（ASIL D）

FSR 编号	FSR 描述	ASIL	分配要素
FSR-05a	检测电池温度超过安全阈值	D	BMS 温度监测模块
FSR-05b	检测温升速率超过预警阈值	D	BMS 温度监测模块
FSR-05c	请求热管理 ECU 启动最大冷却	D	BMS → CAN → 热管理 ECU
FSR-05d	限制充放电功率至安全水平	D	BMS → VCU/PCS
FSR-05e	向驾驶员发送高温警告	D	BMS → HMI
FSR-05f	触发紧急停车请求	D	BMS → VCU

SG-06 防止绝缘失效未检出（ASIL D）

FSR 编号	FSR 描述	ASIL	分配要素
FSR-06a	周期性执行绝缘阻抗检测	D	BMS 绝缘检测模块
FSR-06b	检测绝缘阻抗低于 500 Ω/V 阈值	D	BMS 绝缘检测模块
FSR-06c	断开高压继电器	D	BMS → 继电器驱动
FSR-06d	向驾驶员发送绝缘警告	D	BMS → HMI

其余安全目标（SG-03/04/07/08）的 FSR 按同样方法导出，此处不再逐一展开。

4.3 FSR 汇总与 ASIL 分布

安全目标	ASIL	FSR 数量	最高 ASIL FSR
SG-01 防止过充	D	6	D
SG-02 防止非预期断电	C	4	C
SG-03 碰撞后隔离	B	4	B
SG-04 防止过放	B	3	B
SG-05 热管理失效	D	6	D
SG-06 绝缘失效	D	4	D
SG-07 维护模式上电	A	2	A
SG-08 SOC 偏差	A	3	A
合计		32

4.4 ASIL 分解方案

对 ASIL D 的安全目标（SG-01、SG-05、SG-06），评估 ASIL 分解可行性：

SG-01 防止过充 — ASIL D → B(D) + B(D)

通道	实现内容	ASIL	独立性依据
通道 A	单体电压检测 + 阈值比较 + 断开继电器	B(D)	使用独立 ADC 和独立电压采集链路
通道 B	充电电流监测 + 累积安时计算 + 停止充电通信	B(D)	使用独立分流器和独立 MCU 核心

独立性论证：通道 A 通过电压检测触发继电器断开（硬件路径），通道 B 通过电流监测触发 PCS 停止充电（通信路径）。两条路径使用不同的传感器、不同的 MCU 计算核心、不同的执行通路。DFA 预分析确认无共因失效和级联失效。

SG-05 热管理失效 — ASIL D → B(D) + B(D)

通道	实现内容	ASIL	独立性依据
通道 A	温度检测 + 阈值判断 + 功率限制	B(D)	使用主 NTC 温度传感器链路
通道 B	温升速率检测 + 紧急停车请求	B(D)	使用冗余温度传感器 + 不同采样通道

SG-06 绝缘失效 — 不分解，保持 ASIL D

不分解原因：绝缘检测通常只有一条测量链路，无法构建两个独立通道。保持 ASIL D 开发。

4.5 安全状态与时间预算

安全目标	安全状态	FTTI	FDTI 预算	FRTI 预算	说明
SG-01 过充	断开继电器 + 停止充电	≤ 10s	≤ 5s	≤ 5s	电压采样周期 100ms + 继电器断开 20ms
SG-02 非预期断电	维持供电 → 安全停车	≤ 1s	≤ 100ms	≤ 900ms	电流突变检测 + VCU 降级
SG-03 碰撞隔离	断开继电器 + 主动放电	≤ 50ms	≤ 10ms	≤ 40ms	碰撞信号硬线 + 继电器机械响应
SG-04 过放	限制放电功率	≤ 10s	≤ 5s	≤ 5s	SOC/电压监测 + 功率限制输出
SG-05 热失控	限制功率 + 紧急停车	≤ 30s	≤ 10s	≤ 20s	温度采样 1s + 冷却启动 5s
SG-06 绝缘失效	断开高压 + 报警	≤ 1min	≤ 50s	≤ 10s	绝缘检测周期 10s + 断开 20ms
SG-07 维护上电	禁止闭合继电器	即时	—	—	状态锁逻辑，模式判断后禁止闭合
SG-08 SOC 偏差	降级功率 + 警告	≤ 10min	≤ 5min	≤ 5min	SOC 估算周期 + 功率限制输出

4.6 降级策略

以 SG-05（热管理失效）为例的降级路径：

4.7 安全验证标准

对每条安全目标定义验证标准：

安全目标	验证场景	验证判据	验证方法
SG-01 过充	模拟充电中单体电压超过阈值	继电器在 FTTI 内断开 + PCS 停止充电	HIL 测试 + 整车测试
SG-02 非预期断电	模拟行驶中继电器意外断开	VCU 在 FTTI 内执行降级扭矩	HIL 测试
SG-03 碰撞隔离	模拟碰撞信号触发	继电器在 50ms 内断开 + 母线电压降至安全	碰撞测试 / HIL
SG-05 热失控	模拟温度超过阈值 + 温升速率异常	功率限制在 FTTI 内生效 + 紧急停车请求	HIL + 环境仓测试
SG-06 绝缘失效	模拟绝缘阻抗下降	继电器在 1min 内断开 + 驾驶员警告	HIL 测试

---

5. 常见陷阱与最佳实践

5.1 常见陷阱

陷阱	后果	正确做法
FSR 描述 HOW 而非 WHAT	限制了后续 TSC 和系统设计的自由度	FSR 只描述功能行为，不描述技术实现方案
跳过 FSC 直接写 TSR	缺少从 SG 到 FSR 的追溯链，验证时无法证明安全目标达成	必须先导出 FSR，再在 Part 4 转化为 TSR
ASIL 分解不做独立性论证	分解无效，ASIL 降级不被认可	分解必须配合 DFA 分析证明通道独立
FTTI 随意设定	时间预算不合理，后续硬件无法实现或过度设计	FTTI 基于危害物理过程分析（如热失控传播时间）
安全状态定义模糊	验证时无法判断是否到达安全状态	安全状态必须是可测量的具体状态（如"继电器断开 + 母线电压 < 60V"）
降级策略缺失	系统直接从正常跳到安全状态，驾驶员无预警	定义 L1→L2→L3 逐级降级路径
跨 Item FSR 不定义接口需求	外部 Item 不知道自己承担的 FSR	在 FSC 中明确标注外部 Item 的接口安全需求
所有 ASIL D 都分解	过度分解增加复杂度和成本	仅在有独立冗余通道条件时才分解

5.2 最佳实践

实践	说明
📋 建立追溯矩阵	SG → FSR → 要素分配，每一步可追溯、可审计
🔄 FSC 与系统设计迭代	FSC 不是一次性的。系统设计阶段发现新约束时，应回归更新 FSC
⚖️ ASIL 分解需平衡	分解降低开发严格度但增加架构复杂度和 DFA 工作量，需权衡
⏱️ FTTI 基于物理分析	FTTI 不应凭经验拍脑袋，应基于危害物理过程（如热失控从过温到起火的时间）
👥 多方评审	FSC 应由功能安全工程师、系统架构师、软硬件工程师联合评审
🔗 保持 FSC→TSC 边界清晰	FSC 描述 WHAT，TSC（Part 4）描述 HOW。两者不应混淆

---

6. 总结与关键要点

✅ 核心结论

FSC 是功能安全概念阶段的"施工图纸"——它将 HARA 的安全目标转化为可执行的功能安全需求，分配到架构要素，并定义安全验证标准。FSC 的质量直接决定了后续系统设计、硬件开发和软件实现的方向和严格度。

记住以下几个关键原则：

要点	核心结论
FSC 的定位	概念阶段最后一个条款（Clause 7），输入是 HARA，输出是 FSR + 分配方案
FSC vs TSC 边界	FSC 描述 WHAT（功能安全需求），TSC 描述 HOW（技术实现方案）
FSR 特征	可追溯到安全目标、继承 ASIL、描述功能不描述实现
安全状态	每条安全目标必须定义可测量的安全状态
时间模型	FHTI = FDTI + FRTI ≤ FTTI，FTTI 基于危害物理过程分析
ASIL 分解	D → B(D)+B(D) 等，前提是通道独立性经 DFA 论证
分解不降安全目标	安全目标 ASIL 不变，仅各要素开发 ASIL 降低
降级策略	L0→L1→L2→L3 逐级降级，给驾驶员预警和反应时间
安全验证标准	FSC 阶段定义每条安全目标的验证场景和判据

“如果说 Item Definition 是地基、HARA 是设计荷载，那 FSC 就是结构图纸——它把抽象的安全目标转化为可以施工的安全需求。图纸画错了，后面盖出来的楼就是危楼。”

---

本文基于 ISO 26262-3:2018 Clause 7 和 ISO 26262-9:2018 Clause 5 编写，仅供工程参考。具体项目实施请以标准原文为准。