FSAR 深度 — Functional Safety Assessment Report + I3 评审

FSAR 不复制文档,而是逐类指向并评判 safety case 里的证据(§6.4.12「引用而非搬运」)。下图把这 11 类证据 + assessment 的渐进评审一次说清:

FSAR 评判的 11 类证据各自对应 ISO 26262 某个 Part 的输出:

1. 项目范围 + Item 定义 — Part 3 §5
2. Safety Goals — Part 3 §6 (HARA 输出)
3. FSC + TSC + HSI — Part 3 §7 + Part 4 §6
4. Hardware 安全分析 — Part 5 (FMEDA + FTA + PMHF)
5. Software 安全分析 — Part 6 (单元 + 集成 + Coverage)
6. Tool Qualification — Part 8 §11
7. DIA + 供应链证据 — Part 8 §5 + Part 10
8. V&V 报告 — Part 4 §8 + Part 5 §10 + Part 6 §9
9. DFA 6 项独立性 — Part 9 §7
10. Confirmation I0/I1/I2/I3 — Part 2 §6.4.9 Table 1(CR §6.4.10 · audit §6.4.11 · assessment §6.4.12)
11. 残余风险评估 + 批准签字 — Part 2 §6.4.13 (Release for production;残余风险论证可作为 §6.4.12 功能安全评估的一部分)

FSAR 第一段把项目边界精确化:

• Item 名称:e.g., "EV main inverter PEU-XYZ"
• Item Boundary:对外接口 (CAN-FD × 2 / 24V power / 800V HV / 3-phase output)
• Operating modes:Standby / Charge / Discharge / Fault
• Item ASIL:ASIL D
• Item Owner:Tier-1 主驱厂(责任主体)

关键:Item 边界外的责任在 OEM,FSAR 内只评 Item 内部安全。

每个 SG 必含 5 项:

链接到 topic-hara-worked-example-deep。

Safety Goal 拆解链:

• FSC (Functional Safety Concept) — 抽象方法 (Part 3 §7)
• TSC (Technical Safety Concept) — 具体技术 (Part 4 §6)
• HSI (Hardware-Software Interface) — HW/SW 接口契约 (Part 4 §6.4.7)

FSAR 必引用 TSC / HSI 文档 ID + 评审记录。

HW 分析 3 件:

SW 分析 4 件:

Tool Qualification 的核心证据:

• 所有 ASIL D 项目用工具的 TQL / TÜV cert
• 见 topic-tool-qualification-deep

DIA 跨组织接口:

• OEM ↔ Tier-1 ↔ Tier-2 责任边界
• SEooC 情况下供应商证据
• 见 topic-tsc-dia

V&V 报告完整链:

• 单元测试 (Polyspace)
• 集成测试 (HIL)
• HIL Fault Injection
• 车辆级测试

DFA 6 项独立性:

• 在 ASIL D = B(D) + B(D) 分解场景
• 见 topic-asil-decomposition-deep

ISO 只要求 assessment「渐进执行(progressively performed)、release for production 前收尾」(§6.4.12.3),并不规定 milestone 名。实务里 OEM 按各自产品开发流程(PDP)把这条渐进曲线切成 gate,常见 4 个 milestone(M0-M3,命名随 OEM 变);每个 gate 出一份阶段 assessment 报告,M3 收口出最终 FSAR:

ISO 26262 Part 2 §6.4.9 Table 1 的独立性是记号,不是「做完 I0 再做 I1」的阶梯:实际 5 档记号("—" 无要求无建议 / I0 / I1 / I2 / I3),按 confirmation measure × ASIL 逐格选取,非 1:1 对应 ASIL 行。"—" 表示该 measure 对该 ASIL 无要求也无建议(不是「禁止」),不进下表:

ASIL D 关键 work product 的 confirmation review 与 functional safety assessment 需 I3 独立性(独立于 department,可由公司内独立部门承担)。第三方 assessor(TÜV Süd / TÜV Rheinland / SGS / DEKRA / Lloyd's Register)是 OEM/行业商业惯例,而非 ISO 26262 对 I3 的定义 —— 标准只要求 department 级独立,内部独立部门即可满足 I3。

别把「ASIL D = 全部 I3」当口诀。 把 Table 1 的 11 项 confirmation measure 套到 ASIL D 项目:9 项要求 I3(impact analysis / HARA 两行的 CR 甚至在 QM 也 I3;加 safety plan / FSC / TSC / safety analyses+DFA / safety case 的 CR + audit + assessment),只有 2 项在 D 仅需 I2——integration & test strategy CR 与 safety validation specification CR(BU 内跨 team、不同 direct superior 即可,不必出部门)。此 9×I3 + 2×I2 口径与 Confirmation Measures 深度 第 6-7 节的 Table 1 原文一致。

assessment 拒签或挂 Major = 项目延期 6-12 个月;最常踩的不是技术算错,而是证据链 / 独立性 / 条款理解三类。7 个反复出现的坑:

三个边界工况,都是 FSAR 结构表和 milestone 表本身读不出、要靠 §6.4.12 细则的:

Corner 1 — 分布式开发:supplier 也要出自己的 FSAR。 FSA 在 customer 与 supplier 两侧都做(§6.4.12.7 NOTE 8):supplier 的 assessment 判「是否满足客户安全需求 + element 贡献」,按 DIA 约定的 milestone / 形式交报告;OEM 侧 assessment 必须考虑 supplier 的 FSAR(§6.4.12.8 d),整车集成后的功能安全 judgement 归 OEM。Tier-1 不能以「OEM 会做总 assessment」为由跳过自己那份。

Corner 2 — 组织太小,内部凑不出 I3。 I3 要管理 / 资源 / 发布权限三重独立于创建部门——初创只有一个工程部时内部无人满足,事实上只能外聘独立机构。这是「I3 在小组织收敛成第三方」的机制:变的是能满足定义的组织选项,不是 ISO 把第三方写进 I3 定义。

Corner 3 — item 变更后 FSAR 不自动继续有效。 assessment 完成后 item 再改(SOP 后 OTA / 硬件改版),受影响的 confirmation 与 assessment 要重做或补充(§6.4.9.1 NOTE 6,变更管理走 Part 8 §8.4.5.2);ASIL decomposition 只放松 TSC 那一行 CR 的独立性取值(Table 1 注),audit / assessment 仍按「安全需求最高 ASIL」走,分解救不了 I3。

实战 FSAR 写作技巧:

• 早期启动模板 — 项目 M0 阶段就启动 FSAR 模板填空
• 持续更新 — 不要等 M3 才开始写,每月增量(§6.4.12.3 的「渐进执行」就是这个意思)
• 引用而非复制 — FSAR 是 evidence pointer,指向 safety case,不是文档 copy
• 图表为主 — 评审员爱看框图 / 时序图 / FTA 图 + 每个 SG 的证据闭合表,不爱看大段 prose

中国市场做 ASIL D functional safety assessment(满足 I3)的机构 6 家:

• TÜV Süd 中国 — 主驱 / BMS 主流
• TÜV Rheinland 中国 — OBC / 充电桩
• SGS 中国 — 较新,价格中等
• DEKRA 中国 — 仪表 / ADAS
• 国汽智联 — 国产 OEM 友好
• CATARC(中汽研) — 国家级,周期长

价格区间:100-300 万 RMB / 项目(ASIL D,18-24 个月)。注意:第三方是 OEM 商业选择,ISO 只要求 department 级独立(见 §10),内部独立部门同样满足 I3。

FSAR = ISO 26262-2:2018 §6.4.12「功能安全评估」的输出 —— 评判 safety case 证据链是否闭合,给 acceptance / conditional acceptance / rejection 三选一推荐结论(§6.4.12.9),没结论没签字不能量产。assessment「渐进执行、release for production 前收尾」(§6.4.12.3),实务切成 M0-M3 milestone(命名随 OEM,非 ISO)、跨 18-24 个月,每 gate 都可能挂 Major → 延期。ASIL D 关键 work product 的 11 项 confirmation = 9 项 I3 + 2 项 I2;I3 是 department 级独立性(可公司内独立部门),第三方是商业加码。常见拒签 root cause = FSAR 当合订本 / 结论缺三选一 / FMEDA 边界 / Tool Q / DIA / DFA / 残余风险接受。新项目 M0 阶段就该启动 FSAR 模板。