HW 安全需求(HSR)写作工程化深度 — 从 TSR 派生 + 可验证性 + 接 FMEDA/test + I3 评审

HSR 坐在 ISO 26262-5,上游是 TSR、下游分两叉:一叉到 HW 设计(指导电路实现),一叉到 FMEDA + HW test(验证是否达标)。这个"一上两下"的位置决定了 HSR 写作的核心约束——每条 HSR 必须三向接得住:向上追 TSR(它为哪条技术安全需求服务)、向下被 FMEDA 量化(它贡献多少 DC)、被 test 验证(怎么证它满足)。

下图把 HSR 的派生来源和两条下游验证链画在一起——写 HSR 前要先在脑子里立住这张"三向接口图"。

写作 SOP 分 4 步,每步产出 HSR 规范的一部分:

1. 拆 TSR:把每条 TSR 拆成它要求的 HW 层行为/约束(一条 TSR 通常派生多条 HSR)。
2. 写 HSR 陈述:每条用"硬件应在[条件]下[可测行为]"句式,绑定具体安全机制。
3. 挂验证锚:每条 HSR 标目标 DC(由 ASIL 反推)+ 验证方法(FMEDA / fault injection / bench test)。
4. 建双向 link:上挂 TSR ID、下留 FMEDA 条目 + test case 占位。

报告主体的最小单元是一条 HSR 条目。和 hazard 条目一样,字段缺一就在审计处断链。6 字段:

下图是一条 HSR 从 TSR 派生到验证锚的字段流转。

6 字段 + 主驱"扭矩监控"worked(承 HARA 那条 ASIL D SG → TSR → HSR):

• ① TSR 来源:TSR-03 — 安全 MCU 独立监控扭矩,超限触发 STO(引 TSR ID)
• ② 需求陈述:扭矩采样 ADC 应在每个 1 ms 周期完成转换,转换错误应被 ADC 自检在 ≤2 周期内检出(可测:有周期、有检出时限)
• ③ 安全机制:ADC 内建自检(BIST)+ 范围合理性检查(绑定到具体 SM)
• ④ 目标 DC:≥99%(由 FMEDA 把 ASIL D 的 SPFM≥99% 目标按各元件失效率 λ 分配到本元件;采样链这类主贡献元件常落 ≥99%,非一律 99%)
• ⑤ 验证方法:FMEDA 算 ADC 失效模式 DC;fault injection 注入 ADC stuck-at,验证 2 周期内检出
• ⑥ 双向 link:上:TSR-03;下:FMEDA-ADC-01 + TC-ADC-FI-07

注意 ② 和 ④⑤⑥ 的配合:陈述给可测的量(1 ms / 2 周期),验证锚给怎么测 + 测到什么程度(DC≥99% + FI 用例)。这一组就是 HSR "可验证"的全部含义。

HSR 不是凭空写的硬件功能,是 TSR 的机械派生。派生律和 FSR→TSR 同源:HSR 集合对 TSR 完整覆盖且不超出。少了——TSR 的某个 HW 含义没落实,FMEDA 会缺一块;多了——引入了无 TSR 授权的硬件复杂度,I3 追"这条 HSR 为哪条 TSR 服务"答不上。

实操上一条 TSR 派生多条 HSR,因为 TSR 是"系统/技术行为",落到硬件要拆成 多个器件级约束。比如 TSR-03"独立监控扭矩"派生:HSR(采样链精度 + 周期)+ HSR(监控通道独立于主控)+ HSR(超限到 STO 的硬件路径)。漏掉"通道独立"这条,FMEDA 算 CCF(共因失效)时就没有独立性依据——这是派生不全最隐蔽的后果。

可验证性是 HSR 写作和 HARA rationale 并列的真难点。判据很硬:一条 HSR 可验证,当且仅当能据它直接设计出一项 pass/fail 明确的 test。下面三组"被打回 → 改成可测",看清差别不在"写没写安全机制",在"能不能测":

模糊形容词 — 打回写法 ADC 应可靠工作。test 工程师问:"可靠到什么程度?怎么算 fail?" 无法设计用例。可测写法 ADC 转换错误应在 ≤2 个采样周期(2 ms)内被自检检出并置故障标志。差别:后者给了 可测时限 + 可观测输出(故障标志),FI 用例直接据此写。

缺目标值 — 打回写法 应有诊断覆盖扭矩采样故障。I3 追:"覆盖多少?够 ASIL D 吗?" 无法判达标。可测写法 扭矩采样链诊断覆盖率应 ≥99%(由 FMEDA 把 ASIL D 的 SPFM≥99% 目标按 λ 贡献分配得到,随元件不同而变,非一律 99%),由 FMEDA 量化。差别:后者把"有诊断"变成 可量化目标 + 量化方法,FMEDA 能直接 claim。

验证方法悬空 — 打回写法 应防止扭矩信号被干扰(没说怎么证)。可测写法 扭矩信号链应满足 ISO 11452-2 辐射抗扰 ≥100 V/m(ISO 11452-4 BCI 100 mA),由 bench EMC immunity test 验证;受扰时合理性检查应在 1 周期内拒绝异常值。差别:后者绑定 具体 test 标准 + 失效时的可观测行为(注:抗扰用 ISO 11452 系列的 V/m / mA 严酷度;CISPR 25 是发射限值标准、其 Class 5 不是抗扰等级)。

三组的共性,就是 HSR 可验证性的终极判据:把需求写到"换个 test 工程师拿这条 HSR,不问你就能写出 pass/fail 明确的用例"的程度。写不到这一步的 HSR,FMEDA 算不了 DC、test 设计不出,等于没写。

I3 评审 HSR 规范(并入 M2 系统里程碑)的 6 查点。下图映射到 HSR 规范对应部分。

6 个查点:

1. 派生完整:HSR 集合是否完整覆盖所有 TSR 的 HW 含义?有无 TSR 漏派生?
2. 可追溯:每条 HSR 上有 TSR ID、下有 FMEDA 条目 + test case?
3. 可验证:每条 HSR 是否可据以设计 pass/fail 明确的 test?(主查)
4. DC 目标:每条带诊断的 HSR 是否标了目标 DC + 反推依据(ASIL)?
5. 独立性:要求"独立通道"的 HSR 是否给了 FMEDA 算 CCF 的独立性依据?
6. 验证方法:每条 HSR 的验证方法(FMEDA/FI/bench)是否明确、可执行?

第一,模糊形容词(可靠/稳定/充分)——不可测,占 HSR NC 大头。第二,写成功能清单而非需求(要有 DESAT)——没说性能指标和验证,FMEDA 无从量化。第三,缺目标 DC——有诊断但没目标值,无法判 ASIL 达标。第四,派生漏"独立性"——只写功能、漏通道独立,FMEDA 算 CCF 缺依据(最隐蔽)。第五,验证方法悬空——不写怎么证,test 阶段才发现需求不可验,返工代价高。

EPS(电动助力转向)是 ASIL D 系统的典型 HSR 写作场景:TC397 双核锁步 MCU + TLF35584 SBC + 1EDI3035AS 栅极驱动 + SCT3080AL SiC MOSFET。以下 5 条 HSR 从 3 条 TSR 派生,覆盖采样链诊断 / 过流保护 / 看门狗 / 电源独立性四类机制,展示从 TSR → HSR 陈述 → 验证锚的全链。

写作前先明确上游 TSR:TSR-01 = "在 FTTI ≤200 ms 内通过 ≥2 条独立路径触发 STO,ASIL D";TSR-03 = "安全 MCU 独立通道监控扭矩信号,误差 >±10% 触发 STO,ASIL D";TSR-05 = "扭矩监控通道供电与主控物理隔离,ASIL D"。5 条 HSR 对这 3 条 TSR 完整覆盖且不超出。

真实 HSR 规范打回的根因不是"漏机制",是"写法让下游无从量化或追溯"。以下 7 个 Gotcha 来自 I3 常见 NC 类型。

G1 — 把安全机制写成需求陈述:"MCU 应有 ADC BIST" 是机制存在性声明,不是需求。FMEDA 问:"BIST 覆盖哪些失效模式?检出时限多少?" 无法回答 → DC 算不了。正确写法见 §2:陈述聚焦可测行为(检出时限 + 故障标志),机制绑定在第③字段。

G2 — 独立性要求缺物理证据:"两条关断路径应相互独立" — 独立到什么程度? I3 追问:"是逻辑独立还是电气隔离?能防 CCF 吗?" 没有 PCB 间距 / 工艺差异 / β 因子依据,FMEDA-CCF 章节的 β 就无处 claim。漏这一字段是 HSR→FMEDA CCF 断链最隐蔽的原因。

G3 — DC 目标全写 ≥99% 不做分配:ASIL D SPFM≥99% 是系统级指标,不等于每条 HSR 的每个元件都要求 ≥99%。把所有 DC 目标写死 ≥99% 会使 LFM 路径元件(如 WD)的 FMEDA 分配不自洽:WD 的 DC≥99% 无法通过 LFM 验证路径实现,FMEDA 反而不收敛。正确做法是按元件 λ 贡献和所在路径(SPFM/LFM)分配目标 DC。

G4 — 验证方法与 HSR 类型不匹配:EMC 抗扰类 HSR 写 "FMEDA 验证" — FMEDA 算随机硬件失效的 DC,不量化电磁干扰下的功能退化。正确验证方法是 bench EMC immunity test(ISO 11452 系列)。用错方法,test 阶段返工。

G5 — 一条 HSR 包含多个可独立失效的机制:"DESAT 保护应检出过流并在 ≤2 μs 关断,同时 WD 应在超时后激活 FS0B" — 两个机制耦合在一条 HSR 里。任一机制失效时,FMEDA 不知该 claim 哪部分 DC,test case 也无法单独 pass/fail。每个机制独占一条 HSR 是原子性要求。

G6 — HSR 版本与 FMEDA 版本脱节:ECO 改了 Cblank 值(150 pF → 220 pF),HSR-02 的 $t_{\mathrm{blank}}$ 计算结果超了原有 ≤1000 ns 限值,但 HSR 文件未走 CCB 更新 → FMEDA 引用旧 HSR-02 → I3 发现版本不一致判 NC。HSR 和 FMEDA 必须同号 release,ECO 触发双文件同步。

G7 — HSR 超出 TSR 授权范围:TSR 只要求"独立关断路径",HSR 却额外写"关断路径应符合 IEC 61508-2 §7.4.5"——引入了 TSR 未授权的标准约束,I3 追"这条额外要求的 safety goal 是什么",答不上。HSR 只做 TSR 的机械派生,不引入 TSR 没有的约束。

C1 — 高温下 ADC INL 漂移使实际 DC 低于设计值:扭矩采样 ADC 在 125°C 下 INL 可达 ±3 LSB,合理性检查的阈值以常温 INL ±1 LSB 为基准。高温下大量"真正常"的采样被合理性检查误判为异常(假正),ADC BIST 检出率实际降低——FMEDA 按常温 DC≥99% 计算的 SPFM 在高温验证中可能不成立。应对:HSR-01 需明确 "ADC BIST 目标 DC≥99% 应在 −40°C 至 +125°C 全温范围内成立";FMEDA 使用最差温度点的 λ 和诊断覆盖数据。

C2 — ECO 改变 Cblank 导致 $t_{\mathrm{blank}}$ 超限:PCB ECO 将 Cblank 从 150 pF 改为 220 pF(为降 EMI),1EDI3035AS $t_{\mathrm{blank}}$ 随之从 816 ns 升至约 1 196 ns,超过 HSR-02 限值 1 000 ns。如未触发 CCB 同步更新 HSR-02 和 FMEDA-DESAT-02,则 FMEDA 仍 claim $t_{\mathrm{blank}}\le 1000\mathrm{ns}$ 的诊断覆盖,实物却已超限——TC-DESAT-BLANK-01 在高温台会 fail。应对:HSR-02 的"任何 Cblank 变更须通过 CCB 重新确认时序"这一句是关键;ECO 流程必须把 HSR → FMEDA → test case 三件同步纳入 CCB 门禁。

C3 — SEooC 集成时 TLF35584 AoU 与 HSR-05 冲突:TLF35584 作为 SEooC(Safety Element out of Context)使用,其 Safety Manual 规定 Vaux 纹波 ≤50 mVpp 为 AoU(Assumption of Use)。系统 HSR-05 要求 Vaux/Vcore 物理隔离,但集成时 Vcore 开关噪声通过 PCB 耦合到 Vaux 上,实测纹波 80 mVpp 超过 AoU 限值。AoU 违反使 TLF35584 的 FMEDA DC claim 失效,整个 SBC 的 PMHF 贡献不再有效。应对:系统 HSR-05 需包含"Vaux 纹波应 ≤50 mVpp(TLF35584 Safety Manual AoU)";PCB 布局阶段测量并记入 TC-CCF-POWERSUPPLY-01 的 pass/fail 判据。