Safety Validation — 整车级安全确认

HARA 三条 Controllability 假设必须在真车上实测,SiL / HiL 无法替代。这里先厘清 controllability 的分级基准,否则 PASS 门就是拍脑袋:ISO 26262-3 把 controllability 定为 C1(Simply controllable,≥ 99% 的驾驶员能及时避免危害)/ C2(Normally controllable,90-99%)/ C3(Difficult to control or uncontrollable,< 90%)。SG-01 因意外加速属 C3(< 90% 能控)才叠到 ASIL D。

HARA 假设 H-CTRL-01:意外失速/加速场景下,原始工况被评为 C3(即无安全概念时 < 90% 驾驶员能控)——Sa.Val 要证的是上了 degradation / warning 安全概念后,残余工况变得可控。

验证方案:Proving Ground 封闭场地,20 名测试司机(非工程师,混合年龄 22-65 岁 / 三段驾龄 < 3 年、3-15 年、> 15 年,含 2 名 65+ 岁老年司机),3 类 HARA 触发场景:

• 场景 S-PG-01:100 km/h 直行 + 突然 STO(SG-01 触发)→ 成功标准:车辆偏移 ≤ 0.5 m,司机能维持车道(制动距离参照 μ = 0.8 干燥路面车辆动力学模型)
• 场景 S-PG-02:60 km/h 转弯(R = 80 m)+ Power Degradation 50% → 成功标准:司机能保持在车道内
• 场景 S-PG-03:城市工况 30 km/h + 三相 ASC(Active Short Circuit,SG-01 后备安全状态)→ 成功标准:扭矩塌到 ≈ 0、车辆平顺降速、司机无失控反应

PASS 门是项目自定的验证判据,不是 ISO 26262 给的数字:典型取 20 名司机中开着安全概念后全场景可控率 ≥ 某阈值(例 ≥ 80% 无危害结果)。ISO 26262-3 给的 99% / 90% 只是 controllability 的分级带(用于评 ASIL),不是 Sa.Val 的合格线——把二者混为一谈是 Assessment 常见质询点。

FSC / TSC 的 Fault Injection 验证是 Sa.Val campaign 工时占比最大的部分(HiL 约 60%),且必须在 HiL 自动化环境下跑,才能可重复、可回归。核心检验项如下,PASS 标准的数字均引 TSC / 既有 SSOT,不新造:

FI 覆盖率是 Sa.Val Plan 交 Assessment 的完整性指标:目标覆盖 TSC 列出的每一条 SM(ISO 26262-4 Clause 8.4 要求 validation 全覆盖 SG 的 FSR / TSR)。具体 ≥ 90% 之类的门是项目内部 red-flag 阈值(见 §9),不是标准硬编码的百分比。

有两类验证 HiL 替代不了,必须上 Bench dyno 真功率级:真实开关瞬态下的 DESAT 响应,和真实 DC-link 电容的放电时间。

Bench FI-DESAT-02:在真实 SCT3080AL 门极电路插入外部电阻加大 RGon(延迟 VCE 下降)→ 实测 DESAT 消隐期内 VCE 是否越过 VDESAT 阈值(6 V)误触发。这是验证 tBLK ≈ 816 ns(= CDESAT × VDESAT / IDESAT = 68 pF × 6 V / 500 μA,取自 FTTI 预算页 datasheet 值)设计裕量的地面真相——HiL 用仿真电信号,无法复现真实 IGBT/SiC 开关瞬态与门极电荷非线性。PASS 标准:0 次误触发 @ 20 kHz / 400 V / 额定相电流。

电气安全放电验证(法规侧电气安全,不属 26262 SG):在台架触发 HV 断电事件 → 验证母线电压 Vlink 从 400 V 降至 ≤ 60 V DC 的时间 ≤ 5 s(碰撞后电气安全窗口 R94/R95 + ISO 6469-3 断电防护的硬要求;R100 本身无 5s 泄能条款,2026-07-10 按 EUR-Lex 原文勘正)。放电电阻按一阶 RC 放电反推:Vlink(t) = 400·exp(−t / (R·Clink)),要求 Vlink(5 s) ≤ 60 V。时间常数 R·Clink = t / ln(V0 / V) = 5 / ln(400 / 60) = 5 / 1.897 ≈ 2.64 s。取该 100 kW 逆变器代表性 DC-link 电容 Clink ≈ 1 mF,则 R ≈ 2.64 s / 1 mF ≈ 2.64 kΩ,初始放电功率 400² / 2640 ≈ 61 W——落在切换式主动放电电阻的合理区间。若实际 Clink 更大,R 需按此式等比减小以守住 5 s 窗口。绝缘监测(IMD)FI 同属这条流:软件模拟绝缘电阻降到 R100 报警阈值以下(R100 要求绝缘电阻 ≥ 100 Ω/V,400 V 母线即 ≥ 40 kΩ,IMD 报警门通常设更高)→ 验证 IMD 报警 + 启动断高压 + 放电响应。

这个矩阵是 Sa.Val Plan 交 Assessment 的必填表,每个空格要么标环境角色,要么给不覆盖的 rationale:

注:✓✓ = 主战场;✓ = 辅助/补充;opt = 可选;— = 技术上无法完成或效率极低。

Sa.Val Plan 贯穿全生命周期,不是 SoP 前 3 月的突击工作:

Mid-dev Sa.Val(M6 SiL / HiL)是整个 campaign 的保险阀,它的价值不是"提前测一遍",而是把错误发现成本从 3-6 月工期压缩到 2-4 周 sprint。若 M6 跳过、M12 PG 阶段才发现 controllability 评错(HARA 假定残余工况可控但实测不可控),此时已有 30+ 工程师投入 9 月——改 HARA + 调 FSC + 重设计 TSC + 重 FMEDA + 重 Sa.Val PG,SoP 推 3-6 月很常见。

修复:M6 必须有 mid-dev Sa.Val 里程碑(Sa.Val Plan 硬约束,I3 Reviewer 签字);HiL FI-DESAT-01 / FI-ECC-01 + SiL 场景 S-PG-01 模拟必须在 M6 完成。

工程师知道实验预期动作和系统行为,反应速度和修正能力比真实用户快,导致成功率虚高 → OEM 用户研究阶段被打回 → 需重做 PG。

修复:PG 测试必须招募非工程师司机(≥ 20 人,含老年 / 新手),Sa.Val Plan 的"被试要求"章节明确"排除项目参与人员及其近亲属"。

HiL 的 DESAT 触发是仿真电信号(软件控制数字线),无法复现真实开关瞬态(VCE 下降轨迹 + 门极电荷非线性)。真实 DESAT 消隐 tBLK ≈ 816 ns 的裕量基于 SCT3080AL 输入电容 + IDESAT = 500 μA 设计(见 FTTI 预算页),任何 PCB 布线寄生电感变化都会改变 VCE 下降速度 → 改变真实 tBLK。只在 HiL 测通过的 DESAT FI,在真功率级可能因 tBLK 不足而误触发或漏触发。

修复:DESAT / Overcurrent 这两类 SM 必须在 Bench(真功率级)补做 1 次 FI(FI-DESAT-02)。

Sa.Val PASS 标准写"HW 保护在 FTTI 内响应"但引用的是 System FTTI = 200 ms(SG-01)。实际 FI-DESAT-01 验证的是 HW path FDTI+FRTI ≈ 1.22 μs——这两个数字差约 5 个数量级。若 PASS 标准写成 200 ms,则 1.22 μs 的结果虽远优于标准,但测试记录"验证 HW 保护在 FTTI (200 ms) 内响应"语义错误:真正要证的是 TSC 中规定的 FDTI / FRTI 分解(微秒级)与 System FTTI(毫秒级)的层次对应关系正确。Assessment 时会挑战这一混淆。

修复:PASS 标准按层分写——System-level FTTI 验证(车辆不发生危害)单独一条;HW-level FDTI / FRTI 验证(SM 响应时间)单独一条,数字引用 TSC 而非 HARA。

Fleet 50 台车 50,000 km 期间某台发生 SG-01 相关事件(DESAT 误触发 + SW FSM 异常),但该时刻前 10 ms 的 CAN 帧被循环 buffer 覆盖。无原始数据 → 无法复现 → 无法定根因 → Assessment 阶段要求补测,但 fleet 试验车已归还 OEM。

修复:Sa.Val Plan "数据采集"章节明确:关键 CAN 信号(FAULT / DESAT / 相电流 / Tj / Vdc)用事件触发式存储——任何 FAULT 信号变化触发前向 500 ms + 后向 500 ms 保留,存储容量 ≥ 500 MB/台,数据加密 + OEM 与 Tier-1 双方可访问(DIA 明确 data access right)。

SoP 后 OEM 推 OTA 更新 SW 扭矩安全参数 ±15% → 触发 Part 6 SW Verification,同时可能影响 SG-01 controllability(扭矩范围改变 HARA C 参数评估)→ ISO 26262-8 Clause 8 变更管理要求 Sa.Val 计划覆盖 change impact。若 Sa.Val Plan 无 OTA 决策树 → 量产后 Assessor 年度审计发现 Plan 不 living → Major NC。

修复:DIA 的 Sa.Val 章节增加"SW 安全参数 OTA 变更触发 Sa.Val 热更新决策树":① 参数变化 ≤ 10% 且不改 SG / HARA → Partial re-val(HiL FI 复测 + I2 Review);② 变化 > 10% 或涉及 HARA C 参数 → Full Sa.Val PG 含 controllability 测试。

ISO 26262-2 Clause 6 / Table 1 的 confirmation measures 按 ASIL 定独立性等级:ASIL D 的 confirmation review 要求最高独立性(I3,独立于开发团队)。若 Final Sa.Val Report 仅有 Tier-1 内部 Safety Mgr(I1)签字就交 Final Assessment → 直接 NC,要求补 I3 Reviewer Confirmation → 补一轮完整 I3 Review ≥ 4 周 → SoP 推延。

修复:Sa.Val Plan 的 Confirmation 章节明确"Final Sa.Val Report = I3 Reviewer Accountable + Assessor Consulted;触发 RFP 前 I3 签字必须到位"。I3 Reviewer 须来自 OEM 或第三方,非 Tier-1 内部人员。

TC397 上电自检(STL + March-C)+ 供电 ramp + PLL 锁定 + flash 等待周期,在 −40°C 极寒下冷启动窗口会拉长(供电 / 时钟 / flash 端主导,非 CPU 算力)。如果 SW 路径 FTTI(FSM activation)已设计在约 11 ms(见 SafeState Manager),而冷启动自检窗口更长,则在自检完成前 SW FSM 尚未激活——此时若发生故障,HW 路径仍保护(DESAT 独立于 CPU),但 SW 层(看门狗 / 相电流 SW 监控)尚未 UP,SW 路径事实上在自检窗口内不可用。

Sa.Val 应对:HiL Sa.Val 增加 −40°C 环境箱冷启动 FI 测试——在自检窗口内注入 FI-ISCL-01(SW 监控路径),实测 HW DESAT(硬件层)是否独立响应,同时测自检完成时刻(给 FSM UP 的时间预算)。若自检窗口内 HW 保护独立有效,则 FTTI 的 HW 与 SW 路径独立性成立,cold-start gap 被覆盖;否则须把 SW 自检拆成后台任务(允许 FSM 先行激活)。不在此写死具体冷启动延迟倍数——那是要靠环境箱实测拿到的数,不是纸面推的。

SoP + 18 月,OEM 推 OTA 升级 ADAS L3 功能,同时调整电机扭矩响应曲线(扭矩参数 ±20%)。影响评估路径:

• HARA C 参数不变(场景未变,速度范围未变)→ Partial re-val:HiL FI 5 项 + SiL 新扭矩参数逻辑验证 + I2 Review
• HARA C 参数升级(因 ADAS 速度范围扩展至 150 km/h → C3 边界可能更紧)→ Full re-val:PG 20 名司机复测 S-PG-01 + I3 Review

DIA 须明确:"软件安全参数 OTA 变更 → Tier-1 Safety 30 天内出具 Safety Impact Assessment → 依 Partial / Full 判据路由 Sa.Val"。否则 Field 监控期无章可循。

若系统升级至 ADS L4(无驾驶员),HARA 的 Controllability(C)参数从"司机能否控制"转为"ADS redundancy 能否接管"。Sa.Val campaign 架构从"真人司机 PG 测试"转向"ADS backup path 功能验证"(参考 ISO 21448 SOTIF + SAE J3018 ADS 验证框架)。这对 Sa.Val Plan 是结构性变更:

• 原有 PG S-PG-01/02/03(依赖人类驾驶员)不再适用
• 新增场景:ADS backup path fail-over 时间验证(在 FTTI 内完成 ADS 接管)
• 覆盖矩阵中"Controllability 主战场 PG"列需重写为"ADS redundancy 主战场 HiL + SiL"

Sa.Val Plan 必须预留 ADS 升级触发 Full Re-val 的 scope 条款;DIA 中明确 OEM ADS 域与 Tier-1 电驱域 Sa.Val 接口。