系统层级TSR（技术安全需求）知识点浅析

原文链接：https://mp.weixin.qq.com/s/C66nciSYrUC7KpPJ11KcWw

依据ISO 26262‑4:2018，电子电气系统架构（传感器‑线束‑输入‑处理单元‑存储‑总线‑输出‑执行器‑电源‑时钟），结合系统安全开发考虑维度；FSR（功能安全需求）→分解得到TSR技术安全需求；TSR属于系统层级技术需求，向下再分解硬件需求HSR、软件需求SW‑SR。E/E系统部件清单：D.9传感器、D.3线束、D.5数字/模拟输入、D.4处理单元、RAM/ROM存储器、D.8时钟、D.7电源、D.6总线接口、D.5数字输出/模拟输出、D.3继电器、D.10执行器；同时开发关注点：传感器失效检测、通信失效检测、处理器失效检测、算法选择、执行器失效检测、容错纠错、安全架构、冗余、软硬件诊断、单点/潜在故障。

一、基础概念

1 FSR与TSR区别

关键：TSR不是软件需求，系统TSR横跨硬件、软件、电气、通信架构；软件需求SW‑SR是TSR进一步分配给软件组件的产物。

2 输入前提

已批准FSR清单（带ASIL等级、可测试、可追溯SG/FMEA）

E/E系统架构（完整部件：传感器、线束、输入通道、处理单元、存储、电源、时钟、总线、输出、执行器）

系统接口矩阵（模拟/数字输入输出、总线信号清单）

HARA、安全目标SG、System‑FMEA报告

边界条件、假设条件、整车时序约束

3 TSR编写硬性准则（ISO26262‑4）

可测试性：全部TSR必须能够设计测试用例验证；禁止模糊描述。

ASIL继承：TSR继承上级FSR的ASIL等级；若做ASIL分解，必须提供充分分解论证。

量化指标：时间窗口、阈值、周期、故障响应时间、故障覆盖率。

完整追溯：每条TSR向上至少关联1条FSR。

覆盖全部E/E部件风险：对应每一类组件，识别失效，编写对应的TSR。

二、基于E/E架构，TSR分模块知识点&需求方向

按照信号流向：传感器→线束→输入通道→处理单元（CPU/存储/时钟/电源）→总线通信接口→输出通道→线束→继电器/执行器，逐个模块输出TSR设计要点，同时覆盖开发关注点。

模块1：D.9传感器相关TSR（关注点：如何检测传感器失效）

传感器失效模式：信号超出物理范围、信号漂移、卡死、无输出、跳变异常、多传感器不一致、线束开路短路。 TSR设计方向：

范围校验TSR：系统应对传感器输入信号执行物理范围监控；当信号超出最大/最小物理限值，判定传感器故障；故障响应时间≤X ms。

合理性校验TSR：对传感器信号执行变化速率检查，当信号单位时间变化超过最大允许斜率，判定信号异常。

多传感器冗余比对TSR：若配置冗余传感器，系统应比对多个同源传感器输出；偏差超过阈值T，判定传感器故障。

开路短路诊断TSR：系统应检测模拟/数字输入通道线束开路、对地/电源短路故障。

故障处置TSR：检测传感器失效，系统记录对应DTC，执行预定义安全降级策略。

示例TSR文本： TSR‑SEN‑001：系统应对ASIL‑D相关模拟传感器输入执行信号范围诊断；当采样值＞4.8V或者＜0.2V，应在≤20ms识别传感器输入故障，上报故障状态。ASIL‑D；追溯FSR‑XXX

模块2：D.3线束（互联）TSR

失效：线束开路、短路、虚接、交叉干扰；线束故障会表现为输入异常、输出异常。

TSR：系统输入/输出通道需要支持线束开路、短路诊断。

TSR：总线线束断线故障能够通过总线接口诊断识别。

TSR：线束故障被识别后，禁止使用该通道信号，执行安全策略。

模块3：D.5数字/模拟输入通道TSR

失效：ADC偏移、增益漂移、通道卡死，输入端口硬件故障。

TSR：模拟输入通道需要支持ADC自检，周期性校验ADC参考电压。

TSR：数字输入通道需要检测端口粘滞0/粘滞1故障。

TSR：输入采样周期满足安全功能时序要求；采样抖动不得超过最大允许抖动。

模块4：D.4处理单元 + RAM/ROM存储器（关注点：如何检测处理器失效）

失效：CPU跑飞、逻辑错误；RAM随机损坏；ROM程序数据损坏。

处理器监控TSR：系统需要配置处理器监控机制（看门狗、程序流监控）；检测处理器异常，触发安全状态。

RAM存储器TSR：安全相关RAM需要周期性测试；检测RAM单元故障；故障触发安全处置。

ROM/Flash存储器TSR：安全相关程序、标定数据周期性CRC完整性校验；CRC校验失败，禁止进入正常运行模式。

数据一致性TSR：安全关键变量采用双副本存储，运行时比对双副本，不一致判定故障。

模块5：D.8时钟模块TSR

失效：时钟漂移、时钟跳变、时钟停止，会影响E2E、周期采样、任务调度。

TSR：系统监控系统时钟偏差；时钟漂移超过允许阈值，判定故障。

TSR：安全相关任务调度依赖系统时钟；时钟故障时，安全功能进入安全状态。

模块6：D.7电源模块TSR

失效：电压跌落、过压、欠压，电源波动。

TSR：系统监控供电电压；过压、欠压时，触发安全状态。

TSR：电源掉电场景，安全相关数据需要完成故障记录，保证安全关闭。

模块7：D.6总线接口TSR（关注点：如何检测通信失效）

失效：报文丢失、重复、延迟、篡改、报文风暴、总线离线。

TSR：安全相关通信报文启用E2E保护（Counter、AliveCounter、CRC），检测报文丢失、重复、延迟、篡改。

TSR：系统监控总线通信状态；总线节点离线、通信超时，识别通信故障。

TSR：总线负载监控；总线负载超过阈值执行限流，保障安全报文带宽。

TSR：通信故障识别后，执行安全降级，记录DTC。

模块8：D.5输出通道、D.3继电器、D.10执行器（关注点：如何检测执行器失效）

失效：输出粘滞、输出开路、短路；继电器粘连；执行器无响应。

输出诊断TSR：数字输出、模拟输出通道支持回读诊断；输出指令与实际回读状态不一致，判定输出故障。

继电器诊断TSR：继电器驱动后，检测继电器触点状态，识别粘连、无法吸合故障。

执行器反馈监控TSR：利用执行器反馈信号，比对输出指令与实际执行结果；偏差超限判定执行器故障。

TSR：检测执行器故障，切断危险输出，进入安全状态。

三、其余系统安全设计关注点对应的TSR知识点

1 如何选择算法

TSR层级不写算法内部实现，写算法外部安全约束；具体算法细节下放到软件需求SW‑SR。

TSR：安全相关算法输入必须完成有效性校验，无效输入不得参与算法计算。

TSR：算法必须定义最大计算延迟，超过最大计算时间判定故障。

TSR：算法必须定义异常输入下的输出行为。

2 如何提升系统的容错、纠错和错误处理能力

TSR：定义完整故障处理链：故障检测 → 故障确认 → 故障上报DTC → 故障隔离 → 降级/安全状态。

TSR：定义可恢复故障、不可恢复故障区分；可恢复故障条件；不可恢复故障永久进入安全状态。

TSR：单点故障发生后，系统应当维持安全状态，不产生整车危害。

3 安全的系统架构 + 冗余设计

TSR：安全与非安全功能做架构隔离（空间隔离/时间隔离），防止非安全功能干扰ASIL安全功能。

TSR：如果FSR要求冗余，则TSR定义冗余架构：冗余通道、冗余传感器、冗余处理路径；定义冗余逻辑、表决机制。

TSR：定义ASIL分解架构约束（如果使用ASIL分解），满足ISO26262分解条件。

4 软、硬件诊断

TSR：定义安全相关部件的诊断覆盖率目标（例如传感器诊断覆盖率≥90%）。

TSR：定义诊断运行条件：上电诊断、后台周期性诊断、触发式诊断。

TSR：诊断故障必须非易失存储DTC；故障状态对外输出。

5 单点和潜在故障（硬件度量）

TSR输出硬件度量目标，具体度量计算属于硬件需求HSR。

TSR：系统硬件应满足：SPFM单点故障度量、LFM潜在故障度量达到对应ASIL等级指标。

TSR：对于无法满足单点故障度量的单点，需要定义安全机制来检测该单点故障。

四、TSR完整追溯闭环

每一条FSR，必须被至少1条TSR覆盖；禁止FSR没有对应的TSR。

每一条TSR，必须对应附图D.2中的一个或多个E/E组件；禁止凭空生成TSR。

TSR向下分配：一部分TSR分配给硬件生成HSR；一部分分配给软件生成SW‑SR；一部分属于系统集成需求。

当TSR完成，需要更新FMEA，把TSR对应的安全机制回填FMEA的缓解措施，确认残余风险可接受。

五、交付输出物清单

TSR清单文档：ID、TSR陈述、ASIL等级、量化参数、追溯FSR编号、分配对象（硬件/软件/系统集成）

追溯矩阵 FSR‑TSR‑HSR‑SW‑SR

TSR评审记录

安全机制对应关系表（TSR ↔ D.2 E/E系统部件）

往期文章

ASIL‑D车载网关：FMEA(SG→FSR)知识点浅析

车载蜂窝网络（Vehicle‑Cellular，4G/5G‑V2X）知识点浅析

V‑SOC（Vehicle‑SOC车辆安全运营中心）入侵检测知识点浅析