3． 過渡到安全狀態(tài)，并且如果適用的話，從安全狀態(tài)過渡 －＞ Transition to a safe state， and if applicable， from a safe state我們必須明確一個安全狀態(tài)的入口點以及如何從該安全狀態(tài)退出。相同的相關(guān)項定義可以有多個安全狀態(tài)。

4． 故障容錯 －＞ Fault tolerance這是一個面向產(chǎn)品的概念，它以有限的能力承受故障，并且掩蓋其表現(xiàn)形式。為了使系統(tǒng)具有容錯性，無論系統(tǒng)的哪個部分發(fā)生了失效，都能夠使系統(tǒng)繼續(xù)運行。

5． 駕駛員警告，目的是將危害暴露（E）時間縮短到可接受的范圍內(nèi) －＞ driver warning to reduce risk exposure （E） time to an acceptable duration舉例：如果氣囊傳感器出現(xiàn)故障，安全氣囊控制器應(yīng)該向儀表板發(fā)出警告信息。（注意，這里我們沒有指定要發(fā)送警告的故障類型，因為這是在功能的級別；我們可以在FSC中列出潛在的故障，這樣我們可以在后續(xù)的TSC中來跟蹤。）這樣一來，風(fēng)險暴露的時間就大大的降低了，因為駕駛員有時間開車去修理店維修。

6． 駕駛員警告，目的是增加駕駛員對車輛的控制性 －＞ Driver warning to increase controllability by the driver如果駕駛員得到及時反饋當(dāng)相關(guān)項失效發(fā)生時，那么由于駕駛員對某一故障的及時響應(yīng)，參數(shù) C 的額定值就會降低。比如：AEB 故障應(yīng)發(fā)送到儀表顯示。當(dāng)駕駛員看到此故障時，他就不會再依賴于AEB，如果車輛前方有障礙物，他就會踩下制動踏板，因此警告信息增強了駕駛員對車輛的控制性。

7． 故障時的功能降級，以及它和 5、6點的相互作用 －＞The degradation of the functionality in the presence of a fault and its interaction with 5 or 6我們需要描述發(fā)生故障時的降級功能。舉例：將車輛維持在跛行模式，知道點火開關(guān)由ON 切換到OFF。

8． 定義故障處理時間以滿足故障容錯時間間隔 －＞ Define the FHDI to meet the FTTI

每個安全目標(biāo)都有一個對應(yīng)的FTTI，因此在車輛級別上應(yīng)該遵循該間隔將最大的處理時間約束定義為小于FTTI。

所描繪的時間線說明了在FTTI結(jié)束之前必須進(jìn)入到安全狀態(tài)，為什么呢？

因為過了這段時間，危害就會產(chǎn)生，從而導(dǎo)致安全目標(biāo)的違背。

如果FTTI時間是2秒，并且我們在第2．5秒進(jìn)入到安全狀態(tài)，那就已經(jīng)違反了安全目標(biāo)了。

9． 避免／減輕由于不同功能同時生成的多個控制請求的不當(dāng)仲裁而導(dǎo)致的危害事件 －＞ Avoidance／mitigation of a hazardous event due to improper arbitration of multiple control request generated simultaneously by different functions

在SbW系統(tǒng)架構(gòu)中，我們注意到線控轉(zhuǎn)向控制器接受來自多個發(fā)送方的轉(zhuǎn)向請求，并且從中仲裁執(zhí)行命令。如下面圖所示。

制動系統(tǒng)快（ESC， ABS）；

車道保持輔助（LKA）功能塊；

駕駛員；

如果來自多個發(fā)送方的多個請求，那個發(fā)送方將是主導(dǎo)的轉(zhuǎn)向功能？我猜測是LKA模塊，我的猜測是正確的嗎？

因此，為了避免任何不當(dāng)?shù)闹俨�，我們�?yīng)該實施安全機制。比如：當(dāng)ADAS要求安全監(jiān)控時，我們應(yīng)確保安全。此外，它可以保證來自不同來源的驅(qū)動電流模式來檢查LKA轉(zhuǎn)向請求的合理性。什么是合理性（Plausibility）？這個是下期的討論話題，本期不過多闡述。