2. 功能安全基础

ISO 26262 的所有工程活动，最终都围绕一组彼此咬合的核心术语展开：功能安全定义我们要达成的目标，E/E 系统界定作用对象，安全目标把整车级风险转化为可验证的承诺，ASIL决定承诺的严格程度，安全状态则给出故障发生时的可接受归宿。理解这五个概念之间的推导关系，比孤立背诵定义更重要。

一、功能安全：不是"不出故障"，而是"故障后仍安全"

功能安全（Functional Safety）指避免由 E/E 系统功能异常行为导致的不可接受风险。它关注的不是产品是否可靠，而是当功能失效或出现非预期行为时，系统能否把风险控制在可接受范围内。因此功能安全的核心命题是"失效可控"，而非"永不失效"。

与之相对的是预期功能安全（SOTIF）：前者处理系统故障引发的风险，后者处理功能本身设计不足或性能局限引发的风险。二者互补，但 ISO 26262 只覆盖前者。

二、E/E 系统：功能安全的边界对象

E/E 系统（Electrical/Electronic System）指由电子电气部件、软件、传感器、执行器及其通信网络构成的系统。ISO 26262 的适用范围正是安装在量产乘用车上的 E/E 安全相关系统。一个典型的 E/E 系统包含三层：

• 感知层：传感器、信号采集电路，如轮速传感器、雷达。
• 处理层：ECU、微控制器、安全监控逻辑、软件算法。
• 执行层：驱动电路、执行器，如制动阀、电机控制器。

层与层之间通过 CAN、LIN、FlexRay 或以太网通信。功能安全分析必须覆盖从传感器到执行器的完整信号链，任何一环缺失都会导致安全论证不成立。

三、安全目标：从危害到可验证承诺

安全目标（Safety Goal）是针对整车层面危害事件的顶层安全需求，通常表述为"避免非预期的制动"或"避免非预期的转向助力"。它由危害分析与风险评估（HARA）导出，具有三个关键属性：

1. 对应一个明确的整车危害事件；
2. 携带一个 ASIL 等级；
3. 可向下分解为功能安全需求（FSR）和技术安全需求（TSR）。

安全目标不描述实现方式，只描述"必须避免什么"。例如"避免因制动系统非预期施加导致的车轮抱死"是安全目标，而"ECU 需在 20ms 内检测到阀驱动短路并切断输出"则是技术安全需求。

四、ASIL：风险分级与开发严格度

ASIL（Automotive Safety Integrity Level）由三个参数决定：严重度 S、暴露率 E、可控性 C。三者组合后映射为 QM、ASIL A、B、C、D 五个等级，D 最严格。

参数	含义	典型取值
S 严重度	伤害的严重程度	S0 无伤害 ~ S3 致命
E 暴露率	运行场景出现的概率	E0 极低 ~ E4 高概率
C 可控性	驾驶员避免伤害的可能性	C0 一般可控 ~ C3 难以控制
ASIL	综合风险等级	QM / A / B / C / D

ASIL 等级直接决定开发过程的严格度：ASIL D 要求更高的诊断覆盖率、更严格的硬件架构度量（如 SPFM ≥ 99%、LFM ≥ 90%）、更完整的验证证据。QM 等级则按常规质量管理流程处理即可。

五、安全状态：故障后的可接受归宿

安全状态（Safe State）是系统在检测到故障后进入的、风险可接受的运行模式。它不是"关机"的同义词，而是根据系统特性定义的多种可能：

• 降级运行：如 EPS 助力降低但仍可转向；
• 功能关闭：如关闭自动驾驶，交还驾驶员；
• 完全断电：如高压电池断开接触器。

安全状态必须满足两个条件：一是可达，即在故障容忍时间（FTTI）内能够进入；二是可验证，即能通过测试证明其风险确实可接受。

六、核心概念关系图

下图展示从整车危害到安全状态、再到具体技术实现的推导链条，以及 ASIL 在其中的分级作用。

七、案例与常见误区

案例：电子驻车制动（EPB）。整车危害为"行驶中 EPB 非预期施加导致车轮抱死"。HARA 评估：S3（可能致命）、E4（每次行车都可能）、C2（驾驶员难以快速解除），组合得 ASIL D。安全目标为"避免行驶中 EPB 非预期施加"。功能安全需求分解为"行驶状态下禁止 EPB 施加"，技术安全需求进一步细化为"车速 > 5km/h 时，EPB 控制单元应拒绝施加请求，并在 100ms 内进入安全状态（保持释放）"。