1. 课程导入

1.1 到底什么是功能安全？

先问大家一个问题：一辆车在高速上行驶，突然刹车踏板踩下去没反应了——这是不是安全问题？

是，但这不是功能安全要解决的核心问题。刹车踏板机械卡死，那是机械安全的范畴。功能安全关注的是另一个维度：电子电气系统的随机故障、系统性故障，会不会导致人员伤亡？

我个人的理解很简单——功能安全就是：当系统出故障时，它不能乱来。

举个例子：你开车时，ABS（防抱死制动系统）的轮速传感器突然坏了。如果系统直接让ABS失效，刹车抱死，车辆失控——这就是功能不安全。但如果系统检测到故障，自动切换到后备模式，让常规刹车仍然可用，同时点亮仪表盘警告灯——这就是功能安全。

所以，功能安全的官方定义是：不存在由电子/电气系统的功能异常表现所导致的不合理风险。

说白了，就是系统要能容忍故障，或者在故障时进入安全状态。

1.2 为什么我们需要功能安全？

你想想看，现在的汽车里有多少个ECU（电子控制单元）？

我2010年刚入行时，一辆普通家用车大概有30-50个ECU。现在呢？高端车型已经超过100个。线控转向、线控制动、自动驾驶……越来越多的安全关键功能由软件和电子硬件来执行。

这意味着什么？

• 一个软件bug可能导致刹车延迟几百毫秒
• 一个传感器漂移可能导致ACC（自适应巡航）误加速
• 一个内存位翻转可能导致安全气囊在正常行驶时误爆

这些都不是理论上的。我在项目中就遇到过：某款车的EPS（电动助力转向）在特定工况下，由于CAN总线负载过高，转向助力突然消失。幸好是在低速泊车时，没有造成事故。但如果是高速过弯呢？

所以，功能安全不是锦上添花，而是刚需。原因有三：

1. 人命关天：电子系统故障可能直接导致伤亡
2. 法律强制：ISO 26262、IEC 61508等标准已成为行业准入门槛
3. 商业风险：一次大规模召回，可能让企业损失数亿甚至数十亿

1.3 功能安全的历史与发展

功能安全不是凭空冒出来的。它的发展历程，其实就是一部血的教训史。

1.3.1 萌芽期（1970s-1990s）

最早的功能安全标准来自过程工业。1980年代，英国石油化工行业发生了一系列严重事故，直接催生了IEC 61508的前身。那时候大家意识到：光靠硬件冗余不够，还需要系统化的开发流程。

我记得读过一个经典案例：1986年，一台放射治疗设备Therac-25由于软件bug，导致多名患者受到过量辐射。这个事故让整个行业开始重视软件安全。

1.3.2 标准化期（1990s-2010s）

1998年，IEC 61508正式发布，成为功能安全的通用基础标准。它覆盖了所有电子/电气/可编程电子安全相关系统。

然后，各个行业开始制定自己的行业标准：

标准编号	适用行业	发布时间
IEC 61508	通用（基础标准）	1998（第1版）
ISO 26262	道路车辆	2011（第1版）
IEC 61511	过程工业	2003
IEC 62061	机械安全	2005
DO-178C	航空电子	2011

1.3.3 汽车行业爆发期（2011-至今）

2011年，ISO 26262发布，这是汽车行业功能安全的里程碑。它把IEC 61508的通用框架，适配到了汽车电子系统的具体场景。

我2012年第一次接触ISO 26262时，感觉就像拿到了一本天书——ASIL等级、安全目标、FMEA、FTA……全是新概念。但真正做项目后才发现，这套方法论确实能系统性地降低风险。

2018年，ISO 26262第2版发布，增加了半导体、自动驾驶等新内容。2024年，第3版正在酝酿中，预计会进一步覆盖AI安全、网络安全与功能安全的交互等热点。

1.4 功能安全的知识体系框架

下面这张图，是我自己总结的功能安全知识体系。它把整个领域分成了四个层次：

这个框架贯穿了我们整个课程。从第一层的基础概念，到第四层的工程实践，每一层都环环相扣。

1.5 功能安全与其它安全领域的关系

很多初学者会混淆几个概念。我简单梳理一下：

安全类型	关注点	典型标准
功能安全	系统故障时的安全行为	ISO 26262, IEC 61508
网络安全	防止恶意攻击	ISO 21434, UN R155
预期功能安全	系统在无故障时的功能不足	ISO 21448 (SOTIF)
被动安全	碰撞后的乘员保护	ECE R94, C-NCAP

举个例子你就明白了：

• 功能安全：刹车ECU的CPU死机了，系统要能自动切换到冗余通道
• 网络安全：黑客通过OTA远程控制了刹车，系统要能识别并阻止
• 预期功能安全：摄像头在暴雨中识别不到行人，系统要能降级或提醒驾驶员接管
• 被动安全：碰撞发生了，安全气囊要正确点爆

它们之间有交集，但不能互相替代。一个完整的安全系统，需要同时考虑这四个维度。