2. 功能安全基础
电驱系统的功能安全确认与验证，必须建立在 ISO 26262 的统一语言之上。若术语理解不一致，后续的危害分析、安全目标、验证准则都会出现偏差。本节围绕核心术语、ASIL 等级、安全生命周期三条主线，说明它们如何落到电驱系统的开发与验证活动中。
一、核心术语：从“危害”到“安全目标”的语义链
ISO 26262 的术语不是孤立名词，而是一条因果链。理解这条链，才能把电驱系统的失效现象转化为可验证的安全需求。
- 相关项（Item）：实现车辆功能的系统或系统组合，例如“电驱动力输出系统”。
- 危害（Hazard）：可能造成伤害的潜在来源，如“非预期扭矩输出”。
- 危害事件（Hazardous Event）：危害与运行场景的组合，如“低速泊车时非预期大扭矩”。
- 安全目标（Safety Goal）：针对危害事件的高层安全要求，如“避免非预期扭矩输出导致车辆意外移动”。
- 功能安全概念（FSC）：把安全目标分配到架构元素上的功能策略。
- 技术安全概念（TSC）：把 FSC 细化为硬件、软件、接口层面的技术方案。
- 安全机制（Safety Mechanism）：用于检测、控制或缓解失效的技术措施，如扭矩监控、三相电流冗余采样。
- 安全状态（Safe State）：系统进入的不产生不可接受风险的状态，如主动短路、扭矩归零。
二、ASIL 等级：风险三要素决定开发强度
ASIL（Automotive Safety Integrity Level）由三个维度共同决定：严重度 S、暴露率 E、可控性 C。三者组合后映射为 QM、ASIL A、B、C、D 五个等级，D 最高。
| 维度 | 含义 | 电驱系统示例 |
|---|---|---|
| S（严重度） | 伤害的严重程度，S0～S3 | 非预期扭矩导致车辆突然窜出，可能造成人员重伤，S3 |
| E（暴露率） | 运行场景出现的概率，E0～E4 | 城市低速行驶频繁发生，E4 |
| C（可控性） | 驾驶员或其他人员避免伤害的可能性，C0～C3 | 扭矩突变时驾驶员难以快速纠正，C3 |
| ASIL | S/E/C 组合映射结果 | S3+E4+C3 → ASIL D |
ASIL 等级直接决定验证强度：ASIL D 要求更高的诊断覆盖率、更严格的独立性、更完整的追溯证据。电驱系统的扭矩安全路径通常被分配到 ASIL C 或 ASIL D，而部分舒适性功能可降为 QM 或 ASIL A。
三、安全生命周期：从概念到报废的闭环
ISO 26262 的安全生命周期覆盖概念、开发、生产、运行、服务、报废。对电驱系统而言，确认与验证活动贯穿其中，而不是只在测试阶段出现。
- 相关项定义：明确电驱系统的边界、功能、接口和运行环境。
- 危害分析与风险评估（HARA）：识别危害事件，确定 S/E/C 与 ASIL。
- 功能安全概念：制定安全目标、安全状态和功能安全要求。
- 技术安全概念：把功能要求分配到电机控制器、逆变器、传感器、软件等元素。
- 系统与软硬件开发：按 ASIL 要求实施设计、编码、集成。
- 安全确认：通过测试、分析、评审证明安全目标达成。
- 生产与运行：保证制造一致性，监控现场失效，持续改进。
四、与电驱系统的关联：安全目标如何落到扭矩路径
电驱系统的核心安全目标是“避免非预期扭矩输出”和“避免扭矩丢失”。前者对应危害事件如车辆意外加速，后者对应动力中断导致的追尾风险。围绕这两类目标，典型安全机制包括：
- 扭矩监控：比较请求扭矩与实际扭矩，偏差超限时触发降级。
- 三相电流冗余采样：检测电流传感器漂移或失效。
- 旋变/编码器位置校验：防止转子位置错误导致扭矩方向异常。
- 逆变器关断路径：在故障时进入主动短路或自由停车。
- 看门狗与锁步核：监控控制器运行状态，防止程序跑飞。
这些机制需要被验证：诊断覆盖率是否达到目标、故障注入后能否在规定时间内进入安全状态、安全状态本身是否安全。验证证据必须可追溯到安全目标与 ASIL 等级。
五、常见误区与复盘
误区一：把 ASIL 当成“产品等级”。ASIL 是对安全目标的定级，不是对控制器或整车的标签。同一电驱控制器内不同功能可以有不同 ASIL。
误区二：只做测试，不做追溯。安全确认要求证据链完整：从危害事件到安全目标，再到安全机制和测试用例，缺一不可。
误区三：忽略安全状态本身的风险。主动短路在高速时可能产生制动扭矩，必须验证安全状态在全工况下都是安全的。
误区四：免干扰论证缺失。QM 功能与 ASIL D 功能共存时，必须证明低等级功能不会干扰高等级功能。
复盘来看，电驱功能安全确认与验证的起点不是测试台架，而是 HARA 与安全目标。只有把术语、ASIL、生命周期三件事对齐，后续的验证活动才有明确的判定准则和可接受的证据形式。