2. 功能安全基础
各位工程师朋友，咱们今天来聊聊功能安全里最基础、也最核心的几个概念。说实话，这些词你翻标准都能找到定义，但真正在电驱项目里用起来，很多人容易搞混。我刚开始做功能安全那会儿，也花了不少时间才理清楚它们之间的关系。
咱们一个一个来拆解。我会结合电驱系统的实际场景，把这些概念讲透。
2.1 危害与风险
危害，说白了就是可能对人造成伤害的潜在源。在电驱系统里，最常见的危害就是高压电击和非预期扭矩。你想想看，一个300V以上的电池包，如果绝缘失效，那可不是闹着玩的。
风险呢，是危害发生的概率和严重程度的组合。标准里有个经典公式：风险 = 危害严重度 × 发生概率 × 可控性。嗯，这里要注意，不是所有危害都需要处理——风险低的，我们可以接受。
2.2 安全目标
安全目标，是降低风险到可接受水平的顶层安全要求。每个危害都要对应一个或多个安全目标。比如：
- 危害： 非预期加速导致碰撞
- 安全目标： 防止电机输出超过驾驶员请求的扭矩
安全目标必须具体、可验证。我见过不少项目写的安全目标太模糊，比如“确保系统安全”——这没法验证，等于没写。
2.3 安全状态
安全状态，是系统在发生故障后，能进入的无风险或低风险状态。电驱系统常见的安全状态有：
- 切断高压： 断开主继电器，让高压回路断电
- 进入跛行模式： 限制扭矩输出，让车辆低速行驶到安全地点
- 主动放电： 快速释放母线电容上的残余电荷
这里有个关键点：安全状态必须在规定时间内到达。比如，高压切断要在100ms内完成，否则风险依然存在。
2.4 安全机制
安全机制，是实现安全目标、达到安全状态的具体技术手段。它可以是硬件、软件，或者两者的组合。
电驱系统里常见的安全机制：
| 安全机制 | 作用 | 实现方式 |
|---|---|---|
| 扭矩监控 | 检测实际扭矩是否超出请求范围 | 双通道比较 + 看门狗 |
| 绝缘检测 | 监测高压回路与底盘之间的绝缘电阻 | 周期性注入低压脉冲 |
| 过流保护 | 防止IGBT/MOSFET过流损坏 | 硬件比较器 + 软件关断 |
| 位置传感器校验 | 确保旋变/霍尔信号正确 | 冗余传感器 + 合理性检查 |
我个人习惯，在设计安全机制时，先问三个问题：
- 它能检测到什么故障？
- 检测到故障后，它做什么？
- 它自己会不会失效？
2.5 故障与错误
这两个词经常被混用，但标准里分得很清楚：
- 故障： 物理层面的异常。比如电阻短路、芯片引脚虚焊、软件跑飞。
- 错误： 故障导致的信息偏差。比如ADC采样值不对、扭矩计算错误。
打个比方：故障是“病根”，错误是“症状”。一个故障可能引发多个错误，一个错误也可能由多个故障导致。
2.6 ASIL等级定义
ASIL（Automotive Safety Integrity Level）是ISO 26262的核心概念，它定义了系统需要达到的安全完整性等级。等级从低到高分为：ASIL A、ASIL B、ASIL C、ASIL D。还有一个QM（Quality Management），表示不需要功能安全措施。
ASIL等级由三个参数决定：
| 参数 | 含义 | 等级 |
|---|---|---|
| 严重度（S） | 对人员的伤害程度 | S0（无伤害）~ S3（致命） |
| 暴露概率（E） | 人员处于危险场景的频率 | E0（几乎不）~ E4（非常频繁） |
| 可控性（C） | 驾驶员或其他人避免伤害的能力 | C0（完全可控）~ C3（几乎不可控） |
三个参数组合，查表得到ASIL等级。比如：
- S2 + E3 + C2 → ASIL C
- S3 + E4 + C3 → ASIL D
- S1 + E2 + C1 → ASIL A
下面这张图，把今天讲的概念串起来，你看完应该能理解它们之间的逻辑关系：
最后总结一下：危害是源头，风险是评估，安全目标是要求，安全状态是归宿，安全机制是手段，故障和错误是对象，ASIL是标尺。这七个概念，是功能安全的“七巧板”，拼在一起，才能构建一个完整的安全系统。
嗯，今天就到这儿。这些概念你理解了，后面讲危害分析与风险评估（HARA）的时候，你会觉得顺很多。