3. 功能安全与预期功能安全

在智能驾驶系统的故障降级工程中，功能安全与预期功能安全是两条并行且互补的主线。ISO 26262 关注的是由电子电气系统故障引发的危害，即“系统坏了怎么办”；ISO 21448 关注的是系统本身没有故障、但功能或性能受限于设计不足或可预见误用而引发的危害，即“系统没坏但不够聪明怎么办”。理解两者的边界与协同，是设计降级策略的前提。

一、核心原理：两类安全问题的分界

ISO 26262 的核心逻辑是：识别危害事件，评估其风险，分配 ASIL 等级，并通过安全机制将残余风险控制在可接受范围内。它假设危害来源于随机硬件失效、系统性失效或共因失效。ISO 21448 的核心逻辑是：在无故障条件下，由于传感器物理限制、算法能力边界、场景未覆盖或驾驶员误用，系统仍可能产生危害行为。它不追求“零故障”，而是追求“功能不足与可预见误用被充分识别并缓解”。

二、ASIL 等级：风险量化的标尺

ASIL（Automotive Safety Integrity Level）由三个维度决定：严重度 S、暴露率 E、可控性 C。三者组合后映射为 QM、ASIL A、ASIL B、ASIL C、ASIL D 五个等级，ASIL D 要求最严。ASIL 等级直接决定安全机制的设计强度、验证深度和降级策略的响应时间。

在故障降级设计中，ASIL 等级不是标签，而是约束。例如 ASIL D 的制动控制通常要求双通道冗余、交叉校验和独立监控；而 ASIL B 的感知融合模块可能只需降级到受限功能并发出接管请求。

三、安全生命周期与故障降级的映射

ISO 26262 的安全生命周期从概念阶段开始，经过系统开发、硬件开发、软件开发、生产运行，直到报废。故障降级并非只在运行阶段出现，而是贯穿整个生命周期：概念阶段定义降级目标，开发阶段实现降级机制，验证阶段确认降级有效性，运行阶段执行降级并记录数据。

图中展示了从概念阶段到生产运行的完整链路：每个阶段都向降级策略层输出约束，而 ISO 26262 与 ISO 21448 分别从“失效”和“性能不足/误用”两个方向汇入，最终形成统一的降级策略集。

四、案例场景：AEB 系统的降级设计

以自动紧急制动 AEB 为例。若毫米波雷达发生随机硬件失效，属于 ISO 26262 范畴，系统应检测到失效并降级到仅依靠摄像头的前向碰撞预警，同时点亮故障灯并请求驾驶员接管。若雷达和摄像头均正常，但在大雨天气下感知距离显著缩短，属于 ISO 21448 范畴，系统应识别性能边界，主动降低最高车速或提前发出接管请求，而不是等到无法制动时才退出。

降级触发条件示例：
- 雷达通信超时 > 100 ms        → ASIL D 降级：切换冗余通道
- 摄像头置信度 < 0.6 持续 2 s   → ASIL B 降级：限制 AEB 触发车速
- 雨量传感器识别大雨 + 能见度低  → SOTIF 降级：提前 3 s 请求接管
- 驾驶员长时间脱手              → 误用降级：逐级减速并靠边停车

五、常见误区与复盘

• 误区一：把 SOTIF 当成功能安全的子集。两者关注不同危害来源，不能互相替代。故障降级需要同时覆盖失效和性能不足。
• 误区二：ASIL 等级越高，降级越慢。实际上 ASIL D 要求更快的故障检测和更确定的降级响应，否则无法满足可控性要求。
• 误区三：降级就是退出功能。降级可以是性能受限、功能受限、请求接管或最小风险停车，退出只是其中一种。
• 误区四：只在运行阶段考虑降级。降级目标必须在概念阶段定义，在开发阶段实现，在验证阶段确认，否则运行阶段无法保证一致性。

综上，ISO 26262 与 ISO 21448 共同构成智能驾驶安全的两根支柱。ASIL 等级为故障降级提供了风险量化的标尺，安全生命周期为降级策略提供了从概念到运行的完整闭环。只有把失效降级与性能降级统一设计，才能让系统在异常和边界场景下依然保持可控、可预期、可接管。