3. 功能安全与预期功能安全面试题
第 3 章 · 功能安全与预期功能安全
ISO 26262 · SOTIF · ASIL · 安全生命周期
面试实战题库
3 个高频问答
1 个核心关系图
🔍 自动驾驶冗余安全岗位面试中，功能安全（FuSa）与预期功能安全（SOTIF）是必考双翼。面试官不仅考察标准条款记忆，更关注你能否在冗余设计、安全机制、ASIL 分解中做出工程权衡。
💡 本章围绕 ISO 26262 安全生命周期、ASIL 等级与分解、SOTIF 与 FuSa 的边界展开，用 3 个问答卡片 + 1 张核心关系图，帮你建立结构化应答框架。
请解释 ISO 26262 中的安全生命周期，并说明在冗余安全设计中如何落地？
回答框架
1. 定义安全生命周期
2. 关键阶段与交付物
3. 冗余设计切入点
4. 举例说明
示例回答：安全生命周期覆盖概念、系统开发、硬件/软件开发、验证确认、生产运行等阶段。冗余设计在概念阶段定义安全目标，系统阶段设计双核锁步或异构冗余，验证阶段通过故障注入确认覆盖率。例如制动冗余采用双绕组电机+独立电源，满足 ASIL D。
可能追问：安全生命周期中哪个阶段最容易出问题？如何确保冗余机制在运行阶段持续有效？
避坑提醒：不要只背阶段名称，要结合冗余设计的具体活动（如 FMEA、DFA）说明，避免空洞。
ASIL 等级如何确定？ASIL 分解有哪些原则和常见误区？
回答框架
1. S/E/C 参数
2. ASIL 查表
3. 分解原则
4. 冗余设计案例
示例回答：ASIL 由严重度 S、暴露率 E、可控性 C 查表确定。分解需满足独立性、无共因失效，且子元素 ASIL 等级之和覆盖原等级。例如 ASIL D 可分解为 ASIL B(D)+ASIL B(D)。冗余设计中常用双通道独立实现，但需注意共因失效分析。
可能追问：ASIL 分解后如何验证独立性？如果两个通道共享电源，还能分解吗？
避坑提醒：不要忽略共因失效，分解不是简单降级，必须证明独立性。
SOTIF 与 ISO 26262 有什么区别？在自动驾驶冗余安全中如何协同？
回答框架
1. 定义差异
2. 互补关系
3. 冗余设计协同
4. 场景举例
示例回答：ISO 26262 解决系统性失效和随机硬件失效，SOTIF 解决性能局限和可预见误用。冗余安全中，FuSa 保证故障时进入安全状态，SOTIF 保证无故障时系统仍能应对长尾场景。例如感知冗余既需满足 ASIL 分解，也需通过 SOTIF 场景验证。
可能追问：SOTIF 的验证策略与 FuSa 的验证有何不同？如何量化 SOTIF 的残余风险？
避坑提醒：不要将 SOTIF 等同于功能安全，二者互补但目标不同，避免混淆。
项目案例模板 · 冗余安全设计实战
项目名称
L3 自动驾驶域控制器冗余安全设计
业务背景
满足 ISO 26262 ASIL D 与 SOTIF 要求，实现制动与转向冗余
规模指标
双核锁步 MCU + 异构 SoC，故障覆盖率 >99%，SOTIF 场景库 5000+
技术栈
AUTOSAR、ISO 26262、SOTIF、FMEA、DFA、故障注入
核心难点
ASIL D 分解后的共因失效分析；SOTIF 长尾场景的冗余感知融合策略；安全机制与性能的平衡
面试高频追问
1. 如何证明双通道独立性？ 2. SOTIF 场景如何覆盖？ 3. 故障注入测试如何设计？ 4. 安全生命周期各阶段交付物？
可迁移回答话术
“在冗余安全设计中，我始终以安全生命周期为主线，先定义安全目标，再通过 ASIL 分解和 SOTIF 场景分析，设计独立冗余通道，最后用故障注入和场景测试闭环验证，确保系统在故障和性能局限下均能安全运行。”
《自动驾驶冗余安全工程师面试实战题库》· 第 3 章 · 结构化面试资料，可扫读、可复习