4. 功能安全基础
在电驱逆变器的开发中，功能安全不是附加项，而是贯穿需求、设计、验证、生产与运维的系统性约束。理解 ISO 26262 与 IEC 61508 的关系、ASIL 等级的含义、安全生命周期的阶段划分，以及安全目标与安全需求的逐层分解，是后续开展硬件失效分析、软件安全机制设计和测试验证的前提。
一、ISO 26262 与 IEC 61508 的定位与关系
IEC 61508 是功能安全的通用基础标准，面向电气/电子/可编程电子安全相关系统，提出了安全生命周期、安全完整性等级（SIL）、风险降低与验证确认的通用框架。ISO 26262 则是在 IEC 61508 基础上针对道路车辆电子电气系统衍生的领域标准，将通用要求转化为汽车行业可执行的开发流程、工作产品和确认措施。
两者最直观的差异体现在完整性等级上：IEC 61508 使用 SIL 1～SIL 4，ISO 26262 使用 ASIL A～ASIL D，并额外设置 QM（质量管理）等级。ASIL 并非 SIL 的简单换算，而是基于危害事件的三维评估结果，更强调车辆运行场景与可控性。
二、ASIL 等级如何确定
ASIL 等级由危害事件的三要素共同决定：严重度（S）、暴露率（E）和可控性（C）。严重度描述伤害程度，暴露率描述运行场景出现的概率，可控性描述驾驶员或其他人员避免伤害的能力。三者组合后映射到 QM、ASIL A、ASIL B、ASIL C、ASIL D，其中 ASIL D 要求最严格。
| 等级 | 典型含义 | 对电驱逆变器的常见影响 |
|---|---|---|
| QM | 无功能安全要求，按质量管理流程开发 | 非安全相关附件、诊断记录等 |
| ASIL A | 较低完整性要求 | 低风险状态提示、非关键限值监控 |
| ASIL B | 中等完整性要求 | 部分传感器合理性检查、降额策略 |
| ASIL C | 较高完整性要求 | 转矩监控、主动短路、过流保护 |
| ASIL D | 最高完整性要求 | 防止非预期转矩输出、安全关断路径 |
需要特别注意的是，ASIL 等级是针对“危害事件”而非针对“某个零件”确定的。同一个逆变器可能同时承担 ASIL D 的转矩安全目标和 ASIL B 的过温保护目标，因此后续开发必须按不同安全目标分别管理。
三、安全生命周期与安全目标、安全需求的分解
ISO 26262 的安全生命周期从概念阶段开始，经过系统开发、硬件开发、软件开发、生产运行，直到报废与退役。其核心逻辑是：先由危害分析与风险评估确定安全目标，再将安全目标分解为功能安全需求，进一步分配到系统、硬件和软件层面。
安全目标是最顶层的安全意图，例如“避免逆变器输出非预期转矩导致车辆意外加速”。功能安全需求将安全目标转化为功能层面的行为要求，例如“系统应在检测到转矩偏差超限时进入安全状态”。技术安全需求则进一步落到具体实现，例如“采用两路独立电流采样，在 10 ms 内比较偏差并触发 PWM 关断”。
四、案例场景：逆变器过流保护的安全需求分解
以电驱逆变器过流保护为例，假设危害事件为“功率模块过流导致热失控并引发车辆起火”，评估后确定为 ASIL C。其分解过程如下：
- 安全目标：防止功率模块持续过流导致热失控。
- 功能安全需求：系统应在过流发生后 5 ms 内限制电流或关断输出。
- 技术安全需求：电流采样链路具备冗余比较；关断路径独立于主控制 MCU；故障响应时间不超过 3 ms。
- 验证措施：故障注入测试、响应时间测量、安全机制诊断覆盖率评估。
安全目标 SG-01：防止逆变器非预期转矩输出
ASIL：D
安全状态：主动短路或自由停车
故障容错时间间隔 FTTI：100 ms
功能安全需求 FSR-01：
系统应在 50 ms 内检测转矩偏差超过阈值
并进入安全状态
技术安全需求 TSR-01：
采用双路独立转矩估算
TSR-02：
关断路径具备独立电源与看门狗
TSR-03：
诊断覆盖率 DC ≥ 90%五、常见误区与复盘要点
复盘时建议重点检查三点：第一，安全目标是否可追溯到危害事件与 ASIL 评估结果；第二，功能安全需求是否完整覆盖安全目标的全部安全状态；第三，技术安全需求是否分配到具体的硬件或软件元素，并有对应的验证证据。只有形成“危害—安全目标—功能安全需求—技术安全需求—验证证据”的闭环，功能安全开发才具备可审计性和可交付性。
对于电驱逆变器而言，ASIL D 的转矩安全目标通常需要硬件冗余、软件监控和独立关断路径协同实现。理解 ISO 26262 与 IEC 61508 的定位差异，掌握 ASIL 评估逻辑和安全需求分解方法，是后续开展安全机制设计、FMEDA 分析和功能安全测试的基础。