1. 课程导入与功能安全全景

在汽车电子领域，功能安全不是一个可选项，而是产品能否合法上路、能否被整车厂接受的前提条件。ISO 26262 作为道路车辆功能安全的国际标准，定义了从概念阶段到报废阶段的完整安全生命周期。本课程围绕 Renesas RH850 系列微控制器，讲解如何在其上构建符合 ISO 26262 要求的软件架构，并通过系统化的验证工程证明安全目标确实达成。

ISO 26262 的核心概念

理解 ISO 26262，首先要抓住几个贯穿全标准的核心概念。第一个是安全目标（Safety Goal）：它是对某一危害事件的顶层安全要求，例如"避免因电机控制器输出异常扭矩导致车辆非预期加速"。安全目标不描述如何实现，只描述必须避免什么。第二个是汽车安全完整性等级（ASIL），从 A 到 D 逐级递增，D 级要求最严。ASIL 由危害事件的严重度（S）、暴露率（E）和可控性（C）三个维度共同决定，例如 S3+E4+C3 对应 ASIL D。第三个是安全状态（Safe State），即系统检测到故障后能够进入的、不会造成不可接受风险的状态，常见形式包括关闭输出、进入降级运行模式或切断功率级。

与安全目标对应的是功能安全需求（FSR）和技术安全需求（TSR）。FSR 是从安全目标分解到功能层面的需求，TSR 则进一步分解到硬件和软件层面。在 RH850 项目中，TSR 会具体化为"看门狗必须在 10 ms 内检测到 CPU 锁步比较错误并触发复位"这类可验证的条目。此外，故障容错时间间隔（FTTI）是另一个关键参数：从故障发生到危害事件可能发生之间的时间窗口，安全机制必须在 FTTI 内完成故障检测与响应。

RH850 在安全相关系统中的定位

RH850 是 Renesas 面向汽车控制应用的主力 MCU 系列，广泛用于车身控制、底盘控制、电机控制和域控制器。其功能安全特性主要围绕 Lockstep CPU、ECC 保护存储器、时钟监控、看门狗、电压监控和安全诊断模块构建。以 RH850/U2A 或 RH850/P1x 为例，双核锁步结构让主核与校验核执行相同指令流，通过比较器实时检测差异；Flash 和 RAM 均带 ECC，可纠正单比特错误并检测双比特错误；ECM（Error Control Module）负责采集各类错误源并触发中断或复位。

在安全相关系统中，RH850 通常承担"执行安全机制"和"运行安全应用"的双重角色。它既要在正常运行时完成控制算法，又要在故障发生时快速进入安全状态。因此，软件架构必须把安全机制与应用逻辑清晰分离，并保证安全机制本身不被应用逻辑干扰。这也是后续章节要展开的核心设计原则。

软件架构与验证工程的整体学习地图

本课程的学习路径可以概括为"一条主线、两个视角、三层递进"。一条主线是安全需求的逐层落地：从安全目标出发，经过 FSR、TSR，最终落实到 RH850 上的具体软件模块和硬件机制。两个视角分别是架构视角和验证视角：架构视角关注"软件怎么组织才能满足安全要求"，验证视角关注"如何证明架构确实有效"。

三层递进则对应课程的三个主要阶段。第一层是基础层，包括 ISO 26262 概念、ASIL 定级方法、RH850 安全硬件特性，以及安全软件架构的基本原则（如免干扰、分区、冗余）。第二层是实现层，涉及安全机制的具体实现，例如锁步错误处理、ECC 错误注入与响应、看门狗配置、时钟监控策略、安全状态切换逻辑，以及软件分区与内存保护配置。第三层是验证层，包括故障注入测试方法、诊断覆盖率计算、FTTI 时序分析、安全机制有效性评估，以及最终的安全案例（Safety Case）构建。