1. 课程导入与功能安全概览
在汽车电子电气系统开发中，功能安全并不是一个附加的“质量选项”，而是与产品能否合法上市、能否被整车厂接受直接相关的工程约束。ISO 26262 是道路车辆功能安全的国际标准，它关注的不是“系统能不能工作”，而是“当系统发生故障时，是否仍能把风险控制在可接受范围内”。本课程围绕 Stateflow 模型开发展开，因此第一步必须把标准中的核心概念、安全生命周期、ASIL 等级，以及 Stateflow 在其中的定位讲清楚，否则后续的建模、验证与追溯都会失去判断依据。
一、ISO 26262 的核心术语
ISO 26262 的术语体系是后续所有工作的共同语言。最常被混淆的是“故障—错误—失效”这一链条。故障（Fault）是系统或部件中可能导致错误的异常状态，例如某个传感器信号线短路；错误（Error）是故障在运行中表现出的不正确内部状态，例如控制器读到的车速值偏离真实值；失效（Failure）是错误最终导致的功能终止或功能异常，例如制动助力功能输出错误扭矩。功能安全的目标不是消灭所有故障，而是通过安全机制阻止故障演化为不可接受的失效。
与之配套的还有几个关键概念：安全目标（Safety Goal）是顶层安全需求，描述必须避免的危害，例如“避免非预期的制动扭矩输出”；功能安全概念（FSC）把安全目标分配到系统架构和功能层面；技术安全概念（TSC）进一步落到硬件与软件的具体实现；安全机制（Safety Mechanism）是用于检测、控制或缓解故障的技术手段，例如看门狗、冗余校验、范围检查；安全状态（Safe State）是系统在检测到危险后进入的、风险可接受的状态，例如关闭输出、进入降级模式。这些术语在 Stateflow 模型中会以状态、转移条件、监控逻辑的形式出现，因此必须与模型元素建立对应关系。
二、安全生命周期：从概念到报废
ISO 26262 的安全生命周期覆盖了从概念阶段到产品报废的全过程。它不是一个线性瀑布，而是带有迭代和追溯的闭环。典型阶段包括：相关项定义（Item Definition）、危害分析与风险评估（HARA）、安全目标制定、功能安全概念、技术安全概念、系统与软硬件开发、集成与验证、安全确认、生产与运行、直至退役。每个阶段都有对应的输入、输出和验证活动，并且要求双向追溯：从安全目标可以追到具体实现，从代码或模型也能反查到它满足哪条安全需求。
对模型开发者而言，最需要关注的是“安全需求如何进入模型”以及“模型如何证明满足需求”。在 Stateflow 中，这通常体现为：安全机制被建模为监控状态或并行状态；故障检测条件被写成转移条件；安全状态被建模为独立状态或状态组；需求追溯通过模型与需求管理工具的链接实现。安全生命周期不是文档流程，而是决定模型结构、状态划分和验证策略的工程框架。
三、ASIL 等级划分与影响
ASIL（Automotive Safety Integrity Level）是危害分析与风险评估的结果，分为 A、B、C、D 四个等级，D 最高。它由三个维度决定：严重度（S，S0–S3）、暴露率（E，E0–E4）和可控性（C，C0–C3）。三者组合后通过标准中的映射表确定 ASIL 等级。ASIL 等级直接影响开发要求：等级越高，对需求完整性、设计冗余、验证覆盖、工具置信度和独立评审的要求越严格。
在模型层面，ASIL 会影响 Stateflow 的建模约束。例如 ASIL D 通常要求避免单点故障、使用冗余监控、限制状态机复杂度、提高测试覆盖率，并对建模工具本身进行工具鉴定。ASIL A 则相对宽松，但仍需保证安全机制可验证。需要强调的是，ASIL 是分配给安全目标的，而不是分配给整个系统的；同一个系统内不同功能可以有不同的 ASIL 等级，这决定了模型中不同状态和逻辑的验证强度可以不同。
四、Stateflow 在功能安全模型开发中的定位
Stateflow 是 MATLAB/Simulink 环境中的状态机与流程图建模工具，特别适合表达模式切换、故障处理、状态监控和降级逻辑。在功能安全开发中，它的价值主要体现在三个方面：第一，它能把安全机制中的“检测—判断—响应”逻辑显式地表达为状态和转移，便于评审和验证；第二，它支持与 Simulink 模型、需求管理工具和测试工具的集成，便于实现需求追溯和自动化测试；第三，它可以通过模型检查、覆盖率分析和形式化验证手段，证明安全逻辑在特定条件下不会进入危险状态。
但 Stateflow 本身不是安全保证。它只是建模载体，安全与否取决于模型是否准确表达了安全需求、是否覆盖了故障场景、是否经过充分验证。因此，在功能安全项目中，Stateflow 模型必须与安全生命周期中的需求、架构、验证活动绑定，而不是孤立地“画状态图”。
五、从标准到模型的落地要点
把上述概念落到实际项目中，需要建立一条清晰的映射链。以“避免非预期制动扭矩输出”这一安全目标为例，假设 HARA 评估结果为 ASIL D，那么技术安全概念可能要求：在扭矩输出通道上增加独立监控，检测到偏差超过阈值时在 20 ms 内关闭输出并进入安全状态。对应到 Stateflow 模型，可以设计一个并行监控状态：正常状态负责输出使能，监控状态持续比较指令扭矩与反馈扭矩；当偏差绝对值大于标定阈值（示例中取 5 N·m）且持续超过 3 个采样周期时，触发转移进入“扭矩切断”安全状态，并将故障标志置位。
这个过程中，模型需要明确几个可验证的观察点：监控状态是否独立于功能状态；转移条件是否覆盖了传感器漂移、通信丢失和计算错误三类故障；安全状态是否在指定时间内可达；故障标志是否被正确记录并可供诊断读取。验证时，可以通过注入偏差信号观察状态转移是否在 20 ms 内发生，并通过覆盖率分析确认所有故障分支都被执行。这些内容将在后续章节逐步展开，但前提是理解本节建立的概念框架。