1. 课程导入与风险分析工程定位
大家好，我是老张。做功能安全这行十几年了，今天咱们聊聊最基础的东西——功能安全到底是什么。
很多人一听到「安全」，第一反应是「这产品会不会爆炸？」或者「会不会漏电？」。嗯，这些属于本质安全，靠材料、绝缘、结构来保证。但功能安全不一样。
功能安全关注的是：系统出故障了，它还能不能安全地停下来？
说白了，就是当电子电气系统本身出错了——比如传感器坏了、芯片死机了、软件跑飞了——系统得有个「兜底」机制，不让它造成人身伤害。
1.1 什么是功能安全？
我习惯用一个例子来解释：
你开车时踩刹车，刹车踏板下面有个位置传感器。如果这个传感器坏了，信号传不到ECU，刹车就不工作——这很危险。
功能安全要求：传感器坏了，系统必须检测到这个故障，然后要么切换到备用传感器，要么点亮仪表盘警告灯，要么自动触发液压备份。总之，故障不能导致危害。
所以，功能安全的定义是：
功能安全 = 不存在由电子/电气系统功能异常导致的不可接受风险
核心思想：系统即使发生故障，也要把风险控制在可接受的水平。
这里有个关键点——功能安全不保证系统「不出错」，而是保证系统「出错后不出事」。你想想看，这和传统可靠性工程完全是两码事。
1.2 功能安全标准：IEC 61508 与 ISO 26262
说到标准，就绕不开两个名字：IEC 61508 和 ISO 26262。
IEC 61508 是功能安全的「老祖宗」，1998年发布，覆盖所有工业领域。它定义了一套通用的安全生命周期、风险等级（SIL）和技术要求。
ISO 26262 是汽车行业的「定制版」，2011年第一版，2018年第二版。它基于 IEC 61508，但专门针对乘用车，引入了 ASIL（汽车安全完整性等级） 的概念。
我当年从工业控制转到汽车行业时，最大的感受就是：ISO 26262 比 IEC 61508 更「较真」。它对开发流程、文档、工具认证的要求细得多。
下面这个表格可以帮你快速区分：
| 对比项 | IEC 61508 | ISO 26262 |
|---|---|---|
| 适用范围 | 所有工业领域 | 乘用车（≤3.5吨） |
| 风险等级 | SIL 1 ~ SIL 4 | ASIL A ~ ASIL D |
| 发布年份 | 1998（基础版） | 2011（第一版）/ 2018（第二版） |
| 核心关注 | 功能安全通用要求 | 汽车电子系统安全 |
| 生命周期模型 | 通用V模型 | 定制V模型 + 功能安全活动 |
个人经验：如果你刚开始学功能安全，我建议从 ISO 26262 入手。它更具体、案例更多，而且汽车行业对功能安全工程师的需求量最大。
1.3 功能安全生命周期
功能安全不是「写个文档就完事」的。它贯穿产品的整个生命周期——从概念设计到报废回收。
ISO 26262 把生命周期分成三个阶段：
- 概念阶段：定义功能、识别危险、确定安全目标
- 产品开发阶段：系统、硬件、软件的设计与验证
- 生产与运行阶段：制造、测试、维护、报废
每个阶段都有对应的安全活动。我刚开始做项目时，总觉得这些流程太繁琐。直到有一次，一个客户的产品在路试时出现了刹车助力失效——幸亏我们前期做了完整的FMEA和FTA，提前识别了风险，才没出大事。
嗯，从那以后，我再也不敢跳过任何一步了。
下面这张图展示了功能安全生命周期的核心流程：
1.4 为什么功能安全越来越重要？
原因很简单——汽车越来越「软」了。
以前的车，刹车是机械的，油门是拉线的。现在呢？线控刹车、线控转向、自动驾驶……全是电子系统在控制。
电子系统一旦出故障，后果可能很严重。我见过一个案例：某款车的ADAS摄像头在雨天误识别了路牌，导致车辆突然急刹车，后车追尾。幸好没有人员伤亡，但这件事直接推动了该企业全面引入ISO 26262流程。
所以，功能安全不是「加分项」，而是「准入门槛」。没有功能安全认证，很多车企根本不会采购你的零部件。
注意：功能安全不是「做完一次就完事」的。产品升级、软件OTA、硬件改版，都需要重新评估安全影响。我曾经见过一个团队因为改了MCU型号但没更新FMEA，结果在客户审核时被开了严重不符合项。
1.5 本章小结
咱们这一章主要讲了三个核心概念：
- 功能安全：系统故障时，风险可控
- 两大标准：IEC 61508（通用）和 ISO 26262（汽车专用）
- 安全生命周期：从概念到报废，每个阶段都有安全活动
这些是后面所有章节的基础。下一章咱们会深入讲危险分析与风险评估（HARA）——这是确定ASIL等级的关键步骤，也是FMEA和FTA的输入。
嗯，今天就到这儿。有问题随时交流。