第二节 功能安全基础：安全、风险、危害、功能安全概念与ISO 26262框架
功能安全并非一个抽象的管理学名词，而是一套以“风险可控”为核心的工程方法论。在汽车电子领域，一个刹车信号延迟 10ms、一个电池管理芯片误判过温、一段自动驾驶代码在极端工况下输出错误转向指令，都可能造成人身伤害。理解功能安全，首先需要厘清“安全”“风险”“危害”这三个极易混淆的基础概念，并在此基础上把握 ISO 26262 标准的起源逻辑与整体框架。本节将围绕这些核心概念展开，帮助学员建立功能安全的底层思维模型。
2.1 核心概念辨析：安全、风险与危害
在功能安全语境下，安全（Safety）并非“不发生事故”的状态，而是指不存在不可接受的风险。这一哲学定义来自 IEC 61508（功能安全基础标准），ISO 26262 完全继承了该理念。安全在工程上不存在——任何机械、电气或软件系统都存在失效可能，功能安全的目标是将风险降低到社会可接受的水平。
危害（Hazard）是指由系统故障或环境扰动引发的潜在物理伤害源。例如，动力电池热失控、转向系统锁死、ADAS 摄像头误识别等。危害本身不是事故，而是事故的“种子”。风险（Risk）则是危害发生的概率与严重度的组合，通常用公式表达为：
风险 = 危害严重度 (Severity) × 暴露概率 (Exposure) × 可控性 (Controllability)ISO 26262 正是通过量化这三个维度，将风险映射为 ASIL（Automotive Safety Integrity Level，汽车安全完整性等级）A/B/C/D 四个等级，其中 ASIL D 代表最高风险（如非预期加速导致碰撞），ASIL A 代表最低风险（如轻微不适感）。
2.2 功能安全概念与安全目标
功能安全概念（Functional Safety Concept, FSC）是 ISO 26262 中承上启下的关键环节。它定义了在系统层面如何通过功能措施（如冗余、监控、降级策略）来满足安全目标。FSC 的输入是安全目标（Safety Goal），输出是功能安全需求（Functional Safety Requirements, FSR）。
以电动助力转向系统（EPS）为例，其安全目标可能是“避免非预期转向导致车辆偏离车道”，对应 ASIL D。功能安全概念则进一步细化：
- 检测机制：通过扭矩传感器与电机位置传感器交叉校验，检测扭矩信号异常。
- 响应机制：当检测到异常时，在 50ms 内切断助力输出，并点亮仪表盘故障灯。
- 降级策略：保留基础机械转向能力，确保驾驶员仍可控制车辆。
这些功能安全需求随后被分配到硬件和软件组件，形成技术安全需求（TSR）。整个链条从“危害分析”到“安全目标”再到“功能安全概念”，构成了 ISO 26262 第一部分（Part 3）到第四部分（Part 4）的核心工作流。
2.3 ISO 26262 标准起源与整体框架
ISO 26262 的诞生源于汽车电子复杂度爆炸式增长。2000 年代初，一辆高端汽车包含约 100 个 ECU（电子控制单元），软件代码量超过 1 亿行。传统基于测试的质量保障方法已无法覆盖所有失效场景。2011 年，国际标准化组织（ISO）正式发布 ISO 26262 第一版，其母标准为 IEC 61508。2018 年发布第二版，新增了半导体、自动驾驶、摩托车等领域的指导。
ISO 26262 的整体框架由 12 个部分组成，覆盖从概念阶段到报废的全生命周期：
| 部分 | 内容 | 关键输出 |
|---|---|---|
| Part 1 | 术语与定义 | 统一词汇表 |
| Part 2 | 功能安全管理 | 安全计划、评审流程 |
| Part 3 | 概念阶段 | 危害分析、安全目标、FSC |
| Part 4 | 系统级开发 | 技术安全需求、系统设计 |
| Part 5 | 硬件级开发 | 硬件设计、FMEDA、硬件集成 |
| Part 6 | 软件级开发 | 软件架构、单元设计、代码实现 |
| Part 7 | 生产与运行 | 生产控制、售后监控 |
| Part 8 | 支持过程 | 配置管理、变更管理、验证 |
| Part 9 | ASIL 导向分析 | ASIL 分解、冗余分析 |
| Part 10 | ISO 26262 指南 | 应用解释 |
| Part 11 | 半导体应用指南 | 芯片级功能安全 |
| Part 12 | 摩托车适用性 | 摩托车特殊要求 |
该框架的核心逻辑是“V 模型”：左侧为自上而下的需求分解（从安全目标到软件单元），右侧为自下而上的集成验证（从单元测试到整车确认）。每一层级都有明确的“安全验证”活动，确保需求被正确实现且无遗漏。
2.4 案例拆解：从危害到安全目标的完整推导
为帮助学员理解概念如何落地，我们以车载 48V 轻混系统（BSG 电机）为例，完整走一遍功能安全概念推导流程。
背景与约束：某主机厂开发一款 48V BSG 电机，用于启停和扭矩辅助。电机控制器由 MCU、IGBT 驱动、电流传感器组成。系统约束：成本敏感，不能采用双 MCU 冗余；电机峰值功率 12kW；整车要求 ASIL B 等级。
初始现象：在台架测试中，工程师发现当电流传感器受到电磁干扰时，MCU 读取的电流值偏低 30%，导致实际输出扭矩超出目标扭矩 20%。
分析过程：
- 危害识别：非预期扭矩输出可能导致车辆突然加速，在拥堵路况下可能与前车碰撞。
- 风险量化：严重度 S=3（可能致命），暴露概率 E=3（频繁暴露于拥堵工况），可控性 C=2（驾驶员通常可控制但需快速反应）。查表得 ASIL B。
- 安全目标定义：SG1：避免非预期扭矩输出导致车辆失控，ASIL B。
- 功能安全概念：FSR1：当检测到电流传感器信号异常时，在 20ms 内将电机扭矩限制为 0 Nm；FSR2：MCU 每 10ms 执行一次电流传感器合理性检查（与电机模型估算值对比，偏差超过 15% 即判定异常）。
实际操作与结果：在硬件层面增加一个简单的 RC 滤波电路（截止频率 10kHz）抑制电磁干扰，同时在软件中增加基于电机反电动势的电流估算模型作为冗余校验。最终，故障注入测试中，注入 1V 共模干扰时，系统在 15ms 内完成降级，满足安全目标。
复盘经验：该案例揭示了功能安全概念设计的三个关键点：一是“检测-响应-降级”闭环必须完整；二是安全机制本身也可能失效，因此需要“诊断覆盖率”评估；三是成本约束下，通过软件冗余（模型估算）替代硬件冗余是可行路径，但需额外验证估算模型的准确性。
2.5 总结与复盘
本节的核心逻辑可归纳为一条链：危害 → 风险 → 安全目标 → 功能安全概念 → 技术需求。理解这条链的关键在于：
- 安全是相对的：不存在零风险，只存在可接受风险。
- ASIL 是风险度量：由严重度、暴露度、可控性三个维度决定，而非由工程师主观判断。
- 功能安全概念是桥梁：它将抽象的安全目标转化为具体的检测、响应、降级机制。
- ISO 26262 是流程框架：它不规定具体技术方案，而是规定“如何证明你的方案是安全的”。