1. 功能安全概述：ISO 26262背景、功能安全定义、ASIL等级划分、功能安全生命周期
各位同学，欢迎来到《ISO 26262功能安全概念阶段实践精讲》。我是你们这门课的老朋友，一个在汽车电子领域摸爬滚打了十几年的工程师。
咱们第一讲，先不急着上手干活。得把地基打牢。功能安全这东西，说白了就是一套系统性的“防错”和“容错”方法论。你想想看，一辆车在高速上跑着，电子系统突然抽风了，刹车失灵或者方向盘乱转，那后果不堪设想。ISO 26262就是为了防止这种“万一”而生的国际标准。
核心认知：功能安全不是“不出故障”，而是“即使出了故障，系统也能把风险控制在可接受的范围内”。
1.1 ISO 26262的来龙去脉
ISO 26262的全称是“Road vehicles — Functional safety”。它脱胎于工业领域的IEC 61508标准，专门为汽车行业量身定制。我记得最早接触这个标准是在2011年，那时候国内做功能安全的团队凤毛麟角，大家都是在摸着石头过河。
这个标准覆盖了从概念设计到报废的全过程。它不关心你的芯片有多快、代码有多炫，它只关心一件事：当系统发生故障时，会不会伤害到人？
为什么要有这个标准？原因很简单：
- 电子系统越来越复杂：一辆现代汽车有上百个ECU，几千万行代码。靠人工测试根本测不过来。
- 系统之间深度耦合：ACC自适应巡航、AEB自动紧急制动、LKA车道保持……这些功能一旦出问题，就是人命关天。
- 供应链全球化：你用的芯片可能是德国的，软件是印度的，集成是在中国。没有统一的标准，出了问题谁负责？
我的经验：刚入行时，我总觉得功能安全是“文档工程”，浪费时间。直到有一次，我在做EPS（电动助力转向）项目时，发现一个潜在的扭矩监控漏洞——如果扭矩传感器失效，系统会误判驾驶员意图。幸亏当时按照26262的要求做了HARA（危害分析与风险评估），提前发现了问题。从那以后，我再也不敢轻视任何一份安全文档。
1.2 功能安全的定义：到底什么是“安全”？
咱们得把概念掰扯清楚。功能安全（Functional Safety）的定义是：不存在由电气/电子系统的功能异常表现所导致的不合理风险。
这里有两个关键词：
- 功能异常表现：不是硬件坏了，而是系统执行了错误的功能。比如，你踩刹车，系统却给了加速信号。
- 不合理风险：风险永远存在，但“不合理”意味着超出了社会可接受的范围。比如，刹车偶尔失效一次，和刹车每十次就失效一次，性质完全不同。
我习惯把功能安全理解为“系统的自我保护机制”。它通过一系列技术手段——比如冗余设计、故障检测、安全状态切换——来确保系统在发生故障时，不会对人员造成伤害。
1.3 ASIL等级划分：你的系统有多“危险”？
ASIL，全称是Automotive Safety Integrity Level，汽车安全完整性等级。它是ISO 26262的核心概念之一。说白了，就是给系统的危险程度定个级。
ASIL等级分为四个级别：ASIL A、ASIL B、ASIL C、ASIL D。其中ASIL D是最严格的，要求也最高。还有一个QM（Quality Management），意思是“按质量管理做就行，不需要额外安全措施”。
等级怎么定？看三个参数：
| 参数 | 含义 | 等级 |
|---|---|---|
| S（Severity） | 伤害的严重程度 | S0（无伤害）~ S3（致命） |
| E（Exposure） | 危险场景发生的概率 | E0（几乎不）~ E4（非常高） |
| C（Controllability） | 驾驶员或其他人控制风险的能力 | C0（完全可控）~ C3（几乎不可控） |
举个例子：AEB自动紧急制动。如果它误触发，在高速上突然急刹车，后果可能是追尾甚至翻车。严重程度S3，暴露概率E4（城市路况经常遇到），可控性C3（驾驶员很难预判和干预）。三个参数组合，最终定级就是ASIL D。
避坑指南：我曾经见过一个团队，为了降低开发成本，故意把ASIL等级往低了评。比如把“严重程度S3”硬说成“S2”。这种做法非常危险。一旦出了事故，法律追责时，你的ASIL评级文档就是呈堂证供。评级必须实事求是，不能为了省钱而牺牲安全。
1.4 功能安全生命周期：从摇篮到坟墓
功能安全不是一锤子买卖，而是一个贯穿产品全生命周期的过程。ISO 26262把整个过程分成了几个阶段：
- 概念阶段：定义功能、识别危害、制定安全目标。这是咱们这门课的重点。
- 产品开发阶段：系统级、硬件级、软件级的设计与实现。
- 生产与运行阶段：制造、测试、维护、报废。
每个阶段都有对应的活动和产出物。比如概念阶段要输出HARA报告、安全目标、功能安全概念（FSC）。产品开发阶段要输出安全需求、架构设计、验证报告。
下面这张图，是我自己画的，把整个生命周期串了一遍：
你看，这个生命周期不是线性的，而是有反馈环的。比如在产品开发阶段发现概念阶段的安全目标不合理，就需要回溯修改。我参与过一个项目，在软件实现阶段发现硬件选型无法满足ASIL D的指标，结果不得不回到概念阶段重新做HARA，重新定安全目标。那叫一个折腾。所以，概念阶段的工作一定要做扎实，否则后面全是坑。
1.5 本章小结
咱们这一讲，把功能安全的几个核心概念捋了一遍：
- ISO 26262 是汽车行业的功能安全标准，覆盖全生命周期。
- 功能安全 的核心是“控制不合理风险”，不是“零故障”。
- ASIL等级 由S、E、C三个参数决定，等级越高，要求越严。
- 功能安全生命周期 是一个从概念到报废的完整过程，有输入、有输出、有反馈。