1. 功能安全概述：ISO 26262 起源与发展
各位同学，咱们今天聊聊功能安全的“根”。
我入行那会儿，功能安全还是个挺“小众”的概念。大家更关心的是屏幕流不流畅、语音灵不灵敏。直到有一次，我参与的项目在路测时，仪表盘突然黑屏——车速、续航、故障灯全没了。司机慌了，一脚急刹，差点追尾。
嗯，从那以后，我彻底明白了：智能座舱不只是“好玩”，它首先得“安全”。
1.1 ISO 26262 从哪来？
ISO 26262 不是凭空冒出来的。它的“老祖宗”是 IEC 61508，那是工业领域的功能安全通用标准。汽车行业觉得，工业标准太宽泛，不够“接地气”，于是在 2011 年推出了第一版 ISO 26262。
说白了，这就是一本给汽车电子系统写的“安全设计说明书”。
到了 2018 年，第二版发布，覆盖范围从乘用车扩展到了卡车、巴士、摩托车。更重要的是，它明确把智能座舱这类“安全相关”系统纳入了管辖范围。
核心观点：ISO 26262 不是束缚创新的枷锁，而是避免“翻车”的护栏。它帮你系统性地识别风险，而不是靠“拍脑袋”或者“撞大运”。
1.2 为什么智能座舱必须讲功能安全？
你可能会问：“座舱不就是个娱乐屏吗？跟安全有什么关系？”
关系大了去了。我举个例子：
- 仪表盘黑屏：你连车速都看不到，怎么判断是否超速？
- ADAS 报警失效：前方碰撞预警不响了，你以为是安全的，其实危险就在眼前。
- 电子后视镜卡顿：变道时画面延迟 1 秒，后果不堪设想。
你看，这些都不是“体验问题”，而是人命关天的安全问题。智能座舱正在从“信息娱乐终端”变成“人车交互的核心枢纽”。它接管了越来越多的驾驶相关功能，所以必须按功能安全的规矩来设计。
避坑指南：我曾经见过一个团队，把仪表盘的故障显示功能当成“非安全相关”来处理。结果在评审时被安全工程师怼得哑口无言。记住：任何能影响驾驶员判断或车辆控制的功能，都要先问一句“它失效了会怎样？”
1.3 ASIL 等级：给风险“定级”
ASIL 全称是 Automotive Safety Integrity Level，汽车安全完整性等级。它把风险分成了四个档次：
| ASIL 等级 | 风险程度 | 典型座舱功能举例 |
|---|---|---|
| ASIL D | 最高风险，危及生命 | 制动信号显示、ADAS 报警 |
| ASIL C | 高风险，严重伤害 | 车速表、电子换挡指示 |
| ASIL B | 中等风险，可能受伤 | 倒车影像、盲区监测 |
| ASIL A | 低风险，轻微不适 | 空调控制、座椅调节 |
| QM | 无安全影响 | 音乐播放、氛围灯 |
怎么定级？看三个因素：严重度（S）、暴露概率（E）、可控性（C）。打个比方：
- 严重度：失效了，人会死吗？还是只是擦破皮？
- 暴露概率：这种情况常见吗？天天遇到还是十年一次？
- 可控性：驾驶员能反应过来吗？还是完全没救？
三个因素组合，查表就能得到 ASIL 等级。我个人习惯是，先按最坏情况估一个等级，再跟安全团队一起讨论调整。别自己闷头算，容易算偏。
小技巧：如果你不确定某个功能该定什么 ASIL，可以问自己一个问题：“这个功能失效了，驾驶员会不会在 2 秒内做出错误决策？”如果答案是“会”，那至少是 ASIL B 起步。
1.4 知识体系总览
下面这张图，是我自己梳理的本章知识结构。你可以把它当成一张“地图”，后面每讲一个知识点，都能在这张图上找到位置。
这张图把本章的三个核心模块串起来了。你可以看到，ASIL 等级是连接“风险分析”和“设计实现”的桥梁。后面我们讲具体设计方法时，会反复用到这个等级。
1.5 本章小结
咱们这一章，主要干了三件事：
- 搞清楚了 ISO 26262 的来龙去脉——它从工业标准演化而来，专门为汽车电子系统服务。
- 明白了智能座舱为什么必须讲功能安全——因为它已经深度参与驾驶决策，失效就是事故。
- 掌握了 ASIL 等级的基本概念——通过 S、E、C 三个维度给风险定级，指导后续设计。
我个人觉得，这一章最重要的不是记住那些定义，而是建立一种“安全思维”。以后你设计任何一个座舱功能，都会下意识地问一句：“这玩意儿失效了，会死人吗？”
嗯，有了这个意识，后面的路就好走了。