1. 功能安全概述：汽车电子功能安全背景、ISO 26262标准起源与发展、功能安全的核心概念
1.1 为什么我们需要功能安全？
先聊点实际的。你想想看，十年前开车，车子坏了最多是抛锚。现在呢？一个刹车系统的软件bug，可能直接导致碰撞。这不是危言耸听，我在2016年参与过一个项目，客户反馈车辆在高速上突然动力中断，查了三个月，最后发现是ASIL分解时一个安全机制没覆盖到。
汽车电子系统越来越复杂。一辆高端车有上百个ECU，几千万行代码。这些东西一旦出故障，后果可能是致命的。所以，我们需要一套方法论来系统性地管理这些风险。这就是功能安全的由来。
核心观点：功能安全不是让系统不出故障，而是确保即使出了故障，系统也能把危害控制在可接受的范围内。
1.2 ISO 26262标准的起源与发展
ISO 26262这个标准，说白了是从IEC 61508（工业领域的功能安全标准）衍生出来的。2011年发布了第一版，2018年发布了第二版。我个人习惯把这两个版本做个对比，这样更容易理解它的演进逻辑。
| 对比项 | ISO 26262:2011（第一版） | ISO 26262:2018（第二版） |
|---|---|---|
| 适用范围 | 乘用车（≤3.5吨） | 所有道路车辆（含卡车、巴士、摩托车） |
| 半导体覆盖 | 基本没有 | 新增Part 11（半导体指南） |
| ASIL分解 | 有，但较模糊 | 更清晰，增加了分解后的验证要求 |
| 软件工具置信度 | 简单分类 | 引入Tool Confidence Level（TCL） |
| 生产与运维 | 仅提及 | 新增Part 7（生产、运行、服务、报废） |
我记得2018版刚出来时，很多同行抱怨又要重新学。但说实话，第二版确实解决了很多第一版遗留的灰色地带。比如半导体这块，以前做MCU开发时，我们经常为「这个失效模式算不算安全相关」吵半天，现在Part 11给出了明确的指导。
我的建议：如果你刚接触ISO 26262，直接学2018版。但如果你要维护老项目，2011版的一些概念还是得懂，因为很多OEM的旧项目还是按第一版做的认证。
1.3 功能安全的核心概念
这部分是基础中的基础。我见过不少工程师，做了两三年功能安全，但问他「危害」和「风险」的区别，还是说不清楚。咱们今天一次性理清。
1.3.1 危害（Hazard）
危害是系统在特定运行场景下，可能对人造成伤害的潜在源。注意两个关键词：特定场景和潜在。
举个例子：
- 危害：车辆在高速行驶时，制动系统突然失效。
- 危害：车辆在倒车时，倒车影像延迟超过2秒。
同一个功能失效，在不同场景下，危害程度完全不同。我在做EPS（电动助力转向）项目时，就遇到过这种情况：低速泊车时转向助力丢失，危害等级很低；但高速变道时转向助力丢失，那就是ASIL D了。
1.3.2 风险（Risk）
风险是危害发生的概率和严重程度的组合。用公式表达就是：
风险 = 危害严重度 × 暴露概率 × 可控性ISO 26262用这三个参数来量化风险，然后确定安全等级（ASIL）。
| 参数 | 含义 | 等级 |
|---|---|---|
| Severity（S） | 伤害的严重程度 | S0（无伤害）~ S3（致命） |
| Exposure（E） | 场景发生的概率 | E0（几乎不）~ E4（非常高） |
| Controllability（C） | 驾驶员或其他人控制风险的能力 | C0（完全可控）~ C3（几乎不可控） |
避坑指南：我曾经犯过一个错误——把「暴露概率」和「故障率」搞混了。E值评估的是「运行场景」的发生概率，不是「故障」的发生概率。比如「车辆在高速上行驶」这个场景的暴露概率，和「制动系统失效」这个故障的概率，完全是两码事。
1.3.3 安全目标（Safety Goal）
安全目标是对危害的顶层安全要求。它回答的是：「我们要做什么来防止这个危害发生或减轻其后果？」
每个危害至少对应一个安全目标。安全目标通常用ASIL等级来标识。
举个例子：
- 危害：车辆在高速行驶时，制动系统突然失效。
- 安全目标：制动系统必须确保在高速行驶时，即使发生单点故障，也能在2秒内提供至少50%的制动力。（ASIL D）
这里要注意，安全目标不是技术方案，而是「要达成的结果」。至于怎么实现——是用冗余制动回路，还是用电子制动助力器——那是后面功能安全概念阶段的事。
1.4 功能安全核心概念关系图
下面这张图展示了从「系统功能」到「安全目标」的推导路径。我在做培训时，经常让学员对着这张图反复看，直到能闭着眼睛画出来。
1.5 一个完整的例子：ACC自适应巡航
光讲理论太枯燥。咱们拿ACC（自适应巡航）系统走一遍完整流程。
系统功能：车辆根据前车速度自动调整本车速度，保持安全距离。
功能失效：ACC控制器死机，无法输出目标加速度。
危害分析：
- 场景1：高速公路上，前车减速，本车ACC失效未减速 → 追尾风险
- 场景2：城市拥堵路段，ACC失效 → 低速蠕行，风险较低
风险评估：
- 场景1：S3（可能致命） × E3（高速场景常见） × C2（驾驶员反应时间有限） → ASIL D
- 场景2：S1（轻伤） × E2（偶尔发生） × C1（驾驶员容易接管） → ASIL A
安全目标：
- SG1：ACC系统在高速行驶时，若控制器死机，必须在100ms内检测到故障，并发出声光报警，同时退出ACC模式，将控制权交还给驾驶员。（ASIL D）
- SG2：ACC系统在低速行驶时，若控制器死机，必须在500ms内检测到故障，并退出ACC模式。（ASIL A）
一个小技巧：写安全目标时，我习惯用「必须」这个词，而且一定要包含三个要素：检测时间、响应动作、退出条件。少了任何一个，后面做验证时都会扯皮。
1.6 本章小结
功能安全不是玄学，它是一套系统性的风险管理方法。从系统功能出发，分析失效模式，评估危害和风险，最后导出安全目标——这条路径是ISO 26262的骨架。
记住三个核心概念：
- 危害：失效在特定场景下的后果
- 风险：危害的量化评估（S×E×C）
- 安全目标：针对危害的顶层安全要求
把这些搞清楚了，后面的ASIL分解、功能安全概念、技术安全概念，学起来就会顺畅很多。