1. 功能安全概述
各位工程师朋友，咱们今天聊聊功能安全。说实话，我刚入行那会儿，对“安全”的理解特别朴素——不就是别出事故吗？后来做了几个项目，踩了不少坑，才真正明白功能安全到底在说什么。
1.1 功能安全的定义与起源
功能安全，说白了就是：当系统出故障时，它不能伤害人。不是保证系统永远不坏，而是坏了之后还能安全地停下来。
这个概念最早是从工业控制领域来的。上世纪七八十年代，化工、核电这些行业出了几起大事故，大家才开始认真琢磨：怎么让设备在故障时也能“安全失效”？后来IEC 61508标准诞生了，它就是功能安全的“老祖宗”。
汽车行业呢？起步晚一些。我记得2000年左右，电子节气门、线控制动这些新玩意儿刚上车，大家突然发现：软件一崩，车可能真会失控。于是ISO 26262在2011年应运而生，专门针对汽车电子电气系统。
核心定义：功能安全是“不存在由电气/电子系统故障行为导致的不合理风险”。注意关键词——不合理风险。绝对零风险不存在，我们要做的是把风险降到可接受的水平。
1.2 ISO 26262标准简介
ISO 26262是汽车功能安全的“圣经”。它覆盖了从概念设计到生产退役的全生命周期。我习惯把它分成三个层次来看：
- 管理层面（Part 2）：安全文化、项目计划、评审流程
- 技术层面（Part 3-9）：从危害分析到硬件/软件开发，再到测试验证
- 支持层面（Part 10-12）：半导体、配置管理、变更管理等
标准里最核心的概念是ASIL（汽车安全完整性等级）。它分四个等级：
| ASIL等级 | 严重度 | 暴露概率 | 可控性 | 典型场景 |
|---|---|---|---|---|
| ASIL A | 轻伤 | 低 | 易控制 | 后雾灯故障 |
| ASIL B | 轻伤~重伤 | 中 | 一般 | 雨刮器失控 |
| ASIL C | 重伤~致命 | 中高 | 难控制 | 制动助力失效 |
| ASIL D | 致命 | 高 | 几乎不可控 | 转向系统失控 |
我的经验：ASIL等级不是拍脑袋定的。我见过有人把制动系统定成ASIL B，结果危害分析一做完，发现严重度是S3、暴露概率E4、可控性C3——算出来是ASIL D。所以，一定要做完整的危害分析和风险评估（HARA），别凭感觉。
1.3 功能安全在汽车电子中的重要性
为什么功能安全在汽车里这么重要？原因很简单：车是移动的，而且速度很快。
你想想看，一个手机App崩溃了，最多重启一下。但一个刹车控制器的软件崩溃了，后果是什么？
我参与过一个线控制动项目。当时团队觉得“软件跑飞了概率很低”，没做足够的监控机制。结果在测试时，ECU确实因为电磁干扰导致程序跑飞，制动踏板踩下去没反应。虽然测试场有安全员紧急制动，但那次之后，整个团队再也没人敢轻视功能安全了。
具体来说，功能安全在汽车电子中的重要性体现在：
- 保护生命：这是最根本的。每年全球因电子系统故障导致的交通事故不在少数。
- 法规合规：现在很多国家把ISO 26262列为强制要求。不出具功能安全证据，车就上不了市。
- 降低召回风险：一个安全缺陷可能导致几十万辆车的召回，成本动辄上亿。
- 提升品牌信任：消费者越来越懂车，安全口碑直接影响销量。
注意：功能安全不是“加个冗余”就完事了。我曾经见过一个项目，给传感器加了双冗余，但两个传感器共用同一个电源——一个电源短路，两个传感器全挂。这种“假冗余”在功能安全审核里一抓一个准。
1.4 功能安全与预期功能安全（SOTIF）的区别
这个问题我经常被问到。很多新手容易把这两个概念搞混。咱们用一张图来理清：
简单来说：
- 功能安全处理的是“系统坏了怎么办”——硬件失效、软件bug、电磁干扰导致程序跑飞。
- SOTIF处理的是“系统没坏但不够聪明怎么办”——比如自动驾驶在暴雨天看不清车道线、传感器被泥巴糊住、算法没遇到过这种场景。
举个例子你就明白了：
一辆带自适应巡航的车，如果雷达模块的电源芯片短路了，导致巡航功能突然退出——这是功能安全问题。
同一辆车，雷达本身工作正常，但前方是一辆全黑的卡车，雷达没反射回波，系统没检测到——这是SOTIF问题。
关键区别：功能安全假设系统会“坏”，SOTIF假设系统“没坏但不够好”。两者互补，共同覆盖安全的全貌。对于L3及以上自动驾驶，SOTIF的重要性甚至超过功能安全。
我在做ADAS项目时，团队一开始只盯着功能安全，把硬件冗余做得特别扎实。结果路试时发现，系统在隧道出口处频繁误制动——因为光线突变，摄像头短暂“失明”。这就是典型的SOTIF问题。从那以后，我们做安全分析时，功能安全和SOTIF必须一起考虑。
避坑指南：千万别把SOTIF当成功能安全的“子集”。它们是两个独立的标准（ISO 26262和ISO 21448），分析方法也不同。功能安全用FMEA、FTA，SOTIF用场景分析、ODD定义。我建议项目一开始就明确分工，别混着做。
好了，这一章咱们把功能安全的基本概念、ISO 26262的框架、以及它和SOTIF的区别理清了。后面我们会一步步深入，从危害分析开始，到安全需求、硬件设计、软件实现，再到测试验证——把整个功能安全开发流程走一遍。