1. 功能安全基础回顾：ISO 26262标准概述、ASIL等级定义、安全目标与安全状态

各位工程师朋友，咱们这门课叫《安全机制分配与ASIL裁剪实战》。在动手干“裁剪”和“分配”这些硬活之前，我建议咱们先花点时间，把地基夯实了。

说白了，ISO 26262不是什么天书。它就是一套给汽车电子系统定规矩的标准。你想想看，车在路上跑，刹车、转向、油门，哪个环节出了错都可能要命。标准就是告诉你：怎么设计、怎么验证，才能把这些风险降到可接受的水平。

1.1 ISO 26262到底在管什么？

ISO 26262的全称是“Road vehicles — Functional safety”。它覆盖了从概念阶段到生产、运行、报废的全生命周期。我个人习惯把它分成三大块：

• 管理层面：谁负责？怎么组织？安全文化怎么建？
• 开发层面：从需求、设计、实现到测试，每一步该做什么。
• 支持层面：工具、配置、变更管理，这些辅助流程怎么保证不出错。

嗯，这里要注意，标准不是死板的教条。它给了你很多“自由度”，比如ASIL裁剪，就是这种灵活性的体现。但自由度越大，责任越大。我在项目中见过不少团队，因为没吃透基础概念，裁剪裁出了安全隐患。

1.2 ASIL等级：A/B/C/D，到底怎么分？

ASIL，全称Automotive Safety Integrity Level，汽车安全完整性等级。它定义了系统需要达到的安全严苛程度。从低到高，依次是A、B、C、D。D是最严的，比如刹车、转向这类功能。

ASIL的确定，取决于三个参数：

• Severity (S)：危害的严重度。比如，轻伤算S1，致命伤算S3。
• Exposure (E)：暴露在危害场景中的概率。比如，几乎不发生算E1，高频发生算E4。
• Controllability (C)：驾驶员或其他人员控制住危害的能力。比如，容易控制算C1，几乎无法控制算C3。

这三个参数组合起来，查标准里的表格，就能得到对应的ASIL等级。举个例子：

参数	等级	说明
Severity (S)	S1, S2, S3	轻伤、重伤、致命
Exposure (E)	E1, E2, E3, E4	几乎不、偶尔、经常、高频
Controllability (C)	C1, C2, C3	容易、一般、困难

我曾经遇到过一个项目，团队把某个功能的E参数估低了，结果ASIL等级从C降到了A。后来做FMEA时才发现，那个场景其实很常见。嗯，从那以后，我对E参数的评估就格外小心。

1.3 安全目标与安全状态：设计的起点和终点

安全目标（Safety Goal），是顶层安全要求。它是对某个危害的顶层安全要求。比如，“刹车灯必须在驾驶员踩下刹车踏板后的100ms内点亮”。这就是一个安全目标。

安全状态（Safe State），是系统在发生故障后，能进入的一个不会导致危害的状态。比如，刹车灯系统检测到主灯丝断了，立即点亮备用灯丝，并点亮仪表盘上的故障灯。这个“点亮备用灯丝”的状态，就是安全状态。

我建议你把安全目标想象成“我们要去哪里”，安全状态就是“到了那里就安全了”。

• 安全目标：必须满足的、最高层级的安全要求。
• 安全状态：系统在故障后，能自动进入或维持的、无危害的状态。

举个例子，一个电子助力转向系统：

• 安全目标：在任意单点故障下，转向助力不能突然消失或反向。
• 安全状态：系统检测到故障后，平滑地降低助力，并提示驾驶员手动转向。

这里有个容易混淆的点：安全状态不一定是“关机”。很多时候，降级模式（Degraded Mode）才是更合理的安全状态。比如，摄像头被遮挡了，不是直接黑屏，而是提示“摄像头被遮挡，请检查”，同时系统继续工作。这就是一个典型的安全状态设计。

1.4 知识体系总览：一张图看懂本章

下面这张图，是我自己画的，把本章的核心概念串了起来。你可以把它当成一个思维导图，方便记忆。

这张图里，我特意把“HARA”和“安全机制”也加了进来。因为安全目标和安全状态，不是凭空产生的。它们来自HARA，最终要靠安全机制来实现。后面的章节，我们会反复用到这张图里的概念。

1.5 本章小结：你该带走什么？

好了，咱们回顾一下。这一章，我们聊了三件事：

1. ISO 26262：它不是一张纸，而是一套工程方法。它告诉你“怎么做”才能安全。
2. ASIL等级：A、B、C、D，不是随便标的。它来自S、E、C三个参数的组合。记住，先分析，再定级。
3. 安全目标与安全状态：安全目标是“要做什么”，安全状态是“出事后怎么办”。两者缺一不可。

我个人觉得，这一章最核心的一句话是：功能安全不是测试出来的，是设计出来的。 后面的所有章节，都是在教你怎么“设计”出安全来。