1. 功能安全概述：ISO 26262 标准背景、基本概念与 ASIL 等级

各位工程师朋友，咱们开始这门课的第一章。功能安全这个概念，说白了就是——当系统出故障时，它不能伤害人。听起来简单，但落地起来门道很多。

我最早接触功能安全是在一个转向系统项目里。当时客户问：“你们这系统万一电子失效了，方向盘还能不能打？” 嗯，这个问题就是功能安全要回答的核心。

1.1 ISO 26262 标准的背景

ISO 26262 是汽车行业的功能安全国际标准，源自工业领域的 IEC 61508。它专门针对道路车辆上的电子电气系统。

为什么要有这个标准？我个人的理解是：汽车电子越来越复杂，一个软件 bug 可能导致刹车失灵。没有统一的方法论，各家自说自话，风险太大。

标准的核心思想是：风险不能靠运气，必须靠流程和证据。你想想看，一个安全气囊的引爆逻辑，如果没经过严格的故障分析，谁敢坐车里？

1.2 功能安全基本概念

咱们先捋清楚几个关键术语。这些概念我在面试新人时经常考，很多人栽在这里。

术语	英文	我的理解
功能安全	Functional Safety	系统在故障时仍能维持安全状态的能力
安全目标	Safety Goal	最高层级的安全要求，比如“刹车灯不能误灭”
故障	Fault	导致系统行为偏离的原因，可能是硬件坏了，也可能是软件写错了
失效	Failure	系统实际表现偏离了设计意图
安全状态	Safe State	系统进入一个不会造成伤害的状态，比如电机断电

这里有个容易混淆的点：故障是原因，失效是结果。我在一个项目中见过团队把这两个词混用，导致 FMEA 分析全乱了。后来我要求所有文档必须严格区分。

1.3 ASIL 等级定义与分解

ASIL 全称是 Automotive Safety Integrity Level（汽车安全完整性等级）。它用来衡量某个功能需要多高的安全保证。

ASIL 分为四个等级：A、B、C、D，其中 D 是最严格的。还有一个 QM（Quality Management），表示不需要额外安全措施，按普通质量流程管理就行。

ASIL 等级怎么确定的？标准给出了三个参数：

• 严重度（Severity, S）：伤害有多重？轻伤、重伤、致命？
• 暴露率（Exposure, E）：这种情况发生的概率高不高？
• 可控性（Controllability, C）：驾驶员或其他人员能避免伤害吗？

这三个参数组合起来，查表就能得到 ASIL 等级。举个例子：

• 如果故障导致致命伤害（S3）、经常暴露（E4）、驾驶员几乎无法控制（C3），那就是 ASIL D。
• 如果只是轻伤（S1）、很少暴露（E1）、驾驶员很容易控制（C1），那就是 QM。

1.4 ASIL 分解的原则

ASIL 分解是功能安全设计中的一个重要手段。说白了，就是把一个高 ASIL 要求的功能，拆到多个独立的组件上，每个组件承担一部分安全责任。

分解规则如下：

原始 ASIL	分解方案示例	说明
ASIL D	ASIL C(D) + ASIL A(D)	一个组件承担 C 级要求，另一个承担 A 级要求
ASIL D	ASIL B(D) + ASIL B(D)	两个组件各承担 B 级要求
ASIL C	ASIL B(C) + ASIL A(C)	类似地，分解后总和不能低于原始等级
ASIL B	ASIL A(B) + QM(B)	可以分解到 QM，但必须保证独立性

注意：分解后的等级后面要加括号，标注原始等级。比如 ASIL B(D) 表示“这个组件承担 B 级要求，但它来自一个 D 级功能的分解”。

我建议大家在架构设计阶段就考虑 ASIL 分解。别等到做安全分析时才发现某个组件扛不住那么高的等级。

1.5 本章知识结构图

下面这张图把本章的核心概念串起来了。你可以把它当作一个思维导图来用。

1.6 本章小结

这一章咱们把功能安全的底子打好了。记住几个关键点：

• ISO 26262 是汽车电子安全的方法论和流程框架
• 功能安全的核心是从故障到危害的闭环管理
• ASIL 等级由严重度、暴露率、可控性三个参数决定
• ASIL 分解是架构设计的重要工具，但独立性是前提

我个人觉得，理解这些概念最好的方式就是拿一个实际功能练手。比如“电动窗防夹”功能，试着给它定个 ASIL 等级，再想想怎么分解。做过一次，印象就深了。