1. ASIL 概述：功能安全起源、ISO 26262 标准框架、ASIL 等级定义与 SIL 的关系
各位同学，欢迎来到《ASIL 等级分解与安全机制设计》的第一章。
咱们先聊聊功能安全是怎么来的。说实话，这玩意儿不是凭空造出来的概念。上世纪 80 年代，工业界出了几起严重的系统失效事故——比如医疗设备失控、工业机器人伤人。大家发现，光靠「产品质量好」远远不够。系统在故障状态下也得安全，这才是关键。
于是，IEC 61508 这个通用功能安全标准诞生了。它像个总纲，覆盖了工业、交通、能源等多个领域。后来汽车行业觉得，我得有自己的专用标准。毕竟汽车的量产规模、开发周期、供应链复杂度，跟工业设备完全不一样。所以 2011 年，ISO 26262 正式发布。
我个人习惯把 ISO 26262 理解成「汽车行业的功能安全宪法」。它规定了从概念阶段到生产退役的全生命周期安全活动。你想想看，一辆车上可能有上百个 ECU，每个都承担着不同的安全职责。没有统一的标准，各家各搞一套，那还得了？
1.1 功能安全的核心逻辑
功能安全到底在防什么？说白了，就两件事：
- 系统性失效：设计、制造、软件编码阶段引入的 bug。比如需求写错了，代码逻辑有漏洞。
- 随机硬件失效：芯片老化、电阻短路、传感器漂移。这些是物理规律，没法完全消除，只能降低概率。
我在项目中遇到过不少团队，把精力全砸在硬件可靠性上，结果软件层面的安全机制一塌糊涂。嗯，这里要注意：功能安全是系统级工程，硬件和软件必须一起抓。
核心原则：功能安全不是让系统永不失效，而是让系统在失效时，仍然处于安全状态。
1.2 ISO 26262 标准框架
ISO 26262 目前有 2018 版，共 12 个部分。我挑几个重点给你拆开看看：
| 部分 | 内容 | 我的理解 |
|---|---|---|
| Part 1 | 术语 | 统一语言，不然大家说的「风险」可能不是一回事 |
| Part 2 | 功能安全管理 | 谁负责、怎么审、文档怎么管 |
| Part 3 | 概念阶段 | 定义功能、识别危险、确定 ASIL |
| Part 4 | 系统级开发 | 架构设计、安全机制、集成测试 |
| Part 5 | 硬件级开发 | 硬件架构、随机失效度量、FMEDA |
| Part 6 | 软件级开发 | 软件架构、单元测试、覆盖率 |
| Part 9 | ASIL 分解与安全分析 | 咱们这门课的核心内容之一 |
你可能会问：这么多部分，从哪开始？我的建议是：先吃透 Part 3 和 Part 9。Part 3 决定了你的安全目标是什么，Part 9 决定了你怎么把高等级的安全目标拆成可实现的子要求。
1.3 ASIL 等级定义
ASIL 全称是 Automotive Safety Integrity Level，汽车安全完整性等级。它分四个等级：A、B、C、D。D 是最严格的，A 是最宽松的。
怎么定级？看三个参数：
- 严重度（Severity, S）：人员受伤的严重程度。S0 无伤害，S1 轻伤，S2 重伤，S3 致命。
- 暴露率（Exposure, E）：危险事件发生的概率。E0 几乎不，E1 很少，E2 中等，E3 高，E4 极高。
- 可控性（Controllability, C）：驾驶员或其他人员能否避免伤害。C0 完全可控，C1 简单可控，C2 一般可控，C3 难以控制。
三个参数组合，查表得到 ASIL 等级。举个例子：
- S3 + E4 + C3 → ASIL D（最严苛）
- S1 + E2 + C1 → ASIL A（相对宽松）
- 如果三个参数都很低，可能连 ASIL 都评不上，那就是 QM（Quality Management，质量管理级）
避坑指南：我曾经见过一个项目，把「暴露率」估得特别低，结果定了个 ASIL B。后来实际路测发现，那个场景每天都会出现。最后不得不返工，重新做安全分析。所以，暴露率别拍脑袋，要有数据支撑。
1.4 ASIL 与 SIL 的关系
很多刚接触功能安全的工程师会问：ASIL 和 SIL 有什么区别？
SIL（Safety Integrity Level）是 IEC 61508 里的概念，分 SIL 1 到 SIL 4。ASIL 是 ISO 26262 里的概念，分 A 到 D。两者不是一一对应的，但有个大致的映射关系：
| IEC 61508 (SIL) | ISO 26262 (ASIL) | 说明 |
|---|---|---|
| SIL 1 | ASIL A / B | 低风险场景，要求相对接近 |
| SIL 2 | ASIL C | 中等风险，硬件指标有差异 |
| SIL 3 | ASIL D | 高风险，但 ASIL D 的软件要求比 SIL 3 更细 |
| SIL 4 | 无对应 | 汽车行业不涉及，航空/核电才用 |
为什么会这样？因为汽车行业和工业行业的失效场景不一样。汽车上很多功能失效后，驾驶员还能补救（可控性 C 较高）。而工业设备一旦失效，操作员可能根本来不及反应。所以 ASIL D 的严格程度，大致介于 SIL 3 和 SIL 4 之间。
我个人习惯把 ASIL 和 SIL 的关系记成「表兄弟」——同源但不同路。做汽车功能安全，你就死磕 ISO 26262，别拿 SIL 的要求往上套，容易出偏差。
1.5 本章知识结构图
下面这张图帮你理清本章的核心逻辑：
1.6 本章小结
这一章咱们把功能安全的根儿刨清楚了：
- 功能安全不是新概念，它脱胎于工业安全标准 IEC 61508。
- ISO 26262 是汽车行业的专用标准，覆盖全生命周期。
- ASIL 等级由 S、E、C 三个参数决定，D 级要求最高。
- ASIL 和 SIL 是「表兄弟」，别混用。