1. 功能安全概述：ISO 26262 标准背景、基本概念与 ASIL 等级
各位好，欢迎来到《ISO 26262 功能安全概念阶段实战》的第一章。
说实话，我入行那会儿，功能安全还没这么「热」。大家更关心的是「这个功能能不能跑起来」，至于「跑飞了怎么办」——嗯，那是售后部门的事。直到有一次，我参与的一个项目在路试阶段出现了意外的油门响应，虽然没有造成事故，但整个团队被客户和法务部门约谈了整整三天。从那以后，我才真正意识到：功能安全不是锦上添花，而是底线。
1.1 为什么要有 ISO 26262？
汽车电子系统越来越复杂。你想想看，一辆现代高端车里有上百个 ECU（电子控制单元），几千万行代码。这些东西协同工作，一旦出问题，后果可能是致命的。
ISO 26262 就是一套针对汽车电子/电气系统的功能安全标准。它脱胎于工业领域的 IEC 61508，但专门为汽车行业做了裁剪和强化。说白了，它告诉你怎么设计、怎么验证、怎么管理，才能把系统失效的风险降到可接受的水平。
核心目标： 避免因系统故障（硬件随机失效或系统性的设计错误）导致的人员伤亡。
我记得 2011 年 ISO 26262 第一版刚发布时，很多公司还在观望。到了 2018 年第二版，几乎所有的 Tier 1（一级供应商）和主机厂都把功能安全作为准入门槛。现在，没有功能安全认证的 ECU，基本不可能量产。
1.2 功能安全的基本概念
在深入 ASIL 之前，有几个基础概念必须搞清楚。我习惯把它们分成三组来理解：
| 概念组 | 术语 | 我的理解 |
|---|---|---|
| 危害与风险 | 危害 (Hazard)、危险事件 (Hazardous Event)、风险 (Risk) | 危害是潜在的伤害源；危险事件是危害在特定场景下发生；风险是伤害发生的概率和严重度的组合。 |
| 安全目标 | 安全目标 (Safety Goal, SG) | 针对每个危险事件，定义的最高层级安全要求。比如「防止非预期的加速」。 |
| 安全状态 | 安全状态 (Safe State)、容错时间间隔 (FTTI) | 系统在检测到故障后，必须进入的、不会导致危害的状态。FTTI 是从故障发生到系统进入安全状态的最大允许时间。 |
一个小技巧： 我在做危害分析和风险评估（HARA）时，会先画一张简单的系统上下文图，把系统、驾驶员、环境、其他车辆都标出来。这样能帮你快速锁定「什么场景下会出什么事」。
1.3 ASIL 等级定义与分解
ASIL（Automotive Safety Integrity Level，汽车安全完整性等级）是 ISO 26262 最核心的概念之一。它定义了系统必须达到的安全严苛程度。
ASIL 有四个等级：A、B、C、D。D 是最严格的，A 是最宽松的。还有一个 QM（Quality Management），表示仅需按质量管理体系开发，无需额外安全措施。
1.3.1 ASIL 的确定
ASIL 等级由三个参数共同决定：
- 严重度 (Severity, S)：对人员伤害的严重程度（S0~S3）
- 暴露概率 (Exposure, E)：危险事件发生的场景概率（E0~E4）
- 可控性 (Controllability, C)：驾驶员或其他人员避免伤害的能力（C0~C3）
查表得到 ASIL 等级。举个例子：
| 参数 | 示例：刹车失灵 | 示例：车内氛围灯失效 |
|---|---|---|
| 严重度 S | S3（致命伤害） | S0（无伤害） |
| 暴露概率 E | E4（每次驾驶都可能用到刹车） | E3（经常使用） |
| 可控性 C | C2（通常可控，但紧急情况难） | C3（完全可控，不影响安全） |
| ASIL 结果 | ASIL D | QM |
我曾经踩过的坑： 在确定暴露概率 E 时，不要只看「这个功能用得多不多」，要看「这个危险事件发生的场景有多常见」。比如，自适应巡航在高速上失效，和它在市区拥堵时失效，暴露概率完全不同。
1.3.2 ASIL 分解
ASIL 分解是降低开发难度的重要手段。它的核心思想是：把一个高 ASIL 等级的安全要求，分配给多个独立的元素，每个元素承担一部分。
举个例子：一个 ASIL D 的安全目标，可以分解为：
- 元素 A：ASIL C
- 元素 B：ASIL C
或者：
- 元素 A：ASIL B
- 元素 B：ASIL B
- 元素 C：ASIL B
但要注意，分解后的元素之间必须满足 足够的独立性。否则，一个元素失效，另一个也跟着失效，分解就失去了意义。
分解原则： ASIL D 可以分解为 (C + C)、(B + B + B) 或 (D + QM)。但 QM 元素必须经过充分分析，证明其失效不会导致安全目标被违反。
我个人习惯在系统架构设计阶段就考虑 ASIL 分解。比如，把监控功能和执行功能放在不同的芯片上，或者用不同的软件团队开发。这样既能满足安全要求，又能避免所有模块都按最高等级开发，节省成本和时间。
1.4 本章知识体系总览
下面这张图概括了本章的核心逻辑：从标准背景出发，到基本概念，再到 ASIL 的确定与分解。你可以把它当作一张「思维导图」来用。