1. 功能安全概述：汽车电子功能安全的起源、ISO26262标准体系结构、功能安全的基本概念
各位同学，欢迎来到这门课。我是你们的老朋友，一个在汽车电子安全领域摸爬滚打了十几年的工程师。
咱们今天聊的，是功能安全。说白了，就是让汽车电子系统在出故障的时候，也别乱来，别伤着人。你想想看，一辆车在高速上跑着，刹车突然失灵了，或者方向盘突然锁死了——这后果，谁都承担不起。
1.1 功能安全的起源：为什么我们需要它？
功能安全这个概念，不是凭空冒出来的。它背后，是一段血泪史。
我记得刚入行那会儿，带我的老工程师就跟我讲过几个经典案例。比如2000年左右，某款车型因为电子节气门控制器的软件bug，导致车辆在行驶中突然加速，怎么踩刹车都停不下来。还有更早的，一些安全气囊在碰撞时没弹出，或者不该弹出时乱弹。
这些事故，让整个行业意识到一个问题：电子系统越来越复杂，出错的概率也越来越大。 传统的机械冗余（比如双回路制动）已经不够用了，我们需要一套系统的方法，来保证电子电气系统的安全。
于是，国际标准化组织（ISO）开始牵头，联合各大车企、供应商和科研机构，花了近十年时间，终于在2011年发布了第一版ISO 26262标准。这个标准，就是咱们今天要讲的核心。
核心观点： 功能安全不是“不出故障”，而是“即使出了故障，系统也能把风险控制在可接受的范围内”。
1.2 ISO 26262标准体系结构：一张地图看懂它
ISO 26262的全称是《道路车辆——功能安全》。它不是一个单薄的文件，而是一整套标准体系，涵盖了从概念设计到生产、运行、报废的全生命周期。
我个人习惯把它的结构想象成一栋房子：
- 地基（Part 1-2）： 词汇表和管理要求。定义了所有术语，以及项目管理的安全流程。
- 主体框架（Part 3-7）： 从概念阶段到生产运行。这是最核心的部分，咱们后面会反复讲。
- 支撑结构（Part 8-9）： 支持流程和ASIL分解。比如如何做安全分析，如何分解安全等级。
- 特殊应用（Part 10-12）： 针对半导体、摩托车、卡车等特殊领域的指南。
下面这张图，可以帮你快速建立整体印象：
我的经验： 刚接触ISO 26262时，别试图一口气读完所有部分。先啃Part 3（概念阶段）和Part 6（软件开发），这两个是实战中最常用的。
1.3 功能安全的基本概念：危害、风险、安全目标
这三个词，是功能安全的基石。我见过不少新手把它们混为一谈，结果做出来的安全概念漏洞百出。咱们一个一个说清楚。
1.3.1 危害（Hazard）
危害，是系统在故障状态下，可能对人造成伤害的潜在源。 它关注的是“故障导致的系统行为”，而不是故障本身。
举个例子：
- 故障： 制动踏板位置传感器失效，输出信号为0。
- 危害： 车辆在需要制动时，电子制动系统不响应，导致车辆无法减速。
你看，危害描述的是“系统做了什么坏事”，而不是“哪个零件坏了”。
1.3.2 风险（Risk）
风险，是危害发生的可能性，以及它造成伤害的严重程度。 它是一个组合概念。
ISO 26262用三个参数来量化风险：
| 参数 | 全称 | 含义 | 等级范围 |
|---|---|---|---|
| S | Severity | 伤害的严重程度 | S0（无伤害）~ S3（致命） |
| E | Exposure | 暴露于危险场景的概率 | E0（几乎不可能）~ E4（非常频繁） |
| C | Controllability | 驾驶员或其他人员控制风险的能力 | C0（完全可控）~ C3（不可控） |
这三个参数组合起来，就决定了你的安全等级——ASIL（Automotive Safety Integrity Level，汽车安全完整性等级）。
ASIL等级： 从低到高分为 QM（无需安全措施）、ASIL A、ASIL B、ASIL C、ASIL D。ASIL D是最高等级，要求最严格。咱们这门课要讲的冗余制动控制，通常就是ASIL D。
1.3.3 安全目标（Safety Goal）
安全目标，是针对每个危害，定义的最高层级安全要求。 它描述了“系统必须做什么来避免或减轻危害”。
安全目标的写法有固定格式，我习惯这样写：
安全目标 SG_01：
当车辆处于行驶状态（车速 > 5 km/h）时，
制动系统必须能在驾驶员踩下制动踏板后的 200ms 内，
产生至少 0.6g 的减速度，
以防止车辆与前方障碍物发生碰撞。
ASIL等级：D
安全状态：车辆安全减速至停止，并保持静止。嗯，这里要注意：安全目标不是功能需求。它只关心“安全结果”，不关心“怎么实现”。至于怎么实现，那是后面安全架构设计的事。
我曾经踩过的坑： 在定义安全目标时，把“故障检测”写进了目标里。比如“系统必须检测到传感器故障”。这是错的！安全目标只描述“系统在故障下应该表现为什么”，而不是“系统如何检测故障”。检测机制是安全措施，不是目标本身。
1.4 从危害到安全目标：一个完整的例子
咱们拿制动系统来走一遍流程。假设我们正在开发一个电子制动助力器（iBooster）。
- 识别危害： 助力电机卡死，导致制动踏板力无法被放大，驾驶员需要使出吃奶的劲才能把车停下来。
- 评估风险：
- S3（致命）：高速下制动失效，可能造成严重事故。
- E4（频繁）：车辆每次行驶都可能遇到需要紧急制动的情况。
- C2（一般可控）：有经验的驾驶员可能能通过大力踩踏板停车，但普通人很难。
- 确定ASIL： S3 + E4 + C2 → ASIL D。
- 定义安全目标： 当助力电机卡死时，系统必须提供至少 500N 的机械助力（通过冗余弹簧或液压），确保驾驶员能用正常力度将车辆制动停止。ASIL D。
你看，整个过程环环相扣。没有清晰的危害分析，后面的安全目标就是空中楼阁。
我的建议： 做危害分析时，拉上系统工程师、硬件工程师、软件工程师一起开会。一个人闭门造车，很容易漏掉关键场景。我经历过一次，因为没请测试工程师参会，漏掉了一个“低温环境下制动响应延迟”的危害，后来在冬测时才暴露出来，改得我们欲哭无泪。
好了，这一章的内容就到这里。功能安全不是玄学，它是一套严谨的工程方法。掌握了这些基本概念，咱们后面才能聊怎么设计一个真正安全的冗余制动系统。