1. 功能安全概述：ISO 26262 标准背景、功能安全定义、ASIL 等级划分、功能安全与预期功能安全(SOTIF)的区别

各位同学，欢迎来到《车规级软件功能安全设计与项目实战》的第一章。

说实话，我做了十几年汽车电子，见过太多因为功能安全没做好而翻车的项目。有的车厂因为一个刹车系统的软件bug，全球召回几十万辆车。嗯，这可不是闹着玩的。

今天咱们先打好基础。把ISO 26262的来龙去脉、ASIL等级怎么划分、还有功能安全和SOTIF到底有啥区别，一次性讲清楚。

1.1 ISO 26262 标准背景

先聊聊这个标准是怎么来的。

2000年代初，汽车电子系统越来越复杂。尤其是线控转向、电子刹车这些系统，一旦出问题就是人命关天。我记得当时行业内有个共识：必须有一套专门针对汽车的功能安全标准。

于是，ISO 26262 在2011年正式发布。它脱胎于工业领域的IEC 61508，但专门为汽车行业量身定制。2018年又出了第二版，把摩托车、卡车、半导体都纳入了范围。

我个人习惯把ISO 26262理解成一本安全开发的“菜谱”。它告诉你每个阶段该做什么、产出什么文档、用什么方法验证。照着做，不一定能保证100%安全，但能大大降低风险。

1.2 功能安全定义

什么叫功能安全？

官方定义：不存在由电气/电子系统的功能异常表现所导致的不合理风险。

说白了，就是系统出故障时，不能伤人。

举个例子：

• 正常情况：你踩刹车，车减速。
• 故障情况：刹车踏板传感器坏了，但系统能检测到故障，自动启用备用刹车回路，或者至少让驾驶员知道“刹车有问题，请尽快维修”。

功能安全要解决的，就是这种“故障来了，系统怎么兜底”的问题。

1.3 ASIL 等级划分

ASIL，全称 Automotive Safety Integrity Level，汽车安全完整性等级。

它是ISO 26262里最核心的概念之一。说白了，就是给系统的风险程度定个级。

ASIL 等级由三个参数决定：

• Severity (S)： 伤害的严重程度。分S0、S1、S2、S3四级。
• Exposure (E)： 暴露在危险场景中的概率。分E0、E1、E2、E3、E4五级。
• Controllability (C)： 驾驶员或其他人员控制风险的能力。分C0、C1、C2、C3四级。

最终等级通过查表得出：

等级	含义	典型系统举例
QM	仅需质量管理，无安全要求	车窗升降、车内照明
ASIL A	较低风险	尾灯控制
ASIL B	中等风险	雨刮器、仪表盘显示
ASIL C	较高风险	自适应巡航(ACC)的部分功能
ASIL D	最高风险	电子助力转向(EPS)、线控制动

你想想看，一个ASIL D的系统，开发成本可能是QM系统的3-5倍。所以，合理划分ASIL等级，直接关系到项目预算和周期。

1.4 功能安全与预期功能安全(SOTIF)的区别

这个问题，我每次面试新人都会问。很多人答不上来。

功能安全 (Functional Safety, FuSa) 解决的是：系统本身出故障了，怎么办？

预期功能安全 (Safety Of The Intended Functionality, SOTIF) 解决的是：系统没坏，但它的行为超出了驾驶员的预期，怎么办？

举个例子，你就能明白：

• 功能安全场景： 自动紧急制动(AEB)系统的雷达传感器因为老化，输出信号漂移，导致误触发刹车。这是硬件故障，属于功能安全范畴。
• SOTIF场景： AEB系统硬件完全正常，但摄像头在强光下把路边的广告牌误识别成了行人，触发了紧急刹车。这是功能性能不足，属于SOTIF范畴。

我习惯用一个表格来对比：

维度	功能安全 (FuSa)	预期功能安全 (SOTIF)
关注点	系统故障（硬件/软件）	功能性能不足 / 可预见误用
标准	ISO 26262	ISO 21448
典型问题	传感器坏了、代码跑飞了	传感器没坏，但场景太复杂识别错了
应对策略	冗余、诊断、故障处理机制	场景覆盖、算法优化、功能降级
适用系统	所有E/E系统	L3及以上自动驾驶系统为主

嗯，这里要注意。SOTIF并不是功能安全的替代品，而是补充。尤其是做自动驾驶的朋友，这两个标准都得吃透。

1.5 本章知识体系总览

为了让大家更直观地理解本章的知识结构，我画了一张图：

这张图把本章的核心知识点串起来了。从ISO 26262的起源，到功能安全的定义，再到ASIL等级的划分，最后对比了功能安全和SOTIF。你可以在学习过程中反复回看这张图，建立整体认知。