1. 功能安全概述：ISO 26262 标准简介、ASIL 等级定义、功能安全在座舱中的重要性
1.1 为什么座舱硬件需要功能安全？
先聊个我亲身经历的事。几年前我参与一个座舱项目，仪表盘在高速上突然黑屏重启。虽然车还能开，但车速、油量、故障灯全没了。驾驶员瞬间慌了——这其实就是功能安全没做到位。
你想想看，现在的座舱已经不是“收音机+导航”那么简单了。仪表盘、HUD、DMS（驾驶员监控）、电子后视镜，这些功能一旦失效，轻则让用户骂娘，重则直接威胁生命安全。
所以，ISO 26262 这个标准就来了。它专门管“汽车电子电气系统的功能安全”。说白了，就是确保系统出故障时，不会伤到人。
1.2 ISO 26262 标准简介
ISO 26262 脱胎于工业安全标准 IEC 61508，2011 年发布了第一版，2018 年更新了第二版。它覆盖了从概念设计到量产、再到报废的全生命周期。
我个人习惯把它的核心逻辑总结成一句话：识别风险 → 定义安全目标 → 分解到硬件/软件 → 验证确认。
标准分几个主要部分：
- Part 1-2： 词汇和总体管理，定义术语和流程要求。
- Part 3： 概念阶段，做 HARA（危害分析与风险评估）。
- Part 4-5： 系统级和硬件级开发，这是咱们硬件工程师的主战场。
- Part 6： 软件级开发。
- Part 7-9： 生产、运维、支持流程。
- Part 10-12： 第二版新增的半导体指南、摩托车等特殊应用。
嗯，这里要注意：第二版（2018）专门增加了 Part 11（半导体指南），这对我们做 SoC、MCU 选型非常关键。以前芯片厂商不太清楚怎么给安全文档，现在有了明确指引。
1.3 ASIL 等级定义
ASIL 全称是 Automotive Safety Integrity Level（汽车安全完整性等级）。它分四个等级：A、B、C、D，其中 ASIL D 要求最严苛。
怎么定级？标准里有一套评估方法，看三个维度：
| 维度 | 含义 | 等级（从低到高） |
|---|---|---|
| Severity (S) | 危害发生后的严重程度 | S0（无伤害）→ S3（致命） |
| Exposure (E) | 危害场景发生的概率 | E0（几乎不）→ E4（非常高） |
| Controllability (C) | 驾驶员能否控制住局面 | C0（完全可控）→ C3（几乎不可控） |
三个维度组合，查表得出 ASIL 等级。举个例子：
- 仪表盘车速显示错误： S2（重伤可能）+ E3（常见场景）+ C2（驾驶员较难判断）→ 通常是 ASIL B 或 C。
- 刹车信号丢失： S3（致命）+ E3 + C3 → 妥妥的 ASIL D。
- 信息娱乐系统死机： S0（无伤害）→ QM（质量管理），不需要功能安全。
1.4 功能安全在座舱中的重要性
座舱正在经历一场“功能融合”。以前仪表盘是仪表盘，中控是中控，各用各的芯片。现在呢？一个高通 8295 或 8195，把仪表、中控、HUD、DMS、甚至副驾屏全跑在一个 SoC 上。
这就带来了几个关键问题：
- 混合关键性（Mixed Criticality）： ASIL B 的仪表和 QM 的娱乐跑在同一个核上，怎么隔离？
- 资源竞争： 仪表需要实时响应，娱乐可以卡顿。但共享内存和总线，怎么保证仪表不被打扰？
- 故障传播： 娱乐系统的一个内存越界，会不会把仪表的数据给污染了？
我参与的一个项目中，就遇到过 DMS 摄像头驱动崩溃，导致整个显示链路卡死。原因就是 DMS 和仪表共享了同一个 GPU 驱动栈。后来我们不得不做 软件分区 + 硬件防火墙，才把问题解决。
所以，功能安全在座舱中的重要性，我总结为三点：
| 维度 | 说明 | 典型场景 |
|---|---|---|
| 人身安全 | 仪表、HUD、电子后视镜失效直接威胁驾驶 | 车速显示错误、盲区监测失效 |
| 法规合规 | 出口车型必须满足 ISO 26262，否则无法上市 | 欧盟、日本、中国都有强制或推荐要求 |
| 品牌信任 | 一次安全事件可能毁掉一个车型的口碑 | 某品牌因仪表黑屏召回数万辆 |
1.5 本章知识体系总览
下面这张图，把本章的核心逻辑串起来了。你可以把它当作后续学习的“地图”。
从这张图你能看到，功能安全不是孤立的知识点。它从“为什么需要”出发，经过标准、等级、分析方法，最终落到硬件设计的具体机制上。咱们这门课，就是沿着这条路径一步步走下来。