1. 功能安全基础：ISO26262起源、ASIL等级定义、功能安全生命周期概述
各位工程师朋友，咱们开始聊功能安全。说实话，我刚接触这个领域时，也觉得它挺玄乎的——一堆文档、一堆流程，感觉像是为了应付审核而存在的。但干久了你会发现，这玩意儿其实是保命的。
今天咱们先打好地基。把ISO26262的来龙去脉、ASIL等级怎么定、以及整个生命周期长什么样，捋清楚。
1.1 ISO26262的起源：从一场事故说起
功能安全不是凭空冒出来的。它的根，在工业安全标准IEC 61508。但真正让汽车行业重视起来的，是一次次血的教训。
我记得2010年前后，行业内曝出过几起电子系统失控导致的事故。调查发现，很多问题出在软件逻辑和硬件随机失效上。说白了，就是系统在关键时刻「掉链子」了。
于是，ISO组织在2011年正式发布了ISO26262第一版。它的核心目标就一个：把电子电气系统的故障风险，降到可接受的水平。
2018年，第二版发布，把范围扩展到了商用车、摩托车，还加入了半导体和自动驾驶的内容。嗯，这里要注意，现在大家做项目，基本都参照2018版。
核心逻辑： 功能安全不是「不出故障」，而是「故障发生了，系统也能安全地处理掉」。
1.2 ASIL等级定义：你的系统有多「危险」？
ASIL，全称Automotive Safety Integrity Level，汽车安全完整性等级。它用来衡量一个系统如果出故障，会造成多严重的后果。
我经常跟团队里的小朋友说：ASIL不是拍脑袋定的，它是算出来的。
怎么算？看三个参数：
- Severity (S) —— 严重度。人受伤有多重？轻伤、重伤、致命？
- Exposure (E) —— 暴露率。这种危险情况发生的概率高不高？
- Controllability (C) —— 可控性。驾驶员或周围人能不能避开危险？
三个参数组合，查表就能得到ASIL等级：
| 等级 | 含义 | 典型场景举例 |
|---|---|---|
| QM | 仅需质量管理，无安全要求 | 车窗升降、座椅调节 |
| ASIL A | 最低安全等级 | 尾灯故障 |
| ASIL B | 中等安全等级 | 仪表盘显示错误 |
| ASIL C | 较高安全等级 | 制动助力失效 |
| ASIL D | 最高安全等级 | 转向失控、制动完全失效 |
避坑指南： 我曾经见过一个项目，工程师把电驱系统的ASIL定成了D，理由是「电机失控很危险」。但实际分析下来，电机失控后还有机械制动兜底，可控性并不差。最后定的是ASIL C。记住，ASIL不是越高越好，越高意味着开发成本和验证成本翻倍。
1.3 功能安全生命周期：从概念到退役
功能安全不是一锤子买卖。它覆盖了产品从出生到报废的全过程。ISO26262把它分成了三大阶段：
- 概念阶段 —— 定义功能、识别危险、制定安全目标。
- 产品开发阶段 —— 系统级、硬件级、软件级的设计与验证。
- 生产与运行阶段 —— 制造、维护、监控、报废。
你想想看，一个电驱系统，从你画第一张框图开始，到它装车跑了几十万公里，再到最后拆解回收，每一步都有安全活动要跟进。
我个人习惯，在项目启动时就把生命周期图贴在墙上。不是为了好看，是为了提醒所有人：安全不是最后才补的，它从一开始就在。
下面这张图，把整个生命周期串起来了：
实战建议： 在电驱系统项目中，我建议你把「概念阶段」的HARA分析做扎实。因为后面所有的安全机制、测试用例、故障注入，都基于你最初对危险的判断。HARA做偏了，后面全白干。
1.4 电驱系统为什么特别需要功能安全？
电驱系统不是普通零件。它直接控制扭矩输出，一旦失控，车可能突然加速、失去动力、甚至抱死。你想想看，高速上突然没动力了，后果是什么？
而且电驱系统有高压电（400V-800V），还有大电容储能。失效时可能引发触电、起火。所以，电驱系统的功能安全，既要管「功能异常」，也要管「电气危害」。
我记得有一次做电驱系统FMEA，发现一个很隐蔽的失效模式：旋变传感器信号漂移，导致电机输出扭矩和驾驶员请求完全相反。这个场景，如果不做安全分析，根本发现不了。
所以，别觉得功能安全是「文档工程」。它是真正能救命的工程。
1.5 本章小结
咱们这一章，把功能安全的底子打好了：
- ISO26262从IEC 61508衍生而来，2011年首版，2018年更新。
- ASIL等级由S、E、C三个参数决定，不是越高越好。
- 功能安全生命周期覆盖概念、开发、生产运行三大阶段。
- 电驱系统因为高电压、大扭矩，对功能安全的需求尤其迫切。