ASIL等级判定与危害分析实战 - 第1节
1.1 为什么要有ISO 26262？——从一场车祸说起
2000年代初，汽车电子系统越来越复杂。刹车辅助、线控转向、自适应巡航……这些功能确实好用，但一旦出问题，后果可能是致命的。
我记得有一次参与一个项目复盘，客户反馈说某款车的ACC（自适应巡航）在高速上突然误刹车。原因是什么？一个传感器信号被电磁干扰后，软件误判了前方障碍物。幸好没造成事故，但这件事让我意识到：功能安全不是锦上添花，而是底线。
ISO 26262就是在这样的背景下诞生的。它脱胎于工业领域的IEC 61508，专门针对道路车辆电子电气系统。2011年发布第一版，2018年更新到第二版。说白了，它是一套系统化的风险管理框架，告诉你如何避免因系统故障导致的人身伤害。
1.2 功能安全的基本概念
1.2.1 什么是“功能安全”？
定义很简单：不存在由电子电气系统故障行为引起的不可接受风险。
嗯，这里要注意——它只关心电子电气系统的故障。机械磨损、轮胎爆胎、驾驶员操作失误，这些都不在ISO 26262的管辖范围内。你想想看，如果什么都管，标准就没法聚焦了。
1.2.2 两个关键概念：故障 vs. 失效
很多新手容易混淆。我习惯这样区分：
- 故障（Fault）：系统内部的一个缺陷。比如一个电阻焊点虚焊、一段代码数组越界。它是“因”。
- 失效（Failure）：系统表现出来的错误行为。比如刹车没反应、气囊误爆。它是“果”。
举个例子：你写代码时把一个变量类型定义错了（故障），编译没报错，但运行时导致计算溢出，最终ABS系统在湿滑路面上失效了。这就是从故障到失效的链条。
1.2.3 安全目标与安全状态
做功能安全，最终要回答两个问题：
- 出了故障怎么办？——定义安全目标。比如“转向系统不能意外输出反向力矩”。
- 怎么才算安全？——定义安全状态。比如“系统进入降级模式，方向盘助力降低50%，同时点亮故障灯”。
1.3 ASIL的起源与意义
1.3.1 ASIL是什么？
ASIL，全称Automotive Safety Integrity Level，汽车安全完整性等级。它把系统的风险等级从低到高分为四个级别：ASIL A、B、C、D。还有一个QM（Quality Management），表示“不需要做功能安全，按质量管理做就行”。
说白了，ASIL就是告诉你：这个功能有多危险，你得花多大力气去保护它。
1.3.2 ASIL的起源：从风险分析来
ASIL不是拍脑袋定的。它基于三个维度的评估：
| 维度 | 英文 | 含义 | 等级（低→高） |
|---|---|---|---|
| 严重度 | Severity (S) | 故障发生时，人员受伤的严重程度 | S0（无伤害）→ S3（致命） |
| 暴露率 | Exposure (E) | 人员处于危险场景中的频率 | E0（几乎不）→ E4（非常频繁） |
| 可控性 | Controllability (C) | 驾驶员或其他人员能否避免伤害 | C0（完全可控）→ C3（几乎不可控） |
举个例子：刹车失灵。严重度S3（可能致命），暴露率E4（每次开车都可能遇到需要刹车的情况），可控性C3（高速上刹车失灵，驾驶员基本没办法）。三个维度组合下来，ASIL等级就是D——最高等级。
1.3.3 ASIL的意义：资源分配的指南针
为什么要有ASIL？因为安全是有成本的。
你不可能给车上每一个螺丝钉都做最高等级的安全验证。ASIL帮你区分：哪些功能需要投入大量资源（ASIL D），哪些功能差不多就行（ASIL A甚至QM）。
我曾经见过一个项目，团队把所有功能都按ASIL D来做，结果开发周期翻了一倍，成本暴涨，最后产品上市就失去了竞争力。反过来，也有团队把转向系统按QM做，结果测试时发现故障率超标，不得不返工。ASIL就是那个平衡杆。
1.4 本章知识体系总览
下面这张图帮你理清本章的核心逻辑：
1.5 小结
这一章我们聊了三件事：
- ISO 26262的背景——它源于工业安全标准，专门为汽车电子电气系统而生，目的是防止故障导致人身伤害。
- 功能安全的基本概念——故障是因，失效是果；安全目标告诉你“不能出什么事”，安全状态告诉你“出了事怎么办”。
- ASIL的起源与意义——通过S/E/C三个维度评估风险，把系统分成QM、A、B、C、D五个等级，指导你合理分配安全开发资源。