1. 功能安全基础：ISO 26262 / IEC 61508 标准概述
大家好，我是老张。在汽车电子和工业控制领域摸爬滚打了十几年，今天咱们来聊聊功能安全的基础。说实话，刚入行那会儿，我也觉得这些标准离实际开发挺远的。直到有一次，我在一个项目中亲眼看到因为一个软件bug导致设备异常停机，差点酿成事故——从那以后，我再也不敢轻视功能安全了。
功能安全，说白了就是：系统出故障了，也不能伤到人。这不是玄学，而是有严格标准和方法论的工程实践。
1.1 ISO 26262 与 IEC 61508 的关系
先理清这两个标准的关系。IEC 61508 是功能安全的“老祖宗”，覆盖工业、过程控制、机械等多个领域。ISO 26262 则是从它派生出来的，专门针对道路车辆的电气/电子系统。
我个人的理解是：
IEC 61508 是通用框架，像一本“安全百科全书”。
ISO 26262 是汽车行业的“定制版”，更具体、更严格。
举个例子：IEC 61508 里定义了 SIL（安全完整性等级），ISO 26262 则定义了 ASIL（汽车安全完整性等级）。ASIL 的 A、B、C、D 四个等级，对应着 SIL 的 1、2、3、4，但汽车行业的要求更细，比如多了 QM（质量管理）等级。
核心要点： 做汽车电子，必须遵循 ISO 26262；做工业控制，主要看 IEC 61508。但两者的底层逻辑是相通的——都是通过风险分析、安全机制、验证确认来降低风险。
1.2 ASIL 等级与 SIL 等级
这两个等级是功能安全的核心度量。我经常跟学员说：等级越高，要求越严，成本也越高。
| 等级 | 来源标准 | 应用领域 | 典型要求 |
|---|---|---|---|
| ASIL A | ISO 26262 | 汽车（如车窗控制） | 较低安全要求 |
| ASIL B | ISO 26262 | 汽车（如雨刮器） | 中等安全要求 |
| ASIL C | ISO 26262 | 汽车（如自适应巡航） | 较高安全要求 |
| ASIL D | ISO 26262 | 汽车（如制动系统） | 最高安全要求 |
| SIL 1 | IEC 61508 | 工业（如简单传感器） | 低风险 |
| SIL 2 | IEC 61508 | 工业（如电机驱动） | 中等风险 |
| SIL 3 | IEC 61508 | 工业（如安全PLC） | 高风险 |
| SIL 4 | IEC 61508 | 工业（如铁路信号） | 极高风险 |
避坑指南： 我曾经在一个项目中，把 ASIL B 的要求直接套用到 SIL 2 的系统上，结果测试用例冗余了一倍，浪费了不少时间。记住：等级不能直接平移，要按标准重新评估。
1.3 功能安全生命周期
功能安全不是一锤子买卖，而是一个贯穿产品全生命周期的过程。ISO 26262 把它分成了几个阶段：
- 概念阶段： 定义系统、识别危险、确定安全目标。
- 产品开发阶段： 硬件设计、软件设计、安全机制实现。
- 生产与运行阶段： 制造、测试、维护、报废。
我习惯用一张图来展示这个生命周期，你一看就明白了：
你看，这个生命周期是闭环的。不是做完开发就完事了，还要持续监控、改进。我记得有个项目，产品上市两年后发现了新的故障模式，我们不得不重新回到概念阶段做危险分析——这就是生命周期的意义。
1.4 安全目标与安全状态
安全目标，是功能安全的“最高纲领”。它回答一个问题：系统出了什么故障，会导致什么危害？
举个例子：
对于一个电子制动系统，安全目标可能是：
“当制动踏板被踩下时，系统必须在 200ms 内产生制动力。”
安全状态，则是系统在检测到故障后，进入的“保命模式”。比如：
- 制动系统故障 → 进入“跛行回家”模式（限速 30km/h）
- 传感器失效 → 切换到冗余传感器
- 通信中断 → 输出安全默认值（如 0 扭矩）
注意： 安全状态不是随便选的。我曾经见过一个团队，把“系统停机”作为所有故障的安全状态。结果在高速行驶时，一个轻微故障导致整车断电——这反而更危险！安全状态必须经过分析，确保不会引入新的危害。
在实际项目中，我建议你这样做：
- 先做 HARA（危险分析与风险评估），找出所有可能的危险事件。
- 为每个危险事件定义安全目标，并分配 ASIL 等级。
- 设计安全机制，确保系统能进入安全状态。
- 验证安全状态，通过故障注入测试确认。
嗯，这里要注意：安全目标要写得可验证。别写“系统要安全”这种废话，要写“当 X 故障发生时，系统在 Y 时间内进入 Z 状态”。
个人经验： 我习惯在项目一开始就建立一个“安全目标-安全状态”映射表。每个安全目标对应一个或多个安全状态，并明确触发条件和退出条件。这样后期做故障注入测试时，目标非常清晰。
好了，这一章的内容就到这里。功能安全的基础，说白了就是：知道标准、分得清等级、走完生命周期、定好目标和状态。后面我们会深入每个环节，结合故障注入实战，让你真正掌握这些技能。