1. 功能安全概述
1.1 汽车电子功能安全背景
说起功能安全，我得先聊聊它的来头。你想想看，现在的汽车越来越智能了。从简单的ABS防抱死，到现在的自动驾驶，电子系统几乎接管了所有关键控制。
我入行那会儿，汽车上的ECU也就十几个。现在呢？高端车型轻松上百个。这些系统一旦出问题，可不是死机重启那么简单。方向盘失控、刹车失灵、气囊误爆——每一个都是人命关天的事。
2010年前后，我参与过一个项目。客户反馈说某款车型的电子助力转向偶尔会突然变沉。排查了三个月，最后发现是软件中的一个时序问题。嗯，那个问题本身不难修，但暴露了一个事实：汽车电子系统的复杂度已经超出了传统开发方式能驾驭的范围。
这就是功能安全诞生的背景。说白了，我们需要一套系统性的方法，来确保电子系统出故障时，不会伤到人。
核心观点：功能安全不是锦上添花，而是底线。它解决的是「系统出错了怎么办」的问题。
1.2 ISO 26262标准简介
ISO 26262，全称是「道路车辆功能安全标准」。2011年发布第一版，2018年更新了第二版。这个标准，说白了就是汽车行业做功能安全的「操作手册」。
我个人习惯把ISO 26262理解成一个三层结构：
- 第一层：管理——谁来做？什么时候做？怎么做？
- 第二层：开发——从概念设计到生产，每一步该干什么。
- 第三层：支持——工具、文档、配置管理这些辅助工作。
我记得刚接触这个标准时，第一反应是「这也太厚了吧」。确实，ISO 26262有十几个部分，上千页。但别被吓到。它本质上就回答三个问题：
- 系统可能出什么故障？（危害分析）
- 故障有多严重？（ASIL等级）
- 怎么防止或控制故障？（安全措施）
我的建议：别试图一口气读完整个标准。先抓住核心流程，遇到具体问题再回头查。我当年就是这么干的。
1.3 功能安全的基本概念
风险
风险，就是「坏事发生的概率」乘以「坏事造成的后果」。在汽车领域，这个公式特别残酷——后果往往是伤亡。
举个例子：
你开车时，中控屏死机了。这算风险吗？算，但风险很低。因为中控屏死机不会直接导致车祸。
但如果刹车系统的ECU死机了呢？这就是高风险。因为后果太严重了。
所以，功能安全的核心思路是：对高风险的事情，投入更多精力去防范。
危害
危害，就是「系统故障导致的、可能伤人的情况」。ISO 26262里有个专门的词叫「危害事件」（Hazardous Event）。
我给大家列几个典型的汽车危害：
- 非预期的加速（油门卡住）
- 非预期的制动（刹车自己抱死）
- 转向失控（方向盘不听使唤）
- 安全气囊误爆（正常行驶时弹出来）
这里有个坑，我踩过。很多人把「故障」和「危害」混为一谈。其实不一样：
故障是原因，危害是结果。
比如「传感器短路」是故障，「车速显示错误导致追尾」才是危害。
注意：做危害分析时，一定要从「对人的伤害」出发，而不是从「技术故障」出发。我曾经见过一个团队，花了两个月分析各种传感器故障模式，最后发现有一半跟安全无关。方向错了，白干。
安全目标
安全目标，就是针对每个危害，定一个「绝对不能违反」的要求。
举个例子：
危害：刹车踏板信号丢失，导致无法制动。
安全目标：刹车踏板信号丢失时，必须在100ms内进入安全状态（比如自动施加最大制动力）。
安全目标有几个特点：
- 每个危害至少对应一个安全目标
- 安全目标要可验证——你说「要安全」，这不算。你说「故障后100ms内响应」，这才算。
- 安全目标要分配到具体系统——谁负责实现这个目标？传感器？控制器？执行器？
ASIL等级
ASIL，全称是Automotive Safety Integrity Level，汽车安全完整性等级。它分四个级别：
| ASIL等级 | 风险程度 | 典型应用 |
|---|---|---|
| ASIL A | 低 | 尾灯控制 |
| ASIL B | 中 | 雨刮控制 |
| ASIL C | 高 | 自适应巡航 |
| ASIL D | 最高 | 制动、转向 |
ASIL等级怎么定的？看三个因素：
- 严重度（Severity）——伤人有多重？轻伤？重伤？死亡？
- 暴露率（Exposure）——这种情况常见吗？每天遇到？一年一次？
- 可控性（Controllability）——驾驶员能补救吗？能轻松避开？还是完全没办法？
三个因素组合，查表就能得到ASIL等级。QM（Quality Management）表示不需要功能安全措施，按普通质量流程做就行。
避坑指南：我曾经见过一个项目，把ASIL等级定得太高。结果呢？开发成本翻了三倍，周期拉长半年。最后发现，其实很多功能根本不需要那么高的等级。记住：ASIL不是越高越好，够用就行。定高了，成本受不了；定低了，安全不达标。
1.4 本章知识体系
下面这张图，是我自己梳理的功能安全基础框架。你可以把它当成一张「地图」，后面每章都会对应到其中的某个部分。
这张图把本章讲的内容串起来了。从背景出发，到标准，再到核心概念和ASIL等级，最后落到一个目标——把风险降到可接受的水平。后面的课程，就是围绕这个框架一步步展开。