1. 功能安全概述：ISO 26262标准介绍、功能安全的基本概念、感知系统的安全目标
1.1 为什么我们要谈功能安全？
说实话，我刚入行那会儿，对功能安全的理解很浅。觉得不就是「别出事故」嘛。直到有一次，我在一个ADAS项目中，亲眼看到一辆测试车因为感知系统误判，把路边的广告牌当成了障碍物，来了个急刹车。后车差点追尾。
那一刻我才真正意识到——功能安全不是纸上谈兵，它关乎人命。
你想想看，一辆L3级别的自动驾驶车，如果感知系统在高速上突然「失明」了，或者把卡车识别成白云，后果是什么？嗯，这就是我们为什么要讲ISO 26262。
1.2 ISO 26262到底是什么？
ISO 26262，全称是「道路车辆功能安全标准」。它最早在2011年发布，2018年出了第二版。说白了，它就是一套防止电子电气系统出故障导致人身伤害的方法论。
我个人习惯把它理解成一本「安全驾驶手册」——告诉你什么时候该减速，什么时候该检查刹车，什么时候该停下来重新评估风险。
核心思想： 不是保证系统永远不出错，而是保证系统出错时，后果是可接受的。
ISO 26262覆盖了从概念设计到生产、运营、报废的全生命周期。它不是一个产品标准，而是一个流程标准。什么意思？它不告诉你「你的雷达必须达到多少米探测距离」，而是告诉你「你怎么证明你的雷达在失效时是安全的」。
1.3 功能安全的基本概念
讲几个你一定会用到的核心概念。我建议你把这些记牢，因为后面每一章都会用到。
1.3.1 危害与风险
危害（Hazard）是指系统故障可能导致的潜在伤害。比如，感知系统把红灯识别成绿灯，这就是一个危害。
风险（Risk）是危害发生的概率和严重程度的组合。你想想看，同样是把红灯识别成绿灯，在市区低速和高速公路上，风险等级完全不同。
1.3.2 ASIL等级
这是ISO 26262里最核心的概念之一。ASIL全称是Automotive Safety Integrity Level，汽车安全完整性等级。它分为四个等级：
| ASIL等级 | 含义 | 典型场景 |
|---|---|---|
| ASIL A | 最低安全要求 | 后视镜调节 |
| ASIL B | 中等安全要求 | 自适应巡航 |
| ASIL C | 较高安全要求 | 自动紧急制动 |
| ASIL D | 最高安全要求 | 线控转向 |
我在项目中遇到过一件事：一个客户非要把感知融合模块定为ASIL D，理由是「安全第一」。但实际分析下来，系统架构中有冗余设计，ASIL C就足够了。盲目追求高等级，只会让成本翻倍，开发周期拉长。嗯，这里要注意——ASIL等级不是越高越好，合适才是王道。
1.3.3 安全目标
安全目标（Safety Goal）是功能安全设计的顶层要求。它描述的是「系统在发生某种故障时，必须做什么来避免危害」。
举个例子，对于感知系统，一个典型的安全目标是：
安全目标 SG-01：在车辆行驶过程中，感知系统不得将障碍物误识别为可通行区域。
ASIL等级：ASIL C
安全状态：激活备用感知路径，降级至最小风险状态（MRM）
故障容错时间间隔（FTTI）：≤ 200ms你看，一个安全目标必须包含：什么故障、什么后果、什么应对措施、多长时间内必须响应。
1.4 感知系统的安全目标
感知系统是自动驾驶的「眼睛」。它一旦出问题，整个决策和执行都会跟着错。所以，感知系统的安全目标设计，是整个功能安全工作的重中之重。
我个人习惯把感知系统的安全目标分成三类：
- 探测完整性目标：不能漏检。比如，前方有行人，你必须检测到。
- 误报控制目标：不能乱报。比如，不能把路边的垃圾桶识别成小孩。
- 时序约束目标：不能太慢。比如，从目标出现到系统响应，必须在规定时间内完成。
一个小技巧： 我在做安全目标分解时，喜欢用「如果...那么...否则...」的句式。比如：
「如果摄像头被遮挡，那么系统应在100ms内切换到雷达为主感知源，否则车辆应执行最小风险策略。」
这样写出来的安全目标，可验证性极强。
1.5 避坑指南
我曾经踩过的一个坑： 在早期项目中，我把安全目标写得特别「完美」——覆盖了所有我能想到的故障模式。结果到了验证阶段，发现有一半的目标根本没法测试。为什么？因为目标写得太抽象了。
比如「感知系统应保持高可靠性」——这句话听起来没错，但你怎么测试？什么叫「高」？
所以，我后来给自己定了个规矩：每个安全目标，必须能对应到至少一个可量化的测试用例。写目标的时候，就想着「这个目标我到时候怎么测」。测不了的目标，不如不写。
1.6 小结
这一章我们聊了：
- ISO 26262是什么——一套防止电子系统故障导致人身伤害的流程标准
- 功能安全的核心概念——危害、风险、ASIL等级、安全目标
- 感知系统的安全目标——探测完整性、误报控制、时序约束
下一章，我们会深入讲危害分析与风险评估（HARA），这是确定ASIL等级的关键步骤。到时候我会分享一个我亲手做过的HARA案例，保证让你看完就能上手。
记住一句话：功能安全不是束缚，而是保护——保护用户，也保护你自己。