第2章 功能安全基础：ASIL等级定义、安全目标、安全状态、功能安全概念

大家好，欢迎来到第二章。上一章我们聊了HARA的整体框架，这一章咱们深入聊聊功能安全的核心概念。说白了，这些概念就是你做安全设计的“语法”和“词汇”。不懂这些，后面做设计会寸步难行。

我个人习惯，在讲任何标准之前，先搞清楚“为什么要这么干”。ISO 26262不是拍脑袋想出来的，它是无数血泪教训换来的。你想想看，一个刹车系统如果失效，后果是什么？所以标准才把安全等级分得这么细。

2.1 ASIL等级定义：你的系统有多“危险”？

ASIL，全称是Automotive Safety Integrity Level，汽车安全完整性等级。它分四个等级：A、B、C、D。A是最低，D是最高。还有一个QM，就是质量管理级，基本没啥安全要求。

怎么确定ASIL等级？靠三个参数：

• 严重度（Severity）：人员受伤的严重程度。S0是无伤害，S3是致命伤。
• 暴露概率（Exposure）：危险事件发生的可能性。E0是几乎不可能，E4是经常发生。
• 可控性（Controllability）：驾驶员或其他人员能否避免伤害。C0是完全可以控制，C3是几乎无法控制。

这三个参数组合起来，查表就能得到ASIL等级。我刚开始做这个的时候，总觉得查表很麻烦。后来发现，其实你只要记住几个典型场景就行。

这里有个坑，我提醒一下。很多新手会把“暴露概率”和“故障概率”搞混。暴露概率说的是“这个危险场景出现的频率”，不是“这个零件坏掉的概率”。这是两码事。

2.2 安全目标：你要保护什么？

安全目标，说白了就是“为了防止危险，系统必须做到什么”。它是从HARA分析中提炼出来的顶层安全要求。

举个例子：

• 危险事件：车辆在高速行驶时，制动系统突然失效。
• 安全目标：制动系统必须能够在接收到制动请求后，在指定时间内产生足够的制动力。

安全目标有几个特点：

• 每个安全目标对应一个ASIL等级，这个等级就是从HARA里继承来的。
• 安全目标是功能层面的，不涉及具体实现。比如“制动系统必须工作”，而不是“制动踏板必须用钢制材料”。
• 安全目标要可验证。你不能写“制动系统要可靠”，而要写“制动系统在99.9%的情况下，能在0.5秒内响应”。

我记得有个项目，安全目标写得太模糊，结果测试时根本没法验证。后来我们重新梳理了一遍，把每个目标都量化了。嗯，这个教训挺深刻的。

2.3 安全状态：系统“出事”了怎么办？

安全状态，就是系统发生故障后，进入的一个“相对安全”的状态。注意，我说的是“相对安全”，不是“绝对安全”。

常见的几种安全状态：

• 降级模式：比如L4自动驾驶失效，降级到L2，让驾驶员接管。
• 安全停机：比如EPS（电动助力转向）失效，系统切断助力，但保留机械转向能力。
• 故障静默：系统停止输出，避免发出错误指令。比如制动系统故障，不再发送任何制动请求。

这里有个关键点：安全状态不是随便选的。你得分析，进入这个状态后，会不会引发新的危险。

2.4 功能安全概念：怎么实现安全？

功能安全概念，就是实现安全目标的具体方案。它告诉你：系统怎么检测故障？怎么响应？怎么进入安全状态？

功能安全概念通常包括：

• 故障检测机制：比如看门狗、CRC校验、双核锁步。
• 故障响应机制：比如报警、降级、停机。
• 安全机制分配：哪个模块负责检测？哪个模块负责响应？

举个例子，一个EPS系统的功能安全概念：

• 安全目标：EPS不能产生非预期的转向力矩（ASIL D）。
• 故障检测：主芯片和监控芯片互相校验扭矩传感器信号。
• 故障响应：如果检测到不一致，立即切断电机驱动，进入机械转向模式。
• 安全状态：机械转向模式（驾驶员可以手动转向，但需要更大力量）。

写功能安全概念时，我建议你用表格来梳理，这样逻辑更清晰。

安全目标	ASIL	故障检测	故障响应	安全状态
EPS不能产生非预期转向力矩	D	双核锁步+扭矩传感器交叉校验	切断电机驱动，点亮故障灯	机械转向模式
制动系统必须在0.5秒内响应	D	看门狗+制动踏板信号合理性检查	启用冗余制动回路	降级制动模式

你想想看，如果没有这个表格，你设计电路时很容易漏掉某个安全机制。我见过一个项目，功能安全概念写得乱七八糟，结果评审时被安全工程师怼得体无完肤。

好了，这一章就到这里。下一章我们会讲怎么把安全目标分解到具体的技术安全需求。嗯，那才是真正开始“动手”的时候。到时候见。