2、功能安全标准ISO 26262详解：标准架构、ASIL等级定义、功能安全生命周期、安全目标与安全状态

好，咱们进入正题。ISO 26262这个标准，说实话刚接触的时候会觉得特别厚、特别吓人。我记得我第一次翻开它，好家伙，一千多页。但你别怕，它其实就讲了一件事：怎么让汽车电子系统不出危险。

说白了，它就是一套方法论。告诉你从项目一开始，到最终量产，每一步该做什么、怎么做、做到什么程度才算安全。我这些年做项目，最大的感触就是——标准是死的，但落地是活的。今天我就把最核心的几个概念给你拆开揉碎了讲。

2.1 标准架构：一张图看懂ISO 26262

ISO 26262一共分为12个部分。你不需要全背下来，但得知道它长什么样。

我个人习惯把Part 3、4、5、6称为「黄金四部曲」。为什么？因为大部分工程师的日常工作都集中在这四个部分。你只要把这四个部分吃透了，项目就能跑起来。

2.2 ASIL等级定义：你的系统有多危险？

ASIL，全称是Automotive Safety Integrity Level，汽车安全完整性等级。它分四个等级：A、B、C、D。A最低，D最高。

怎么定级？标准给了三个参数：

• 严重度（Severity）：人受伤有多重？轻伤、重伤、致命？
• 暴露概率（Exposure）：这个危险场景出现的频率高不高？
• 可控性（Controllability）：驾驶员能不能在危险发生时及时反应？

这三个参数组合起来，查一张表，就能得到ASIL等级。举个例子：

你想想看，刹车系统如果失效了，后果是什么？大概率是致命事故。驾驶员基本没法控制。暴露概率也很高，每次开车都可能用到刹车。所以刹车系统通常是ASIL D，最高等级。

再比如，车窗升降器。如果它自己降下去了，最多就是淋个雨，或者手被夹一下。严重度低，可控性高。这种一般就是ASIL A，甚至QM（质量管理级，不需要按功能安全开发）。

2.3 功能安全生命周期：从生到死的安全旅程

功能安全生命周期，说白了就是一条时间线。从你决定做这个项目开始，到产品报废为止，每个阶段都有明确的任务。

我把它分成三大阶段：

1. 概念阶段：定义系统、做HARA、定安全目标。这个阶段最烧脑。
2. 开发阶段：系统级、硬件级、软件级的设计与验证。这个阶段最累。
3. 生产与运维阶段：量产后的安全监控、故障响应。这个阶段最容易被忽视。

这里我要特别强调一点：生命周期不是一条直线走到底的。它是有反馈环的。比如你在软件测试阶段发现了一个问题，可能得回头修改安全目标。这是允许的，也是正常的。

2.4 安全目标与安全状态：你到底要保护什么？

安全目标，是HARA的输出结果。它用一句话描述：当某个危险事件发生时，系统必须做什么（或不做什么）来避免伤害。

举个例子：

• 安全目标1：车辆在行驶过程中，必须防止非预期的加速。
• 安全目标2：当制动系统失效时，必须在200ms内进入安全状态。

每个安全目标都会分配一个ASIL等级。然后，你要为每个安全目标定义安全状态。

安全状态是什么？就是系统「安全了」的那个状态。比如：

• 对于刹车系统，安全状态可能是「车辆减速到0km/h并保持静止」。
• 对于转向系统，安全状态可能是「方向盘保持当前角度，不再响应输入」。
• 对于电池管理系统，安全状态可能是「断开高压继电器，进入休眠」。

这里有个坑，我提醒你一下：安全状态不是越激进越好。你想想看，如果系统一检测到故障就直接切断动力，在高速公路上这反而是更危险的。所以安全状态的设计，必须结合具体的场景来权衡。

嗯，这一章的内容就到这里。ISO 26262的架构、ASIL等级、生命周期、安全目标与安全状态，这几个概念是功能安全的基石。你把这几个搞明白了，后面学技术安全概念、硬件设计、软件设计的时候，就会轻松很多。

下一章，咱们聊聊「预期功能安全ISO 21448」——那个让无数自动驾驶工程师头疼的标准。