第2章：功能安全标准基础
聊功能安全，绕不开两个标准：ISO 26262 和 IEC 61508。我刚开始接触这行时，也搞不清它们到底啥关系。说白了，一个是汽车圈的专用标准，另一个是所有工业领域的通用祖宗。今天咱们就把这两个标准掰开揉碎了讲清楚。
2.1 ISO 26262 道路车辆功能安全标准概述
ISO 26262 是从 IEC 61508 衍生出来的，专门针对道路车辆。2018年发布了第二版，覆盖范围更广了，连卡车、摩托车、甚至半自动驾驶都管了。
我个人习惯把 ISO 26262 理解成一套「安全开发方法论」。它不告诉你具体怎么做，但告诉你必须做到什么程度。举个例子，它要求你证明「系统在失效时不会造成不可接受的风险」，至于你是用冗余设计还是用故障检测，那是你的自由。
核心概念：ASIL（汽车安全完整性等级）
ASIL 分四个等级：A、B、C、D。D 是最严格的，比如刹车系统、转向系统。A 是最宽松的，比如雨刮器、车窗升降。
ASIL 怎么定？看三个因素：
- 严重度（Severity）：人员受伤的严重程度
- 暴露率（Exposure）：危险事件发生的概率
- 可控性（Controllability）：驾驶员能否避免伤害
我在项目中遇到过一件事：一个客户非要把某个 ASIL B 的功能提到 ASIL D。我问他为什么，他说「这样更安全」。嗯，这其实是个误区。ASIL 越高，开发成本越高，不是越高越好。合适才是王道。
我的经验：ASIL 分解是个好工具。比如一个 ASIL D 的功能，可以拆成两个 ASIL C 的子系统。这样既能满足安全目标，又能降低单个模块的开发难度。
2.2 IEC 61508 通用功能安全标准概述
IEC 61508 是所有功能安全标准的「老祖宗」。1998年发布第一版，2010年出了第二版。它覆盖的范围很广：化工、核电、机械、汽车……几乎所有涉及电气/电子/可编程电子系统的行业。
你想想看，ISO 26262 里很多概念，比如安全生命周期、安全完整性等级（SIL）、故障树分析（FTA），其实都是从 IEC 61508 搬过来的。只不过 IEC 61508 叫 SIL，汽车圈改了个名叫 ASIL。
我记得刚入行时，师傅跟我说：「搞懂 IEC 61508，其他标准都是它的变种。」这话不假。IEC 61508 的核心思想就一句话：通过系统化的开发流程，把系统失效的风险降到可接受的水平。
IEC 61508 把安全完整性等级分成 4 级：
| SIL 等级 | 要求的安全失效概率（低要求模式） | 典型应用 |
|---|---|---|
| SIL 1 | ≥ 10⁻² 且 < 10⁻¹ | 简单的安全联锁 |
| SIL 2 | ≥ 10⁻³ 且 < 10⁻² | 过程控制中的安全仪表系统 |
| SIL 3 | ≥ 10⁻⁴ 且 < 10⁻³ | 紧急停车系统 |
| SIL 4 | ≥ 10⁻⁵ 且 < 10⁻⁴ | 核电、铁路信号系统 |
避坑指南：我曾经犯过一个错——把 SIL 和 ASIL 直接划等号。其实它们不完全一样。SIL 更关注硬件随机失效，ASIL 更关注系统性的开发流程。做汽车项目时，千万别拿 SIL 的要求去套 ASIL，会出大问题。
2.3 安全生命周期模型
安全生命周期，说白了就是「从项目开始到退役，安全活动怎么安排」。ISO 26262 和 IEC 61508 都强调这个模型。为什么？因为安全不是最后才加的，必须从一开始就融入。
我习惯把安全生命周期分成三个阶段：
- 概念阶段：定义功能、识别危险、确定安全目标
- 开发阶段：系统设计、硬件设计、软件设计、验证确认
- 生产运维阶段：生产、调试、维护、退役
举个例子，你设计一个电子刹车系统：
- 概念阶段：分析刹车失效会怎样（严重度 S3、暴露率 E4、可控性 C3 → ASIL D）
- 开发阶段：设计冗余刹车电路、写故障检测软件、做故障注入测试
- 生产运维阶段：每辆车下线前做安全功能测试，售后收集失效数据
关键点：安全生命周期不是一次性的。每次变更（比如换芯片、改软件）都要重新走一遍生命周期。这叫「变更管理」，很多项目栽在这上面。
我记得有个项目，客户在量产前一个月换了 MCU。他们觉得「只是换个型号，功能一样」。结果呢？安全分析没更新，测试用例没覆盖，最后 ASIL 认证没过。嗯，这就是不尊重安全生命周期的代价。
我的建议：做安全生命周期管理时，一定要用工具。Excel 也行，但最好用专门的 ALM（应用生命周期管理）工具。我习惯用 Polarion 或 DOORS，能自动追踪每个安全需求的实现和验证状态。
最后说一句：安全生命周期不是束缚，是保护。它保护你的产品不出事故，也保护你个人不背锅。你想想看，如果出了安全事故，你能拿出完整的安全生命周期文档，证明你每一步都按标准做了，那责任就不在你。
嗯，今天就聊到这。下一章咱们讲安全案例怎么写，那可是个技术活。