1、TPMS功能安全概述
1.1 功能安全概念
功能安全，说白了就是让系统在出故障时，也能安全地停下来或者进入一个安全状态。不是保证系统永远不坏，而是保证它坏了以后不会伤人。
我刚开始接触这个概念时，也觉得有点绕。后来在项目中吃过亏，才真正理解——功能安全不是锦上添花，而是底线。你想想看，胎压监测系统如果误报或者漏报，后果可能是什么？高速爆胎、车辆失控，这些都是实打实的风险。
所以，TPMS的功能安全目标很明确：当轮胎气压异常时，系统必须及时、准确地提醒驾驶员。同时，系统自身不能因为故障而发出错误报警，让驾驶员产生误判。
核心要点：
- 功能安全 ≠ 系统不出错
- 功能安全 = 出错后系统行为可控
- TPMS的安全状态：及时报警或安全静默
1.2 ISO 26262标准简介
ISO 26262是汽车电子功能安全的国际标准。它源自工业领域的IEC 61508，但针对汽车做了大量定制。我记得2011年第一版发布时，很多同行都觉得太严苛了。但十几年下来，它已经成为行业共识。
这个标准覆盖了从概念设计到生产、运营、报废的全生命周期。说白了，它告诉你每个阶段该做什么、怎么做、怎么证明你做过了。
我个人习惯把ISO 26262的核心逻辑总结成三句话：
- 识别风险：分析系统可能出什么故障
- 定义目标：确定每个故障需要达到的安全等级
- 验证实现：证明你的设计确实达到了目标
嗯，这里要注意，ISO 26262不是一本说明书，它不会告诉你具体用哪个芯片、写哪段代码。它给的是框架和方法论。具体怎么落地，还得靠工程师的经验和判断。
1.3 ASIL等级定义
ASIL，全称是Automotive Safety Integrity Level，汽车安全完整性等级。它分为四个等级：A、B、C、D。D是最严格的，A是最宽松的。
为什么会分等级？因为不是所有故障都同样危险。你想想看，转向系统失效和车窗升降失效，风险能一样吗？
ASIL的确定主要看三个因素：
| 因素 | 说明 | 等级范围 |
|---|---|---|
| 严重度（S） | 故障导致伤害的严重程度 | S0~S3 |
| 暴露率（E） | 人员处于危险场景的概率 | E0~E4 |
| 可控性（C） | 驾驶员能否避免伤害 | C0~C3 |
三个因素组合，查表就能得到ASIL等级。举个例子：
- 如果严重度是S3（致命伤害），暴露率E4（经常发生），可控性C3（几乎无法避免），那就是ASIL D
- 如果严重度是S1（轻伤），暴露率E2（偶尔），可控性C2（驾驶员可以应对），那可能就是ASIL A甚至QM
我的经验：很多团队在定ASIL时容易「往高了定」，觉得越安全越好。其实不是这样。ASIL越高，开发成本、验证工作量、时间周期都会成倍增加。合理评估，够用就好。
1.4 TPMS系统安全目标
TPMS的安全目标，我把它拆成两个层面：
第一层：报警的及时性和准确性
当轮胎气压低于阈值（比如标准气压的75%）时，系统必须在规定时间内（通常是几分钟内）发出报警。不能早，也不能晚。我曾经在一个项目中遇到过，传感器采样周期设置太长，导致漏报——轮胎已经亏气很久了，系统还没检测到。后来我们重新评估了采样频率和报警阈值，才把这个问题解决。
第二层：故障后的安全行为
系统自身也会出故障。比如传感器电池没电了、通信链路断了、MCU死机了。这些情况下，系统不能乱报。我的原则是：宁可沉默，不能误报。误报会让驾驶员失去信任，甚至忽略真正的报警。
避坑指南：我曾经见过一个项目，为了追求「高灵敏度」，把报警阈值设得很接近正常值。结果车辆在夏天跑高速时，轮胎温度升高导致气压自然上升，系统误判为「气压过高」频繁报警。驾驶员直接关掉了TPMS功能。嗯，这就是典型的过度设计反效果。
总结一下TPMS的核心安全目标：
- 检测目标：实时监测轮胎气压和温度
- 报警目标：气压异常时，在规定时间内发出报警
- 故障容错：系统自身故障时，不产生危险行为
- 诊断覆盖：对关键故障（如传感器失效）要有高诊断覆盖率
我个人习惯在项目启动时，就把这些目标写进系统需求文档里。因为后面所有的设计、测试、验证，都是围绕这些目标展开的。目标定清楚了，后面才不会走偏。
好了，这一章就到这里。下一章我们会深入聊聊TPMS的系统架构和传感器选型，到时候再细说。