功能安全（Functional Safety）

功能安全做事的总骨架是"沿过程从概念走到运营、每个过程都产出 标准 / 方法 / 输出 三层物料"。把这张图刻在脑子里，所有 ISO 26262 子页、机制页、案例页就能各回各位——左侧（概念 + 风险）决定要做什么、中段（HW + SW）决定怎么做、右侧（验证 + 持续）决定证据齐不齐。

三个独立标准要并存：ISO 26262 管 E/E 故障（本页主线）、ISO 21448 SOTIF 管"功能本身性能不足"（没坏但表现不及预期，如 ADAS 雨天误检）、ISO 21434 Cybersecurity 管"网络攻击导致功能失效"。三者各自有方法和产出物，任何一个缺失都不能算"安全完备"——L3+ ADAS 三者同时必做。

下面再钻进 ISO 26262 这条主线 — IEC 61508 母标准在汽车域的剪裁逻辑、SIL 与 ASIL 的对应关系。

功能安全标准的根基是 IEC 61508（1998 年通用母标准），它定义了 SIL 等级、V 模型、Safety Lifecycle 这套共通骨架；然后航空（DO-178C）、汽车（ISO 26262）、铁路（EN 50128）、机械（IEC 62061）、过程工业（IEC 61511）等各自做行业剪裁。理解 IEC 61508 = 同时理解所有功能安全标准的骨架——只是各行业的"等级"名字和评级维度不同。

下表把功能安全里的核心 concept 全部映射到 atomic 子页——这是 hub 的"下钻入口"，按主题进入即可，不必通读本 hub。

ASIL 不是工程师拍脑袋定的——是 HARA 评估出来的，S × E × C 三维查表得 ASIL 等级。下面这张表说的是"行业经验下这类功能通常落到哪个 ASIL"，作为快速参照，真实项目还是要走 HARA 流程。

QM 的含义：不是"不重要"，而是"失效不会造成安全事故"，所以不需要功能安全流程——普通的质量管理（QM = Quality Management）足够。

EPS 失效场景的完整 ASIL 推导示例：高速公路行驶中 EPS（电动转向）突然失效。S：方向盘助力失效 → 驾驶员力量不足以控制 → 车辆偏离车道 → 可能致命 → S3；E：高速公路是日常驾驶常用场景 → E4；C：100 km/h 时瞬间失去转向助力，即使驾驶员经验丰富也非常困难 → C3。查表 S3 × E4 × C3 = ASIL D。这意味着控制器需要双核锁步 MCU、独立 Checker、冗余电源、ISO 26262 Part 3 完整 HARA + FSC、Part 4/5/6 完整 V&V、第三方独立评估和 Safety Case 归档——开发成本是普通控制器的 5–10 倍。

完整 S / E / C 等级定义与查表见 topic-iso26262-part3-concept。

HARA（Hazard Analysis and Risk Assessment） 是 ISO 26262 Part 3 的核心，把抽象的"安全"要求具体化为可操作的安全目标。关键发现：ASIL 是工况相关而不是部件固有——同一个电机控制器在不同工况下可以从 A 到 D 跨多个等级。HARA 必须穷举工况，不能只考虑"标称工况"。

Safety Goal → FSR → TSR → HSR/SSR 是从顶层目标一路细化到硬件/软件需求的标准链路。FTTI（Fault Tolerant Time Interval） 是这条链最容易被忽视的数字——它决定了诊断 + 反应整链的实时预算，必须在 Part 3 就定下来。

ISO 26262 Part 5 用三个独立指标量化硬件安全度量，三者从不同维度评价同一件事：SPFM 看"诊断能不能在单点故障发生时及时发现"、LFM 看"诊断能不能在潜伏故障变成第二点故障前发现它"、PMHF 看"整体危险失效率是否够低"。三者必须同时达标才算硬件 ASIL 合格——任一指标卡线就要返工诊断。详见 topic-iso26262-part5-hardware。

双核锁步是实现 ASIL D 的主流硬件架构——两个 core 跑同一段代码，每个时钟周期比较输出。Infineon AURIX 2G、NXP MPC57xx、Renesas RH850 都把 lockstep + ECC + MBIST + Safety Manager Unit 集成到芯片里，并发布 Safety Manual + SEooC 评估证据。

锁步硬件在每个时钟周期把两路 core 的输出送进比较器,正常工作时序如下:

而潜伏故障(LFM 关注对象)的演化路径与单点故障不同 — 它先静默存在,等第二次失效才显现:

FMEDA 是把元件 $\lambda$（来自 SN 29500 / IEC 62380 / FIDES）+ DC（来自 Safety Manual / 故障注入 / formal）逐元件累加得到 SPFM / LFM / PMHF 的工程载体——所有 ASIL ≥ B 的硬件都要做。

ASIL 分解 允许把一个高 ASIL 安全目标分解给两个独立的子系统，每个负担更低 ASIL，从而把开发成本压下来。ISO 26262 只允许特定组合（D = D + QM、D = C + A、D = B + B、D = A + C 非法）；分解后两路必须独立——不共享电源 / 时钟 / 软件库 / 通信总线 / 算法，并且 DFA 必须证明所有可能共因都被分析过。

冗余 ≠ 分解：冗余只是分解的充分条件之一，还要求两侧独立和 DFA 通过；软件拷贝两份不算分解，因为同一 bug 在两份拷贝里同时出现是共因失效。

ASIL 等级和"故障后系统去哪"这件事是两个独立维度——很多人以为 ASIL D 必须 fail-op，但其实是 Hazard 决定策略,不是 ASIL 决定。EPS 是 ASIL D 但 fail-safe（车在路边停下来司机机械接管），而 L4 自动驾驶哪怕 ASIL B 也必须 fail-operational（司机注意力已转移、没法接管）。先问"系统是否存在安全态",再决定单通道 / 双通道 / 三冗余。

判断口诀:故障检出后系统进入的状态 → 是否还在 Safety Goal 容忍范围内 → 在 → fail-safe / fail-degraded;不在 → 必须 fail-op。Fail-op 的成本是单通道的 2-3 倍,所以不要无脑做 fail-op——先 HARA 证明必须。

四把尺回答不同问题，不是替代关系：

四件套的协同顺序：FTA 从 Safety Goal 顶向下拆 → FMEDA 在基事件层给定量数字 → DFA 横向检查 FTA"与门"两侧是否真独立 → FSA 最后做组织独立的确认。

AIAG-VDA 2019 把传统 FMEA 的 RPN（S × O × D 相乘）改成 AP（Action Priority 查表），新增 FMEA-MSR（Monitoring and System Response），把诊断覆盖率与 ISO 26262 直接挂钩——是把 FMEA 与 FMEDA 拼接的关键创新。

ISO 26262 Part 6 的核心不是"多写几条测试用例"，而是把软件开发流程约束到可分析、可验证、可追溯。ASIL D 三件套：MISRA C 编码规范落地 §5 Table 1 + 必须 MC/DC 结构覆盖 + Inspection / 故障注入 / 需求追溯齐全。详见 topic-software-safety 与 topic-iso26262-part6-software。

实施层 atomic 页按"应用案例 / 系统集成 / 交付物"三层组织——案例落到具体产品，集成讲架构选型，交付物（Safety Case + Manual）是评估通关的最终物料。

• topic-asil-d-case-studies — 主驱 Torque Safety + No Thermal Incident 端到端 ASIL D 实现
• topic-hv-inverter-iso26262-concept — HV 逆变器三种安全态（HSS / LSS / 3PO）按车速切换
• topic-mcu-sbc-asil-d-integration — MPC5643L + MC33907/08 SoR 9 模块复制 + FCCU 硬件通道
• topic-torque-safety — ASIL D 扭矩安全设计
• topic-bms-safety — BMS 功能安全
• topic-functional-safety-chip-selection — Tier-1 选 ASIL 芯片决策框架
• topic-safety-case — Argument + Evidence 结构化集合，living document
• topic-safety-manual — IC supplier 给客户的合规交付物

实战阶段最常被翻开的是"失效模式 → 缓解手段"两张速查表——按失效模式找诊断、或按诊断目录找适用机制，反向都行。

• topic-failure-mode-summary — V 模型阶段分组的失效模式 + 缓解措施总表
• topic-safety-mechanism-catalog — MCU / 电源 / 驱动 / 传感 / 通信 5 维 SM 大全
• topic-current-sensing-safety · topic-voltage-sensing-safety · topic-position-sensing-safety · topic-temperature-sensing-safety — 采样链的功能安全诊断
• topic-gate-driver-safety — 栅极驱动的功能安全诊断
• topic-thermal-safety · topic-hv-safety — 热与高压安全