功能安全

安全设计强调自上而下的层次化设计过程，各个层面的安全设计输入为上层安全架构与对本层的安全需求，输出为本层的安全架构及对下层的安全需求。

安全需求是指被分配给要素或在要素间分布的，旨在达到并确保被定义的ASIL等级的全部要求。从广义上说，安全需求包括技术和管理两个维度，本文主要讨论其中的技术类安全需求。

ISO 26262标准中对相关项（item）的定义为：一个系统或多个系统的组合，能够实现或部分实现整车的功能，是功能安全研究的对象。相关项可以不仅包含E/E组件，还可以包含机械、液压、化学等组件。

随着汽车技术的发展，功能安全和信息安全也逐步成为了汽车研发的热点，同样是安全，那它们到底有哪些区别呢？是否可以完美的融合在系统开发过程中？笔者有幸于此撰文描述，期待抛砖引玉，能够引出更为深刻的行业探讨。

在本系列上一篇《解说功能安全 [三]：功能安全开发思路（上）》中将功能安全开发思路概括为：采用合适的安全措施，将因为电子电气系统功能异常表现而引起的危害控制在可容忍的风险边界。并进一步详细讨论了危害、风险边界和电子电气系统功能异常表现，本文将继续讨论剩下的安全措施。

ISO 26262标准体系庞大、内容驳杂，在一开始学习这个标准时往往难以抓住核心脉络。因此本文尝试梳理ISO 26262标准体系中的功能安全开发思路，作为详细标准学习的一个引导。

随着智能网联汽车技术的发展，人们发现并不是所有的车辆安全问题都源于系统错误和失效，而是很多时候来源于环境影响或系统本身的功能/性能不足。例如，自动驾驶系统即使不发生故障，也可能因为神经网络黑盒输出等因素的不确定性导致功能的偏离，进而造成交通伤害。

汽车操作安全性指汽车的能力或特性处于合适的运行条件或满足可接受的标准，所谓可接受的标准指可在道路或街道上的安全驾驶及人员、行李、货物的安全运输。

功能安全中的有些概念比较绕，比如故障(fault)，错误(error)，失效(failure)，今天就这三个概念进行下探讨。

汽车功能安全性可定义为汽车系统设计的关键要素，提供高水平的可靠性。让人们能够检测、诊断并有效地减轻任何故障，从而确保在发生任何故障时的操作安全性。ISO 26262标准将功能安全性定义为“不能由于电气/电子系统的故障行为导致的危险而存在不合理的风险”。