功能安全

本文的目标是提出一种解决自动车辆带来的风险的通用方法。此通用方法可以作为安全自动驾驶的基准，但不包含完整且安全的特定产品。预期功能的安全性，功能安全性和网络安全性如何一起工作，以及如何将它们组合在一起以创建一个可靠的系统。

站在2020年年尾回看智能驾驶，这一年黑科技层出不穷，无疑是一片琳琅满目的壮观景象：超大的显示屏娱乐功能强大、智能座舱高度数字化、OTA远程升级几乎是新车型标配、ADAS辅助驾驶功能也越来越丰富和实用......至于智能驾驶的终极目标——无人驾驶，在市场的狂热逐渐退烧后，各大厂家重新制定了自动驾驶计划。智能汽车正在朝着便利和解放驾驶员的方向上狂奔。

危害与可操作性分析HAZOP（Hazard and operability analysis）是从功能层面出发的一种探索型分析方法，通过使用一组适当的引导词对每个功能进行假设，得出不同的功能异常表现，通过分析这些异常表现可导致的危害后果，实现危害的识别。

安全设计强调自上而下的层次化设计过程，各个层面的安全设计输入为上层安全架构与对本层的安全需求，输出为本层的安全架构及对下层的安全需求。

安全需求是指被分配给要素或在要素间分布的，旨在达到并确保被定义的ASIL等级的全部要求。从广义上说，安全需求包括技术和管理两个维度，本文主要讨论其中的技术类安全需求。

ISO 26262标准中对相关项（item）的定义为：一个系统或多个系统的组合，能够实现或部分实现整车的功能，是功能安全研究的对象。相关项可以不仅包含E/E组件，还可以包含机械、液压、化学等组件。

随着汽车技术的发展，功能安全和信息安全也逐步成为了汽车研发的热点，同样是安全，那它们到底有哪些区别呢？是否可以完美的融合在系统开发过程中？笔者有幸于此撰文描述，期待抛砖引玉，能够引出更为深刻的行业探讨。

在本系列上一篇《解说功能安全 [三]：功能安全开发思路（上）》中将功能安全开发思路概括为：采用合适的安全措施，将因为电子电气系统功能异常表现而引起的危害控制在可容忍的风险边界。并进一步详细讨论了危害、风险边界和电子电气系统功能异常表现，本文将继续讨论剩下的安全措施。

ISO 26262标准体系庞大、内容驳杂，在一开始学习这个标准时往往难以抓住核心脉络。因此本文尝试梳理ISO 26262标准体系中的功能安全开发思路，作为详细标准学习的一个引导。

随着智能网联汽车技术的发展，人们发现并不是所有的车辆安全问题都源于系统错误和失效，而是很多时候来源于环境影响或系统本身的功能/性能不足。例如，自动驾驶系统即使不发生故障，也可能因为神经网络黑盒输出等因素的不确定性导致功能的偏离，进而造成交通伤害。