汽车安全的必要性
随着汽车智能化和电气化技术的快速普及，车内控制器和各种电子部件越来越多，而各类电子部件都存在系统性失效和随机硬件失效的风险，因此相应的汽车功能安全变得越来越重要。
汽车安全分类
==汽车安全主要包括碰撞安全、高压安全、功能安全、信息安全、使用安全几大分类==。
而车规功能安全重点关注车辆电子电气失效导致对人的伤害。
功能安全针对的是车辆一个或者多个电子电气相关系统的故障行为而引起的可能的危害
电子系统失效分类
电子系统失效的分类分成==系统性失效==和==随机失效==两大类。
- 系统性失效具体指人为的失效。它主要由严格的开发流程和独立的评估体系来管理和防止。
- 随机失效指的是硬件中电子部件特别是芯片在生命周期中无法预测的失效。芯片的随机失效在 ISO26262标准中主要依托 IEC62380和西门子 SN29500这两个参考标准用 FIT来量化。特别是数字芯片当其使用的==逻辑门超过 5千万级别、 RAM超过 2G或 Flash超过 1G时==，失效率将达到 200FIT以上。因此需要通过安全机制去检测故障和满足量化安全指标的难度大大提高。
注：1 FIT（失效率，failures in time）指的是1个（单位）的产品在1×10^9小时内出现1次失效（或故障）的情况。
ISO26262
在汽车电子行业，功能安全国际标准ISO 26262 是汽车行业的安全标准，涵盖了生产车辆中的电气和电子系统。功能安全国际标准ISO26262和对应国标GB/T34590将功能安全定义为：避免因电子电气系统故障而导致不合理的风险。即随机硬件失效和系统性失效不会导致安全系统的错误功能，从而导致人的伤害死亡，或环境污染，或设备财产损失等。
- ISO26262的由来
在1900年代后期，化工厂造成了大规模事故，例如意大利的塞维索事故和印度的博帕尔事故 - 功能安全的目的是”将风险降低到可接受的水平”
ISO26262的特殊之处在于它不仅提供标准通常规范的行为准则，而且对可接受的风险提出如何去量化的指导意见。
汽车安全完整性等级
- ISO 26262标准使用==汽车安全完整性等级 (ASIL A–D) ==来衡量风险。
- 等级划分：ASIL共分五个等级QM，ASIL-A，B，C和D。ASIL D代表最高的汽车危害等级，而ASIL A代表最低的汽车危害等级。还有一个称为QM（质量管理级别）的级别，它表示不要求任何安全要求的危害。ASIL-D代表最高的汽车功能安全要求。
以 ASIL-D为例，它的单点故障指标要求被安全机制覆盖超过 99%，而多点故障指标要求被安全机制覆盖超过 90%。标准还额外对残余故障的失效率做出规定， ASIL-B和 C要求小于 100FIT，而 ASIL-D更严苛地要求小于 10FIT。
安全气囊，防抱死制动和动力转向等系统需要ASIL-D级（对安全性要求最高的严格性），因为与故障相关的风险最高。在安全范围的另一端，诸如尾灯之类的组件仅需要ASIL-A级。前大灯和刹车灯通常为ASIL-B，而巡航控制系统通常为ASIL-C。
ASIL根据伤害的严重性S、可能性E和可控性C来确定安全要求。它的具体定级需要通过==HARA危害分析风险评估==来确定。
HARA危害分析风险评估
==HARA==（Hazard Analysis and Risk Assessment）是指危害分析和风险评估。危害分析：危险分析是整个过程的第一步，用来评估风险的ASIL等级。危险分析的目的是确定ASIL水平和所需的安全状态。风险评估（包含两方面）：危害识别：识别可能造成危害的危害和风险因素。风险分析和评估：通过S、E和C分析和评估与该风险相关的风险。
汽车功能安全HARA危害分析风险评估：
严重性S：S0S3，表示人员可能造成伤害的级别。E4，表示这个风险在实际应用中发生的概率。
可能性E：E0
可控性C：C0~C3，表示这个风险发生后人员采取措施控制后可以避免伤害的能力。
通过HARA分析，确定安全目标、安全状态、FTTI故障容错时间间隔和ASIL等级。
- S3，E4和C3（3个参数的极值）的组合表示高度危险的情况。因此，被评估的组件被标识为ASIL D，这意味着在发生故障的情况下容易发生严重威胁生命的事件，并要求采取最严格的安全措施。
- 相反，S1，E1和C1的组合（就安全性至关紧要而言，这三个参数的最低水平）要求QM级别，这意味着该组件是无害的，并且不强调要在安全性要求下管理的安全要求ISO 26262。
- 同样，中级水平（S2，E4和C3或S2，E3和C2）的组合定义了ASIL C或ASILA。
