“SASETalk”是磐時打造的深度訪談欄目，通過與企業(yè)內(nèi)資深技術(shù)專家對話，記錄他們親歷的技術(shù)歷程與行業(yè)觀察，從個人視角解讀行業(yè)發(fā)展變遷，共同探討未來技術(shù)趨勢與工程師成長路徑。

本期嘉賓 PROFILE

劉利明 磐時資深功能安全專家/車企安全體系構(gòu)建導(dǎo)師

• 二十余年功能安全經(jīng)驗，其中15年車載嵌入式開發(fā)、管理經(jīng)驗；3.5年功能安全系統(tǒng)級設(shè)計經(jīng)驗；5.5年功能安全軟件級開發(fā)、管理經(jīng)驗。精通CMMI、ISO26262標(biāo)準(zhǔn)。
• 在東軟、豐田、松下等知名企業(yè)參與多個L2級自動駕駛控制器功能安全系統(tǒng)級設(shè)計；多個BCM車身控制器的功能安全軟件級設(shè)計、開發(fā)、管理。

01

二十年前，“功能安全”尚在啟蒙

Q:您從業(yè)二十多年，二十年前，“功能安全”對于中國汽車人來說是個什么樣的概念？您是如何走上功能安全這條道路的？

A:二十年前，對于絕大多數(shù)中國汽車人來說，“功能安全”（Functional Safety）幾乎是一個完全不存在的概念。

當(dāng)時的狀況， “功能”與“安全”是割裂的。當(dāng)時我們談“安全”，主要指的是被動安全，如：

關(guān)心車體剛度、安全帶、安全氣囊等物理結(jié)構(gòu)的碰撞安全；

以及短路、過載、絕緣、阻燃。防止起火、觸電等電氣工程的范疇的電氣安全。

沒有人系統(tǒng)性地思考過，如果一個電子功能“失效”了，會引發(fā)什么樣的安全事故？ 我們更關(guān)心它“工作”時怎么樣，幾乎不關(guān)心它“失效”時怎么辦。

在二十多年的職業(yè)生涯中，我見證并深度參與了從傳統(tǒng)硬件安全到現(xiàn)代復(fù)雜系統(tǒng)安全的演進(jìn)。CMMI、ASPICE等過程改進(jìn)模型，為組織建立了“如何做好”的體系。而ISO 26262等功能安全標(biāo)準(zhǔn)，核心是一個目標(biāo)導(dǎo)向的工程實(shí)踐體系，它明確回答了“為何要做”以及“要做到什么程度”。

我選擇將其作為職業(yè)生涯的深耕方向，正是基于這種價值驅(qū)動的考量。

02

豐田與東軟：安全體系中的“紀(jì)律性”與“敏捷性”

Q:您先后在國際頂尖車企（豐田）和本土軟件企業(yè)（東軟）開展功能安全實(shí)踐，您認(rèn)為這兩種文化背景下的研發(fā)體系，最根本的差異是什么？這些經(jīng)驗如何塑造了您今天的安全觀？

A:這本質(zhì)上是兩種工業(yè)哲學(xué)的不同。

豐田奉行是基于一種確定性文化，他們更相信“品質(zhì)是制造出來的，不是檢驗出來的”。通過極致的流程化和對人的訓(xùn)練，追求接近零缺陷的、可預(yù)測的、一致的輸出。

東軟等本土企業(yè)的核心理念，是起源于互聯(lián)網(wǎng)和軟件行業(yè)的“在變化中迭代，在交付中完善”，通過快速迭代和反饋，敏捷地響應(yīng)市場，優(yōu)先保證功能的可用性和創(chuàng)新性。

總結(jié)來說，豐田給了我安全的紀(jì)律性，東軟給了我安全的敏捷性。

03

功能安全正從“合規(guī)項”變成“競爭力”

Q:在您看來，中國智能汽車產(chǎn)業(yè)在今天這個階段，對功能安全的需求發(fā)生了怎樣的變化？

A:現(xiàn)在，功能安全需求有幾個發(fā)展動向。

1.從 “合規(guī)導(dǎo)向” 到 “競爭力導(dǎo)向”

過去功能安全是一種成本項，是為了滿足國際標(biāo)準(zhǔn)（ISO 26262）和法規(guī)（如UN R155/R156）的強(qiáng)制性要求。目標(biāo)是“有”和“過認(rèn)證”。

現(xiàn)在功能安全已成為智能汽車產(chǎn)品的核心品質(zhì)和品牌差異化的關(guān)鍵要素。消費(fèi)者為“智能”買單的同時，潛意識里也為其“安全”賦予了更高期待。一套可靠的功能安全體系，能極大提升品牌信譽(yù)。所以現(xiàn)在功能安全的目標(biāo)，是構(gòu)建用戶信任。

2.從 “硬件安全” 到 “軟件定義安全”

過去功能安全的重心在硬件層面，如CPU Lockstep、內(nèi)存ECC、安全監(jiān)控芯片等。軟件的角色更多是實(shí)現(xiàn)硬件安全機(jī)制的診斷和控制。

現(xiàn)在在中央計算+區(qū)域控制的架構(gòu)下，軟件承擔(dān)了定義和實(shí)現(xiàn)安全策略的核心角色。例如，如何通過Hypervisor實(shí)現(xiàn)不同安全等級OS的隔離？如何在一個高性能SoC上，同時運(yùn)行娛樂系統(tǒng)（QM）和制動系統(tǒng)（ASIL D）的虛擬機(jī)？如何通過OTA動態(tài)部署和更新安全機(jī)制？這說明功能安全的主戰(zhàn)場，正從硬件設(shè)計轉(zhuǎn)向軟件架構(gòu)、算法和開發(fā)流程。

3.從 “單點(diǎn)突破” 到 “系統(tǒng)融合”

過去關(guān)注重點(diǎn)是單一的，既傳統(tǒng)單一的ECU（如ESP、EPS）如何實(shí)現(xiàn)功能安全要求。現(xiàn)在的智能汽車是一個由云、管、端構(gòu)成的復(fù)雜系統(tǒng)。功能安全必須與網(wǎng)絡(luò)安全、預(yù)期功能安全、數(shù)據(jù)安全進(jìn)行深度融合和協(xié)同設(shè)計。

04

當(dāng)前誤區(qū)：用算法“擬人化”替代硬件安全基線

Q:在您看來，當(dāng)前眾多車企在追求‘軟件定義汽車’和‘降本增效’的過程中，對功能安全最大的誤解或最容易踩坑的地方是什么？

A:最大的誤解應(yīng)該是用軟件算法的“擬人化能力”，替代硬件冗余的物理安全基線。本質(zhì)，是混淆了 “功能實(shí)現(xiàn)” 與 “失效安全” 的底層邏輯，最典型的表現(xiàn)是 ——為降低成本砍掉激光雷達(dá)、多傳感器冗余等硬件安全設(shè)計，轉(zhuǎn)而依賴端到端大模型的 “學(xué)習(xí)能力” 彌補(bǔ)感知缺陷。

05

未來安全是“多標(biāo)準(zhǔn)協(xié)同”，需構(gòu)建跨學(xué)科能力

Q:面對中央計算+區(qū)域控制的新架構(gòu)、AI在代碼生成中的應(yīng)用等趨勢，功能安全的內(nèi)涵和外延正在發(fā)生哪些變化？對于想在這個領(lǐng)域深耕的年輕工程師，您會建議他們重點(diǎn)培養(yǎng)哪些未來能力？

A:面對中央計算+區(qū)域控制的新架構(gòu)、AI在代碼生成中的應(yīng)用，有以下變化。

1.安全責(zé)任主體遷移：從分布式到集中化。

傳統(tǒng)架構(gòu)：將安全責(zé)任分散于數(shù)十個ECU上。

新架構(gòu)中：中央計算平臺需承載制動/轉(zhuǎn)向/智駕等多域安全關(guān)鍵功能；區(qū)域控制器需確保非安全任務(wù)不影響安全任務(wù)。

2.安全驗證對象擴(kuò)展：從確定性系統(tǒng)到非確定性AI

傳統(tǒng)焦點(diǎn)：驗證固定邏輯的確定性行為（如MC/DC覆蓋）。

AI生成代碼：需驗證黑盒模型的決策邊界（如CNN誤判障礙物概率）。

數(shù)據(jù)驅(qū)動安全：構(gòu)建SOTIF場景庫覆蓋長尾場景（如暴雨中識別塑料袋為障礙物）。

3.安全邊界外延：從單車到云管端

未來的安全一定是多標(biāo)準(zhǔn)協(xié)同的安全，所以要構(gòu)建跨學(xué)科學(xué)習(xí)與協(xié)作能力，將功能安全、預(yù)期功能安全、信息安全融合，形成自己的核心能力。END