“SASETalk”是磐時(shí)打造的深度訪談欄目，通過與企業(yè)內(nèi)資深技術(shù)專家對(duì)話，記錄他們親歷的技術(shù)歷程與行業(yè)觀察，從個(gè)人視角解讀行業(yè)發(fā)展變遷，共同探討未來技術(shù)趨勢(shì)與工程師成長(zhǎng)路徑。

本期嘉賓 PROFILE

劉利明 磐時(shí)資深功能安全專家/車企安全體系構(gòu)建導(dǎo)師

• 二十余年功能安全經(jīng)驗(yàn)，其中15年車載嵌入式開發(fā)、管理經(jīng)驗(yàn)；3.5年功能安全系統(tǒng)級(jí)設(shè)計(jì)經(jīng)驗(yàn)；5.5年功能安全軟件級(jí)開發(fā)、管理經(jīng)驗(yàn)。精通CMMI、ISO26262標(biāo)準(zhǔn)。
• 在東軟、豐田、松下等知名企業(yè)參與多個(gè)L2級(jí)自動(dòng)駕駛控制器功能安全系統(tǒng)級(jí)設(shè)計(jì)；多個(gè)BCM車身控制器的功能安全軟件級(jí)設(shè)計(jì)、開發(fā)、管理。

01

二十年前，“功能安全”尚在啟蒙

Q:您從業(yè)二十多年，二十年前，“功能安全”對(duì)于中國(guó)汽車人來說是個(gè)什么樣的概念？您是如何走上功能安全這條道路的？

A:二十年前，對(duì)于絕大多數(shù)中國(guó)汽車人來說，“功能安全”（Functional Safety）幾乎是一個(gè)完全不存在的概念。

當(dāng)時(shí)的狀況， “功能”與“安全”是割裂的。當(dāng)時(shí)我們談“安全”，主要指的是被動(dòng)安全，如：

關(guān)心車體剛度、安全帶、安全氣囊等物理結(jié)構(gòu)的碰撞安全；

以及短路、過載、絕緣、阻燃。防止起火、觸電等電氣工程的范疇的電氣安全。

沒有人系統(tǒng)性地思考過，如果一個(gè)電子功能“失效”了，會(huì)引發(fā)什么樣的安全事故？ 我們更關(guān)心它“工作”時(shí)怎么樣，幾乎不關(guān)心它“失效”時(shí)怎么辦。

在二十多年的職業(yè)生涯中，我見證并深度參與了從傳統(tǒng)硬件安全到現(xiàn)代復(fù)雜系統(tǒng)安全的演進(jìn)。CMMI、ASPICE等過程改進(jìn)模型，為組織建立了“如何做好”的體系。而ISO 26262等功能安全標(biāo)準(zhǔn)，核心是一個(gè)目標(biāo)導(dǎo)向的工程實(shí)踐體系，它明確回答了“為何要做”以及“要做到什么程度”。

我選擇將其作為職業(yè)生涯的深耕方向，正是基于這種價(jià)值驅(qū)動(dòng)的考量。

02

豐田與東軟：安全體系中的“紀(jì)律性”與“敏捷性”

Q:您先后在國(guó)際頂尖車企（豐田）和本土軟件企業(yè)（東軟）開展功能安全實(shí)踐，您認(rèn)為這兩種文化背景下的研發(fā)體系，最根本的差異是什么？這些經(jīng)驗(yàn)如何塑造了您今天的安全觀？

A:這本質(zhì)上是兩種工業(yè)哲學(xué)的不同。

豐田奉行是基于一種確定性文化，他們更相信“品質(zhì)是制造出來的，不是檢驗(yàn)出來的”。通過極致的流程化和對(duì)人的訓(xùn)練，追求接近零缺陷的、可預(yù)測(cè)的、一致的輸出。

東軟等本土企業(yè)的核心理念，是起源于互聯(lián)網(wǎng)和軟件行業(yè)的“在變化中迭代，在交付中完善”，通過快速迭代和反饋，敏捷地響應(yīng)市場(chǎng)，優(yōu)先保證功能的可用性和創(chuàng)新性。

總結(jié)來說，豐田給了我安全的紀(jì)律性，東軟給了我安全的敏捷性。

03

功能安全正從“合規(guī)項(xiàng)”變成“競(jìng)爭(zhēng)力”

Q:在您看來，中國(guó)智能汽車產(chǎn)業(yè)在今天這個(gè)階段，對(duì)功能安全的需求發(fā)生了怎樣的變化？

A:現(xiàn)在，功能安全需求有幾個(gè)發(fā)展動(dòng)向。

1.從 “合規(guī)導(dǎo)向” 到 “競(jìng)爭(zhēng)力導(dǎo)向”

過去功能安全是一種成本項(xiàng)，是為了滿足國(guó)際標(biāo)準(zhǔn)（ISO 26262）和法規(guī)（如UN R155/R156）的強(qiáng)制性要求。目標(biāo)是“有”和“過認(rèn)證”。

現(xiàn)在功能安全已成為智能汽車產(chǎn)品的核心品質(zhì)和品牌差異化的關(guān)鍵要素。消費(fèi)者為“智能”買單的同時(shí)，潛意識(shí)里也為其“安全”賦予了更高期待。一套可靠的功能安全體系，能極大提升品牌信譽(yù)。所以現(xiàn)在功能安全的目標(biāo)，是構(gòu)建用戶信任。

2.從 “硬件安全” 到 “軟件定義安全”

過去功能安全的重心在硬件層面，如CPU Lockstep、內(nèi)存ECC、安全監(jiān)控芯片等。軟件的角色更多是實(shí)現(xiàn)硬件安全機(jī)制的診斷和控制。

現(xiàn)在在中央計(jì)算+區(qū)域控制的架構(gòu)下，軟件承擔(dān)了定義和實(shí)現(xiàn)安全策略的核心角色。例如，如何通過Hypervisor實(shí)現(xiàn)不同安全等級(jí)OS的隔離？如何在一個(gè)高性能SoC上，同時(shí)運(yùn)行娛樂系統(tǒng)（QM）和制動(dòng)系統(tǒng)（ASIL D）的虛擬機(jī)？如何通過OTA動(dòng)態(tài)部署和更新安全機(jī)制？這說明功能安全的主戰(zhàn)場(chǎng)，正從硬件設(shè)計(jì)轉(zhuǎn)向軟件架構(gòu)、算法和開發(fā)流程。

3.從 “單點(diǎn)突破” 到 “系統(tǒng)融合”

過去關(guān)注重點(diǎn)是單一的，既傳統(tǒng)單一的ECU（如ESP、EPS）如何實(shí)現(xiàn)功能安全要求?，F(xiàn)在的智能汽車是一個(gè)由云、管、端構(gòu)成的復(fù)雜系統(tǒng)。功能安全必須與網(wǎng)絡(luò)安全、預(yù)期功能安全、數(shù)據(jù)安全進(jìn)行深度融合和協(xié)同設(shè)計(jì)。

04

當(dāng)前誤區(qū)：用算法“擬人化”替代硬件安全基線

Q:在您看來，當(dāng)前眾多車企在追求‘軟件定義汽車’和‘降本增效’的過程中，對(duì)功能安全最大的誤解或最容易踩坑的地方是什么？

A:最大的誤解應(yīng)該是用軟件算法的“擬人化能力”，替代硬件冗余的物理安全基線。本質(zhì)，是混淆了 “功能實(shí)現(xiàn)” 與 “失效安全” 的底層邏輯，最典型的表現(xiàn)是 ——為降低成本砍掉激光雷達(dá)、多傳感器冗余等硬件安全設(shè)計(jì)，轉(zhuǎn)而依賴端到端大模型的 “學(xué)習(xí)能力” 彌補(bǔ)感知缺陷。

05

未來安全是“多標(biāo)準(zhǔn)協(xié)同”，需構(gòu)建跨學(xué)科能力

Q:面對(duì)中央計(jì)算+區(qū)域控制的新架構(gòu)、AI在代碼生成中的應(yīng)用等趨勢(shì)，功能安全的內(nèi)涵和外延正在發(fā)生哪些變化？對(duì)于想在這個(gè)領(lǐng)域深耕的年輕工程師，您會(huì)建議他們重點(diǎn)培養(yǎng)哪些未來能力？

A:面對(duì)中央計(jì)算+區(qū)域控制的新架構(gòu)、AI在代碼生成中的應(yīng)用，有以下變化。

1.安全責(zé)任主體遷移：從分布式到集中化。

傳統(tǒng)架構(gòu)：將安全責(zé)任分散于數(shù)十個(gè)ECU上。

新架構(gòu)中：中央計(jì)算平臺(tái)需承載制動(dòng)/轉(zhuǎn)向/智駕等多域安全關(guān)鍵功能；區(qū)域控制器需確保非安全任務(wù)不影響安全任務(wù)。

2.安全驗(yàn)證對(duì)象擴(kuò)展：從確定性系統(tǒng)到非確定性AI

傳統(tǒng)焦點(diǎn)：驗(yàn)證固定邏輯的確定性行為（如MC/DC覆蓋）。

AI生成代碼：需驗(yàn)證黑盒模型的決策邊界（如CNN誤判障礙物概率）。

數(shù)據(jù)驅(qū)動(dòng)安全：構(gòu)建SOTIF場(chǎng)景庫覆蓋長(zhǎng)尾場(chǎng)景（如暴雨中識(shí)別塑料袋為障礙物）。

3.安全邊界外延：從單車到云管端

未來的安全一定是多標(biāo)準(zhǔn)協(xié)同的安全，所以要構(gòu)建跨學(xué)科學(xué)習(xí)與協(xié)作能力，將功能安全、預(yù)期功能安全、信息安全融合，形成自己的核心能力。END