“SASETalk”是磐時打造的深度訪談欄目，通過與企業(yè)內(nèi)資深技術(shù)專家對話，記錄他們親歷的技術(shù)歷程與行業(yè)觀察，從個人視角解讀行業(yè)發(fā)展變遷，共同探討未來技術(shù)趨勢與工程師成長路徑。

本期嘉賓 PROFILE

劉利明 磐時資深功能安全專家/車企安全體系構(gòu)建導師

• 二十余年功能安全經(jīng)驗，其中15年車載嵌入式開發(fā)、管理經(jīng)驗；3.5年功能安全系統(tǒng)級設(shè)計經(jīng)驗；5.5年功能安全軟件級開發(fā)、管理經(jīng)驗。精通CMMI、ISO26262標準。
• 在東軟、豐田、松下等知名企業(yè)參與多個L2級自動駕駛控制器功能安全系統(tǒng)級設(shè)計；多個BCM車身控制器的功能安全軟件級設(shè)計、開發(fā)、管理。

01

二十年前，“功能安全”尚在啟蒙

Q:您從業(yè)二十多年，二十年前，“功能安全”對于中國汽車人來說是個什么樣的概念？您是如何走上功能安全這條道路的？

A:二十年前，對于絕大多數(shù)中國汽車人來說，“功能安全”（Functional Safety）幾乎是一個完全不存在的概念。

當時的狀況， “功能”與“安全”是割裂的。當時我們談“安全”，主要指的是被動安全，如：

關(guān)心車體剛度、安全帶、安全氣囊等物理結(jié)構(gòu)的碰撞安全；

以及短路、過載、絕緣、阻燃。防止起火、觸電等電氣工程的范疇的電氣安全。

沒有人系統(tǒng)性地思考過，如果一個電子功能“失效”了，會引發(fā)什么樣的安全事故？ 我們更關(guān)心它“工作”時怎么樣，幾乎不關(guān)心它“失效”時怎么辦。

在二十多年的職業(yè)生涯中，我見證并深度參與了從傳統(tǒng)硬件安全到現(xiàn)代復(fù)雜系統(tǒng)安全的演進。CMMI、ASPICE等過程改進模型，為組織建立了“如何做好”的體系。而ISO 26262等功能安全標準，核心是一個目標導向的工程實踐體系，它明確回答了“為何要做”以及“要做到什么程度”。

我選擇將其作為職業(yè)生涯的深耕方向，正是基于這種價值驅(qū)動的考量。

02

豐田與東軟：安全體系中的“紀律性”與“敏捷性”

Q:您先后在國際頂尖車企（豐田）和本土軟件企業(yè)（東軟）開展功能安全實踐，您認為這兩種文化背景下的研發(fā)體系，最根本的差異是什么？這些經(jīng)驗如何塑造了您今天的安全觀？

A:這本質(zhì)上是兩種工業(yè)哲學的不同。

豐田奉行是基于一種確定性文化，他們更相信“品質(zhì)是制造出來的，不是檢驗出來的”。通過極致的流程化和對人的訓練，追求接近零缺陷的、可預(yù)測的、一致的輸出。

東軟等本土企業(yè)的核心理念，是起源于互聯(lián)網(wǎng)和軟件行業(yè)的“在變化中迭代，在交付中完善”，通過快速迭代和反饋，敏捷地響應(yīng)市場，優(yōu)先保證功能的可用性和創(chuàng)新性。

總結(jié)來說，豐田給了我安全的紀律性，東軟給了我安全的敏捷性。

03

功能安全正從“合規(guī)項”變成“競爭力”

Q:在您看來，中國智能汽車產(chǎn)業(yè)在今天這個階段，對功能安全的需求發(fā)生了怎樣的變化？

A:現(xiàn)在，功能安全需求有幾個發(fā)展動向。

1.從 “合規(guī)導向” 到 “競爭力導向”

過去功能安全是一種成本項，是為了滿足國際標準（ISO 26262）和法規(guī)（如UN R155/R156）的強制性要求。目標是“有”和“過認證”。

現(xiàn)在功能安全已成為智能汽車產(chǎn)品的核心品質(zhì)和品牌差異化的關(guān)鍵要素。消費者為“智能”買單的同時，潛意識里也為其“安全”賦予了更高期待。一套可靠的功能安全體系，能極大提升品牌信譽。所以現(xiàn)在功能安全的目標，是構(gòu)建用戶信任。

2.從 “硬件安全” 到 “軟件定義安全”

過去功能安全的重心在硬件層面，如CPU Lockstep、內(nèi)存ECC、安全監(jiān)控芯片等。軟件的角色更多是實現(xiàn)硬件安全機制的診斷和控制。

現(xiàn)在在中央計算+區(qū)域控制的架構(gòu)下，軟件承擔了定義和實現(xiàn)安全策略的核心角色。例如，如何通過Hypervisor實現(xiàn)不同安全等級OS的隔離？如何在一個高性能SoC上，同時運行娛樂系統(tǒng)（QM）和制動系統(tǒng)（ASIL D）的虛擬機？如何通過OTA動態(tài)部署和更新安全機制？這說明功能安全的主戰(zhàn)場，正從硬件設(shè)計轉(zhuǎn)向軟件架構(gòu)、算法和開發(fā)流程。

3.從 “單點突破” 到 “系統(tǒng)融合”

過去關(guān)注重點是單一的，既傳統(tǒng)單一的ECU（如ESP、EPS）如何實現(xiàn)功能安全要求?，F(xiàn)在的智能汽車是一個由云、管、端構(gòu)成的復(fù)雜系統(tǒng)。功能安全必須與網(wǎng)絡(luò)安全、預(yù)期功能安全、數(shù)據(jù)安全進行深度融合和協(xié)同設(shè)計。

04

當前誤區(qū)：用算法“擬人化”替代硬件安全基線

Q:在您看來，當前眾多車企在追求‘軟件定義汽車’和‘降本增效’的過程中，對功能安全最大的誤解或最容易踩坑的地方是什么？

A:最大的誤解應(yīng)該是用軟件算法的“擬人化能力”，替代硬件冗余的物理安全基線。本質(zhì)，是混淆了 “功能實現(xiàn)” 與 “失效安全” 的底層邏輯，最典型的表現(xiàn)是 ——為降低成本砍掉激光雷達、多傳感器冗余等硬件安全設(shè)計，轉(zhuǎn)而依賴端到端大模型的 “學習能力” 彌補感知缺陷。

05

未來安全是“多標準協(xié)同”，需構(gòu)建跨學科能力

Q:面對中央計算+區(qū)域控制的新架構(gòu)、AI在代碼生成中的應(yīng)用等趨勢，功能安全的內(nèi)涵和外延正在發(fā)生哪些變化？對于想在這個領(lǐng)域深耕的年輕工程師，您會建議他們重點培養(yǎng)哪些未來能力？

A:面對中央計算+區(qū)域控制的新架構(gòu)、AI在代碼生成中的應(yīng)用，有以下變化。

1.安全責任主體遷移：從分布式到集中化。

傳統(tǒng)架構(gòu)：將安全責任分散于數(shù)十個ECU上。

新架構(gòu)中：中央計算平臺需承載制動/轉(zhuǎn)向/智駕等多域安全關(guān)鍵功能；區(qū)域控制器需確保非安全任務(wù)不影響安全任務(wù)。

2.安全驗證對象擴展：從確定性系統(tǒng)到非確定性AI

傳統(tǒng)焦點：驗證固定邏輯的確定性行為（如MC/DC覆蓋）。

AI生成代碼：需驗證黑盒模型的決策邊界（如CNN誤判障礙物概率）。

數(shù)據(jù)驅(qū)動安全：構(gòu)建SOTIF場景庫覆蓋長尾場景（如暴雨中識別塑料袋為障礙物）。

3.安全邊界外延：從單車到云管端

未來的安全一定是多標準協(xié)同的安全，所以要構(gòu)建跨學科學習與協(xié)作能力，將功能安全、預(yù)期功能安全、信息安全融合，形成自己的核心能力。END