一句话定义：功能安全（Functional Safety，常缩写为 FuSa）指的是——系统就算出了故障，也要把风险控制在可接受的范围内，不能伤人。ISO 26262 就是这套思路在道路车辆上的行业标准。
核心思路：先假定它一定会坏
大多数人设计产品时的思路是"让它别坏"；功能安全的思路反过来：先承认它一定会坏。芯片会烧、线束会断、内存会翻位、软件会有 bug，你没法阻止，只能提前安排"坏了以后怎么办"。
生活里的例子到处都是。电梯断电时会自动抱闸，把轿厢锁住，而不是自由下落；家里的漏电保护器会在毫秒级切断电源；汽车的刹车踏板到卡钳之间是双回路，一路漏油另一路还能刹住。这些设计的共同点是：可靠性靠不住，只能靠降级路径。
ISO 26262 把这套逻辑做成了流程：先做危害分析与风险评估（HARA，Hazard Analysis and Risk Assessment），枚举"这玩意儿怎么坏会伤人"，再按严重度、暴露概率、可控性定出 ASIL 等级（Automotive Safety Integrity Level，从 A 到 D，D 最严）。等级越高，对冗余、监控、验证、文档追溯的要求越苛刻。一个电子助力转向系统失效了，机械连接必须还能让驾驶员把车拐过去，这就是典型的"失效可运行"设计。
和"AI 安全"不是一回事
中文里两个词都叫"安全"，但方向完全不同：
| 功能安全（FuSa） | AI 安全（AI Safety） | |
|---|---|---|
| 关心什么 | 东西坏了会不会伤人 | 系统"太能干"会不会做坏事 |
| 典型威胁 | 硬件随机失效、软件系统性缺陷 | 目标错设、被诱导、价值对齐失败 |
| 应对手段 | 冗余、监控、失效降级、流程追溯 | 对齐训练、评测、红队、行为约束 |
| 类比 | 电梯的抱闸 | 会不会有人教唆电梯去夹人 |
一句话区分：功能安全防的是"失灵"，AI 安全防的是"存心"。前者假设系统是个老实的笨机器，只可能出故障；后者担心系统足够聪明，可能偏离人的意图。
为什么值得从业者在意
这块是目前 AI 上车、上机器人最大的落地门槛之一。传统功能安全框架擅长处理"随机硬件故障"和"可枚举的软件缺陷"，但神经网络的输出是概率性的、不可完全解释的，怎么论证"它 99% 的时候判断对"符合某个 ASIL 等级，行业还在摸索。这不是标准失效，而是标准还没完全跟上——具体条款与最新修订请以 ISO 官方页面为准。
对普通人来说，这一栏的实用价值是：看配置表之外的东西。同样标称 L2 辅助驾驶，AEB（自动紧急制动）失效时是直接失灵还是降级告警、转向助力断了还能不能掰得动方向盘，这些才是真正决定"出事时有没有人兜底"的细节。