汽车功能安全（ISO 26262）

汽车功能安全（英文：automotive functional safety）是指通过系统化的技术和管理措施，确保车辆电气与电子（E/E）系统在发生故障时不会对驾乘人员或环境造成不可接受的风险。ISO 26262是国际上专门针对道路车辆功能安全的核心标准，为汽车电子系统的全生命周期安全开发提供了系统性的技术框架和流程规范。

标准概述

ISO 26262起源于2005年前后，于2011年11月发布正式版本，是对工业领域通用功能安全标准IEC 61508在汽车行业的具体应用和调适。该标准最初适用于3.5吨以下的量产乘用车所搭载的电子/电气系统，2018年发布的第二版将适用范围扩大到除轻便摩托车外的所有道路车辆，并新增了半导体应用指南和摩托车适用性等内容。

在中国，ISO 26262的对应国家标准为GB/T 34590《道路车辆 功能安全》系列标准，由全国汽车标准化技术委员会归口管理，修改采用国际标准ISO 26262:2018版本。

标准架构

ISO 26262标准由10个部分构成，覆盖从管理到技术开发的完整链条：

Part 1：名词解释（Vocabulary）——统一关键术语定义，如故障、错误、失效等概念。

Part 2：功能安全管理（Management of functional safety）——规定安全管理活动、组织角色与职责、安全计划、安全档案及认可措施等。

Part 3：概念阶段（Concept phase）——包括项目定义、安全生命周期启动、危害分析与风险评估（HARA）、功能安全概念等。

Part 4：产品开发——系统层面（Product development: system level）——规定技术安全需求定义、系统架构设计、相关项集成测试及安全确认等。

Part 5：产品开发——硬件层面（Product development: hardware level）——涵盖硬件安全需求、硬件设计、硬件架构度量（SPFM、LFM、PMHF）及硬件集成测试。

Part 6：产品开发——软件层面（Product development: software level）——包括软件安全需求、软件架构设计、单元设计与实现、软件集成测试等。

Part 7：生产与操作（Production and operation）——规定生产规划、操作规划、服务维护及退役等环节的安全要求。

Part 8：支持流程（Supporting processes）——涵盖分布式开发接口、安全需求管理、配置管理、变更管理、软件工具置信度、软件组件鉴定、硬件要素评估等。

Part 9：ASIL等级界定与安全导向分析（ASIL-oriented and safety-oriented analyses）——规定ASIL等级分解、相关失效分析（DFA）等。

Part 10：ISO 26262指南（Guideline）——提供标准应用的解释性指导。

安全生命周期

ISO 26262采用安全生命周期（safety lifecycle）模型，涵盖产品从概念开发到退役的全过程。安全生命周期主要分为概念阶段、产品开发阶段、生产与交付后阶段三大板块，以V模型开发流程为主线进行组织。

在概念阶段，核心活动包括：通过项目定义明确相关项的功能和边界；通过危害分析与风险评估（HARA） 识别潜在危害场景并确定ASIL等级；基于安全目标导出功能安全需求（FSR） 。

在产品开发阶段，V模型左侧（设计侧）从系统层面逐级分解至硬件和软件层面，分别定义技术安全需求、硬件安全需求、软件安全需求并进行架构设计；V模型右侧（测试侧）则逐级进行集成测试和安全确认。

汽车安全完整性等级（ASIL）

ASIL（Automotive Safety Integrity Level）是ISO 26262评估系统所需功能安全程度的等级体系。ASIL等级由三个变量综合决定：严重度（Severity，危害后果的严重程度）、暴露概率（Exposure，危害场景的发生频率）和可控度（Controllability，驾驶员或系统控制危害的能力）。

ASIL分为四个等级：ASIL A（最低）、ASIL B、ASIL C、ASIL D（最高）。ASIL D代表最高安全要求，设计开发的安全考量最为严格。此外，QM（Quality Management）表示无需适用ISO 26262的特殊要求，按一般质量管理体系执行即可。ASIL等级越高，标准要求的安全分析、验证措施和文档工作越全面。

安全分析方法

ISO 26262要求通过系统性安全分析识别和评估潜在风险。主要分析方法分为两类：

归纳分析（自下而上）以FMEA（失效模式与影响分析）为代表，从组件级故障出发，推导其对整车层面的影响。FMEDA（失效模式、影响与诊断分析）则是在硬件层面进行定量分析的方法，用于计算单点故障指标（SPFM）、潜在故障指标（LFM）和随机硬件失效概率（PMHF），以验证是否满足相应ASIL等级要求。

演绎分析（自上而下）以FTA（故障树分析）为代表，从整车级危害（顶层事件）出发，向下追溯可能导致该事件发生的根本原因和相关故障路径。

相关失效分析（DFA） 则是识别系统中因独立性受损导致的级联失效和共因失效风险。在理想条件下，归纳分析与演绎分析应得出相互印证的一致结论。

实施价值与挑战

ISO 26262已成为全球汽车制造商（如大众、宝马、通用、福特）和供应商（如博世、大陆）普遍要求遵循的标准。其核心价值在于：通过系统化流程降低电子系统失效风险，避免因安全问题导致的召回和法律责任；同时使企业具备进入国际供应链的资质门槛。

实施该标准面临的挑战包括：标准内容复杂、覆盖范围广，对工程能力和组织管理要求高；满足要求需投入大量时间和成本；测试验证的工作量巨大；风险评估在复杂系统中具有较高难度。