1. ISO 26262概述：功能安全背景、标准发展历程、适用范围与目标

1.1 为什么我们需要功能安全？

说实话，我刚入行那会儿，对功能安全也没什么概念。觉得车能跑、刹车能停、灯能亮，不就够了吗？直到有一次，我在一个项目中亲眼看到——因为一个软件bug，车辆在高速行驶时突然动力中断。幸好没出事故，但那一瞬间，我后背全是冷汗。

你想想看，现在的汽车已经不是单纯的机械产品了。一辆高端车里，有上百个ECU，几千万行代码。这些东西一旦出问题，后果可能是灾难性的。这就是功能安全要解决的核心问题——当系统出现故障时，它不能伤害到人。

1.2 ISO 26262是怎么来的？

这个标准的发展历程，我大概梳理一下。

• 1998年：IEC 61508发布，这是功能安全的“老祖宗”，覆盖所有工业领域。但汽车行业觉得它太泛了，不够具体。
• 2005年：德国汽车工业协会（VDA）牵头，开始起草汽车专用的功能安全标准。
• 2011年：ISO 26262第一版正式发布。我记得当时很多公司都懵了——这玩意儿到底怎么落地？
• 2018年：第二版发布，增加了半导体、摩托车、自动驾驶等内容。嗯，这个版本我参与过几个项目的对标，变化确实不小。

为什么会有这个标准？说白了，就是行业里出过太多血的教训。丰田的“刹车门”、通用的点火开关缺陷……这些事件推动了整个行业去思考：我们到底该怎么系统地管理安全？

1.3 ISO 26262到底管什么？

很多人以为ISO 26262只是针对“安全气囊”、“刹车”这类安全相关系统。其实不然。

它的适用范围是：安装在量产乘用车上的，与安全相关的电气/电子（E/E）系统。

具体来说：

• 适用对象：乘用车（总质量不超过3.5吨）。商用车、摩托车在第二版中才被纳入。
• 适用系统：所有E/E系统，包括硬件、软件、开发流程、生产、运维等全生命周期。
• 不适用：非E/E系统（比如纯机械部件），以及已经量产的系统（标准只管新开发或改型的系统）。

1.4 标准的目标是什么？

ISO 26262的目标，用一句话概括就是：把风险控制在可接受的范围内。

具体拆开来看：

1. 提供一套通用的安全生命周期：从概念阶段、产品开发、生产、运维到报废，每个阶段都有明确的安全活动。
2. 定义ASIL等级：Automotive Safety Integrity Level，汽车安全完整性等级。从A到D，D是最严格的。这个等级决定了你要做多少安全措施。
3. 提供可参考的验证和确认方法：比如测试覆盖率要达到多少、评审要怎么做、工具要如何鉴定。
4. 建立安全文化：这个我深有体会。光有流程和文档没用，团队里每个人都要有安全意识。我曾经在一个项目里，硬件工程师觉得“软件会兜底”，软件工程师觉得“硬件不会坏”……结果两边都漏了，差点出事。

1.5 一个简单的ASIL等级判定示例

ASIL等级怎么定的？我拿一个实际例子给你看。

参数	含义	示例值
S（Severity）	伤害严重度	S3（危及生命）
E（Exposure）	暴露概率	E4（高概率暴露）
C（Controllability）	驾驶员可控性	C2（一般可控）

比如一个“电子助力转向失效”的场景：

• S = 3（高速时转向失效，可能致命）
• E = 4（每次开车都可能用到转向）
• C = 2（有经验的司机可能还能控制，但普通人很难）

查标准里的ASIL判定表，S3+E4+C2 = ASIL D。这意味着你需要做最严格的安全措施。

1.6 标准的结构概览

ISO 26262分为12个部分（第二版）：

• 第1部分：术语
• 第2部分：功能安全管理
• 第3部分：概念阶段
• 第4部分：产品开发：系统层面
• 第5部分：产品开发：硬件层面
• 第6部分：产品开发：软件层面
• 第7部分：生产、运行、服务和报废
• 第8部分：支持过程
• 第9部分：ASIL导向和安全导向的分析
• 第10部分：指南（非规范性）
• 第11部分：半导体应用指南
• 第12部分：摩托车适用性

嗯，这里要注意：第10部分虽然是“指南”，但千万别小看它。很多实际落地的细节，都在这里面。我建议你把它当“圣经”来读。

1.7 小结

ISO 26262不是什么高深莫测的东西。它其实就是一套方法论，告诉你：

• 怎么识别风险
• 怎么降低风险
• 怎么证明你已经把风险降到了可接受的水平

说白了，就是“别让人因为车子的故障而受伤”。这个目标听起来简单，但真正落地，需要整个团队从流程、技术、文化三个维度去努力。

下一章，我会带你深入第2部分——功能安全管理。这部分是很多项目的“拦路虎”，但也是打好安全基础的关键。咱们到时候细聊。