3. ISO 26262 标准体系
ISO 26262 是道路车辆功能安全的国际标准，它以 IEC 61508 为基础，针对汽车电子电气系统的特殊性进行了裁剪与扩展。理解 ISO 26262 的体系结构，是开展功能安全确认与审核工作的前提。本节从标准各部分结构入手，梳理确认与审核相关条款，并厘清其与 IEC 61508 的关系及适用范围。
一、ISO 26262 的十二部分结构
ISO 26262 第二版（2018）共分为 12 个部分，覆盖从概念到退役的全生命周期。各部分之间既有纵向的流程递进，也有横向的支撑关系。下图展示了标准体系的结构与确认、审核活动在各部分中的分布。
需要说明的是，Part 12（摩托车应用）在图中未单独展开，它是对 ISO 26262 在摩托车领域的适配。Part 10 与 Part 11 属于指南性质，不直接规定流程，但为确认与审核提供了重要的解释依据。
二、确认与审核相关条款分布
确认（Confirmation）与审核（Audit）在 ISO 26262 中并非集中在某一部分，而是分散在多个部分中，形成“管理要求 + 技术证据”的双层结构。下表梳理了主要条款及其关注点。
| 标准部分 | 条款主题 | 确认/审核关注点 |
|---|---|---|
| Part 2 | 功能安全管理 | 确认措施策划、确认评审、功能安全审核、ASIL能力评估 |
| Part 2 | 安全文化 | 组织级安全文化审核、异常上报机制 |
| Part 3 | 概念阶段 | HARA 确认、安全目标确认、功能安全概念评审 |
| Part 4 | 系统级开发 | 技术安全概念确认、系统集成测试审核、安全验证 |
| Part 5 | 硬件级开发 | 硬件架构度量审核、FMEDA 确认、硬件测试覆盖 |
| Part 6 | 软件级开发 | 软件架构审核、单元测试确认、软件工具置信度 |
| Part 8 | 支持过程 | 变更管理审核、配置管理审核、验证确认 |
| Part 9 | ASIL导向 | ASIL分解确认、相关失效分析审核 |
关键理解：Part 2 是确认与审核的“管理中枢”，它规定了确认措施的三级独立性要求：确认评审（Confirmation Review）、功能安全审核（Functional Safety Audit）、功能安全评估（Functional Safety Assessment）。三者独立于开发团队，ASIL 等级越高，独立性要求越强。
三、与 IEC 61508 的关系
ISO 26262 与 IEC 61508 是“特殊与一般”的关系。IEC 61508 是通用功能安全标准，适用于所有行业；ISO 26262 则是其在道路车辆领域的派生标准。两者在核心安全理念上一致，但在具体参数和流程上有显著差异。
- 安全完整性等级：IEC 61508 使用 SIL 1~4，ISO 26262 使用 ASIL A~D。ASIL 通过严重度（S）、暴露率（E）、可控性（C）三维度确定，更贴合汽车场景。
- 生命周期模型：ISO 26262 采用 V 模型，强调概念阶段与系统、硬件、软件的逐级分解与验证。
- 硬件度量：ISO 26262 引入了 SPFM、LFM、PMHF 等量化指标，IEC 61508 则使用 PFH/PFD 和 HFT。
- 确认与审核：ISO 26262 明确规定了确认评审、功能安全审核和功能安全评估三种独立活动，IEC 61508 也有类似要求但表述不同。
- 适用范围：ISO 26262 适用于量产乘用车（最大总质量不超过 3.5 吨）的电子电气系统，IEC 61508 覆盖更广的工业领域。
实践提示：当供应商已按 IEC 61508 开发了安全相关产品，要进入汽车供应链时，不能直接“等效转换”。需要针对 ISO 26262 的 ASIL 定级、硬件度量、确认措施独立性等要求进行差距分析和补充开发。
四、适用范围与边界
ISO 26262 的适用范围有明确边界，理解这些边界对确认与审核工作至关重要。
- 适用对象：量产道路车辆（乘用车）中与安全相关的电子电气系统，包括系统、硬件、软件及半导体组件。
- 不适用对象：非量产车辆、特殊用途车辆（如赛车、军用车辆）、以及电子电气系统之外的机械、液压部件。
- 与其它标准的关系：对于摩托车，参考 Part 12；对于商用车，可参考 ISO 26262 的适配应用；对于工业车辆，则回到 IEC 61508。
- 时间边界：标准覆盖从概念设计到退役的全生命周期，但生产、运行、服务与退役阶段的要求相对概念和开发阶段更为概括。
五、常见误区与复盘
误区一：认为 ISO 26262 只关注开发阶段。实际上，Part 2 的管理要求贯穿全生命周期，Part 7 专门针对生产、运行、服务和退役，确认与审核活动同样覆盖这些阶段。
误区二：将确认评审、功能安全审核、功能安全评估混为一谈。确认评审关注“做的是否正确”，功能安全审核关注“流程是否合规”，功能安全评估关注“整体安全是否充分”。三者目的不同，不可互相替代。
误区三：认为 ASIL 等级越高，所有活动都必须由最高独立性团队执行。实际上，独立性要求与 ASIL 等级和活动类型相关，需要根据 Part 2 的表格逐项判定。
误区四：忽略 Part 8 支持过程对确认与审核的支撑作用。变更管理、配置管理、验证等过程的审核证据，是功能安全审核的重要组成部分。
复盘来看，ISO 26262 的体系结构可以概括为“一个管理中枢（Part 2）、三个开发层级（系统、硬件、软件）、多个支撑过程（Part 8/9）、两个指南（Part 10/11）”。确认与审核工作必须建立在对这一结构的完整理解之上，才能准确识别各部分的条款要求，合理策划确认措施，并有效开展功能安全审核与评估。