3. 汽车安全生命周期

ISO 26262 将功能安全的管理要求贯穿于整条安全生命周期。所谓安全生命周期，是指从项目概念定义开始，到产品开发、生产、运行、服务直至报废的全过程。它并非一条简单的直线，而是由多个阶段、多个确认节点和持续的安全活动构成的管理框架。理解这一框架，是理解功能安全为何强调"管理"而非仅仅"技术"的关键。

一、安全生命周期的整体结构

ISO 26262 把安全生命周期划分为三个大的管理区间：概念阶段、开发阶段、生产运行阶段。概念阶段回答"要做什么、风险有多大、安全目标是什么"；开发阶段回答"如何设计、如何验证、如何确认"；生产运行阶段回答"如何保证批量产品与样件一致、如何在使用中维持安全"。

每个阶段之间通过"确认措施"衔接。概念阶段结束时有相关项定义评审与危害分析确认；开发阶段结束时有功能安全评估与安全确认；生产运行阶段则有生产控制计划、现场监控与问题管理。这些确认措施构成了阶段之间的"闸门"，未通过则不能进入下一阶段。

二、概念阶段：把风险说清楚

概念阶段的核心任务不是设计，而是"定义问题"。相关项定义需要明确系统的功能边界、运行环境、接口关系以及与其他系统的交互。这一步若含糊，后续 HARA 就会失去基准。

危害分析与风险评估（HARA）是概念阶段的技术核心。它通过三个维度确定 ASIL：严重度（S）、暴露率（E）、可控性（C）。三者组合后查表得到 QM、A、B、C、D 五个等级。ASIL D 要求最严，QM 表示仅需质量管理。

HARA 输出示例（简化）：
危害：车辆在高速行驶中非预期制动
S = S3（可能致命）
E = E4（高速行驶暴露率高）
C = C2（多数驾驶员可控性较低）
ASIL = D
安全目标：避免非预期制动导致的车距骤减
ASIL 等级：D

概念阶段的输出是功能安全概念（FSC），它把安全目标分配到初步的架构元素上，并定义安全状态、故障容错时间间隔（FTTI）等关键参数。同时，安全计划与安全档案在此启动，后续所有活动都要围绕它们展开。

三、开发阶段：把安全目标变成可验证的实现

开发阶段从技术安全概念（TSC）开始，将 FSC 中的安全需求细化到系统、硬件和软件层面。系统层关注架构安全机制，硬件层关注失效率、诊断覆盖率与安全机制实现，软件层关注安全相关逻辑、分区与运行时监控。

开发阶段的关键管理要求包括：需求追溯、验证与确认分离、功能安全评估。验证是"是否正确地构建"，确认是"是否构建了正确的东西"。两者不能混为一谈。功能安全评估由独立于开发团队的人员执行，评估对象包括安全计划执行情况、安全档案完整性和技术方案符合性。

四、生产运行阶段：让安全在批量产品中延续

很多团队在样件通过安全确认后就认为工作结束，这是典型误区。生产运行阶段要解决的是"批量一致性"问题：生产线上的每一台产品，是否与通过确认的样件在安全相关特性上保持一致。

生产控制计划需要明确安全相关特性的过程能力、检测方法、抽样策略和异常处置流程。例如，安全气囊控制器的点火电流阈值、制动系统的响应时间，都属于必须在生产线上监控的安全相关参数。

运行阶段还需要建立现场监控机制，收集故障数据、售后维修信息和用户反馈，判断是否存在系统性安全缺陷。一旦发现安全相关事件，必须启动问题管理流程，评估是否需要召回、软件升级或设计变更。任何变更都要重新进行影响分析，必要时回到概念或开发阶段进行再确认。

五、案例与复盘：一个制动系统的生命周期视角

某车型电子驻车制动系统在概念阶段识别出"行驶中意外驻车"危害，评定为 ASIL D，安全目标为"避免行驶中非预期驻车"。开发阶段通过双通道冗余、看门狗监控和故障降级策略实现安全机制。生产阶段则对执行器电流、传感器信号和控制器诊断功能进行在线检测。

运行两年后，售后数据显示某批次车辆在低温环境下出现偶发误触发。团队启动问题管理，确认是传感器低温漂移导致诊断阈值误判。由于该问题涉及安全目标，团队执行了变更影响分析，更新了诊断算法并重新进行安全确认，同时对已售车辆实施软件升级。这一过程完整体现了安全生命周期"闭环管理"的要求。

总结来看，概念阶段解决"风险定义与目标设定"，开发阶段解决"安全实现与证据生成"，生产运行阶段解决"一致性维持与持续改进"。三者通过确认措施衔接，通过安全计划和安全档案贯穿，通过变更管理保持闭环。只有把这三个阶段作为整体来管理，功能安全才真正落地。