3. 标准体系

车规硬件安全论证从来不是“满足某一个标准”这么简单。一个 ECU 从元器件选型到整车下线，会同时被功能安全、网络安全、法规准入和器件可靠性四条标准线索约束。理解它们之间的关系，比逐条背诵条款更重要：ISO 26262 管“不要因为故障伤人”，ISO/SAE 21434 管“不要被攻击控制”，UN R155/R156 管“能不能合法上市并持续可追溯”，AEC-Q 系列管“器件本身够不够耐用”。四者层次不同、对象不同，却在同一块硬件上叠加。

一、核心原理：四条标准线各管什么

ISO 26262 是功能安全标准，核心是避免因电子电气故障导致的不合理风险。它从危害分析开始，定义安全目标，分配 ASIL 等级，再通过硬件架构度量、FMEDA、诊断覆盖率等证明“故障被控制住了”。它关注的是随机硬件失效和系统性失效。

ISO/SAE 21434 是网络安全标准，核心是防止攻击者通过接口、软件或供应链控制车辆。它要求做 TARA（威胁分析与风险评估），确定 CAL 等级，再导出网络安全需求。它关注的是恶意攻击、漏洞和供应链风险。

UN R155 和 UN R156 是法规，不是开发标准。R155 要求车企建立网络安全管理体系 CSMS，并通过车型认证证明该车型满足网络安全要求；R156 要求建立软件更新管理体系 SUMS，保证 OTA 和刷写可追溯、可回滚、可审计。它们决定车辆能否合法上市。

AEC-Q 系列是器件可靠性认证，Q100 针对芯片，Q200 针对无源器件，Q101 针对分立器件。它通过高温、高湿、温度循环、寿命加速等试验，证明器件在车规环境下足够耐用。它是硬件选型的入场券，但不等于功能安全达标。

二、方法流程：从器件到整车的证据链

实际项目中，四条线不是并行独立，而是形成一条证据链。典型流程如下：

1. 器件选型：先确认 AEC-Q100/Q200 认证状态，获取 PPAP、可靠性报告和失效率数据。
2. 硬件设计：按 ISO 26262 做硬件安全分析，计算 SPFM、LFM，确定诊断覆盖率；同时按 21434 识别硬件接口攻击面。
3. 系统集成：将硬件证据汇总到系统层，形成安全案例和安全档案。
4. 体系与准入：企业建立 CSMS/SUMS，提交 UN R155/R156 认证，完成车型型式批准。
5. 持续监控：量产后的漏洞监控、OTA 更新、事件响应，回馈到 21434 和 R155/R156 体系。

三、案例/场景：一个域控制器的标准落地

假设某车企开发一个智能座舱域控制器，硬件包含 SoC、PMIC、DDR、以太网 PHY 和电源电感。项目需要同时满足四条线：

• AEC-Q：SoC 需提供 AEC-Q100 Grade 2 报告，电感需 AEC-Q200 认证，PMIC 需 Q100 报告。
• ISO 26262：若域控制器承担仪表显示安全目标 ASIL B，则需对 SoC 内部安全机制、PMIC 监控、DDR 诊断做 FMEDA，计算 SPFM ≥ 90%。
• ISO/SAE 21434：对以太网、USB、蓝牙、OTA 接口做 TARA，识别出“未授权 OTA 刷写”为高风险，导出安全启动、签名校验、安全日志需求。
• UN R155/R156：企业需先通过 CSMS 审核，再对该车型做 R155 认证；OTA 功能需纳入 SUMS，保证更新包签名、版本回滚和审计记录。

这个案例说明：器件认证是基础，功能安全和网络安全是开发要求，法规准入是上市门槛。四者缺一不可，但证据可以复用。

四、误区/复盘：常见理解偏差

标准映射矩阵示例（硬件安全部分）：
需求编号 | 需求描述           | ISO 26262 | ISO/SAE 21434 | UN R155/R156 | AEC-Q
HW-001  | PMIC 过压监控      | ASIL B    | —             | —            | Q100
HW-002  | 安全启动校验       | —         | CAL 3         | R155 7.3.4   | —
HW-003  | OTA 签名与回滚     | —         | CAL 2         | R156 7.2     | —
HW-004  | 电感温度循环验证   | —         | —             | —            | Q200

总结来看，车规硬件安全论证的标准体系是一个“四层叠加、证据复用、法规兜底”的结构。ISO 26262 和 ISO/SAE 21434 是开发方法，UN R155/R156 是准入法规，AEC-Q 是器件门槛。只有把四者放在同一张证据地图上管理，才能既通过认证，又真正控制风险。