- 定义：ISO 26262 是道路车辆功能安全国际标准，覆盖全生命周期。
- 核心：以 ASIL 等级驱动安全活动，通过危害分析与风险评估确定完整性等级。
- 与 ASPICE 关系：ASPICE 管“过程质量”，ISO 26262 管“安全质量”，两者互补，常整合落地。
- 实践：在项目中用 ASPICE 的 V 模型承载 ISO 26262 的安全活动，如安全需求追溯。
3. 功能安全标准与流程高频问题
第3章 · 功能安全标准与流程高频问题
ISO 26262 · ASIL 等级 · 安全生命周期 · 回答框架 · 公司侧重点
🔍 功能安全是自动驾驶安全工程师面试的“必答题”。面试官不仅考察你对 ISO 26262 条款的记忆，更关注你如何将标准落地到实际开发流程中。
本章围绕 ASIL 等级判定、安全生命周期活动、公司侧重点差异 展开，通过 3 个高频问答卡片 + 1 张回答框架图，帮你建立结构化应答思路。
请简述 ISO 26262 的核心思想，以及它与 ASPICE 的关系？
回答框架
简短示例回答
ISO 26262 是功能安全标准，核心是通过 ASIL 等级分配安全需求，覆盖从概念到报废的全生命周期。ASPICE 关注过程能力，两者互补。实际项目中，我们用 ASPICE 的 V 模型管理开发过程，同时嵌入 ISO 26262 的安全分析、安全需求和验证活动，确保安全与质量双达标。
可能追问
ASIL 等级如何确定？
安全目标与功能安全需求的区别？
如何做安全需求追溯？
避坑提醒
⚠️ 不要混淆：ISO 26262 不是“质量管理体系”，ASPICE 也不是“安全标准”。回答时避免把两者混为一谈，要强调“安全”与“过程”的互补关系。
ASIL 等级是如何确定的？请举例说明 ASIL D 与 ASIL B 在开发要求上的差异。
回答框架
- 三维参数：严重度(S)、暴露率(E)、可控性(C)，查表确定 ASIL 等级。
- 定级逻辑：S3+E4+C3 → ASIL D；S2+E3+C2 → ASIL B。
- 开发差异：ASIL D 要求更高诊断覆盖率、更严开发流程、独立安全评估；ASIL B 相对宽松。
- 举例：自动紧急制动(AEB)通常 ASIL D；车道偏离预警(LDW)可能 ASIL B。
简短示例回答
ASIL 由严重度、暴露率和可控性三个维度查表确定。例如 AEB 涉及生命安全，S3+E4+C3 定为 ASIL D，要求硬件诊断覆盖率 99% 以上，软件需满足最严开发流程。而 LDW 危害较低，可能定为 ASIL B，诊断覆盖率和流程要求相对宽松。开发中 ASIL D 还需独立安全评估。
可能追问
ASIL 分解的规则和限制？
QM 等级代表什么？
如何验证 ASIL 等级分配合理？
避坑提醒
⚠️ 不要死记硬背：面试官更想听你解释“为什么这样定级”，而不是只背出 S/E/C 的数值。结合具体功能场景说明，体现工程判断力。
安全生命周期包含哪些阶段？在敏捷开发中如何落地 ISO 26262？
回答框架
- 阶段划分：概念阶段、系统开发、硬件开发、软件开发、生产运行、报废。
- 敏捷适配：将安全活动拆解为可迭代的“安全故事”，每个 Sprint 包含安全分析、需求更新和验证。
- 关键实践：持续维护安全案例，用 CI/CD 自动化安全测试，定期做安全评审。
- 公司侧重点：OEM 重概念与集成，Tier1 重系统与软硬件开发，初创公司重快速迭代与安全案例。
简短示例回答
安全生命周期覆盖概念、开发、生产到报废。在敏捷中，我们把安全需求拆成用户故事，每个迭代都包含危害分析和安全验证。例如用 CI 流水线自动跑安全测试，每两周更新安全案例。OEM 更关注概念阶段的安全目标，Tier1 则侧重系统与软硬件开发落地。
可能追问
安全案例包含哪些内容？
如何做安全确认？
敏捷中如何管理安全需求变更？
避坑提醒
⚠️ 避免空谈理论：不要只说“敏捷和功能安全可以结合”，要给出具体做法，比如“安全故事”“自动化安全测试”“迭代安全评审”，体现落地经验。
🏢 不同公司侧重点速查
OEM / 主机厂
关注概念阶段安全目标、整车集成、供应商安全能力评估。
Tier1 供应商
侧重系统开发、软硬件安全需求分解、安全验证与确认。
自动驾驶初创
强调快速迭代、安全案例持续更新、工具链自动化。
《自动驾驶安全工程师面试实战题库》 · 第 3 章 / 共 30 章