2. ISO 26262 核心概念与 Continental 落地实践
ISO 26262 是道路车辆功能安全的国际标准，它并不直接规定某个 ECU 必须达到什么性能，而是要求整车与零部件供应商建立一套“可追溯、可论证”的安全论证体系。对 Continental 这类同时承担底盘、动力、车身、智能驾驶域控制器开发的 Tier 1 而言，标准落地的关键不是背条款，而是把 ASIL 等级、安全生命周期、相关项定义、危害分析与风险评估（HARA）这四件事，转化为内部可执行的开发流程与交付物。
一、ASIL 等级：从危害到开发强度的映射
ASIL（Automotive Safety Integrity Level）分为 A、B、C、D 四个等级，D 最高，另有 QM 表示仅需常规质量管理。等级由三个维度共同决定：S（Severity，严重度）、E（Exposure，暴露度）、C（Controllability，可控性）。S 取 S0–S3，E 取 E0–E4，C 取 C0–C3。三者组合后查标准表格得到 ASIL 等级，例如 S3+E4+C3 通常对应 ASIL D，而 S1+E1+C1 可能只到 QM 或 ASIL A。
在 Continental 内部，ASIL 不是贴在文档封面上的标签，而是直接决定开发动作的“强度开关”。以电子驻车制动 EPB 为例，若“行车中意外施加驻车制动”被评估为 S3、E4、C3，则功能安全等级为 ASIL D，随之触发：安全机制需覆盖单点故障与潜伏故障、硬件架构指标要求 SPFM ≥ 99%、LFM ≥ 90%（ASIL D 典型目标值），软件需采用分区、双通道比较或冗余校验，验证需覆盖故障注入与失效模式。若某车身舒适功能评估为 QM，则按常规开发流程执行，不强制引入安全机制。这种“等级驱动流程裁剪”的做法，是 Continental 把标准要求转化为工程语言的第一步。
二、安全生命周期：从概念到报废的闭环
安全生命周期把功能安全活动划分为概念阶段、开发阶段、生产运行阶段。概念阶段输出相关项定义、HARA、安全目标与功能安全概念；开发阶段输出技术安全概念、硬件/软件安全需求、安全分析与验证证据；生产运行阶段则关注制造、售后、现场监控与报废。Continental 通常以“安全计划（Safety Plan）”为主线，把每个阶段的活动、责任人、交付物、评审节点固化到项目里程碑中，并与 ASPICE 的 SYS.1–SYS.5、SWE.1–SWE.6 过程域对齐，避免功能安全与软件质量体系两张皮。
三、相关项定义与 HARA：把边界和风险说清楚
相关项定义（Item Definition）要回答三个问题：这个相关项是什么、它的边界在哪里、它与环境如何交互。以 Continental 的雷达前向感知模块为例，相关项定义需明确：功能是输出目标距离、速度、角度；边界包括雷达传感器、信号处理软件、对外 CAN/FlexRay 接口；运行环境包括车速范围、天气、电磁环境；同时列出与整车其他系统的接口假设。边界不清，后续 HARA 就会把不属于该相关项的危害算进来，导致安全目标错位。
HARA 则按“危害识别—场景分析—S/E/C 评估—ASIL 定级—安全目标制定”推进。Continental 常用“功能—故障—危害”三层展开：先列出功能（如自适应巡航 ACC 保持车距），再分析功能失效模式（如错误加速、错误制动、丢失目标），最后映射到整车级危害（如追尾、失控）。每个危害需给出可验证的安全目标，例如“ACC 不应导致非预期的纵向加速度超过 2 m/s²”，并分配 ASIL 等级与安全状态（如降级、退出、提示驾驶员）。
四、Continental 如何把标准要求转化为内部流程
在 Continental，功能安全不是安全工程师一个人的事，而是嵌入到项目角色与评审节点中。典型做法包括：
- 安全经理与安全工程师双角色：安全经理负责安全计划、安全案例与对外接口，安全工程师负责 HARA、安全分析、需求分解与验证策略，二者在项目启动阶段即介入。
- 安全计划与项目计划合并：安全活动不单独排期，而是与硬件设计评审、软件迭代、DV/PV 试验共用里程碑，避免“安全评审等开发做完再补”。
- 需求追溯链：从安全目标 → 功能安全需求 → 技术安全需求 → 硬件/软件安全需求 → 测试用例，全部在需求管理工具中建立双向链接，任何变更都能评估对 ASIL 与安全目标的影响。
- 安全分析前置：在架构设计阶段就开展 FMEA、FTA、DFA（相关失效分析），而不是等样件出来再补，确保安全机制在硬件选型与软件分区时已被考虑。
- 安全案例（Safety Case）：项目末期汇总所有安全论证证据，形成结构化安全案例，作为向整车厂交付的功能安全证据包。
总结来看，ISO 26262 的核心概念并不复杂，难的是把 ASIL 等级、安全生命周期、相关项定义与 HARA 变成 Continental 内部可执行、可追溯、可评审的日常动作。只有让安全需求与架构、硬件、软件、测试真正咬合，功能安全才不是一份文档，而是一条贯穿项目始终的工程链路。