1. ISO 26262 概述：标准起源与发展历程、适用范围与目标、与其他功能安全标准的关系
各位同学，咱们今天聊聊 ISO 26262 这个标准。说实话，我刚入行那会儿，这标准还没现在这么普及。那时候做汽车电子，安全更多靠经验，靠老师傅的直觉。现在不一样了，ISO 26262 成了硬门槛。
这个标准到底怎么来的？它管什么？跟其他安全标准有啥关系？我结合自己这些年踩过的坑，跟大家好好捋一捋。
1.1 标准起源与发展历程
ISO 26262 的诞生，说白了是被事故逼出来的。上世纪 90 年代末到 2000 年代初，汽车电子系统越来越复杂，电子控制单元（ECU）从几个涨到几十个。线控油门、电子刹车这些功能开始普及，但相应的安全设计规范却没跟上。
我记得 2000 年左右，某知名车企因为电子节气门控制器的软件缺陷，导致车辆在高速上突然加速，最后召回了上百万辆车。这件事对整个行业震动很大。大家意识到：汽车电子不能再靠「试出来」的安全了。
于是，国际标准化组织（ISO）在 2005 年启动了汽车功能安全标准的制定工作。核心参考对象是工业领域的 IEC 61508——那是功能安全的「母标准」。但汽车行业有自己的特殊性：批量大、成本敏感、开发周期短、供应链复杂。直接把 IEC 61508 搬过来用，不现实。
经过六年多的拉锯和讨论，ISO 26262 第一版在 2011 年正式发布。我当时正在做一款电动助力转向系统，标准刚出来，整个团队都在学习。说实话，第一版有些地方写得挺模糊的，比如「充分」这个词出现了上百次，但什么叫「充分」？没人说得清。
2018 年，第二版发布。这一版做了大量修订和扩展：
- 覆盖范围：从乘用车扩展到卡车、巴士、摩托车
- 新增内容：半导体指南、软件工具置信度、ASIL 分解的更多场景
- 明确化：对「充分」这类模糊词给出了更具体的判定标准
目前行业普遍使用的是 2018 版。2024 年已经启动了第三版的预研工作，预计会进一步覆盖自动驾驶、AI 安全等新领域。
关键时间节点：
- 2005 年：ISO 启动汽车功能安全标准制定
- 2011 年：ISO 26262 第一版正式发布（仅限乘用车）
- 2018 年：第二版发布（扩展至全系道路车辆）
- 2024 年：第三版预研启动
1.2 适用范围与目标
ISO 26262 的适用范围，我习惯用一句话概括：所有与安全相关的汽车电子电气系统。
具体来说：
- 产品类型：从单个传感器、ECU，到整个域控制器、自动驾驶系统
- 车辆类型：2018 版覆盖 M 类（乘用车）、N 类（商用车）、O 类（挂车）、L 类（摩托车）
- 开发阶段：概念阶段、系统级开发、硬件开发、软件开发、生产、运维、报废
它的核心目标是什么？不是「零事故」——那不可能。而是把风险降到可接受的水平。怎么衡量？通过 ASIL（汽车安全完整性等级）来量化风险。
ASIL 分四个等级：A、B、C、D。D 是最严格的，比如刹车系统、转向系统。A 是最宽松的，比如尾灯控制。还有一个 QM（质量管理级），意思是按普通质量管理就能满足安全要求，不需要额外功能安全措施。
我给大家一个简单的对照表：
| ASIL 等级 | 典型系统 | 故障率要求 | 开发严格度 |
|---|---|---|---|
| QM | 信息娱乐系统 | 无特殊要求 | 低 |
| ASIL A | 尾灯控制 | < 10⁻⁶ /h | 中低 |
| ASIL B | 雨刮控制 | < 10⁻⁷ /h | 中 |
| ASIL C | 自适应巡航 | < 10⁻⁷ /h | 高 |
| ASIL D | 刹车、转向 | < 10⁻⁸ /h | 极高 |
这里有个坑，我当年就踩过。ASIL 等级不是拍脑袋定的，而是通过三个参数算出来的：严重度（S）、暴露概率（E）、可控性（C）。S × E × C 的组合决定了最终 ASIL。我曾经见过一个团队，把某个功能的风险评估结果从 ASIL D 硬生生「论证」成了 ASIL B，就为了省开发成本。结果被审核员当场打回，项目延期三个月。嗯，这种事千万别干。
注意：ASIL 等级一旦确定，不能随意降低。如果确实需要降级，必须使用 ASIL 分解（ASIL Decomposition）方法，并且要有充分的架构理由。我曾经见过一个项目，把 ASIL D 分解成 ASIL B(D) + ASIL B(D)，但两个通道之间没有做足够的独立性证明，审核直接不通过。
1.3 与其他功能安全标准的关系
ISO 26262 不是孤立存在的。它上面有母标准，下面有子标准，旁边还有兄弟标准。我画了一张关系图，大家一看就明白：
从这张图能看出几个关键关系：
- ISO 26262 与 IEC 61508：ISO 26262 是 IEC 61508 的汽车行业裁剪版。核心概念（如安全生命周期、风险等级、功能安全评估）都继承自 IEC 61508，但针对汽车行业做了大量定制。比如 IEC 61508 的 SIL 对应 ISO 26262 的 ASIL，但 ASIL 的评估方法更细。
- ISO 26262 与 ISO 21448（SOTIF）：ISO 26262 处理的是系统故障和随机硬件故障。但自动驾驶系统还有一个大问题——预期功能不足。比如传感器在暴雨天性能下降，这不是硬件坏了，而是设计时没考虑到。这就是 SOTIF 的范畴。两个标准是互补关系，不是替代关系。
- ISO 26262 与 ISO 21434（网络安全）：功能安全关注「意外故障」，网络安全关注「恶意攻击」。但两者有交集——比如一个安全机制可能被黑客利用来触发故障。我做过一个项目，安全机制要求「检测到故障后进入安全状态」，但没考虑这个安全状态本身可能被攻击者利用来拒绝服务。嗯，这就是功能安全与网络安全需要协同的地方。
我的建议：如果你刚开始接触功能安全，不要试图同时学所有标准。先把 ISO 26262 的核心概念吃透——安全目标、ASIL、安全机制、故障率计算。这些基础打牢了，再看 SOTIF 和网络安全会轻松很多。我当年就是先啃了三个月 ISO 26262，然后花两周就理解了 SOTIF 的核心逻辑。
1.4 标准的结构与核心概念
ISO 26262 2018 版共 12 个部分，我习惯把它们分成三组：
| 分组 | 部分 | 内容 |
|---|---|---|
| 基础 | Part 1 | 术语 |
| Part 2 | 功能安全管理 | |
| Part 3 | 概念阶段 | |
| 开发 | Part 4 | 系统级开发 |
| Part 5 | 硬件级开发 | |
| Part 6 | 软件级开发 | |
| Part 7 | 生产、运维、报废 | |
| 支撑 | Part 8 | 支持过程 |
| Part 9 | ASIL 分解与安全分析 | |
| Part 10 | 指南（非规范性） | |
| Part 11 | 半导体指南（2018 新增） | |
| Part 12 | 摩托车适用性（2018 新增） |
这里有个重点：Part 10 不是规范性要求，而是解释性指南。很多初学者把 Part 10 当圣经，每条都照着做，结果发现跟 Part 5、Part 6 的要求对不上。其实 Part 10 只是帮你理解，真正要遵守的是 Part 2-9 和 Part 11-12 的规范性条款。
标准的核心概念，我总结成一句话：基于风险的安全工程。具体来说：
- 识别风险：通过 HARA（危害分析与风险评估）找出所有可能的危害
- 量化风险：用 ASIL 给每个危害定级
- 定义安全目标：针对每个危害，写出「不发生什么」的顶层要求
- 设计安全机制：用硬件和软件实现安全目标
- 验证与确认：证明安全机制确实有效
- 生产与运维：确保量产后的产品仍然安全
这个流程，说白了就是「先想清楚会出什么事，再想怎么防止出事，最后证明你确实能防住」。听起来简单，但做起来……嗯，我后面会详细讲每个环节的坑。
一句话总结本章：ISO 26262 是汽车电子电气系统的功能安全标准，起源于对电子系统事故的反思，2011 年发布第一版，2018 年扩展至全系车辆。它基于风险等级（ASIL）来定义安全要求，与 IEC 61508、ISO 21448、ISO 21434 等标准协同工作。核心流程是：识别风险 → 量化风险 → 定义目标 → 设计机制 → 验证确认 → 量产运维。