📚 课程目录第1章 ISO 26262概述

1. ISO 26262 概述：功能安全的历史背景、起源与发展、核心目标与适用范围

说实话，我刚入行那会儿，对「功能安全」这四个字没什么感觉。总觉得把功能做出来、跑得通就行了。直到有一次，我在一个座舱项目中遇到了一个奇怪的问题——中控屏在特定温度下会随机黑屏重启。

嗯，当时我们排查了很久，最后发现是软件里一个看门狗超时处理没做好。虽然没出事故，但想想看，如果是在高速上导航突然黑了，或者倒车影像没了，后果真的不敢想。

这就是功能安全要解决的问题——当系统出故障时，它不能伤害人。

功能安全的历史，其实可以追溯到上世纪 70 年代。那时候工业领域开始用电子控制系统，但故障频发。我记得看过一个案例：某化工厂的 PLC 控制器因为一个位翻转，导致阀门误动作，造成了严重事故。从那以后，大家才开始认真思考——怎么让电子系统在出故障时也能「安全地失效」？

到了 80 年代，IEC 61508 这个通用功能安全标准诞生了。它是所有功能安全标准的「老祖宗」。后来各个行业基于它衍生了自己的标准：

你想想看，汽车和飞机、医疗设备一样，都是人命关天的东西。所以汽车行业也需要自己的功能安全标准——这就是 ISO 26262 诞生的背景。

ISO 26262 的第一版是在 2011 年发布的。那时候我刚接触这个标准，说实话，看第一遍的时候头都大了——600 多页，全是术语、流程、表格。

但它的核心逻辑其实很简单：识别风险 → 定义安全目标 → 设计安全机制 → 验证安全措施。

2018 年，ISO 26262 发布了第二版。这一版做了几个重要的更新：

版本	发布时间	主要变化
第一版 (2011)	2011 年 11 月	覆盖乘用车，ASIL A-D 分级，V 模型开发流程
第二版 (2018)	2018 年 12 月	新增半导体指南、摩托车、卡车、巴士；引入 SEooC 概念

我个人觉得，第二版最大的亮点是半导体指南。为什么？因为现在的座舱芯片越来越复杂，一颗 SoC 里集成了 CPU、GPU、NPU、DSP……这些硬件怎么保证安全？2018 版终于给出了明确的方法论。

核心要点：ISO 26262 不是教你「怎么做产品」，而是教你「怎么证明你的产品是安全的」。

ISO 26262 的核心目标，说白了就一句话——把系统故障导致的人身伤害风险降到可接受的水平。

它通过几个关键机制来实现：

我曾经在一个座舱项目中做过 HARA。当时我们分析「中控屏黑屏」这个故障，发现它在高速导航场景下，严重度是 S3（危及生命），暴露率是 E4（经常发生），可控性是 C2（驾驶员很难控制）。算下来 ASIL 等级是 D——最高等级。

嗯，当时项目组都沉默了。ASIL D 意味着你要投入大量的设计和验证成本。但没办法，安全不能打折。

我的建议：做 HARA 的时候，不要只盯着「功能失效」，还要考虑「功能误动作」。比如倒车影像不该显示的时候显示了，那也是风险。

ISO 26262 适用于道路车辆上的电子电气系统。具体来说：

对于座舱来说，哪些系统需要做功能安全？我列个常见的清单：

注意，这里有个容易踩坑的地方——不是所有功能都需要 ASIL 等级。比如音乐播放、视频播放这些娱乐功能，通常可以标为 QM（质量管理级），不需要做功能安全开发。但前提是，你得证明它们不会影响安全相关功能。

避坑指南：我曾经见过一个项目，把导航和音乐播放放在同一个进程里。结果音乐播放崩溃了，把导航也带崩了。这就是典型的「非安全功能影响安全功能」。记住——隔离！隔离！隔离！

为了让你对本章内容有个整体印象，我画了一张图。它展示了 ISO 26262 在座舱功能安全中的核心逻辑：

这张图把本章的核心逻辑串起来了。从历史背景出发，到标准的发展，再到核心目标，最后落到座舱的具体应用和 ASIL 等级。后面的章节，我们会一步步深入每个环节。

好了，第一章的内容就到这里。我带你回顾几个关键点：