ISO 26262 标准框架：Part 1-12、ASIL 等级与安全生命周期
各位好，我是老张。今天咱们聊聊 ISO 26262 的骨架——标准框架。说实话，我刚接触这个标准时，也被那十几个 Part 搞得头晕。后来做项目多了，才慢慢摸清门道。说白了，这个框架就是一套“怎么安全地造车”的完整方法论。
标准结构：Part 1-12 到底在讲什么？
ISO 26262 第二版一共 12 个部分。我习惯把它们分成三组：
- Part 1：词汇表。别小看它，很多争议都出在术语理解不一致上。
- Part 2-7：核心流程。从管理、概念、产品开发到生产运维。
- Part 8-12：支撑与特殊应用。包括支持流程、半导体、摩托车等。
嗯，这里有个坑。很多人以为 Part 10 是“指南”就可以不看。我在项目评审时吃过这个亏——客户拿着 Part 10 里的例子来质疑我们的方案。所以，每个 Part 都得过一遍。
核心要点：Part 2（功能安全管理）和 Part 3（概念阶段）是项目启动的必读内容。Part 4-6 覆盖系统、硬件、软件三个开发层级。Part 7 管生产运维。Part 8-9 提供跨领域支持。Part 10-12 是第二版新增的半导体、摩托车和商用车指南。
我建议你把这 12 个 Part 的关系画成一张图。我自己就是这么干的——每次做新项目前，先看看当前阶段对应哪个 Part，再翻到对应章节找具体要求。
ASIL 等级：A/B/C/D 到底怎么定？
ASIL，全称 Automotive Safety Integrity Level。说白了，就是给系统的“危险程度”打分。D 级最高，A 级最低。QM 不算 ASIL，只做质量管理就行。
怎么定级？看三个参数：
| 参数 | 含义 | 等级范围 |
|---|---|---|
| Severity (S) | 伤害严重度 | S0（无伤害）~ S3（致命） |
| Exposure (E) | 暴露概率 | E0（几乎不）~ E4（非常高） |
| Controllability (C) | 驾驶员可控性 | C0（完全可控）~ C3（几乎不可控） |
举个例子。我在做电动助力转向项目时，遇到一个场景：高速行驶中转向助力突然丢失。S 值？车速高，失控可能撞车，S3。E 值？电子系统故障概率中等，E3。C 值？普通驾驶员很难稳住方向，C2。查表，最终 ASIL D。
我的经验：ASIL 定级不是一次性的。概念阶段先粗定，系统设计时再细化。我见过一个团队在项目初期把 ASIL 定得太高，结果后期成本爆炸。建议先做危害分析（HARA），再根据实际场景调整。
ASIL 等级直接影响开发方法。举个例子：ASIL D 要求代码覆盖率 100% 的 MC/DC 测试，而 ASIL A 可能只要求语句覆盖。你想想看，这工作量差了多少倍？
功能安全生命周期：从摇篮到坟墓
安全生命周期，就是一套“什么时候该干什么事”的流程。ISO 26262 把它分成三个阶段：
- 概念阶段：定义系统、做 HARA、定安全目标。
- 产品开发阶段：系统级、硬件级、软件级的设计与验证。
- 生产运维阶段：批量生产、售后监控、报废处理。
我习惯把生命周期想象成一条流水线。每个阶段都有输入、输出和评审门。过了评审才能进下一阶段。嗯，这里要注意——很多人以为安全生命周期只到量产就结束了。错了！
避坑指南：我曾经在一个项目中忽略了“生产运维阶段”的安全活动。结果量产半年后，客户反馈了一批故障件。因为没有建立售后监控机制，我们花了三个月才定位到问题。从那以后，我每个项目都会提前规划好生产后的安全监控计划。
生命周期模型里有个关键概念叫“安全案例”。说白了，就是一本“证据册”——证明你的产品在每个阶段都满足了安全要求。我建议从项目第一天就开始积累安全案例素材，别等到最后再补。
最后说一句。ISO 26262 的框架看着复杂，但核心逻辑很简单：识别风险、控制风险、证明风险已被控制。你只要抓住这条主线，12 个 Part 就是围绕它展开的细节。