1. ISO 26262 概述：功能安全的起源、发展与标准结构

大家好，我是老周。在汽车电子这行摸爬滚打了十几年，今天咱们来聊聊功能安全。说实话，我刚入行那会儿，功能安全还是个挺“玄乎”的概念。直到有一次，我参与的一个项目因为电子助力转向系统在极端工况下误动作，差点出了大事。从那以后，我才真正意识到——安全，不是写在纸上的口号，而是刻在代码和硬件里的生命线。

这一章，我们先从根上捋一捋。ISO 26262 到底是怎么来的？它长什么样？能管到哪些地方？

1.1 功能安全的起源：从“失控”到“可控”

功能安全这个概念，最早其实不是汽车行业发明的。它起源于工业过程控制，比如化工厂、核电站。你想，一个反应釜压力失控，或者核反应堆冷却泵停了，那后果不堪设想。所以，工程师们开始琢磨：怎么设计一个系统，让它即使出了故障，也不会伤到人？

这个思路，后来被 IEC 61508 标准给系统化了。IEC 61508 是功能安全的“老祖宗”，它提出了一个核心思想：安全功能。说白了，就是系统在检测到故障后，必须执行一个特定的动作来避免危险。比如，安全气囊在碰撞信号触发后，必须在几毫秒内点爆。

汽车行业真正开始重视功能安全，是在 2000 年左右。那时候，电子油门、线控制动、自适应巡航这些“电控”系统越来越多。我记得有个项目，因为一个软件 bug，导致车辆在高速上突然自动刹车。虽然没出事故，但客户投诉如潮。大家这才发现：汽车不再是纯机械的“铁疙瘩”，它变成了一个复杂的“电子怪物”。

1.2 ISO 26262 的发展历程：从“家族标准”到“国际通用”

ISO 26262 的诞生，其实是被“逼”出来的。2000 年代初，各大车企和供应商都在搞自己的安全流程，五花八门。你按 A 家的标准做，到了 B 家可能就不认。整个行业急需一个统一的标准。

于是，ISO 26262 在 2011 年正式发布。它脱胎于 IEC 61508，但专门针对汽车行业做了裁剪和细化。第一版主要覆盖乘用车，也就是总重不超过 3.5 吨的车辆。

到了 2018 年，第二版发布。这一版变化很大，我简单列一下：

• 范围扩大：覆盖了卡车、巴士、摩托车，甚至包括半导体（芯片）。
• 概念更新：引入了“安全导向的分析”（Safety Of The Intended Functionality, SOTIF），也就是 ISO 21448，专门处理“没有故障但功能不安全”的情况。
• 流程细化：对软件工具、硬件随机失效、系统集成等环节做了更严格的要求。

我个人习惯把这两个版本比作“1.0”和“2.0”。1.0 是“能用”，2.0 是“好用”。现在，ISO 26262 已经是全球汽车功能安全的“通用语言”了。

1.3 标准结构：10 个部分，各司其职

ISO 26262 一共分为 10 个部分。很多人一看到这个结构就头大，觉得太复杂。其实，你把它想象成一个“工具箱”，每个部分对应一个特定的工作场景，就好理解了。

下面这张图，是我自己画的，能帮你快速建立整体印象：

这 10 个部分，我按自己的理解，把它们分成了三组：

分组	包含部分	核心内容
基础与流程	Part 1, 2, 3, 8, 9, 10	定义术语、安全管理、概念阶段、支持流程、ASIL 分解、应用指南
产品开发	Part 4, 5, 6	系统级、硬件级、软件级的功能安全开发
生产与运维	Part 7	生产、运行、服务、报废阶段的安全要求

1.4 适用范围与目标：它到底管什么？

ISO 26262 的适用范围，说白了就是一句话：所有与安全相关的电子电气系统。具体来说：

• 适用对象：乘用车、卡车、巴士、摩托车上的 E/E 系统。
• 适用阶段：从概念设计、开发、生产、运行，一直到报废。全生命周期覆盖。
• 适用技术：硬件、软件、系统集成、工具链，甚至包括半导体（芯片）。

它的目标也很明确：避免因 E/E 系统故障导致的人身伤害。这个目标通过一个叫“ASIL”（汽车安全完整性等级）的机制来实现。ASIL 分为 A、B、C、D 四个等级，D 是最严格的。你想想看，一个安全气囊的控制器，和一个车窗升降的控制器，它们的安全要求能一样吗？肯定不一样。ASIL 就是用来区分这种“风险等级”的。