ISO 26262功能安全标准简介及组件重用的优势及效率提升

随着各行业引进一系列产品设计和测试的标准化流程，安全保障也日益规范化。ISO 26262满足了人们对于汽车行业国际标准的需求，重点关注安全关键部件。ISO 26262基于IEC 61508－电气和电子(E/E)系统的通用功能安全标准。本白皮书介绍ISO 26262的关键组成以及软硬件认证。此外，本白皮书还包含ISO 26262的测试过程，以及ISO 26262合规的认证工具。

1. 背景

随着汽车行业复杂性的日益提升，人们加大了开发安全合规系统的力度。例如，现代汽车使用线控系统，如油门线控。司机踩油门时，踏板中的传感器将向电子控制元件发送信号。该控制单元将分析多种因素，如引擎速度、车辆速度及踏板位置。接着，控制单元将向油门传递指令。对油门线控这类系统进行测试和验证，对汽车行业造成了挑战。ISO 26262的目标是为汽车电气和电子系统提供统一的安全标准。

ISO 26262的国际标准草案(DIS)发布于2009年6月。自发布起，ISO 26262就获得了汽车行业的支持。标准草案生效后，律师将ISO 26262视为技术巅峰，即特定时期内某种设备或流程的最高发展水平。德国法律规定，汽车生产商通常要对产品故障导致的人身伤害承担赔偿责任。技术巅峰都无法检测的故障可获得免责。[德国产品责任法(§ 823 Abs.1 BGB, § 1 ProdHaftG)]。

ISO 26262提供了通用的标准，用于衡量系统在使用时的安全性。同时，该标准还提供了通用的词汇表，用户可使用该词汇表指代系统的特定部分。这和其他安全关键应用领域保持一致：即提供一个通用的标准，让用户可以衡量系统的安全性。
 

2. ISO 26262的关键部分

ISO 26262采用分步系统，管理功能安全，并在系统、硬件及软件层面管理产品开发。

ISO 26262标准提供规范及推荐做法，贯穿了产品开发的全过程（从概念开发到停运）。ISO 26262详细介绍了如何为系统或组件指定可接受的风险等级，以及记录总体测试流程的方法。总而言之，ISO 26262：
提供汽车安全生命周期（管理、开发、生产、运行、服务、停运），并支持在各阶段中自定义必要的活动
提供基于风险的方法，判定汽车的风险等级（汽车安全完整性等级，简称ASIL）
使用ASIL指定项目的必要安全要求，以达到可接受的残余风险
提供验证要求和确认方法，以确保实现有效且可接受的安全性

汽车安全生命周期
ISO 26262共有10卷，用于系列量产车，并包含针对汽车的章节。例如，ISO 26262的第7章对生产、运行、服务及停运提出了明确的安全要求。

ISO 26262汽车安全生命周期描述了整个生产生命周期。包括对安全管理员的需求、安全计划的开发以及确认方法的定义（包括安全检查、审计及评估）。这些要求用于开发电气和电子系统及元件。

本白皮书主要介绍生命周期的开发部分。ISO 26262关于开发的部分包括定义系统、系统设计、功能安全评估以及安全验证。

汽车安全完整性等级(ASIL)
ASIL是ISO 26262标准的关键部分。ASIL是在开发过程的开始阶段确定的。用户需要根据可能的危害，分析系统的预期功能。ASIL提出这样一个问题：“如果车辆发生故障，驾驶员和相关行人会怎样？”

为了评估风险的评估，ASIL需综合考虑暴露的可能性、驾驶员的控制能力以及关键事件发生时的严重性。ASIL不处理系统所使用的技术，而只关注对驾驶员及其他行人造成的危害。

不同的安全要求分为ASIL的A、B、C、D级别，其中D级为最高安全关键流程，测试规范最为严格。ISO 26262标准根据组件的ASIL级别，分别规定了最低测试要求。这有助于确定测试时必须采取的方法。确定ASIL后，就决定了系统的安全目标。即确定了保证安全所需的系统行为。

例如，让我们以雨刷系统为例。安全分析将确定丧失雨刷功能会对驾驶员的视线造成何种影响。ASIL指导如何选择适当的方法，以达到一定程度的产品完整性。本指南旨在补充目前的安全做法。目前，汽车制造采用高安全标准，ISO 26262旨在规范行业内的特定做法。