隨著各行業(yè)引進(jìn)一系列產(chǎn)品設(shè)計(jì)和測(cè)試的標(biāo)準(zhǔn)化流程，安全保障也日益規(guī)范化。ISO 26262滿(mǎn)足了人們對(duì)于汽車(chē)行業(yè)國(guó)際標(biāo)準(zhǔn)的需求，重點(diǎn)關(guān)注安全關(guān)鍵部件。ISO 26262基于IEC 61508－電氣和電子(E/E)系統(tǒng)的通用功能安全標(biāo)準(zhǔn)。本白皮書(shū)介紹ISO 26262的關(guān)鍵組成以及軟硬件認(rèn)證。此外，本白皮書(shū)還包含ISO 26262的測(cè)試過(guò)程，以及ISO 26262合規(guī)的認(rèn)證工具。

1. 背景

隨著汽車(chē)行業(yè)復(fù)雜性的日益提升，人們加大了開(kāi)發(fā)安全合規(guī)系統(tǒng)的力度。例如，現(xiàn)代汽車(chē)使用線(xiàn)控系統(tǒng)，如油門(mén)線(xiàn)控。司機(jī)踩油門(mén)時(shí)，踏板中的傳感器將向電子控制元件發(fā)送信號(hào)。該控制單元將分析多種因素，如引擎速度、車(chē)輛速度及踏板位置。接著，控制單元將向油門(mén)傳遞指令。對(duì)油門(mén)線(xiàn)控這類(lèi)系統(tǒng)進(jìn)行測(cè)試和驗(yàn)證，對(duì)汽車(chē)行業(yè)造成了挑戰(zhàn)。ISO 26262的目標(biāo)是為汽車(chē)電氣和電子系統(tǒng)提供統(tǒng)一的安全標(biāo)準(zhǔn)。

ISO 26262的國(guó)際標(biāo)準(zhǔn)草案(DIS)發(fā)布于2009年6月。自發(fā)布起，ISO 26262就獲得了汽車(chē)行業(yè)的支持。標(biāo)準(zhǔn)草案生效后，律師將ISO 26262視為技術(shù)巔峰，即特定時(shí)期內(nèi)某種設(shè)備或流程的最高發(fā)展水平。德國(guó)法律規(guī)定，汽車(chē)生產(chǎn)商通常要對(duì)產(chǎn)品故障導(dǎo)致的人身傷害承擔(dān)賠償責(zé)任。技術(shù)巔峰都無(wú)法檢測(cè)的故障可獲得免責(zé)。[德國(guó)產(chǎn)品責(zé)任法(§ 823 Abs.1 BGB, § 1 ProdHaftG)]。

ISO 26262提供了通用的標(biāo)準(zhǔn)，用于衡量系統(tǒng)在使用時(shí)的安全性。同時(shí)，該標(biāo)準(zhǔn)還提供了通用的詞匯表，用戶(hù)可使用該詞匯表指代系統(tǒng)的特定部分。這和其他安全關(guān)鍵應(yīng)用領(lǐng)域保持一致：即提供一個(gè)通用的標(biāo)準(zhǔn)，讓用戶(hù)可以衡量系統(tǒng)的安全性。
?

2. ISO 26262的關(guān)鍵部分

ISO 26262采用分步系統(tǒng)，管理功能安全，并在系統(tǒng)、硬件及軟件層面管理產(chǎn)品開(kāi)發(fā)。

ISO 26262標(biāo)準(zhǔn)提供規(guī)范及推薦做法，貫穿了產(chǎn)品開(kāi)發(fā)的全過(guò)程（從概念開(kāi)發(fā)到停運(yùn)）。ISO 26262詳細(xì)介紹了如何為系統(tǒng)或組件指定可接受的風(fēng)險(xiǎn)等級(jí)，以及記錄總體測(cè)試流程的方法?？偠灾?，ISO 26262：
提供汽車(chē)安全生命周期（管理、開(kāi)發(fā)、生產(chǎn)、運(yùn)行、服務(wù)、停運(yùn)），并支持在各階段中自定義必要的活動(dòng)
提供基于風(fēng)險(xiǎn)的方法，判定汽車(chē)的風(fēng)險(xiǎn)等級(jí)（汽車(chē)安全完整性等級(jí)，簡(jiǎn)稱(chēng)ASIL）
使用ASIL指定項(xiàng)目的必要安全要求，以達(dá)到可接受的殘余風(fēng)險(xiǎn)
提供驗(yàn)證要求和確認(rèn)方法，以確保實(shí)現(xiàn)有效且可接受的安全性

汽車(chē)安全生命周期
ISO 26262共有10卷，用于系列量產(chǎn)車(chē)，并包含針對(duì)汽車(chē)的章節(jié)。例如，ISO 26262的第7章對(duì)生產(chǎn)、運(yùn)行、服務(wù)及停運(yùn)提出了明確的安全要求。

ISO 26262汽車(chē)安全生命周期描述了整個(gè)生產(chǎn)生命周期。包括對(duì)安全管理員的需求、安全計(jì)劃的開(kāi)發(fā)以及確認(rèn)方法的定義（包括安全檢查、審計(jì)及評(píng)估）。這些要求用于開(kāi)發(fā)電氣和電子系統(tǒng)及元件。

本白皮書(shū)主要介紹生命周期的開(kāi)發(fā)部分。ISO 26262關(guān)于開(kāi)發(fā)的部分包括定義系統(tǒng)、系統(tǒng)設(shè)計(jì)、功能安全評(píng)估以及安全驗(yàn)證。

汽車(chē)安全完整性等級(jí)(ASIL)
ASIL是ISO 26262標(biāo)準(zhǔn)的關(guān)鍵部分。ASIL是在開(kāi)發(fā)過(guò)程的開(kāi)始階段確定的。用戶(hù)需要根據(jù)可能的危害，分析系統(tǒng)的預(yù)期功能。ASIL提出這樣一個(gè)問(wèn)題：“如果車(chē)輛發(fā)生故障，駕駛員和相關(guān)行人會(huì)怎樣？”

為了評(píng)估風(fēng)險(xiǎn)的評(píng)估，ASIL需綜合考慮暴露的可能性、駕駛員的控制能力以及關(guān)鍵事件發(fā)生時(shí)的嚴(yán)重性。ASIL不處理系統(tǒng)所使用的技術(shù)，而只關(guān)注對(duì)駕駛員及其他行人造成的危害。

不同的安全要求分為ASIL的A、B、C、D級(jí)別，其中D級(jí)為最高安全關(guān)鍵流程，測(cè)試規(guī)范最為嚴(yán)格。ISO 26262標(biāo)準(zhǔn)根據(jù)組件的ASIL級(jí)別，分別規(guī)定了最低測(cè)試要求。這有助于確定測(cè)試時(shí)必須采取的方法。確定ASIL后，就決定了系統(tǒng)的安全目標(biāo)。即確定了保證安全所需的系統(tǒng)行為。

例如，讓我們以雨刷系統(tǒng)為例。安全分析將確定喪失雨刷功能會(huì)對(duì)駕駛員的視線(xiàn)造成何種影響。ASIL指導(dǎo)如何選擇適當(dāng)?shù)姆椒?，以達(dá)到一定程度的產(chǎn)品完整性。本指南旨在補(bǔ)充目前的安全做法。目前，汽車(chē)制造采用高安全標(biāo)準(zhǔn)，ISO 26262旨在規(guī)范行業(yè)內(nèi)的特定做法。