MUNIK技术解读汽车功能安全系列专题之开篇

随着现代汽车中电子/电气系统的广泛应用，对于汽车电子系统的功能安全性也提出了更高的要求。为了确保这一安全性，国际标准化组织（ISO）基于IEC 61508发布了ISO 26262标准，目的是确保现代汽车中使用的电子/电气系统在整个生命周期内满足功能安全的要求，降低车辆电子/电气系统引发的潜在危险和风险，提高道路上的汽车安全性。

汽车功能安全是一个非常大的话题，本文作为开篇，主要聊聊以下几个比较基础的问题：

什么是功能安全？它能起到什么作用？

汽车功能安全标准ISO 26262的框架和特点。

实施功能安全开发的必要性在哪里？

功能安全认证的特点。

什么是功能安全？它能起到什么作用？

功能安全在ISO 26262中的解释为：不存在由电气/电子系统的功能异常表现引起的危害而导致不合理的风险。这里我们可以简单的把功能安全的概念划分为两个层面：

避免故障(电气/电子系统的功能异常表现)发生;

当故障发生时保障安全，即避免人身伤亡。

因为我们所在的世界，人和物都无法做到完美无缺。汽车开发工程师在汽车电子/电气系统开发中，包括软件和硬件，不可避免地存在人为疏忽或错误，这就会引起系统功能的失效(系统性失效)。而诸如控制器、传感器、执行器这样的硬件，由于自身老化，外部环境因素等也会引发功能失效(硬件随机失效)。从这里我们可以认识到，故障可以避免，故障难以完全避免。但即使故障发生，依然可以做些什么来避免伤亡。

因此功能安全的开发在质量管理体系的基础上，对流程和方法做了更加具体和严谨的约束，以尽可能降低人为结构性的系统性失效。针对硬件随机失效，进行概率化度量，用安全机制尽可能降低随机硬件失效，并在故障发生时导入安全状态，避免对人身、财产造成伤害。

汽车功能安全标准ISO 26262的框架和特点

从上图来看，整个ISO 26262标准分为12个部分，其中的核心为第2部分到第9部分：

第1部分是专有名词的解释，可以将其理解为一本解读标准的字典；

第2部分和第8部分给出了功能安全开发过程中在管理和支持方面的要求；

第3部分提供了整车和相关项层面确定产品定义，安全目标、ASIL等级的要求和方法，以形成功能安全概念；

第4部分到第6部分确立了功能安全产品的开发模型——V模型。对从需求到设计再到验证的整个开发过程进行了规范；

第9部分对功能安全开发的重要环节——安全分析提出了要求。注意，这里的要求在落地时仍需要借鉴其它成熟的方法，仅仅关注ISO 26262本身是不够的；

第10和11部分是实施指南，其中包括大量概念的深度解读和示例，是让功能安全体系落地并顺利展开的有力帮助；

第12部分专门针对摩托车企业。

ISO 26262有部分方法论的特点，既有抽象的方面又有具体的内容。

说它具体，是因为标准给出了明确的工作产出物，部分产出物的内容要求非常具体，与ASPICE过程参考模型相比要细致很多。

说它抽象，是因为除了大体上的流程方法，标准对具体的操作和实施没有给出明确的答案，导致不同开发商对功能安全理解也不近相同，很多人甚至认为功能安全开发难以落地。但在我们秒尼科的专业解读和指引下，功能安全开发体系从无到有从建立到应用将不再是难以逾越的鸿沟。