前言：

近期在學習ISO26262時，發現可參考學習的資料不多，主要就是國外于2011年發布的英文版的ISO 26262（據說第二版的近期就會發布）以及GB T 34590。而GB T 34590基本就是把ISO26262進行了直譯，很多詞匯及描述晦澀難懂（有時都會被它給帶跑偏了）。英文基礎可以的在學習這方面的內容時，最好還是看英文版的ISO26262。

當然，學習ISO26262最好的方式是依托實際項目，在項目中將其落地，只有真正在項目中實現過功能安全你才能說你會功能安全，畢竟實踐是檢驗真理的唯一標準。

但是，功能安全也不是誰想搞都能搞的，要是沒有個幾百萬近乎上千萬的預算，很難搞成。在沒有實際項目的情況下，我們只能通過對現有標準進行解讀，對別人的項目過程及項目經驗進行消化吸收來學習這方面的內容。

ISO26262標準中共包含10部分內容，其中主要內容集中在第3-7部分。

下面跟大家分享下我對ISO26262-3(概念階段)的解讀及吸收（很多內容來自于別人的項目經驗）。

01

—

ISO26262-3（概念階段）是開發前的準備工作，該階段按以下流程進行展開。

包含4項內容：

1. 系統定義，指的是對系統進行功能，結構，周圍環境和其他相互作用系統的描述；

2. 危險分析和風險評估（HARA），分析系統可能出現的危險，并對各個危險進行ASIL評估，其客觀性和完整性決定了下面步驟的準確度；

3. 根據ASIL等級得出安全目標；

4. 以實現安全目標為目的，設計系統功能安全概念，建立系統的功能安全框架，將功能安全需求分配到系統的架構中。

下面對流程中的各項內容展開介紹。

系統定義

這個內容比較好理解，系統定義就是對系統的一種描述，告訴別人這個系統是個啥東西，怎么工作的。主要包括兩方面的內容：

1. 系統功能需求分析

2. 系統結構分析

舉個例子進行簡單說明，AMT的選換擋系統可以這么定義：

（1）系統功能需求分析：

AMT的選換擋系統除了應該能夠按照TCU給出的目標擋位進行換擋外。由于TCU需要根據當前換擋執行結構所在位置來調整目標換擋位置，所以還需要將換擋位置信息反饋給TCU。AMT選換擋的功能框圖如下：

（2）系統結構分析：

選換擋系統需要由兩個電機、選換擋執行機構、溫度傳感器組成。兩個電負責提供換擋動力，選換擋執行機構負責撥動撥叉，溫度傳感器負責檢測并反饋溫度。

結構圖：略。

上面只是對系統進行了簡單定義，當然越詳細越好。

危險分析和風險評估HARA

ISO26262提供了一種汽車特定的基于風險的分析方法以確定汽車安全完整性等級，此分析方法主要包含3個方面：

1. 場景分析，即提出系統可能使用的所有駕駛場景；

2. 危險辨識，即辨析出可能出現的所有潛在危險；

3. ASIL評估，即對危險進行分類，從而確定危險的等級。

三方面的內容分別如下：

（1）場景分析：

汽車的駕駛場景指的是汽車駕駛的周邊環境及汽車本身的狀態，可由道路條件、交通條件、周邊環境、車輛駕駛模式以及前提條件等方面描述。既要考慮正確使用車輛的情況，也要考慮可預見的不正確使用車輛的情況。

（2）危險辨識：

危險辨識主要考慮系統功能的潛在危險，根據SAEJ2980（美國機動車工程學會）對于每一種功能都可能發生6種失效情況：

1. 系統有需求時無功能輸出

2. 系統無需求時有功能輸出

3. 功能輸出超出系統需求

4. 功能輸出少于系統需求

5. 功能輸出與系統需求相反

6. 功能輸出不穩定

根據系統的每一種功能考慮這6種情況下可能引起的系統失效，即可得出系統的潛在危害。

（3）ASIL評估：

ASIL評估應根據以下三個參數來評估每個潛在危害的ASIL危險程度：

1. 嚴重度（severity，S），危險發生后對交通參與者的損害程度，分為S0、S1、S2、S3；

2. 暴漏度（exposure，E），危險駕駛情景下危險發生的概率，分為E0、E1、E2、E3、E4

3. 可控性（controllable，C），危險發生后駕駛員對危險的控制程度，分為CO、C1、C2、C3

這三個參數組成了一個規則集，根據規則集可對汽車在各個駕駛場景中可能出現的潛在危害進行ASIL 評估。

可借助下面3張圖片進行進一步理解。（GB T 34590中有相應中文圖）

根據ISO26262的要求，整個系統的ASIL等級應取所有潛在危險中最高的等級。

根據ASIL等級得出安全目標

安全目標是危險分析和風險評估的最高安全要求。

由危險分析和風險評估（HARA）中的每個危險事件，可得到系統的安全目標（Safety Goal,SR）。

注：如果確定了相似的安全目標，可將他們合并為一個安全目標，該目標的ASIL等級為相似目標的最高等級。

示例如下：

設計系統功能安全概念

系統功能安全概念其實就是一條條的功能安全需求及需求在架構中的體現。

系統的功能安全概念是以安全目標為最上層需求，對系統的功能模塊提出故障檢測、安全狀態、安全機制等方面的功能安全需求（functional safety requirement ,FSR）,并將安全目標的ASIL等級分配到系統的軟硬件中。

示例如下：

AMT選換擋系統功能安全概念

根據上表中的功能安全概念，就可以在原有架構的基礎上設計系統的功能安全架構。

架構：略。

每個系統按照上面的流程即可得出相應系統的功能安全概念，后面的開發活動都圍繞著該概念進行展開。

這是我個人從“紙上”得來的，如有不正確的地方，希望大家留言指正。