01 - 汽车功能安全(ISO 26262)系列

更多精彩汽车专业内容尽在微信公众号 ‘‘AUTO世代’’

随着软件定义汽车，汽车功能安全显得尤为重要，功能安全系列专题由此诞生，主要简述个人在功能安全不同开发阶段(包括概念，系统，软件，硬件开发等)重要内容及学习心得。

本篇为功能安全系列专题开篇，主要聊聊以下几个基本问题:

为什么需要功能安全
功能安全在解决什么问题
功能安全法规
功能安全有什么特点
功能安全真的有必要吗
功能安全系列专题内容预告

01. 为什么需要功能安全？

在这个世界上，人和物都不是完美的。(愿望很美好，现实很残酷)

1. 人不是完美的 => 系统性失效

汽车开发工程师在汽车E/E系统开发中，包括软件和控制器硬件，不可避免地存在人为疏忽或错误，引起系统功能功能失效，进而导致故障并产生危害。这部分人为疏忽导致的失效为系统性失效。(注: 硬件也有系统失效)

2. 物不是完美的 => 随机硬件失效

控制器硬件，由于自身老化，外部环境因素等引发功能失效，导致相应故障并产生危害。硬件失效带有随机性，符合一定概率分布，因此称为硬件随机失效。

为了避免上述两种失效，功能安全由此诞生。

02. 功能安全在解决什么问题？

1. 除通常质量管理(QM)外，对汽车E/E系统软硬件全生命周期安全开发流程，方法等进行约束和规范(主要是通过ASIL)，尽可能降低人为结构性的系统失效。

2. 对控制器硬件部分进行概率化度量，尽可能降低随机硬件失效。

3. 除过程约束外，设定安全状态，一旦系统发生故障，在故障容错时间内将系统导入安全状态，避免对人身、财产造成伤害。

03. 汽车功能安全法规

1. ISO 26262: 2018版，属于第二版

下载链接: 请移步在公众号文章内下载

2. 中文国标: GB/T 34590，于2017年发布，属于ISO 26262第一版的中文版，英文不是太好的朋友可以先看中文版，但和 ISO 26262: 2018最新版存在一定差异

下载链接: 请移步在公众号文章内下载

ISO 26262属于方法论模型，抽象又具体:

抽象在于: 除了个别开发流程方法外，其他过程并没明确如何具体操作，这导致功能安全开发相对难以落地，不同开发商对功能安全理解也不近相同，不同企业产品功能安全无法直接横向对比。

具体在于: 开发大的流程及工作输出产物明确，和ASPICE过程参考模型相比还是具体很多。

可能是其魅力吧！通过抽象又具体的方法论，一方面对功能安全开发大的流程和方法提供了指南，另一方面，考虑了不同企业技术及KnowHow差异，为技术施行多样性提供了可能。

04. 汽车功能安全特点

汽车功能安全特点包括:

1. 旨在尽可能避免由系统功能异常导致的危害，不是为了提高系统原有功能或非安全性能(如动力性)或避免系统本身功能不足导致的危害(属预期功能安全)

2. 不关注本质安全(即通过消除危险的原因确保安全的方式)

3. 既基于系统功能实现(基于现有功能进行危害分析和风险评估，定义目标及安全需求并采取安全措施)，又有所区别(一般独立开发，ASIL要求贯穿全过程，直接决定功能安全开发工作量和内容)

4. 系统，软件，硬件开发遵寻各自V模型，都是从需求，到架构，再到设计实现，最后验证及系统确认(确认只有在系统层面)。为了加速迭代过程，可以和敏捷过程相结合(后续细聊)

05. 功能安全真的有必要吗？

虽然目前大部分开发商对功能安全越来越重视，但对很多企业而言，功能安全难以落地，投入产出比不高，项目进度受阻等等。因此，也有一些质疑的声音，如：

为了覆盖极少数可能发生的安全问题，功能安全是否在浪费项目开发时间和资源？
标准化的安全规范ISO 26262是否必须执行？

针对以上相关问题，以下仅谈谈我个人看法：

1. 安全问题重视程度取决于企业价值排序。个人觉得，安全第一，须竭尽全力保障汽车产品安全，先发布再以牺牲用户利益为代价的市场测试，至少有违道德

2. 条条道路通罗马，ISO 26262只是其中一条，非强制执行。只要企业安全文化到位，产品开发流程有效覆盖功能安全问题，也能走出自己的一条功能安全之路

3. 规范的存在既是门槛，也是为了让普通工程师在规范的约束下，有可能开发出一流的符合功能安全的产品(我这么说不要打我，我也是普通工程师)

4. 功能安全不是形式主义，不为死抠标准，不为通过评审而做，不会短期见效，却能避免企业陷入重大安全召回

5. 系统优化企业组织架构和交流接口，优化开发流程，将功能安全融入企业各自开发流程中，实现不同平台，项目间的最大化复用，是功能安全实施的关键之一

06. 汽车功能安全系列专题内容预告

鉴于功能安全(ISO 26262)内容繁多，具体标准还得朋友们自己读，不读个3遍不要说你看过，我现在依然还会读。

该系列只对其重要内容，容易误解或难以理解内容以个人经验形式进行阐述，旨在帮助朋友们更好地理解ISO 26262。

该系列首先以主要的功能安全开发阶段，包括概念阶段，系统阶段，软/硬件阶段展开，剩余内容多属于支持过程，将以小专题形式进行补充。

写在最后:

正常情况下，不同阶段开发内容由相应的功能安全开发工程师完成，欢迎朋友们关注，通过公众号留言讨论，补充和升华.

扫码关注，联系我，加入汽车专业交流社区