功能安全 Functional Safety ISO26262-2 中文翻译

ISO 26262-2 功能安全管理译者：逯建枫图1 ISO26262概览1 范围ISO26262适用于包含有一个或多个电子电气系统的安全相关系统，且该系统安装于车辆最大总质量为3500kg的一系列乘用车车型上。

ISO26262不适用于特殊用途车辆（比如残疾人专用车辆）中的特殊电子电气系统。

在ISO26262发布日期之前已发布生产的、或已在开发过程中的系统及其零部件，不受此标准约束。

在对ISO26262发布前生产的系统及其零部件进行开发或更改时，只需要使得更改的部分符合ISO26262的要求即可。

ISO26262阐述了E/E安全相关系统故障或系统相互作用故障可能导致的危害。

ISO26262不涉及电击、火灾、烟雾、热量、辐射、毒性、易燃性、反应性、腐蚀性、能量释放等相关危害，除非以上这些危害是由于E/E安全相关系统故障直接导致的。

ISO26262不涉及E/E系统的名义性能，尽管这些系统（例如主动和被动安全系统、制动系统、自适应巡航系统）有专门的性能标准。

ISO26262-2部分规定了汽车应用的功能安全管理要求，包括：-相关组织的项目独立要求（全面安全管理），以及-与安全生命周期的管理活动有关的具体项目要求（即概念阶段、产品开发期间以及生产发布后的管理）。

2 相关标准略3 术语、定义和缩略语见ISO26262-1部分。

4 合规性要求4.1 一般化要求若声称符合ISO26262要求时，应当遵守每项要求，除非有以下其中一项：a)计划按照ISO26262-2对安全活动进行裁剪，发现该要求不适用，或者b)有缘由表明，不合规是可以接受的，且该缘由经评估符合ISO26262-2。

标记为“注释”或“示例”的信息仅用于指导理解或澄清相关要求，不应理解为要求本身或完整需求或详细需求。

安全活动的结果是以工作产品的形式输出的。

“先决条件”是指作为前一阶段工作产品提供的信息。

考虑到某条款的某些需求是ASIL依赖的或定制的，某些工作产品可能不需要作为先决条件。

“进一步的支持信息”是可以考虑的信息，但在某些情况下，ISO 26262不要求该信息作为前一阶段的工作产品，并且可以由非功能安全人员或组织外部人员提供。

4.2 表格释义根据上下文信息，表格可能是规范性的或信息性的。

表中列出的不同方法，有助于将置信度提升到符合相应要求的水平。

表中每个方法都是：a)连续条目（用最左边列中的序列号标记，例如1、2、3），或b)一个可选条目（用数字和最左边一列中的字母标记，例如2a、2b、2c）。

对于连续条目，应按照ASIL的建议，考虑使用所有方法。

如果要采用其他方法，应给出满足相应要求的理由。

对于替代条目，要根据ASIL的要求，采用适当的方法组合；至于表中是否有列出这些方法则无关紧要。

若列出的这些方法的ASIL等级不相同，那么应当优先选择等级较高的方法。

且要给出所选方法组合符合相应要求的理由。

注：选择将部分方法在表中列出来的根据是充分的。

但是并不意味着对那些未被列出来的方法有偏见或抵制。

对每个方法，都要根据ASIL来判断使用对应方法的推荐程度，分类如下：-“++”表示对于已标识ASIL，强烈推荐使用该方法；-“+”表示该方法适用于已标识ASIL；-“o”表示该方法不适用已标识ASIL。

4.2 ASIL相关要求和建议各条款的需求和建议应符合ASIL A/B/C/D等级要求，除非另有规定。

需求和建议会涉及到安全目标的ASIL。

如果ASIL的分解是在开发早期阶段进行的，那么根据ISO26262-9:2011第5条的要求，那么分解活动需要遵守分解产生的ASIL。

如果ISO26262标准中的括号中给出了ASIL等级，那么相应的子条款应看作是建议而非ASIL 要求。

上述括号的含义于ASIL分解相关的括号符号没有联系。

5 全面安全管理5.1 目的本条目的目的是为负责安全生命周期或在安全生命周期中执行安全活动的组织定义需求。

本条目是ISO26262安全生命周期活动的前提。

5.2 概述5.2.1 安全生命周期概述ISO26262安全生命周期主要（见图2）包括概念、产品开发、生产、经营、服务和报废等安全活动阶段。

关键管理任务就是规划、协调和记录安全生命周期各阶段的安全活动。

图2表示参考安全生命周期模型。

允许对安全生命周期进行裁剪，包括子阶段的迭代。

注1：概念阶段、产品开发阶段，以及生产发布后的各项活动，会在后续各个标准中进行详细介绍：ISO26262-3（概念阶段）、ISO26262-4（系统产品开发）、ISO26262-5（硬件产品开发）、ISO26262-6（软件产品开发）和ISO26262-7（生产经营）。

注2：表A.1概述了功能安全管理各阶段的目标、先决条件和工作产品。

图2 安全生命周期5.2.2 安全生命周期说明ISO26262规定了安全生命周期某个阶段和子阶段的要求，但也会包括安全生命周期几个阶段或全部阶段的要求，例如功能安全管理要求。

关键的管理任务是规划、协调和跟踪那些鱼功能安全相关的活动。

这些管理任务适用于安全生命周期的所有阶段。

以下给出功能安全管理要求，用于区分：-全面安全管理（见本条）；-概念阶段和产品开发阶段的安全管理（见第6条）；-项目投产后的安全管理（见第7条）。

以下描述解释了安全生命周期不同阶段和子阶段的定义，以及其他关键概念：a)子阶段：相关项定义安全生命周期的第一项任务是对相关项的功能、接口、环境条件、法规要求、已知危害等项目进行描述。

假定其他相关项、元素、系统和组件的是确定的，来确定相关项的边界及接口。

b)子阶段：安全生命周期启动阶段根据相关项定义，启动分为新相关项启动和已有相关项更新启动。

如果是已有相关项的需要更新，那么影响分析结果可能会导致安全生命周期调整（见ISO26262-3:2011第6条）。

c)子阶段：危害分析于风险评估安全生命周期开始后，按照ISO26262-3:2011第7条进行危害分析与风险评估。

首先，危害分析与风险评估对相关项的危害事件的暴露度、可控性和严重度进行评估。

这些参数共同决定了危害事件的ASIL等级。

d)子阶段：功能安全概念考虑到初始架构设想，功能安全概念（见ISO26262-3:2011，第8条）是基于安全目标提出的，由分配给相关项的功能安全要求所规定。

功能安全概念也包括其他技术或外部措施的接口，且该接口能够验证其预期行为（见ISO26262-4:2011第9条）。

其他技术的实施不包括在ISO26262的范围内，外部措施的实施也不包括在相关项的开发范围内。

e)阶段：产品系统开发规定了功能安全概念后，就可以从系统层面进行相关项的开发工作了，如ISO26262-4所示。

系统开发流程以V模型的概念为基础，详细列出了V模型左边分支的技术安全需求、系统架构、系统设计和系统实现，以及V模型右边分支的继承、验证、确认和功能安全评估等步骤。

软硬件接口规范在这个阶段开始编写。

图1提供了系统层的产品开发子阶段的概述。

系统层的产品开发包括其他安全生命周期阶段的确认任务，比如：-由其他技术实施的各种功能安全概念的确认任务；-外部措施有效性及执行情况等假设的确认；-人类反应（包括可控性和操作任务）等假设情况的确认。

生产发布是产品开发的最后一个子阶段，提供相关项的连续生产发布活动（见ISO26262-4:2011，第11条）。

f)阶段：产品硬件开发根据系统设计规范，进行相关项的硬件层开发（见ISO26262-5）。

硬件开发流程也基于V模型开发，详细列出了V模型左边分支的硬件设计、硬件实现，以及V模型右侧分支的硬件集成、测试等步骤。

图1提供硬件层的产品开发子阶段的概念。

g)阶段：产品软件开发根据系统设计规范，进行相关项的软件层开发（见ISO26262-6）。

软件开发流程也基于V模型开发，详细列出了V模型左边分支的软件需求、软件架构设计、软件实现，以及V模型右侧分支的软件需求验证等步骤。

图1提供软件层的产品开发子阶段的概念。

h)生产计划和运营计划在产品开发过程中（见ISO26262-4），需要进行生产和运营规划，并编写相关需求规范。

生产和运营要求见ISO26262-7:2011的第5条和第6条。

i)阶段：生产和运营，服务和报废本阶段涉及与产品功能安全目标相关的生产过程，即与安全相关的特殊特性以及产品维护、维修和报废规范的制定和管理，以确保产品发布后的功能安全（见ISO26262-7:2011第5条和第6条）。

j)可控性在危害分析与风险评估（见ISO26262-3:2011，第7条）中，对驾驶员或其他风险人员控制危险情况的能力进行评估。

在安全验证期间，验证了危害分析与风险评估中关于可控性的假设，也验证了功能和技术安全概念（见图2和ISO26262-4:2011第9条）。

注：暴露度和严重度这个因素与情景相关。

通过人工干预的最终可控性受相关项设计的影响，因此要在验证期间进行评估（见ISO26262-4:2011,9.4.3.2）k)外部措施外部措施是指相关项定义（参见图2和ISO26262-3:2011第5条）中规定的相关项外部措施，以减少或降低相关项产生的风险。

外部措施不仅包括附加的车内装置，如动态稳定控制器或防爆轮胎，还包括车外装置如防撞栏或隧道消防系统。

安全验证期间，需要对相关项定义/危害分析与风险评估中外部措施的假设、以及技术安全概念进行验证（见图2和ISO26262-4:2011第9条）。

在危害分析与风险评估中，可以考虑使用外部措施。

但是如果信任并采纳HARA中的外部措施，那么该外部措施就不能被视为功能安全概念的风险降低措施。

ISO26262也适用于ISO26262范围内的外部措施。

l)其他技术其他技术，指例如机械液压技术、或ISO26262标准范围内的其他不同于电子电气相关的技术。

这些技术在安全需求分配（见ISO26262-3和ISO26262-4）时，也会作为功能安全概念的规范（见图2和ISO26262-3:2011第8条），或作为一种外部措施存在。

注：如果另一项技术的实施被指定为一项外部措施，那么重做一次HARA是非常有必要的，因为相关风险降低有可能使得相应安全目标ASIL降低。

5.3 本条款的输入5.3.1 前提条件无。

5.3.2 更多支持信息可以考虑以下信息：-质量管理体系符合质量管理标准（如ISO/TS 16949、ISO9001或其他同等标准）的现有证据。

5.4 需求和推荐5.4.1 概述参与安全生命周期执行的组织应符合5.4.2至5.4.5的规定。

5.4.2 安全文化5.4.2.1 组织应创造、培育并支持和鼓励能有效实现功能安全的安全文化。

例：附件B中给出了评估安全文化的示例。

5.4.2.2 为了符合ISO26262的要求，组织应制定、执行并维护具体的组织规则和流程。