iso 26262标准内容

什么是功能安全？

2 年前

ISO 26262标准iso认证流程建议《道路车辆功能安全》是IEC 61508标准在汽车行业的具体应用。IEC 61508标准在2000年由国际电工委员会TC65委员会提出并制定，我国于2006年发布了系列标准《GB/T 20438 电气/ 电子/可编程电子安全相关系统的功能安全》共7个部分，等同采用IEC61508:1998

ISO 26262基本框架

Part 1：定义

Part 2：功能安全管理

Part 3：概念阶段

Part 4：iso三体系认证研发：系统级

Part 5：iso三体系认证研发：硬件级

Part 6：iso三体系认证研发：软件级

Part 7：生产和操作

Part 8：支持过程

Part 9：基于ASIL 和安全的分析

Part 10：ISO26262 导则

1 什么是功能安全？

从ISO 26262的结构构成可以看到，标准涵盖了全生命周期的安全要求，功能安全管理、概念阶段、系统研发、硬件研发、软件研发、生产和操作过程、售后，但比例最大的是站在iso三体系认证iso认证阶段这个时间节点上，考虑怎样从iso认证上实现iso三体系认证安全，可以基于原有的功能实现安全，也可以额外添加功能，实现安全。总之，标准给iso认证研发阶段的流程要求和建议比较详细，是研发技术人员开发iso三体系认证的好参考。标准的基本认知是系统过于复杂以后，复杂的相互作用，使得外人很难通过测试或者预测的方式，全面估计失效的位置和失效方式。因此使得预防显得非常重要。

IEC 61508中一段标准原文：“安全是指避免会造成人体健康损害或人身损伤的不可接受风险，而这种风险是由于对财产或环境的破坏而直接或者间接地导致的。

功能安全是整体安全的一部分，它依赖于一个系统或设备对其输入的正确响应。

例如，在电机绕组上装一个热传感器，可以在电机过热前实现断电的过热保护装置。是功能安全的一个例子。但采用特殊的隔热材料来抵御高温就不是功能安全的例子（虽然这也是实现安全的一个例子，并能抵御同样的危险）”

基于这段的定义和阐述，对功能安全有几个方面的理解。

理解一，功能安全在规定其他安全iso认证流程等细节之前，首先是一种意识，一种思考问题的角度，一种iso认证人员的方法论。从理论层面和流程层面，建立安全保障的防火墙。

理解
二、IEC61508讨论的安全功能都是由电气、电子、可编程电子技术实现的，与机械的、材料的等等其他手段相区别，但可以同时施加在一个系统中。这个区分并不是说其余安全形势不重要或者安全含金量没有电子电气的好，只是这个标准所提示的安全系统不对那些措施做出考虑和评价。

安全功能系统，可以与原来的功能系统融合在一起，也可以以独立的形式存在。

理解
三、功能安全系统分两部分，功能安全要求和安全完整性要求。

安全功能要求，由危险分析决定，需要清晰阐述某个具体的安全功能的目的，实现方法；

安全完整性要求，由风险评估确定，按照一个安全功能能够完整执行的可能性的大小，安全等级划分成4个级别，SIL1最低，SIL4较高。安全等级越高，发生危险的概率越低。

安全功能要求，需要清晰表述的要素一般包括风险相关参数，风险发生频率，措施实施后造成最严重后果是怎样的，事故率上限是多少等等。

安全完整性也可以分成两部分看待，一个是指定系统的风险评估结果，具体落实到哪个安全措施必须实施，这个评估跟风险发生后的危害性高低、风险发生的频率有关。另一个是确定应对这个风险的安全措施的等级。风险越评估结果越严重，需要配置的安全等级也越高。

进一步说明安全完整性要求。原来系统中，可能出现危险的频率越高，则要求安全功能的等级必须相应提高。比如一个开门断电安全功能，系统开门频率是每周10次和每年1次，则对这个安全功能要求的安全等级前者比后者要高。总体上，安全功能追求的是人们能够接受的一个事故率的范围。

2 IEC 61508讲什么？

IEC61508完整的iso认证流程建议是《电气/电子/可编程电子安全相关系统的功能安全》，它针对采用了硬件、软件、电子、电气、机械等多种技术的综合系统，提出了端到端、全系统和全生命周期的安全评估理念，意在解决科技发展中，越来越复杂的工程系统带来系统失效模式和失效率预测困难的问题。

所谓端到端的概念，就是明确安全要素的目标与当前能力水平的一种思路。标准提出了安全性等级的概念，把系统和它的每一级子系统进行标准评估，指明每个层级组成元素的安全指标和实际能力与安全指标的距离，得出每一个评估主体的具体安全等级作为标签。给每个安全因素分配明确的努力方向，并逐级分解，这个思路使得每个底层iso三体系认证的供应商都有了自己的具体目标，避免了目标不清带来的失效。有研究提出了一个数字，40%，研究认为40%的失效都是因为安全要求不清晰造成的。

全系统理念，是在端到端理念的基础上，要求考虑全系统的结构、逻辑等系统才能体现出来的性质对安全的影响，要求除了明确每个零件的具体参数指标可靠性指标之外，这些零件组合以后产生的新的性质，也必须得到考察，指定安全目标，衡量安全级别。

全生命周期理念，一般的性能测试或者质量检查，都是针对某一个时刻的iso三体系认证状态，是整个生命周期中的一个切片。IEC61508要求系统考虑iso三体系认证系统从概念到iso认证直至使用以后的寿命终结各个阶段，考虑时间因素在iso三体系认证安全中产生的影响。

3 IEC 61508为何不适用于汽车的要求

ISO 26262延续了IEC61508的思想，并把它应用于汽车领域。IEC61508在一些方面不适合于汽车行业。刘佳熙在他的论文《汽车电子电气系统的功能安全标准ISO 26262》中指出，IEC61508没有考虑汽车工业的分布式开发模式; 它定义了一个与汽车工业不同的生命周期( 测试在iso三体系认证发布后进行) ; 它的量化要求( 如失效率) 没有考虑大规模批量生产的情况。随着安全相关的电子电气系统在汽车上的广泛应用，汽车工业对电子电气系统功能安全标准的需求也越来越迫切。

注：

相关参考文献推荐

1 刘佳熙，汽车电子电气系统的功能安全标准ISO 26262；

2 史学玲，IEC61508标准的基本原理与方法研究；

3 GBT 20438-2006 电气 电子 可编程电子安全相关系统的功能安全

什么是功能安全(FS)？

在现代工业控制领域中，可编程电子硬件、软件系统的大量使用，大大提升了自动化程度。但由于设备iso认证中的缺失，以及开发制造中风险管理意识的不足，这些存在iso认证缺陷的iso三体系认证大量流入相关行业的安全控制系统中，已经造成了人身安全、财产损失和环境危害等灾难频出。为此，世界各国历来对石化过程安全控制系统、电厂安全控制系统、核电安全控制系全领域的iso三体系认证安全性iso认证技术非常重视，并且将电子、电气及可编程电子安全控制系统相关的技术发展为一套成熟的iso三体系认证安全iso认证技术，即“功能安全”技术。

欧美已经颁布了成套的功能安全相关iso三体系认证指令和iso认证标准，并深入到各个领域，如：汽车（ISO26262）轨道控制（EN 5012X）、核电(EN 61513)、工业装备及机器控制（EN 62601, EN ISO 13849-1/2）、过程控制(EN 61511)等，国际上，IEC 形成的 IEC 61508，IEC 61511 等系列标准已经逐步成为各单位、行业广泛认可的基本功能安全标准，中国也仿效并形成了的相应单位标准，其他行业性功能安全标准也在参照并将逐步形成为单位行业性标准。

ISO26262

ISO26262是从电子、电气及可编程器件功能安全基本标准IEC61508派生出来的，主要定位在汽车行业中特定的电气器件、电子设备、可编程电子器件等专门用于汽车领域的部件，旨在提高汽车电子、电气iso三体系认证功能安全的国际标准。

ISO26262从2005年11月起正式开始制定，经历了大约6年左右的时间，已于2011年11月正式颁布，成为国际标准。中国也正在积极进行相应国标的制定。

安全在将来的汽车研发中是关键要素之一，新的功能不仅用于辅助驾驶，也应用于车辆的动态控制和涉及到安全工程领域的主动安全系统。将来，这些功能的研发和集成必将加强安全系统研发过程的需求，同时，也为满足所有预期的安全目的提供证据。

随着系统复杂性的提高，软件和机电设备的应用，来自系统失效和随机硬件失效的风险也日益增加，制定ISO 26262标准的目的是使得人们对安全相关功能有一个更好的理解，并尽可能明确地对它们进行解释，同时为避免这些风险提供了可行性的要求和流程。。

ISO 26262为汽车安全提供了一个生命周期（管理、开发、生产、经营、服务、报废）理念，并在这些生命周期阶段中提供必要的支持。该标准涵盖功能性安全方面的整体开发过程（包括需求规划

中国网汽车5月18日讯 记者日前从官方获悉，华为自动驾驶操作系统内核(含虚拟化机制)获得了Safety领域较高等级功能安全认证咨询(ISO 26262 ASIL D)，成为我国首个获得ASIL D认证咨询的操作系统内核。

据悉，该内核还曾于2019年9月获得Security领域较高等级信息安全认证咨询(CC EAL 5+)。至此，华为自动驾驶操作系统内核已成为业界首个拥有Security与Safety双高认证咨询的商用OS内核。

ISO 26262 功能安全标准是目前欧美和国内高安全行业的强制准入标准，其对iso三体系认证的开发流程管理、安全架构iso认证、安全编码和安全测试等方面有极苛刻的要求。在无先例可借鉴的情况下，华为经过多轮交付件评审、现场审核、专家终审，通过机构的层层审核，获得T?V莱茵ISO 26262认证咨询证书。华为获证周期相比行业缩短了1年，得到了认证咨询机构和发证官的高度评价。

据了解，截止目前，华为智能电动(mPower)、华为高阶自动驾驶全栈解决方案(ADS)、华为MDC智能驾驶计算平台均已先后获得ISO 26262功能安全管理体系ASIL-D认证咨询，但不同的是，这三者是研发流程和管理体系认证咨询，但华为自动驾驶操作系统内核是iso三体系认证本身获得车规功能安全ASIL-D认证咨询。华为自动驾驶操作系统内核功能安全ASIL-D认证咨询的获得，是华为在智能汽车解决方案业务领域的重大业务进展，也是在践行可信软件工程变革中的又一次重要探索，可为华为在智能网联汽车等场景提供高Safety竞争力与市场准入能力。

本文来源于汽车之家车家号作者，不代表汽车之家的观点立场。

黑 芝 麻 智 能A1000 Pro 自动驾驶芯 片流片成 功，预计最快将于2022年底实现车型量产上市。这也就意味着黑芝麻智能是国内唯一已经推出两款满 足ISO26262车规功能安全 标准的高算力自动驾驶芯片厂 商，在提供更高算力芯片iso三体系认证的同时，工艺和技术也更加成熟稳定。作为黑芝麻智能最新一代高性能计算平台，不仅拥有出众的性能表现，在车规安全可靠方面，A1000 Pro也无出其右。A1000 Pro是国内目前唯一能够满足ISO 26262 ASIL D级别功能安全要求的大算力芯片。 ...

国际标准化组织iso三体系认证第26262号(ISO 26262)为机动车辆开发和测试紧急安全电子系统提供了一个过程框架和程序模型。它是国际电子委员会iso三体系认证61508(IEC 61508)的派生，其目的是为了适应汽车行业中遇到的挑战。初稿在2009年7月公开刊登，并在2011年发行最终版。标准已经被OEM厂商部分地采用。

VectorCAST符合ISO 26262第六部分软件开发标准规定的软件测试和验证建议。推荐测试包括单元级和系统级测试,如功能测试（以需求为导向的测试和模块测试）和结构覆盖测试。

< VectorCAST如何支持ISO 26262>

VectorCAST系列工具可以用生成和管理的测试用例来验证低级别的软件需求进行了测试，同时也可以用于多种健壮性测试,诸如范围和边界测试。此外，VectorCAST工具捕获和报告的结构覆盖率可以满足ISO 26262中所有级别的要求。

提供所有ISO 26262 ASIL要求的代码覆盖率度量指标:

支持ISO 26262所有级别的代码覆盖率

语句

分支

MC/DC

为单元和集成测试自动生成和编译完整的测试桩和驱动程序

自动回归测试

需求与测试用例映射

健壮性测试

边界值

边界条件测试

在主机，模拟器(simulator)和嵌入式目标板系统运行测试

使用VectorCAST遵循ISO 26262标准的公司简表

> Autoeversystems

> Autoliv

> Beko

> Caterpillar

> Chang’an Automotive

> Delphi

> Dongfeng Automotive

> ENSO

> Fujitsu Semiconductors

> Hyundai

> IAV

> Magna Powertrain

> Magneti Marelli

> MOTONIC

> Robert Bosch

> Siemens

VectorCAST支持符合ISO 26262标准的能力

完整地支持所有级别的结构覆盖率

为功能和健壮性测试自动生成和编译测试桩和驱动程序

需求可以映射至测试用例

自动生成类型范围值的测试用例 (最小-中-最大)

基于合理范围数值的测试用例

VectorCAST加速使用户通过ISO26262标准有关的测试工作，具有以下优点:

交互式点击和脚本生成构建测试用例

修改测试用例并重新执行，不需要重新编译

自动回归测试

生成符合标准的测试报告

基础路径分析与圈复杂度

在主机和嵌入式目标板系统执行测试

为满足ISO 26262，其第11章第8部分推荐。开发安全相关的项目所使用的软件工具(如测试工具)需要符合认证咨询。以便提供软件工具适用性的证明，验证测试执行和任务的正确性可以达到标准。该认证咨询必须表明工具能检测出违反安全要求的错误，而且能预防或检测类似错误。

Vector软件提供了一个现有的工具软件资格证明包，证明了VectorCAST工具在嵌入式开发环境的输出是准确的。

VectorCAST系列iso三体系认证是一个用于安全相关性开发的TÜV SÜD认证咨询软件工具。TÜV SÜD评估和生成Vector软件iso三体系认证的工具认证咨询,为开发组织提供必要的证据，以证明遵守符合IEC 61508和ISO26262标准。

Vector软件VectorCAST IEC认证咨询包提供文档、证书和模板，帮助你在遵循IEC 61508标准和ISO 26262标准的项目上使用VectorCAST。

ISO 26262 IEC认证咨询包含证明材料及针对项目使用VectorCASTiso三体系认证的工作流程指导。

VectorCAST认证咨询文档包含

工具操作需求（TOR）：

在可验证的需求上实现VectorCAST的功能

项目的作业环境(编译器、平台、目标等。)

管理流程的配置

实现验证VectorCAST满足特定测试需求的方法

工具认证咨询数据(TQD):

工具认证咨询的测试数据和结果

重新执行的测试脚本

最初是有ANSI C标准，然后ANSI把这个标准提交到ISO（毕竟ISO是国际化标准组织），ISO采纳为单位标准。ISO C与ANSI C内容基本相同，主要是格式组织不一样。这个标准是89年发布的，通常称为C8
9.

99年ISO发布了新的C标准，通常称为C9
9.

因为ANSI与ISO的C标准内容基本相同，所以对于C标准，可以称为ANSI C，也可以说是ISO C，或者ANSI/ISO C。

此外没有C标准。不存在什么GNU C标准。

GNU计划中含多个内容，其中包括开发C/C++编译器。这个编译器通常简称为GCC（GNU C/C++ compiler）

总而言之，ANSI/ISO C是语言标准。GCC是具体的编译器，它必须符合ANSI/ISO C标准的要求。

BMS & ISO26262简介

BMS即Battery Management System，电池管理系统。作为新能源汽车“三电”核心技术之一，BMS在新能源车上扮演十分重要的作用。按照新能源汽车对电池管理的需求，BMS具备的功能包括电压/温度/电流采样及相应的过压、欠压、过温、过流保护，SOC/SOH估算、SOP预测、故障诊断、均衡控制、热管理和充电管理等。

为了保证汽车电子电气的可靠性iso认证， 在2011年发布了IS0 26262道路车辆功能安全标准）, IS0 26262 标准是源于工业功能安全标准(IEC61508)[1]。目前许多汽车企业和零部件企业在控制器开发过程中采用ISO26262这个标准，ISO26262包括了汽车电子电气开发中与安全相关的所有应用，制定了汽车整个生命周期中与安全相关的所有活动，ISO 26262从需求开始，当中包括概念iso认证、软硬件iso认证，直至最后的生产、操作，都提出了相应的功能安全要求，其覆盖了汽车整个生命周期，从而保证安全相关的电子iso三体系认证的功能性失效不会造成危险的发生。如下图所示

比亚迪BMS信息安全的权限申请流程有哪些

BMS & ISO26262简介

BMS即Battery Management System，电池管理系统。作为新能源汽车“三电”核心技术之一，BMS在新能源车上扮演十分重要的作用。按照新能源汽车对电池管理的需求，BMS具备的功能包括电压/温度/电流采样及相应的过压、欠压、过温、过流保护，SOC/SOH估算、SOP预测、故障诊断、均衡控制、热管理和充电管理等。

为了保证汽车电子电气的可靠性iso认证， 在2011年发布了IS0 26262道路车辆功能安全标准）, IS0 26262 标准是源于工业功能安全标准(IEC61508)[1]。目前许多汽车企业和零部件企业在控制器开发过程中采用ISO26262这个标准，ISO26262包括了汽车电子电气开发中与安全相关的所有应用，制定了汽车整个生命周期中与安全相关的所有活动，ISO 26262从需求开始，当中包括概念iso认证、软硬件iso认证，直至最后的生产、操作，都提出了相应的功能安全要求，其覆盖了汽车整个生命周期，从而保证安全相关的电子iso三体系认证的功能性失效不会造成危险的发生。如下图所示

1. 范围及相关项

ISO26262适用于最大总质量不超过
3.5吨的量产成用车上的包含一个或多个电子电气系统的与安全相关的系统。在这部分ISO26262和FMEA还是比较相似的，第一步是确定Scope，那些是研究范围之内的。对高压电池系统而言，ISO26262适用于电池包电气系统及BMS系统，而不适用于电池包的电芯及机械结构件等。

1）Function Safety Definition

功能安全：不存在由电子电气系统的功能异常而引起的危害而导致不合理的风险。

为了保证避免不可接受的风险，功能安全开发流程在在ISO262262标准中进行了详细的阐述。概念阶段的function safety requirements应当能够满足整车层面的Safety Goal，电子电气层面的开发出来的technical safety requirements同时也应该满足概念阶段的function safety requirements，最后一步是确定零部件级别的软件和硬件的功能安全需求。下图是ISO26262开发途径。

最初是有ANSI C标准，然后ANSI把这个标准提交到ISO（毕竟ISO是国际化标准组织），ISO采纳为单位标准。ISO C与ANSI C内容基本相同，主要是格式组织不一样。这个标准是89年发布的，通常称为C8
9.

99年ISO发布了新的C标准，通常称为C9
9.

因为ANSI与ISO的C标准内容基本相同，所以对于C标准，可以称为ANSI C，也可以说是ISO C，或者ANSI/ISO C。

此外没有C标准。不存在什么GNU C标准。

GNU计划中含多个内容，其中包括开发C/C++编译器。这个编译器通常简称为GCC（GNU C/C++ compiler）

总而言之，ANSI/ISO C是语言标准。GCC是具体的编译器，它必须符合ANSI/ISO C标准的要求。

2月24日,

(

ISO 26262是全球公认的汽车功能安全标准,该标准涵盖功能安全需求规划、设计、实施、集成、验证、确认、配置等方面,根据安全风险程度对系统或系统某组成部分划分由A到D的安全需求等级,其中D级为最高等级。2020年12月

颁证仪式上,

陆勋海在颁证仪式上表示:“TüV莱茵以专业的技术要求,协助