功能安全

本质安全（intrinsic safety）的核心思路是从源头消除危险：通过限制电路的能量（电压、电流、储能）使设备在正常工作和规定故障条件下产生的电火花或热效应都不足以点燃爆炸性环境，从而不需要依赖联锁、泄压、隔爆外壳等附加保护措施。^{66Explosive atmospheres – Part 11: Equipment protection by intrinsic safety "i"webstore.iec.ch前往参考资料 ↓在新标签页中打开|77Explosive atmospheres – Part 14: Electrical installations design, selection and erectionwebstore.iec.ch前往参考资料 ↓在新标签页中打开}

功能安全（functional safety）的思路则相反：它承认危险源无法被完全消除，转而依靠安全相关系统（如安全 PLC、安全仪表系统 SIS、车载 E-Gas 监控层）主动检测故障并进入安全状态，其安全性取决于系统的功能正确性与故障响应能力。^{88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开|99Functional safety – Safety instrumented systems for the process industry sector – Part 1: Framework, definitions, system, hardware and application programming requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

IEC 61508 把功能安全定义为“与 EUC（受控设备）和 EUC 控制系统有关的、依赖于系统正确执行安全功能的整体安全的一部分”，这一定义本身就把功能安全限定为“依赖功能正确执行”的那部分安全，与依靠物理/化学固有属性实现的安全形成互补而非替代关系。^{88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

本质安全通常与防爆领域（IEC 60079-11、GB 3836.4）绑定，其评价指标是能量限值（如本安型“ia”等级允许在正常工作、一个故障和两个故障下均不点燃），而不是 SIL 或 ASIL 这类安全完整性等级；功能安全则用 SIL/ASIL 量化“安全功能失效的概率”或“风险降低程度”。^{66Explosive atmospheres – Part 11: Equipment protection by intrinsic safety "i"webstore.iec.ch前往参考资料 ↓在新标签页中打开|77Explosive atmospheres – Part 14: Electrical installations design, selection and erectionwebstore.iec.ch前往参考资料 ↓在新标签页中打开|88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

在工程实践中，本质安全与功能安全常被组合使用：例如过程工业中既采用本安型现场仪表（限制进入危险区的能量），又配置达到 SIL 2/SIL 3 的安全仪表功能（SIF）作为独立保护层，两者分别降低不同性质的初始风险。^{77Explosive atmospheres – Part 14: Electrical installations design, selection and erectionwebstore.iec.ch前往参考资料 ↓在新标签页中打开|99Functional safety – Safety instrumented systems for the process industry sector – Part 1: Framework, definitions, system, hardware and application programming requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

本质安全方案的适用边界受物理规律约束：当工艺本身需要较大能量（如大功率电机、高温反应器）时，无法通过限能实现本质安全，只能退回到依靠功能安全系统或物理防护层来控制风险，这也是功能安全标准体系在流程工业与汽车领域广泛适用的原因之一。^{77Explosive atmospheres – Part 14: Electrical installations design, selection and erectionwebstore.iec.ch前往参考资料 ↓在新标签页中打开|99Functional safety – Safety instrumented systems for the process industry sector – Part 1: Framework, definitions, system, hardware and application programming requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

在汽车领域，ISO 26262 的 ASIL 等级与本质安全没有直接对应关系：ASIL 针对的是 E/E 系统的功能失效风险，而汽车上真正意义上的“本质安全”设计（如机械冗余、失效安全型液压制动）通常被归入被动安全或设计预防范畴，不在 ISO 26262 的评定范围内。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

本质安全并不等于“绝对安全”：本安型设备仍可能因非电因素（如机械火花、静电、高温表面）或安装维护不当而失效，因此防爆标准同时要求本安系统与非本安电路之间保持规定的隔离距离和接地措施，这些要求属于安装规范而非功能安全生命周期管理。^{66Explosive atmospheres – Part 11: Equipment protection by intrinsic safety "i"webstore.iec.ch前往参考资料 ↓在新标签页中打开|77Explosive atmospheres – Part 14: Electrical installations design, selection and erectionwebstore.iec.ch前往参考资料 ↓在新标签页中打开}

从风险降低的层级看，本质安全属于“设计阶段消除危险”的最高优先级措施，功能安全属于“通过安全功能降低风险”的次优先级措施；这一优先级顺序在 ISO 12100 的“三步法”（本质安全设计、安全防护、使用信息）中被明确表述，并被功能安全标准引用为风险降低策略的起点。^{1111Safety of machinery – General principles for design – Risk assessment and risk reductioniso.org前往参考资料 ↓在新标签页中打开|88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

功能安全是整体安全体系中依赖于电气、电子或可编程电子系统正确运行的那一部分，其目标是把因系统故障导致的风险在整个生命周期内降低到可接受的水平。^{1212功能安全 - novotechniknovotechnik.de前往参考资料 ↓在新标签页中打开}

功能安全的核心承诺是：当系统发生故障时，安全功能仍能可靠动作，使受控对象进入安全状态（例如安全断电、受控的故障安全行为），而不是继续以危险方式运行。^{1212功能安全 - novotechniknovotechnik.de前往参考资料 ↓在新标签页中打开}

所谓安全功能，是为把风险降到可接受水平而由安全相关系统执行的规定动作；在功能安全工程中，它需要被明确定义并赋予完整性等级（如 PL 或 SIL）等量化指标，而不是笼统地要求“更安全”。^{1212功能安全 - novotechniknovotechnik.de前往参考资料 ↓在新标签页中打开}

安全状态是安全功能在检测到故障或触发条件时把设备带入的状态，其典型形式包括安全断电与受控的故障安全行为；功能安全标准要求这一状态在设计阶段就被确定，并通过分析与验证证明其可达。^{1212功能安全 - novotechniknovotechnik.de前往参考资料 ↓在新标签页中打开}

功能安全的实现路径是先识别危险并评估风险（常用 FMEA、HARA 等方法），再据此定义安全功能及其完整性等级，最后通过系统设计、组件选型与文档化来落实并证明。^{1212功能安全 - novotechniknovotechnik.de前往参考资料 ↓在新标签页中打开}

在法规层面，欧盟《机械指令》2006/42/EC 把功能安全纳入设备的法定要求，凡故障可能导致人员死亡或受伤、环境灾难性破坏或生产设施损毁的设备，均须按相关安全标准进行设计、制造与运行。^{1212功能安全 - novotechniknovotechnik.de前往参考资料 ↓在新标签页中打开}

功能安全的要求由一系列标准具体化，包括 IEC 61508、ISO 13849、IEC 62061 以及面向汽车的 ISO 26262；应用这些标准既是满足法律要求的手段，也是降低责任风险与取得产品认证的前提。^{1212功能安全 - novotechniknovotechnik.de前往参考资料 ↓在新标签页中打开}

功能安全概念同时覆盖随机硬件故障与系统性错误两个方向：一方面分析故障概率、采用无磨损的电子系统以减少随机故障，另一方面通过流程与方法来避免系统性错误。^{1212功能安全 - novotechniknovotechnik.de前往参考资料 ↓在新标签页中打开}

在功能安全语境中，系统性失效（systematic failure）被定义为以确定性方式、由某种确定原因（系统性故障）引发的失效；它不能靠事后检测或冗余来消除，只能通过改变设计过程、制造过程、操作程序、文档或其他相关因素来避免或消除。^{13133. 故障处理raw.githubusercontent.com前往参考资料 ↓在新标签页中打开}

与随机硬件失效不同，系统性失效的根源在于设计、制造、使用或维护过程中的缺陷，因此针对系统性故障的措施是过程性的：实施并遵循适当的过程（如需求管理、设计评审、验证与确认、配置管理），而不是靠提高元件可靠性或增加诊断覆盖率。^{13133. 故障处理raw.githubusercontent.com前往参考资料 ↓在新标签页中打开}

系统性失效与随机硬件失效在可预测性上形成对照：随机硬件失效在元件寿命期内不可预测地发生并遵循概率分布，可通过降低固有失效率、检测与控制来减轻影响；系统性失效则按确定性方式出现，其发生概率无法用硬件失效率模型刻画，因而不能用概率指标（如每小时失效率）来量化其残余风险。^{13133. 故障处理raw.githubusercontent.com前往参考资料 ↓在新标签页中打开}

术语使用上存在混用现象：部分资料把两类失效称为「系统性故障」和「随机故障」，并在这些表述中把「故障」与「失效」当作同义词；在引用标准条文或做安全论证时，需要先明确所采用的是故障（fault）、错误（error）还是失效（failure）的定义层级，否则容易把原因与结果混为一谈。^{13133. 故障处理raw.githubusercontent.com前往参考资料 ↓在新标签页中打开}

系统性故障的排除在工程上体现为对开发过程本身的控制：通过在设计阶段引入并遵循规范化的安全生命周期活动，使系统性故障在源头被预防，而不是留待产品运行阶段由安全机制覆盖；这与随机硬件故障主要依靠安全机制（诊断、冗余、监控）在运行中检测或控制形成方法论上的分工。^{13133. 故障处理raw.githubusercontent.com前往参考资料 ↓在新标签页中打开}

由于系统性失效无法通过测试穷尽证明其不存在，其排除效果只能以过程符合性和技术措施的充分性来论证，这也解释了为什么功能安全标准把大量篇幅放在开发流程、文档与验证活动上，而非仅放在硬件可靠性指标上。^{13133. 故障处理raw.githubusercontent.com前往参考资料 ↓在新标签页中打开}

随机硬件故障指由硬件器件在寿命周期内随机发生的物理退化或外部应力（如粒子辐射、电迁移、介质击穿）引起的故障，其发生时刻不可预测，但可用失效率、概率密度等统计量在总体层面描述。功能安全标准要求对这类故障采用定量的度量与定量的安全完整性目标来管理。^{88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开|1414ISO 26262-5:2018 Road vehicles — Functional safety — Part 5: Product development at the hardware leveliso.org前往参考资料 ↓在新标签页中打开}

IEC 61508 对随机硬件故障采用两类核心度量：硬件安全完整性（以每小时危险失效概率 PFH 表示，适用于高要求模式）与平均失效前时间（适用于低要求模式），并据此把 SIL 1 至 SIL 4 的定量目标分别规定为 PFH 从 10⁻⁶ 至 10⁻⁵、10⁻⁷ 至 10⁻⁶、10⁻⁸ 至 10⁻⁷、10⁻⁹ 至 10⁻⁸ 每小时。^{88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

ISO 26262 对随机硬件失效的度量采用单点故障度量（SPFM）、潜伏故障度量（LFM）与随机硬件失效概率度量（PMHF）三项指标，并按 ASIL A 至 ASIL D 给出逐级加严的目标值：SPFM 分别不低于 60%、90%、97%、99%，LFM 分别不低于 60%、80%、90%、90%，PMHF 分别不高于 10⁻⁷、10⁻⁷、10⁻⁷、10⁻⁸ 每小时。^{1414ISO 26262-5:2018 Road vehicles — Functional safety — Part 5: Product development at the hardware leveliso.org前往参考资料 ↓在新标签页中打开|1515ISO 26262-9:2018 Road vehicles — Functional safety — Part 9: Automotive safety integrity level (ASIL)-oriented and safety-oriented analysesiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262 的 PMHF 目标值以“每辆车每小时”为归一化基准，而 IEC 61508 的 PFH 以“每功能每小时”为基准；两者在数值上不可直接互换，跨标准比较时必须先统一归一化口径。^{1414ISO 26262-5:2018 Road vehicles — Functional safety — Part 5: Product development at the hardware leveliso.org前往参考资料 ↓在新标签页中打开|1616Functional Safety and IEC 61508: A basic guideiec.ch前往参考资料 ↓在新标签页中打开}

SPFM 与 LFM 属于架构度量，用于评价安全机制对单点故障与潜伏故障的覆盖程度，通常在系统或硬件架构层面通过失效模式与影响分析（FMEA）与故障树分析（FTA）逐项判定；PMHF 属于概率度量，用于评价残余风险是否满足定量目标。二者互补，不能相互替代。^{1414ISO 26262-5:2018 Road vehicles — Functional safety — Part 5: Product development at the hardware leveliso.org前往参考资料 ↓在新标签页中打开|1515ISO 26262-9:2018 Road vehicles — Functional safety — Part 9: Automotive safety integrity level (ASIL)-oriented and safety-oriented analysesiso.org前往参考资料 ↓在新标签页中打开}

随机硬件故障的检测依赖安全机制，典型手段包括看门狗、双核锁步、存储器 ECC 与 CRC、自检、冗余比较与电压/时钟监控；安全机制对故障的覆盖程度以诊断覆盖率（DC）量化，并直接进入 SPFM、LFM 与 PMHF 的计算。^{1414ISO 26262-5:2018 Road vehicles — Functional safety — Part 5: Product development at the hardware leveliso.org前往参考资料 ↓在新标签页中打开|1717Handbook of Functional Safety: A Companion to IEC 61508wiley.com前往参考资料 ↓在新标签页中打开}

诊断覆盖率本身并非由标准直接给定，而是由开发者依据失效模式分析给出估计值，并需在安全论证中说明其依据；因此 DC 的取值带有工程判断成分，是随机硬件度量结果不确定性的主要来源之一。^{1414ISO 26262-5:2018 Road vehicles — Functional safety — Part 5: Product development at the hardware leveliso.org前往参考资料 ↓在新标签页中打开|1717Handbook of Functional Safety: A Companion to IEC 61508wiley.com前往参考资料 ↓在新标签页中打开}

ISO 26262 第 5 部分给出了 PMHF 的定量计算方法，包括基于失效率求和与基于故障树的分析途径，并要求把单点故障、残余故障与潜伏故障的贡献分别计入。^{1414ISO 26262-5:2018 Road vehicles — Functional safety — Part 5: Product development at the hardware leveliso.org前往参考资料 ↓在新标签页中打开}

对于按 ASIL 等级分解（ASIL 分解）或采用硬件冗余的实现，随机硬件度量的评估对象是分解后的各独立要素及其组合，而非整条功能链的简单加总；分解的有效性取决于要素间是否存在共因失效与级联失效。^{1414ISO 26262-5:2018 Road vehicles — Functional safety — Part 5: Product development at the hardware leveliso.org前往参考资料 ↓在新标签页中打开|1515ISO 26262-9:2018 Road vehicles — Functional safety — Part 9: Automotive safety integrity level (ASIL)-oriented and safety-oriented analysesiso.org前往参考资料 ↓在新标签页中打开}

半导体工艺尺寸缩小使器件对单粒子翻转等瞬态故障更为敏感，同时器件失效率数据的来源（厂商数据、现场返回、标准手册）与置信度直接影响 PMHF 与 PFH 的计算结果，实践中常因数据不足而采用保守假设。^{1616Functional Safety and IEC 61508: A basic guideiec.ch前往参考资料 ↓在新标签页中打开|1717Handbook of Functional Safety: A Companion to IEC 61508wiley.com前往参考资料 ↓在新标签页中打开}

IEC 61508 与 ISO 26262 均承认，随机硬件故障的定量度量只能覆盖随机失效部分，无法覆盖系统性故障；因此达到 PMHF 或 PFH 目标并不构成功能安全完整的充分条件，还需配合安全生命周期与过程管理。^{88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开|1414ISO 26262-5:2018 Road vehicles — Functional safety — Part 5: Product development at the hardware leveliso.org前往参考资料 ↓在新标签页中打开}

IEC 61508 是功能安全领域的基础性国际标准，其正式名称为《电气/电子/可编程电子安全相关系统的功能安全》，由国际电工委员会（IEC）发布，第一版于 1998 年推出，2010 年发布修订后的第二版。^{1616Functional Safety and IEC 61508: A basic guideiec.ch前往参考资料 ↓在新标签页中打开|1818IEC 61508 - Wikipediaen.wikipedia.org前往参考资料 ↓在新标签页中打开}

IEC 61508 将安全完整性定义为「安全相关系统在规定的时间段内、在所有规定条件下，令人满意地执行所要求的安全功能的概率」，并据此把安全完整性划分为四个离散等级，即 SIL 1 至 SIL 4，其中 SIL 4 为最高完整性等级。^{1616Functional Safety and IEC 61508: A basic guideiec.ch前往参考资料 ↓在新标签页中打开|88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

IEC 61508 对 SIL 的分级采用两种量化口径：一是按「要求时的失效概率」（PFDavg）衡量低要求模式下的安全功能，二是按「每小时危险失效概率」（PFH）衡量高要求模式或连续模式下的安全功能。^{1616Functional Safety and IEC 61508: A basic guideiec.ch前往参考资料 ↓在新标签页中打开|88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

在低要求运行模式下，IEC 61508 给出的 SIL 目标失效量区间为：SIL 1 对应 PFDavg 在 10⁻² 至 10⁻¹ 之间，SIL 2 对应 10⁻³ 至 10⁻²，SIL 3 对应 10⁻⁴ 至 10⁻³，SIL 4 对应 10⁻⁵ 至 10⁻⁴。^{1616Functional Safety and IEC 61508: A basic guideiec.ch前往参考资料 ↓在新标签页中打开|88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

在高要求模式或连续模式下，IEC 61508 给出的 SIL 目标失效量区间为：SIL 1 对应 PFH 在 10⁻⁶ 至 10⁻⁵ 每小时之间，SIL 2 对应 10⁻⁷ 至 10⁻⁶，SIL 3 对应 10⁻⁸ 至 10⁻⁷，SIL 4 对应 10⁻⁹ 至 10⁻⁸。^{1616Functional Safety and IEC 61508: A basic guideiec.ch前往参考资料 ↓在新标签页中打开|88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

IEC 61508 的 SIL 分级并不只由上述概率指标决定，标准还要求同时满足与硬件安全完整性相关的架构约束（如硬件故障裕度 HFT 与安全失效分数 SFF 的组合）以及系统性能力要求，三者共同构成 SIL 的完整判定条件。^{1616Functional Safety and IEC 61508: A basic guideiec.ch前往参考资料 ↓在新标签页中打开|88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

IEC 61508 采用基于风险的方法确定目标 SIL：先通过危险与风险分析识别危害，再借助风险图（风险参数 C、F、P、W）或 ALARP 原则把风险降低到可接受水平，由此推导出安全功能所需的安全完整性等级。^{1616Functional Safety and IEC 61508: A basic guideiec.ch前往参考资料 ↓在新标签页中打开|88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

IEC 61508 本身是一个「伞形」基础标准，它不针对某一具体行业，而是为各行业功能安全标准提供框架；过程工业的 IEC 61511、机械领域的 IEC 62061、汽车领域的 ISO 26262 等均在其基础上派生或与之协调。^{1616Functional Safety and IEC 61508: A basic guideiec.ch前往参考资料 ↓在新标签页中打开|1818IEC 61508 - Wikipediaen.wikipedia.org前往参考资料 ↓在新标签页中打开}

IEC 61508 的 SIL 4 是最高等级，通常被认为适用于后果极为严重、一旦失效可能造成多人死亡的场合；而多数工业应用实际落在 SIL 1 至 SIL 3 区间，SIL 4 的实现成本与难度显著更高。^{1616Functional Safety and IEC 61508: A basic guideiec.ch前往参考资料 ↓在新标签页中打开|88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

ISO 26262 是道路车辆功能安全领域的国际标准，其第一版于 2011 年发布，第二版于 2018 年发布，适用范围为最大总质量不超过 3.5 吨的乘用车。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开|1919ISO 26262-2:2018 Road vehicles — Functional safety — Part 2: Management of functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262 采用汽车安全完整性等级（ASIL）来度量安全目标的完整性要求，ASIL 分为 A、B、C、D 四个等级，其中 D 级要求最严格，A 级最宽松。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开|2020ISO 26262-3:2018 Road vehicles — Functional safety — Part 3: Concept phaseiso.org前往参考资料 ↓在新标签页中打开}

ASIL 等级由三个维度参数共同确定：严重度（Severity，S0–S3）、暴露率（Exposure，E0–E4）和可控性（Controllability，C0–C3），通过标准中给出的查表规则组合映射为 QM（质量管理）或 ASIL A 至 D。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开|2020ISO 26262-3:2018 Road vehicles — Functional safety — Part 3: Concept phaseiso.org前往参考资料 ↓在新标签页中打开}

严重度 S 描述伤害的严重程度，从 S0（无伤害）到 S3（致命或危及生命的伤害）；暴露率 E 描述运行场景发生的概率，从 E0（极低概率）到 E4（高概率）；可控性 C 描述驾驶员或其他交通参与者避免伤害的能力，从 C0（完全可控）到 C3（难以控制）。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开|2020ISO 26262-3:2018 Road vehicles — Functional safety — Part 3: Concept phaseiso.org前往参考资料 ↓在新标签页中打开}

在 ISO 26262 中，QM（质量管理）表示安全目标仅需按常规质量管理流程执行，无需达到 ASIL A 至 D 的特定完整性要求；当三个参数组合结果低于 ASIL A 时，安全目标被归为 QM。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开|2020ISO 26262-3:2018 Road vehicles — Functional safety — Part 3: Concept phaseiso.org前往参考资料 ↓在新标签页中打开}

ASIL 等级决定了开发过程中必须满足的流程严格度，包括对硬件随机故障的度量指标（如单点故障度量 SPFM、潜伏故障度量 LFM）的目标值，以及软件开发的验证与确认方法要求。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开|2121ISO 26262-5:2018 Road vehicles — Functional safety — Part 5: Product development at the hardware leveliso.org前往参考资料 ↓在新标签页中打开}

ASIL 分解（ASIL decomposition）是 ISO 26262 允许的一种方法，可将一个高等级安全目标分解为两个独立冗余的较低等级要求，例如 ASIL D 可分解为 ASIL B(D) 与 ASIL B(D) 或 ASIL C(D) 与 ASIL A(D)，前提是分解后的要素之间具备足够的独立性。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开|2121ISO 26262-5:2018 Road vehicles — Functional safety — Part 5: Product development at the hardware leveliso.org前往参考资料 ↓在新标签页中打开}

ISO 26262 的 ASIL 分级与 IEC 61508 的 SIL 分级在方法论上同源，但 ASIL 引入了可控性（Controllability）这一汽车特有的维度，且 ASIL 的等级划分与 SIL 的等级划分并非一一对应。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开|88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

ASIL 等级是在整车层面通过危害分析与风险评估（HARA）确定的，同一功能在不同运行场景下可能被赋予不同的 ASIL 等级。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开|2020ISO 26262-3:2018 Road vehicles — Functional safety — Part 3: Concept phaseiso.org前往参考资料 ↓在新标签页中打开}

IEC 61508 是功能安全领域的基础标准（Basisnorm），被定位为现代技术与工业标准体系中的基础性文件，其他行业功能安全标准多在其框架上派生。^{2222IEC 61508 Edition 3: Fortschritte und neue Maßstäbe in der funktionalen Sicherheitdke.de前往参考资料 ↓在新标签页中打开}

IEC 61508 目前正在修订至第三版（Edition 3），修订目的是使标准适应当前技术发展，回应人工智能（KI）、工业物联网（Industrial IoT）以及复杂半导体技术带来的挑战。^{2222IEC 61508 Edition 3: Fortschritte und neue Maßstäbe in der funktionalen Sicherheitdke.de前往参考资料 ↓在新标签页中打开}

据参与标准制定的专家（Stephan Aschenbrenner 与 Michael Kindermann）评价，IEC 61508 的既有方法在许多方面仍然稳健可靠，但确有部分领域需要现代化更新，这些领域是第三版修订的重点方向。^{2222IEC 61508 Edition 3: Fortschritte und neue Maßstäbe in der funktionalen Sicherheitdke.de前往参考资料 ↓在新标签页中打开}

IEC 61508 第三版的修订工作由德国电工委员会（DKE）下属的 DKE/GK 914 委员会对应负责，相关进展通过 DKE 的专题页面公开。^{2222IEC 61508 Edition 3: Fortschritte und neue Maßstäbe in der funktionalen Sicherheitdke.de前往参考资料 ↓在新标签页中打开}

ISO 26262《道路车辆——功能安全》是汽车行业对通用功能安全标准 IEC 61508 的行业化解读，由 ISO 第 22 技术委员会（TC22，道路车辆）下属 SC32 分委会的第 8 工作组（WG8）负责制定。^{2323MISRAmisra.org.uk前往参考资料 ↓在新标签页中打开}

ISO 26262 的制定并非凭空出现：英国 MISRA 于 1994 年发布的《基于车辆的软件开发指南》（Development guidelines for vehicle based software）被视为汽车行业第一份功能安全指南，其时间比 ISO 26262 在国际层面启动工作早约十年，并已引入 IEC 61508 中的安全完整性等级等原则。^{2323MISRAmisra.org.uk前往参考资料 ↓在新标签页中打开}

ISO 26262 中“可控性”（controllability）这一概念的方法论渊源，可以追溯到 MISRA 的早期指南以及欧盟 DRIVE Safely 研究计划中的部分项目。^{2323MISRAmisra.org.uk前往参考资料 ↓在新标签页中打开}

MISRA 长期充当英国汽车工业功能安全标准化活动的聚焦点，其功能安全兴趣可上溯至 1990 年代初，并持续参与功能安全相关的标准化工作。^{2323MISRAmisra.org.uk前往参考资料 ↓在新标签页中打开}

ISO 26262 在结构上沿用了 IEC 61508 的安全生命周期思想，但针对道路车辆的特点作了行业化调整：以 ASIL（汽车安全完整性等级）A/B/C/D 取代 SIL 作为风险分级尺度，并按整车、系统、硬件、软件、生产运行等层面分部分组织。^{2323MISRAmisra.org.uk前往参考资料 ↓在新标签页中打开}

ISO 26262 自 2011 年首版发布后经历了修订，2018 年发布第二版，扩展了适用范围（例如对摩托车等非乘用车辆的覆盖）并补充了半导体、软件等部分的内容；这一演进使标准从以乘用车为中心逐步覆盖更广泛的道路车辆类别。^{2323MISRAmisra.org.uk前往参考资料 ↓在新标签页中打开}

IEC 61508 是功能安全领域的基础标准（Basisnorm），被定位为现代技术与工业标准的共同底层参照，其他行业的功能安全标准多在其框架上派生或裁剪。^{2222IEC 61508 Edition 3: Fortschritte und neue Maßstäbe in der funktionalen Sicherheitdke.de前往参考资料 ↓在新标签页中打开}

IEC 61508 的第三版（Edition 3）正在修订中，目标是把标准适配人工智能（KI）、工业物联网（Industrial IoT）以及复杂半导体技术等新的技术发展。^{2222IEC 61508 Edition 3: Fortschritte und neue Maßstäbe in der funktionalen Sicherheitdke.de前往参考资料 ↓在新标签页中打开}

在德国，IEC 61508 的对口标准化工作由 DKE 下属的 DKE/GK 914 委员会负责，该委员会参与标准修订的国内意见形成。^{2222IEC 61508 Edition 3: Fortschritte und neue Maßstäbe in der funktionalen Sicherheitdke.de前往参考资料 ↓在新标签页中打开}

参与第三版修订讨论的专家（如 exida 的 Stephan Aschenbrenner 与 Pepperl+Fuchs 的 Michael Kindermann）认为，IEC 61508 的既有方法在许多方面仍然稳健，但确有部分领域需要在下一版中现代化更新。^{2222IEC 61508 Edition 3: Fortschritte und neue Maßstäbe in der funktionalen Sicherheitdke.de前往参考资料 ↓在新标签页中打开}

IEC 61508 以安全完整性等级（SIL）为核心度量，按风险把安全功能划分为 SIL 1 至 SIL 4 四个等级，等级越高要求的失效概率越低、开发与验证的严格度越高。^{2222IEC 61508 Edition 3: Fortschritte und neue Maßstäbe in der funktionalen Sicherheitdke.de前往参考资料 ↓在新标签页中打开}

IEC 61508 是一个多部分（multi-part）标准，涵盖一般要求、电气/电子/可编程电子安全相关系统的要求、软件要求、定义与缩略语、确定 SIL 的方法示例、应用指南以及技术与措施概述等部分，各行业标准通常引用其特定部分作为裁剪基础。^{2222IEC 61508 Edition 3: Fortschritte und neue Maßstäbe in der funktionalen Sicherheitdke.de前往参考资料 ↓在新标签页中打开}

过程工业领域的功能安全主要由 IEC 61511 系列标准规范，它把 IEC 61508 的原则具体化为面向过程行业的安全仪表系统（SIS）生命周期要求，包括危险与风险评估、SIL 确定、安全要求规范、设计、安装调试、运行维护与变更管理。^{2222IEC 61508 Edition 3: Fortschritte und neue Maßstäbe in der funktionalen Sicherheitdke.de前往参考资料 ↓在新标签页中打开}

机械领域的功能安全由 IEC 62061 与 ISO 13849 系列标准覆盖，前者以 SIL 为度量，后者以性能等级（PL）为度量，两者在机械安全控制系统的设计与验证上并行使用。^{2222IEC 61508 Edition 3: Fortschritte und neue Maßstäbe in der funktionalen Sicherheitdke.de前往参考资料 ↓在新标签页中打开}

IEC 61508 第三版的修订讨论反映出功能安全标准体系正从传统的确定性硬件失效控制，向应对软件密集型、AI 参与决策以及复杂集成电路的系统性能力方向演进。^{2222IEC 61508 Edition 3: Fortschritte und neue Maßstäbe in der funktionalen Sicherheitdke.de前往参考资料 ↓在新标签页中打开}

IEC 61508 是功能安全领域的基础标准（Basisnorm），被广泛作为各行业功能安全标准制定的参照框架；其第三版（Edition 3）的修订工作正在推进，目标是使标准适应当前技术发展。^{2222IEC 61508 Edition 3: Fortschritte und neue Maßstäbe in der funktionalen Sicherheitdke.de前往参考资料 ↓在新标签页中打开}

IEC 61508 第三版修订的主要驱动力包括人工智能（KI）、工业物联网（Industrial IoT）以及复杂半导体技术等新兴技术带来的挑战，标准需要针对这些领域作出调整。^{2222IEC 61508 Edition 3: Fortschritte und neue Maßstäbe in der funktionalen Sicherheitdke.de前往参考资料 ↓在新标签页中打开}

参与标准制定的专家（如 exida 的 Stephan Aschenbrenner 与 Pepperl+Fuchs 的 Michael Kindermann）认为，IEC 61508 现有方法在许多方面仍然稳健可靠，但确实存在需要现代化的领域，因此第三版并非推倒重来，而是在既有框架上的更新。^{2222IEC 61508 Edition 3: Fortschritte und neue Maßstäbe in der funktionalen Sicherheitdke.de前往参考资料 ↓在新标签页中打开}

IEC 61508 第三版的修订由 DKE 下属的 DKE/GK 914 委员会负责对接，相关进展通过 DKE 的专题页面与访谈对外发布。^{2222IEC 61508 Edition 3: Fortschritte und neue Maßstäbe in der funktionalen Sicherheitdke.de前往参考资料 ↓在新标签页中打开}

危害分析与风险评估（HARA）是 ISO 26262 安全生命周期中概念阶段的核心活动，其目的是识别由车辆功能异常表现（malfunctioning behaviour）引起的危害，并对这些危害进行风险分级，从而为后续确定安全目标与 ASIL 等级提供依据。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262 将 HARA 的风险评估建立在三个维度上：严重度（Severity，S）、暴露率（Exposure，E）和可控性（Controllability，C）；三者分别按 S0–S3、E0–E4、C0–C3 分级，再通过标准中给出的 ASIL 判定表组合出 QM 或 ASIL A/B/C/D 等级。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

在 ISO 26262 的 HARA 中，严重度评估的是危害事件对车内及车外人员可能造成的伤害程度，暴露率评估的是运行场景出现的概率或持续时间，可控性评估的是相关人员在危害事件中能够避免伤害的能力；三者均以定性或半定量的等级描述，而非精确的失效概率数值。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

HARA 的输入包括相关项定义（item definition）以及对其功能、边界、接口和运行环境的描述；HARA 的输出是危害事件清单、对应的安全目标（safety goal）以及每个安全目标所分配的 ASIL 等级。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

安全目标是 HARA 的直接产物，其表述为针对整车层面的顶层安全要求（例如“应避免非预期的加速”），并带有对应的 ASIL 等级；随后由功能安全概念（functional safety concept）将安全目标细化为功能安全要求并分配给架构元素。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

IEC 61508 作为功能安全的通用基础标准，同样要求在进行安全完整性评估之前开展危害与风险分析，并据此确定安全完整性等级（SIL）；ISO 26262 的 HARA 方法在理念上与之同源，但采用汽车领域特有的 S/E/C 三维分级和 ASIL 体系。^{88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

在 ISO 26262 的 HARA 实践中，暴露率 E 的评估与场景相关，需要结合车辆使用场景、道路类型、天气与交通条件等因素进行论证；标准本身给出的是分级准则与示例，具体场景库和评估结论需由企业在项目层面建立并记录。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

HARA 的结果并非一次性定稿：当相关项定义、运行场景或架构发生变更时，需要重新评估危害与风险，ISO 26262 通过变更管理（change management）与影响分析来保证 HARA 结论与当前设计保持一致。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

对于智能座舱与人机交互相关功能，HARA 需要特别考虑驾驶员作为可控性主体的角色：当功能异常影响驾驶员注意力、信息呈现或操作响应时，可控性 C 的评估往往成为决定 ASIL 等级的关键因素。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262 把安全生命周期定义为覆盖汽车从设计、开发、生产、运行、服务直至报废的全过程，并在每个阶段配置相应的活动与任务，以保证功能安全需求在整个生命周期内持续达成。^{2424技术干货 | 汽车功能安全:ISO 26262-2018 的框架探秘(功能安全系列：第五期)grgtmall.com前往参考资料 ↓在新标签页中打开}

在 ISO 26262 的概念阶段，安全目标（safety goal）由危害分析与风险评估（HARA）得出：先识别产品潜在危害，再依据严重性、暴露概率与可控性三项要素评估风险，据此为每个危险事件确立一个顶层安全目标。^{2424技术干货 | 汽车功能安全:ISO 26262-2018 的框架探秘(功能安全系列：第五期)grgtmall.com前往参考资料 ↓在新标签页中打开}

安全目标确定后，标准要求将其逐层分解为功能安全需求（FSR）与非功能安全需求，使需求覆盖全部安全相关维度，并保证每一条需求都能通过测试与验证向上追溯至对应的安全目标。^{2424技术干货 | 汽车功能安全:ISO 26262-2018 的框架探秘(功能安全系列：第五期)grgtmall.com前往参考资料 ↓在新标签页中打开}

ASIL 等级由危害的严重性、暴露概率与可控性三项要素综合确定，等级结果直接决定系统或组件需要满足的安全要求强度，因此安全目标的 ASIL 属性是后续需求分解与验证严格度的起点。^{2424技术干货 | 汽车功能安全:ISO 26262-2018 的框架探秘(功能安全系列：第五期)grgtmall.com前往参考资料 ↓在新标签页中打开}

ISO 26262 的技术架构以功能安全管理为基础，围绕概念阶段、产品研发（系统级、硬件级、软件级）、生产与操作规范、支持过程以及基于 ASIL 的安全分析等维度展开，安全目标与安全需求贯穿这些层级向下传递。^{2424技术干货 | 汽车功能安全:ISO 26262-2018 的框架探秘(功能安全系列：第五期)grgtmall.com前往参考资料 ↓在新标签页中打开}

在实践中，术语体系的统一直接影响安全需求的定义质量：有自动驾驶公司在开发自动泊车系统时，借助标准术语区分“传感器误检导致的失效”（属预期功能安全范畴）与“控制器软件跑飞”（属传统功能安全范畴），从而避免了需求定义上的歧义。^{2424技术干货 | 汽车功能安全:ISO 26262-2018 的框架探秘(功能安全系列：第五期)grgtmall.com前往参考资料 ↓在新标签页中打开}

在功能安全的安全生命周期中，设计阶段的核心任务是把安全需求（安全目标与功能安全需求、技术安全需求）逐层细化为可实现的硬件与软件架构，并明确所采用的安全机制（如冗余、监控、诊断、失效安全状态）。ISO 26262 将这一从需求到架构的细化过程规定为「技术安全概念」与「系统设计」等环节，要求需求与设计之间保持双向可追溯。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开|1919ISO 26262-2:2018 Road vehicles — Functional safety — Part 2: Management of functional safetyiso.org前往参考资料 ↓在新标签页中打开}

验证（verification）与确认（validation）在功能安全语境下是两项不同活动：验证回答「是否按需求正确地构建了系统」（检查实现与需求一致），确认回答「是否构建了正确的系统」（检查系统在整车/使用场景层面是否真正满足安全目标）。ISO 26262 分别以验证和确认两个独立要求来规定这两类活动，二者不可互相替代。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开|1919ISO 26262-2:2018 Road vehicles — Functional safety — Part 2: Management of functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262 对验证方法按 ASIL 等级给出推荐度（高度推荐/推荐/不推荐），例如在软件单元层面，ASIL D 要求采用走查、控制流分析、数据流分析、静态代码分析、语义分析等多种方法组合，而较低 ASIL 可采用抽样或较弱的分析手段；方法的选择与严格程度随 ASIL 升高而增加。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

硬件层面的验证与评估包括硬件架构度量（如单点故障度量 SPFM、潜伏故障度量 LFM）的计算，用以证明随机硬件失效满足对应 ASIL 的目标值；这些度量是硬件设计验证与随机硬件失效评估的量化依据。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开|2121ISO 26262-5:2018 Road vehicles — Functional safety — Part 5: Product development at the hardware leveliso.org前往参考资料 ↓在新标签页中打开}

确认活动通常通过整车级或系统级的测试来完成，包括在真实车辆、硬件在环（HIL）台架和受控试验场中复现安全目标所覆盖的故障场景与驾驶场景，以证明安全机制在接近实际使用的条件下有效。^{1919ISO 26262-2:2018 Road vehicles — Functional safety — Part 2: Management of functional safetyiso.org前往参考资料 ↓在新标签页中打开|1414ISO 26262-5:2018 Road vehicles — Functional safety — Part 5: Product development at the hardware leveliso.org前往参考资料 ↓在新标签页中打开}

IEC 61508 作为通用功能安全基础标准，同样规定了「E/E/PE 安全相关系统的实现」「系统安全需求的分配」「验证与确认」等生命周期阶段，并要求制定验证与确认计划、由独立于设计团队的人员执行确认活动，其 V 模型流程被 ISO 26262 等派生标准继承。^{88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

ISO 26262 要求对验证与确认活动本身进行策划，形成验证计划与确认计划，并规定确认应由独立于开发团队的人员执行（确认评审的独立性要求随 ASIL 提高而增强），以保证评估的客观性。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开|1919ISO 26262-2:2018 Road vehicles — Functional safety — Part 2: Management of functional safetyiso.org前往参考资料 ↓在新标签页中打开}

在安全生命周期的设计、验证与确认环节，工具链的可信度也受到约束：ISO 26262 第 8 部分要求对用于开发和验证的软件工具进行工具置信度评估，必要时通过工具鉴定（tool qualification）来证明工具不会引入或遗漏故障。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

设计、验证与确认并非一次性通过，而是与安全生命周期中的变更管理、配置管理相衔接：任何设计变更都需重新评估其对安全目标与已完成的验证/确认结果的影响，并触发相应范围的回归验证。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开|1919ISO 26262-2:2018 Road vehicles — Functional safety — Part 2: Management of functional safetyiso.org前往参考资料 ↓在新标签页中打开}

GB/T 34590.7-2022《道路车辆 功能安全 第7部分：生产、运行、服务和报废》是中国现行国家标准，规定了车辆生产、运行、服务和报废阶段的功能安全要求及相关计划活动。^{2525GB/T 34590.7-2022 道路车辆功能安全第7部分：生产、运行、服务和报废-中国标准在线服务网spc.org.cn前往参考资料 ↓在新标签页中打开}

该标准的适用范围是安装在除轻便摩托车外的量产道路车辆上的、包含一个或多个电气/电子系统的与安全相关系统；不适用于特殊用途车辆上特定的电气/电子系统，例如为残疾驾驶者设计的车辆系统。^{2525GB/T 34590.7-2022 道路车辆功能安全第7部分：生产、运行、服务和报废-中国标准在线服务网spc.org.cn前往参考资料 ↓在新标签页中打开}

该标准明确允许其他专用的安全标准作为其补充，反之亦然，说明生产运行阶段的功能安全要求并非孤立适用，而需与领域专用标准配合使用。^{2525GB/T 34590.7-2022 道路车辆功能安全第7部分：生产、运行、服务和报废-中国标准在线服务网spc.org.cn前往参考资料 ↓在新标签页中打开}

在功能安全标准体系中，生产、运行、服务与报废被单列为生命周期的一个独立部分（对应 GB/T 34590 第7部分），表明标准制定者认为安全活动并不止于开发完成与发布，而须延续到量产制造、在用运行、维修保养直至报废处置的全过程。^{2525GB/T 34590.7-2022 道路车辆功能安全第7部分：生产、运行、服务和报废-中国标准在线服务网spc.org.cn前往参考资料 ↓在新标签页中打开}

该标准以“要求及相关计划活动”的表述界定其内容，即这一阶段的核心不是给出具体技术方案，而是要求企业就生产、运行、服务和报废制定并执行相应的计划活动，并保留可核查的证据。^{2525GB/T 34590.7-2022 道路车辆功能安全第7部分：生产、运行、服务和报废-中国标准在线服务网spc.org.cn前往参考资料 ↓在新标签页中打开}

ISO 26262 把功能安全活动组织成贯穿概念、系统、硬件、软件、生产运行各阶段的安全生命周期，并要求在项目早期就确定安全目标与安全状态，而不是等设计完成后再做安全审查。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262-2 规定功能安全管理应覆盖组织层面与项目层面，并要求在开发启动前制定安全计划、明确安全活动与责任人，使安全活动与常规开发活动同步推进。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262-3 要求危害分析与风险评估（HARA）在概念阶段完成，据此确定安全目标与 ASIL 等级，后续所有设计与验证活动都以这些安全目标为输入，因此安全目标必须先于架构设计确定。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262-4 要求技术安全概念在系统层面与系统架构设计并行迭代，技术安全要求被分配到硬件与软件，并通过验证确认其被正确实现。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262-5 与 ISO 26262-6 分别规定硬件与软件开发中应执行的安全分析（如 FMEA、FTA、DFA）与验证活动，这些活动被要求嵌入到硬件/软件开发的各个子阶段，而非在开发结束后一次性补做。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262-8 规定功能安全评估（functional safety assessment）与确认措施（confirmation measures）应由独立于开发团队的人员或组织执行，独立性等级取决于 ASIL，这使合规评估成为贯穿项目的过程活动而非末端环节。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

IEC 61508 同样采用整体安全生命周期框架，要求从概念阶段开始进行危害与风险分析，并在各阶段设置验证与确认活动，其生命周期模型被 ISO 26262 等衍生标准继承。^{88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

IEC 61508-1 要求制定整体安全要求与安全计划，并规定功能安全管理活动应贯穿整个安全生命周期，包括对修改与变更的管理。^{88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

在实务中，把安全活动后置为“设计完成后再做安全审查”的串行做法，会导致安全目标无法反向约束架构选择，一旦发现不满足安全目标就需要大规模返工，这是功能安全实践被反复强调应避免的模式。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262 要求对安全计划、安全案例与验证结果进行配置管理与文档化，使安全活动与开发活动共享同一套变更与追溯机制，从而支撑并行推进下的合规证据链。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

在功能安全语境中，安全机制（safety mechanism）指由电气/电子系统或其它技术实现、用于检测故障或控制故障影响、从而使系统进入或维持安全状态的技术措施；ISO 26262 将其定义为“由系统或外部措施实现的技术解决方案，用于检测故障、控制故障或减轻其影响”。^{1414ISO 26262-5:2018 Road vehicles — Functional safety — Part 5: Product development at the hardware leveliso.org前往参考资料 ↓在新标签页中打开}

诊断覆盖率（diagnostic coverage, DC）是安全机制有效性的量化指标，定义为被安全机制检测到的危险失效的失效率与全部危险失效失效率之比，通常以百分比表示；ISO 26262 与 IEC 61508 均采用这一定义。^{1414ISO 26262-5:2018 Road vehicles — Functional safety — Part 5: Product development at the hardware leveliso.org前往参考资料 ↓在新标签页中打开|2626IEC 61508-2:2010 Functional safety of electrical/electronic/programmable electronic safety-related systems — Part 2: Requirements for electrical/electronic/programmable electronic safety-related systemswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

IEC 61508-2 给出了诊断覆盖率的分级参考值：低（60%）、中（90%）、高（99%），并说明这些数值是用于简化分析的典型值，实际值应依据具体应用与失效模式分析确定。^{2626IEC 61508-2:2010 Functional safety of electrical/electronic/programmable electronic safety-related systems — Part 2: Requirements for electrical/electronic/programmable electronic safety-related systemswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

ISO 26262-5 在硬件架构度量中要求评估单点故障度量（SPFM）、潜伏故障度量（LFM）与随机硬件失效概率度量（PMHF），诊断覆盖率是计算 SPFM 与 LFM 的关键输入参数。^{1414ISO 26262-5:2018 Road vehicles — Functional safety — Part 5: Product development at the hardware leveliso.org前往参考资料 ↓在新标签页中打开}

ISO 26262-5 附录 D 按 ASIL 等级给出了硬件架构度量的目标值：ASIL B 要求 SPFM ≥ 90%、LFM ≥ 60%；ASIL C 要求 SPFM ≥ 97%、LFM ≥ 80%；ASIL D 要求 SPFM ≥ 99%、LFM ≥ 90%。^{1414ISO 26262-5:2018 Road vehicles — Functional safety — Part 5: Product development at the hardware leveliso.org前往参考资料 ↓在新标签页中打开}

诊断覆盖率并非越高越好：提高 DC 通常需要增加自检电路、冗余传感器或软件监控，从而带来成本、功耗与复杂度上升，并可能引入新的失效模式；因此在工程实践中需在安全目标与实现代价之间权衡。^{2727Functional Safety and ISO 26262: A Practical Guideti.com前往参考资料 ↓在新标签页中打开}

在合规实践中，诊断覆盖率的取值需由失效模式与影响分析（FMEA）或失效模式、影响及其诊断分析（FMEDA）逐项论证，并保留可追溯的论证记录，供功能安全评估或认证审核使用。^{2727Functional Safety and ISO 26262: A Practical Guideti.com前往参考资料 ↓在新标签页中打开}

ISO 26262 本身不强制规定某一安全机制必须达到的具体诊断覆盖率数值，而是要求由开发方基于失效模式分析给出合理估计并论证其充分性；这与 IEC 61508 提供典型参考表的做法存在方法学差异。^{1414ISO 26262-5:2018 Road vehicles — Functional safety — Part 5: Product development at the hardware leveliso.org前往参考资料 ↓在新标签页中打开|2626IEC 61508-2:2010 Functional safety of electrical/electronic/programmable electronic safety-related systems — Part 2: Requirements for electrical/electronic/programmable electronic safety-related systemswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

ISO 26262 将功能安全定义为不存在由电子电气系统的功能异常表现引起的危害而导致不合理的风险，其核心在于通过系统化的开发流程将风险降低到可接受水平。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

在 ISO 26262 的框架下，安全生命周期覆盖从概念阶段、系统开发、硬件开发、软件开发、生产运行到报废的完整阶段，每个阶段都有对应的目标、输入输出和工作产品要求。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262 对硬件开发提出了随机硬件故障的定量评估要求，包括硬件架构度量（如单点故障度量 SPFM 和潜伏故障度量 LFM）以及随机硬件失效概率（PMHF）目标值，这些指标随 ASIL 等级提高而趋严。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262 对软件开发提出了系统性故障的避免措施，包括软件架构设计原则、编码规范、单元测试与集成测试要求，以及基于 ASIL 等级的方法选择（如半形式化或形式化表示）。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

软硬件协同设计在功能安全开发中体现为硬件安全机制与软件安全机制的接口定义、安全需求在软硬件之间的分配，以及软硬件集成测试对安全目标的验证。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262 要求对安全相关系统进行功能安全评估和确认评审，由具备相应独立性的评估人员执行，以确认安全生命周期活动及其工作产品满足标准要求。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262 的认证通常由第三方认证机构依据标准要求对组织的功能安全管理体系或具体项目进行审核，认证结果以证书形式体现，但标准本身并未规定统一的认证模式。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

IEC 61508 作为功能安全的基础标准，为电气/电子/可编程电子安全相关系统提供了通用框架，ISO 26262 在汽车领域对其进行了适配和细化。^{88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

在软硬件协同开发中，安全机制的有效性需要通过故障注入测试、错误检测与纠正机制验证等手段进行确认，以证明其能够覆盖所声称的故障模式。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262 对软件工具链提出了工具置信度等级（TCL）评估要求，当使用软件工具进行安全相关开发时，需根据工具对安全目标的影响确定其置信度等级并采取相应鉴定措施。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262《道路车辆 功能安全》是汽车电子领域功能安全的核心标准，其第一版于2011年发布，第二版于2018年发布，覆盖了从概念阶段到报废的完整安全生命周期。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262 将汽车安全完整性等级（ASIL）分为 A、B、C、D 四个等级，其中 ASIL D 代表最高安全要求，通常对应最严苛的随机硬件失效指标和开发流程要求。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

在汽车电子中，ASIL 等级由危害事件的发生概率（暴露度）、可控性和严重度三个维度共同决定，ASIL D 要求单点故障度量（SPFM）≥99%、潜伏故障度量（LFM）≥90%，而 ASIL B 则分别要求 ≥90% 和 ≥60%。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262 适用于总质量不超过 3.5 吨的乘用车，不直接适用于摩托车、卡车和客车等车辆，这些车辆的功能安全由其他标准（如 ISO 26262 的衍生或补充标准）覆盖。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

汽车电子功能安全开发中，硬件随机失效的量化评估依赖于失效率数据，常用的参考手册包括 IEC 62380 和 SN 29500，以及芯片厂商提供的 FMEDA 数据。^{2828IEC 62380:2004 Reliability data handbook — Universal model for reliability prediction of electronics components, PCBs and equipmentwebstore.iec.ch前往参考资料 ↓在新标签页中打开}

在汽车电子领域，安全气囊、防抱死制动系统（ABS）、电子稳定程序（ESP）、电动助力转向（EPS）和自动驾驶系统等是功能安全标准应用的典型系统，这些系统通常需要达到 ASIL C 或 ASIL D 等级。^{2929Functional Safety in Automotive Applicationsti.com前往参考资料 ↓在新标签页中打开}

随着自动驾驶和高级驾驶辅助系统（ADAS）的发展，ISO 26262 与预期功能安全（SOTIF）标准 ISO 21448 形成互补，前者处理由系统故障引起的危害，后者处理由功能不足或可预见误用引起的危害。^{3030ISO 21448:2022 Road vehicles — Safety of the intended functionalityiso.org前往参考资料 ↓在新标签页中打开}

在汽车电子功能安全认证实践中，通常由第三方认证机构（如 TÜV、SGS 等）对开发流程和产品进行独立评估，以证明其符合 ISO 26262 的要求。^{3131Functional Safety Certificationtuvsud.com前往参考资料 ↓在新标签页中打开}

汽车电子功能安全的一个关键挑战是系统级安全分析与组件级安全分析的协调，尤其是当系统由多个不同 ASIL 等级的子系统组成时，需要按照 ISO 26262 的要求进行安全分解和共存分析。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262 对软件开发的工具链提出了工具置信度等级（TCL）的要求，根据工具对安全相关软件的影响程度，TCL 分为 TCL1 至 TCL4，等级越高所需的工具鉴定证据越充分。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

电机控制是功能安全标准与安全完整性等级被广泛应用的典型领域之一，覆盖伺服驱动、工业与协作机器人驱动、移动机器人电机控制以及汽车牵引逆变器等场景；芯片厂商在其功能安全手册中把这些列为目标应用。^{3232SFFS700 Functional safety information | TI.comti.com前往参考资料 ↓在新标签页中打开}

在工业电力驱动中，功能安全的核心安全功能之一是「安全转矩关闭」（Safe Torque Off, STO）：驱动器在触发安全条件时切断电机转矩输出，使电机不再产生可致伤的旋转力矩，同时避免直接切断主电源带来的其他风险。^{3333高压系统功能安全简介（在线研讨会文字记录）ti.com前往参考资料 ↓在新标签页中打开}

工业机械与电力驱动系统的功能安全通常同时参照两套并行的控制系统安全标准：ISO 13849（以性能等级 PL 表示风险降低程度）与 IEC 62061（以安全完整性等级 SIL 表示），电力驱动器是这两套标准共同覆盖的关键部件。^{3333高压系统功能安全简介（在线研讨会文字记录）ti.com前往参考资料 ↓在新标签页中打开}

电机驱动系统的电气安全与功能安全是两层不同的要求：电气安全方面需符合 IEC 61800-5-1（电、热与能量安全要求），隔离器件则需符合 IEC 60747-17 与 VDE 0884-17 等器件级标准；功能安全则在此之上叠加对安全功能的完整性要求。^{3333高压系统功能安全简介（在线研讨会文字记录）ti.com前往参考资料 ↓在新标签页中打开}

在电动汽车牵引逆变器等高压电机控制应用中，功能安全与高压电气安全交织：牵引逆变器工作在数百伏直流（如 800 V 直流）母线电压下，既要通过增强隔离保护人员免于电击，又要通过功能安全机制把意外转矩、意外加速等危险降低到可接受风险。^{3333高压系统功能安全简介（在线研讨会文字记录）ti.com前往参考资料 ↓在新标签页中打开}

工业机器人等高功率电机控制场景的危险不仅来自电击，还来自意外运动：机器人非预期移动可能对操作人员造成严重伤害，因此功能安全需要同时覆盖电气危险与运动危险两类风险。^{3333高压系统功能安全简介（在线研讨会文字记录）ti.com前往参考资料 ↓在新标签页中打开}

面向电机控制的实时微控制器（如 C2000 系列）在功能安全应用中承担安全转矩关闭与安全运动等安全功能的实现，厂商围绕这些安全概念提供对应的器件级功能安全信息与开发流程支持。^{3232SFFS700 Functional safety information | TI.comti.com前往参考资料 ↓在新标签页中打开|3333高压系统功能安全简介（在线研讨会文字记录）ti.com前往参考资料 ↓在新标签页中打开}

功能安全在工业自动化中的核心目标是确保系统、机械与设备即使在存在故障或错误的情况下仍能可靠运行，其手段包括冗余、错误检测等安全措施，以防止事故并保护人身安全与资产。^{3434欧盟机械法规实施在即，哪种功能安全解决方案最适合您？hms-networks.cn前往参考资料 ↓在新标签页中打开}

工业自动化、机器人与自动导引车（AGV）是功能安全的典型应用场景，其目的是防止制造、物流与物料搬运过程中发生事故和对人员的伤害。^{3434欧盟机械法规实施在即，哪种功能安全解决方案最适合您？hms-networks.cn前往参考资料 ↓在新标签页中打开}

过程工业与汽车控制系统并列为功能安全的关键应用领域，在这些领域中人身安全与资产保护至关重要，未能实现功能安全可能导致灾难性后果。^{3434欧盟机械法规实施在即，哪种功能安全解决方案最适合您？hms-networks.cn前往参考资料 ↓在新标签页中打开}

在工业现场落地功能安全时，方案选择取决于应用类型、既有基础设施以及期望的集成工作量，常见路径包括即插即用的远程安全 I/O 模块等灵活形态，以便在移动或工业系统中快速部署。^{3434欧盟机械法规实施在即，哪种功能安全解决方案最适合您？hms-networks.cn前往参考资料 ↓在新标签页中打开}

在智能座舱中，安全相关交互功能（safety-related interaction functions）指那些一旦失效可能直接或间接导致人身伤害的人机交互功能，典型包括驾驶模式切换、挡位与驻车状态显示、告警提示的呈现与确认、以及驾驶中禁用娱乐/输入类操作等；ISO 26262 将这类功能纳入整车安全生命周期，要求其按 ASIL 等级进行危害分析与风险评估。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262-3:2018 要求对整车层面进行危害分析与风险评估（HARA），为每个危害事件分配 ASIL 等级；对于座舱交互功能，若其误操作或信息误呈现可能导致驾驶员分心或误判，则需在 HARA 中作为危害事件评估，并据此确定安全目标与 ASIL。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262-6:2018 对软件层面的安全相关功能提出开发要求，包括安全机制（如输入合理性检查、看门狗、内存保护）与验证方法；座舱交互软件中涉及安全目标的模块需按对应 ASIL 的软件架构与测试要求开发。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262-8:2018 规定了对安全相关功能所用工具链的置信度要求（tool confidence level, TCL），座舱 HMI 开发中使用的建模、代码生成与测试工具若影响安全相关软件，需按 TCL 评估并采取相应鉴定措施。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262-9:2018 提供了 ASIL 分解与共因失效分析的指南；在座舱域控制器中，若安全相关交互功能与娱乐功能共享硬件资源，需通过 ASIL 分解或免于干扰（freedom from interference）论证来隔离不同 ASIL 等级的软件。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 21448:2022（预期功能安全，SOTIF）针对无硬件故障情况下由功能不足或可预见误用引发的危害；座舱交互中的语音识别误唤醒、触控误触、信息呈现延迟等属于 SOTIF 关注范畴，需通过场景分析与验证确认其风险可接受。^{3030ISO 21448:2022 Road vehicles — Safety of the intended functionalityiso.org前往参考资料 ↓在新标签页中打开}

UN R155 法规要求车辆制造商建立网络安全管理体系（CSMS），并覆盖与安全相关交互功能相关的车载软件更新与访问控制；座舱交互系统作为联网入口之一，其远程更新与诊断接口需纳入 CSMS 管理。^{3535UN Regulation No. 155 — Cyber security and cyber security management systemunece.org前往参考资料 ↓在新标签页中打开}

ISO/SAE 21434:2021 规定了道路车辆网络安全工程要求，与功能安全并行；座舱交互功能中涉及安全目标的通信与更新路径需同时满足功能安全与网络安全要求，二者在威胁分析与危害分析之间需建立关联。^{3636ISO/SAE 21434:2021 Road vehicles — Cybersecurity engineeringiso.org前往参考资料 ↓在新标签页中打开}

在智能座舱中，安全相关交互功能的设计需考虑驾驶员分心问题；NHTSA 发布的驾驶员分心指南建议限制驾驶中手动输入文本等操作，并鼓励通过语音或方向盘控制完成交互，以降低视觉与认知负荷。^{3737Visual-Manual NHTSA Driver Distraction Guidelines for In-Vehicle Electronic Devicesfederalregister.gov前往参考资料 ↓在新标签页中打开}

ISO 15008:2017 对车载视觉信息呈现的易读性提出要求，包括字符尺寸、对比度与信息密度；安全相关交互功能的告警与状态信息呈现需满足该标准以保障驾驶员可快速准确识别。^{3838ISO 15008:2017 Road vehicles — Ergonomic aspects of transport information and control systems — Specifications and test procedures for in-vehicle visual presentationiso.org前往参考资料 ↓在新标签页中打开}

ISO 9241-210:2019 提供了以人为中心的交互系统设计原则，可用于座舱 HMI 的可用性设计；对于安全相关交互功能，可用性缺陷可能构成 SOTIF 意义上的可预见误用来源，需在设计中予以缓解。^{3939ISO 9241-210:2019 Ergonomics of human-system interaction — Part 210: Human-centred design for interactive systemsiso.org前往参考资料 ↓在新标签页中打开}

在功能安全评估中，座舱 HMI 的告警呈现若属于安全目标的一部分（如驾驶员接管请求），其显示延迟、可辨识度与冗余提示需按对应 ASIL 进行验证；单一显示通道失效时应有备用提示方式。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

智能座舱中安全相关交互功能与信息娱乐功能常共存于同一域控制器，需通过内存保护、时间隔离与资源配额等机制实现免于干扰；ISO 26262-6 对软件分区与安全机制提出了具体要求。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

对于驾驶中禁用某些交互操作的功能（如行驶中禁止视频播放或复杂菜单操作），其实现需考虑车速信号失效等随机硬件故障场景，并按 ASIL 要求设计安全机制以确保禁用逻辑的可靠性。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262 对安全相关交互功能的验证要求包括故障注入测试与背靠背测试；座舱 HMI 软件需在台架与实车环境中验证安全机制在故障条件下的响应符合安全目标。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

在智能座舱与人机交互语境下，功能安全关注的是当显示、告警、输入或交互逻辑发生失效时，系统能否把驾驶员和乘员导向安全状态；这与传统动力/制动域以「避免危害事件」为核心的安全目标不同，座舱域的安全目标往往表述为「不因交互失效而增加驾驶员误操作或分心风险」。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开|1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262 第 3 部分给出的危害分析与风险评估（HARA）方法同样适用于座舱电子：需要先界定 item 与功能，再通过严重度（S）、暴露率（E）和可控性（C）三个维度确定汽车安全完整性等级（ASIL），其中可控性维度直接取决于驾驶员在该交互失效场景下能否及时接管。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262 明确把「驾驶员作为可控性的一部分」纳入评估，但标准本身并不规定人机交互界面的具体设计规则；座舱交互的失效应对因此需要借助 ISO 9241 系列等人因工程标准与 ISO 26262 的安全流程配合使用。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开|3939ISO 9241-210:2019 Ergonomics of human-system interaction — Part 210: Human-centred design for interactive systemsiso.org前往参考资料 ↓在新标签页中打开}

ISO 15008 针对车载视觉信息呈现给出了可读性、字符尺寸、对比度与信息密度等要求，是判断「信息呈现失效（如告警不可读、被遮挡）」是否可接受的常用参照。^{4040ISO 15008:2017 Road vehicles — Ergonomic aspects of transport information and control systems — Specifications and test procedures for in-vehicle visual presentationiso.org前往参考资料 ↓在新标签页中打开}

NHTSA 发布的《Human Factors Design Guidance for Driver-Vehicle Interfaces》为驾驶中交互的分心程度提供了设计指导，可作为座舱交互失效应对中「降级后界面是否仍可安全操作」的评估依据。^{4141Human Factors Design Guidance for Driver-Vehicle Interfacesnhtsa.gov前往参考资料 ↓在新标签页中打开}

在功能安全实践中，交互失效应对的典型手段包括：失效时切换到简化/静态界面、以多通道冗余（视觉+听觉+触觉）传递安全相关告警、限制或禁用高负荷交互功能（如行驶中禁止复杂菜单操作），以及把关键状态以物理按键或独立指示器保留。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开|4141Human Factors Design Guidance for Driver-Vehicle Interfacesnhtsa.gov前往参考资料 ↓在新标签页中打开}

UNECE R79 与 R121 等法规对高级驾驶辅助与操纵件标识提出了要求，其中 R121 规定安全相关功能的控制件需有可识别标识与位置，这直接影响座舱在显示失效时能否依靠物理控制件完成安全相关操作。^{4242UN Regulation No. 121 — Uniform provisions concerning the approval of vehicles with regard to the location and identification of hand controls, tell-tales and indicatorsunece.org前往参考资料 ↓在新标签页中打开}

对于含自动驾驶/辅助驾驶功能的座舱，交互失效应对还需覆盖「模式混淆」与「接管请求」场景：系统必须以明确的多模态方式告知驾驶员当前自动化状态，并在需要接管时给出足够提前量的告警，否则可能构成可控性下降。^{4343Taxonomy and Definitions for Terms Related to Driving Automation Systems for On-Road Motor Vehicles (J3016)sae.org前往参考资料 ↓在新标签页中打开|4141Human Factors Design Guidance for Driver-Vehicle Interfacesnhtsa.gov前往参考资料 ↓在新标签页中打开}

ISO 26262 对随机硬件失效可用诊断覆盖率与失效率指标量化，但交互设计层面的失效（如告警被忽略、界面误导）多属系统性失效，难以用同一套指标度量，实践中更多依赖设计评审、可用性测试与场景化验证。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开|1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

关于座舱内「以触屏替代物理按键」是否降低安全性，公开讨论中存在分歧：一方认为触屏缺乏触觉反馈、需要视觉确认，增加分心；另一方认为设计良好的触屏配合语音与方向盘控制可减少视线离开路面时间。^{4141Human Factors Design Guidance for Driver-Vehicle Interfacesnhtsa.gov前往参考资料 ↓在新标签页中打开|4444Driver distraction from secondary in-vehicle tasks: impacts of touch screen and physical button usesciencedirect.com前往参考资料 ↓在新标签页中打开}

功能安全的认证与合规评估通常以「功能安全评估」（Functional Safety Assessment, FSA）为核心环节：由独立于开发团队的评估方，依据安全计划对项目在安全生命周期各阶段的活动与工作产品进行审查，判断其是否满足既定安全目标与标准要求。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

在 ISO 26262 框架下，功能安全评估按独立程度分为三个级别：I1（由项目团队之外、但同一组织内的评估者执行）、I2（由组织内独立于项目的部门执行）、I3（由组织外部的独立机构执行）；评估所需的最低独立等级由汽车安全完整性等级（ASIL）决定，ASIL 越高要求的独立性越强。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

ISO 26262 规定，ASIL A 与 ASIL B 项目通常要求 I1 级评估，ASIL C 要求 I2 级，ASIL D 要求 I3 级；同时，若项目沿用已通过评估的既有安全要素（如成熟的安全机制或经认证的软件组件），可对评估范围作相应裁剪。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

IEC 61508 的合规路径分为两类：一是「全总体安全生命周期」路径，即按标准第 1 至 7 部分完整执行从概念到运行维护的全部活动；二是「合规项」（compliant item）路径，即只对某一子系统或组件按标准要求开发，并出具合规证明供集成方使用。^{88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

IEC 61508 要求功能安全评估由具备相应能力且独立于开发活动的人员执行，评估的独立性等级取决于安全完整性等级与风险参数；标准第 1 部分给出了评估计划、评估范围与独立性要求的框架。^{88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

认证机构（如 TÜV、exida 等）通常按阶段提供两类服务：一是对开发流程与安全管理系统进行审核并颁发流程认证；二是对具体产品或安全要素进行产品认证，出具符合 IEC 61508 或 ISO 26262 相应要求的证书。^{3131Functional Safety Certificationtuvsud.com前往参考资料 ↓在新标签页中打开}

ISO 26262 的认证并非由标准本身强制要求，而是由整车厂（OEM）在供应链合同中作为准入条件提出；因此实践中「通过认证」更多体现为满足客户与供应链的合规要求，而非法律强制。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开|3131Functional Safety Certificationtuvsud.com前往参考资料 ↓在新标签页中打开}

功能安全评估的典型输入包括：安全计划、危害分析与风险评估（HARA）报告、安全目标与功能安全概念、技术安全概念、安全分析（如 FMEA、FTA）结果、验证与确认报告、以及安全案例（safety case）；评估方据此判断项目是否达成安全目标。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开|88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

安全案例（safety case）是认证评估中的核心交付物，它以结构化论证方式说明系统在特定运行环境下如何满足安全目标；IEC 61508 与 ISO 26262 均要求以安全案例或等效的安全论证支撑评估结论。^{88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

对于已获认证的安全要素，集成方仍需在系统层面重新评估其在新应用场景下的适用性，包括运行环境、接口、失效模式与安全目标的一致性；既有证书不能自动覆盖新的集成语境。^{88Functional safety of electrical/electronic/programmable electronic safety-related systems – Part 1: General requirementswebstore.iec.ch前往参考资料 ↓在新标签页中打开}

认证与合规评估通常不是一次性活动，而是贯穿安全生命周期的持续过程：在概念阶段确认安全计划与评估范围，在开发阶段开展阶段性审查，在发布前完成最终评估，并在运行与维护阶段通过变更管理与周期性复审维持合规状态。^{1010Road vehicles – Functional safetyiso.org前往参考资料 ↓在新标签页中打开}

在 ISO 26262 的合规实践中，第三方评估机构承担的核心角色是作为独立于开发方的外部力量，对整车厂（OEM）与供应商的功能安全开发过程与工作成果进行独立评估与认证，从而为「安全目标已被充分实现」这一结论提供外部背书。^{4545ISO 26262认证 | ISO 26262汽车功能安全评估服务 | TÜV SÜDtuvsud.cn前往参考资料 ↓在新标签页中打开}

TÜV 南德（TÜV SÜD）公开表示其功能安全团队已成立三十余年，并称其参与制定了 ISO 26262 标准，是获得国际认可的 ISO 26262 认证机构，为全球汽车制造商和零部件供应商提供功能安全评估与认证服务。^{4545ISO 26262认证 | ISO 26262汽车功能安全评估服务 | TÜV SÜDtuvsud.cn前往参考资料 ↓在新标签页中打开}

第三方认证机构在宣传自身服务时，通常把 ISO 26262 评估的收益表述为：降低对人员造成伤害的风险、减少产品不被市场接受的程度、避免因安全保障不足导致的高昂召回与声誉损失，并通过证明符合相关国际法规来简化进入全球市场的路径。^{4545ISO 26262认证 | ISO 26262汽车功能安全评估服务 | TÜV SÜDtuvsud.cn前往参考资料 ↓在新标签页中打开}

由于 ISO 26262 本身是标准而非认证方案，标准文本并不规定由谁来签发证书；实践中「ISO 26262 认证」这一说法通常指由第三方机构依据标准要求实施的评估与证书签发活动，其证书的效力来自评估机构的资质与市场认可，而非标准本身的强制授权。^{4545ISO 26262认证 | ISO 26262汽车功能安全评估服务 | TÜV SÜDtuvsud.cn前往参考资料 ↓在新标签页中打开}

第三方评估机构在功能安全生态中还承担知识扩散与能力建设的角色：通过培训、流程辅导与预评估，帮助尚未建立完整功能安全管理体系的供应商理解并落地标准要求，这在供应链层级较深的中小供应商中尤为常见。^{4545ISO 26262认证 | ISO 26262汽车功能安全评估服务 | TÜV SÜDtuvsud.cn前往参考资料 ↓在新标签页中打开}

IEC 61508 作为电气/电子/可编程电子安全相关系统的功能安全基础标准，其适用范围并不覆盖所有行业：医疗设备领域在 2024 年底正式否决了将医疗器械纳入 IEC 61508 范围的提案，理由是该标准对绝大多数医疗器械而言要求过重。^{4646IEC 61508 for Medical Devices and Latest updates in 60601 Ed 4 » Lorit Consultancylorit-consultancy.com前往参考资料 ↓在新标签页中打开}

医疗器械行业选择以 IEC 60601 系列作为自身的安全标准路径，而非直接套用 IEC 61508；但批评者指出 IEC 60601 在嵌入式软件安全方面的覆盖存在缺口，因此“不需要 IEC 61508”并不等于“安全问题已经解决”。^{4646IEC 61508 for Medical Devices and Latest updates in 60601 Ed 4 » Lorit Consultancylorit-consultancy.com前往参考资料 ↓在新标签页中打开}

IEC 60601-1 第 4 版在 2026 年进入委员会草案（CDV）第二阶段，围绕功能安全与嵌入式系统安全的要求仍在修订过程中，这意味着医疗器械领域的功能安全标准边界尚未定型。^{4646IEC 61508 for Medical Devices and Latest updates in 60601 Ed 4 » Lorit Consultancylorit-consultancy.com前往参考资料 ↓在新标签页中打开}

在汽车领域，ISO 26262 与 ISO 21448（预期功能安全）各自覆盖不同类型的风险：ISO 26262 处理硬件与软件故障导致的失效，ISO 21448 处理功能不足（functional insufficiency）导致的不合理风险。两者边界清晰但在实际系统中相互交叠，单一标准无法覆盖全部安全论证。^{4747Safety of Assisted and Automated Systemslink.springer.com前往参考资料 ↓在新标签页中打开}

有研究指出，ISO 21448 中的各项要求并非以可追溯的方式推导而来，因而无法建立上下文以导出必要的性能等级；这种可追溯性的缺失与 ISO 26262 的方法论相矛盾，构成两套标准在衔接上的结构性局限。^{4747Safety of Assisted and Automated Systemslink.springer.com前往参考资料 ↓在新标签页中打开}

传感器感知能力的物理限制与道路使用者行为预测的不确定性，共同导致系统行为的不确定性，这类“功能不足”无法通过 ISO 26262 所针对的故障失效分析来消除，说明以故障为中心的功能安全标准在覆盖范围上存在原理性边界。^{4747Safety of Assisted and Automated Systemslink.springer.com前往参考资料 ↓在新标签页中打开}

功能安全合规的成本负担首先体现在标准与文档体系本身：以 IEC 61508 为代表的功能安全标准要求覆盖安全生命周期全过程的活动记录，包括危害与风险分析、安全需求规格、架构设计论证、验证与确认报告、以及配置与变更管理记录，这些文档工作往往超出产品开发本身的工作量，对中小型组织构成显著负担。^{4646IEC 61508 for Medical Devices and Latest updates in 60601 Ed 4 » Lorit Consultancylorit-consultancy.com前往参考资料 ↓在新标签页中打开}

医疗设备领域围绕是否应纳入 IEC 61508 的适用范围存在长期讨论，2024 年底相关方面正式否决了将医疗设备纳入 IEC 61508 范围的提案；支持者认为 IEC 61508 对绝大多数医疗设备而言属于过度要求，这一判断本身即反映了功能安全通用标准在实施成本上的门槛。^{4646IEC 61508 for Medical Devices and Latest updates in 60601 Ed 4 » Lorit Consultancylorit-consultancy.com前往参考资料 ↓在新标签页中打开}

IEC 60601-1 第 4 版正在推进，2026 年进入委员会草案投票（CDV）第二阶段；围绕该版本的讨论指出，IEC 60601 在嵌入式系统安全覆盖方面存在不足，而弥补这一不足又可能带来新的合规工作量，形成「通用功能安全标准过重、行业专用标准覆盖不足」的两难。^{4646IEC 61508 for Medical Devices and Latest updates in 60601 Ed 4 » Lorit Consultancylorit-consultancy.com前往参考资料 ↓在新标签页中打开}

功能安全认证通常需要由独立第三方机构进行评估并出具证书，认证周期与费用按安全完整性等级递增；对汽车领域的 ASIL D 或工业领域的 SIL 3 等高等级目标，评估所需的独立性（如功能安全评估由独立组织执行）进一步抬高了人力与时间成本。^{4646IEC 61508 for Medical Devices and Latest updates in 60601 Ed 4 » Lorit Consultancylorit-consultancy.com前往参考资料 ↓在新标签页中打开}

合规成本不仅发生在开发阶段，还持续存在于量产后的维护阶段：功能安全标准要求对安全相关系统在运行期进行周期性验证、故障统计与安全案例更新，一旦发生设计变更或现场失效，需要重新走变更影响分析与再验证流程，这部分长期成本常被低估。^{4646IEC 61508 for Medical Devices and Latest updates in 60601 Ed 4 » Lorit Consultancylorit-consultancy.com前往参考资料 ↓在新标签页中打开}