ISO 26262 V-cycle 全栈 — Part 2-9 work product hub

功能安全L7别名 ISO 26262 V-cycle · 26262 全栈 · functional safety V-model · HARA-FSC-TSC-FMEDA · Part 2-9 总览 · 更新 2026-07-12

本质与导读

本质 ISO 26262 是车规功能安全唯一权威标准,实战靠 Part 2-9/11/12 沿 V-cycle 把 Part 3 HARA 定的 Safety Goal 一路拆成可验证的 work product,左下设计、右上验证逐层闭环。ASIL 分级决定整条链的严苛度,链上任何一节断了,功能安全论证就不成立。

主线坐标:横轨 · 功能安全(跨站) · ↑ 全景主线

1. ASIL D 开发完整流程 — 主视图 + 14 阶段 topic 导航

ISO 26262 开发流程是经典 V-cycle:左边设计 top-down(整车 SG → HW/SW 单元),右边验证 bottom-up(unit 测试 → 整车 SG 验证),底部相接;Part 2 管理 + Part 8 接口贯穿全程。下方 14 阶段每个对应一篇工程化深度页(★ = 已有完整 deep)。

ASIL D 主驱开发完整流程 — HARA → FSAR · 14 阶段 + cross-cutting

1.1 14 阶段 topic 导航

按 V-cycle 顺序(左下降 → 底部 → 右上升):

阶段	主图位置	对应 deep	章节 / 输出
0. 项目章程	Safety Plan envelope(外框 ★)	Safety Plan 写作 ★	Item Def + Milestone + RACI + Tool QL(10 章模板)
1. HARA + SG	左 Level 1 ★	HARA 报告写作 ★ · HARA Worked Example	整车 hazard + S/E/C → ASIL → SG
2. FSC + FSR	左 Level 2 ★	FSR/TSR 写作 ★	FSR 8 字段(系统级)
3. TSC + TSR	左 Level 3 ★	FSR/TSR 写作 ★ · TSC + DIA	TSR 10 字段(子系统级)
4. HSI Document	左 Level 4 ★	HSI 写作 ★	12 章 + 9 字段/信号(HW vendor + SW team)
5a. HW Design	左 Level 5 ★	HSR 写作 ★ · ASIL D 端到端案例 · FMEDA 深度	HW 安全需求 + 设计 + FMEDA
5b. SW Design	左 Level 5 ★	SSR 写作 ★ · AURIX TC3xx ASIL D · Software safety	SW 安全需求 + 设计 + MISRA
6. Unit Implementation	底部(V 枢)	SW safety BSW (AUTOSAR)	HW PCB/FPGA + SW unit code
7. Unit Test	右 Level 5	Fault Injection Test	HW bench scope + SW unit
8. HW/SW Integration	右 Level 4	EV ECU FMEDA 集成 ★	ECU 集成 · 三链合并 FMEDA
9. System Integration	右 Level 3	Fault Injection Test · ASIL D 端到端案例	HIL Fault Injection
10. Vehicle V&V	右 Level 2 ★	SV 计划写作 ★ · Safety Validation	整车 SG 验证
11. Safety Case + FSAR	右 Level 1 ★	Safety Case GSN 写作 ★ · FSAR 深度	GSN 论证树 + I3 签字
12. Confirmation Reviews	左侧 M0-M4 chips	Confirmation Measures 深度	M0 Plan / M1 HARA+FSC / M2 TSC+HSI / M3 Audit / M4 Assessment
13. 横向分析	右侧 chips	FMEDA 深度 · DFA/FMEDA/FTA · ASIL 分解深度	FMEDA / DFA / FTA / ASIL 分解
14. SEooC + Safety Manual	横向(Tier-2)	Safety Manual 写作 ★ · SEooC 实战	Tier-2 → Tier-1 SM + AoU/IR

10 个 ★ 已 ship 的工程化写作 deep:Safety Plan / HARA 报告 / FSR-TSR / HSI / HSR / SSR / SV 计划 / Safety Manual / GSN authoring / EV ECU FMEDA 集成。V-cycle 各阶段交付物写作 deep 已补齐(2026-06-04:HARA/HSR/SSR/SV 四篇收尾),覆盖从概念到验证的全链"写作"工件。

1.2 早期 Part 视图(supplementary)

按 ISO 26262 12 个 Part 在 V-cycle 中的位置(与 §1.1 主视图同一 V-cycle):

ISO 26262 V-cycle + Part 在其中的位置

2. Part 2 — Management (全程贯穿)

职责:功能安全 lifecycle 的 management — 不出 work product,只定 process:

公司级 FS policy + role 分配
项目级 FS plan (项目周期 / 里程碑 / 评审节点)
Confirmation Measures (CM) I0-I3 体系建立
FS culture + training

关键 work product:Safety Case (项目结束时整理所有证据 → 给 OEM)。

链接:Confirmation Measures 深度 / Safety Case

3. Part 3 — Concept Phase (HARA + FSC 起点)

HARA (Hazard Analysis and Risk Assessment) 是 ISO 26262 的第一步:

列出 Hazardous Event (车在哪种工况下会有什么危害)
三维评估每个 hazard:
- Severity (S0-S3) — 后果严重度
- Exposure (E0-E4) — 出现频率
- Controllability (C0-C3) — 驾驶员能否避免
SxExCx 三维查表 → ASIL A/B/C/D / QM
每条 ASIL ≥ A 的 hazard → Safety Goal (SG)

典型 EV 主驱 SG:

"防止非预期扭矩 > ±10%"(ASIL D / FTTI 100ms)
"防止 HV 触电"(ASIL D)
"防止意外熄火"(ASIL B-C)

输出:HARA 报告 + SG 列表 + FSC (Functional Safety Concept,SG 怎么实现的高层视图)。

链接:HARA 深度 / Functional Safety Concept

4. Part 4 — System Level (FSC → TSC)

FSC (Functional Safety Concept) 是 SG 的功能层描述,TSC (Technical Safety Concept) 是技术架构层 — 决定 SG 在哪个 ECU 实现 / 哪个 SM 触发 safe state / FTTI 时序。

TSC 典型输出:

系统架构图 (整车 + ECU 分配)
接口规范 (TSC Interface Specification)
时序约束 (FTTI per SG)
Safe state 定义 (主驱:STO / ASC)

Part 4 整合阶段 (验证侧):整车 SG 验证 + 整车 FI test。

链接:FSC / TSC / SafeState Manager 深度

5. Part 5 — Hardware

Part 5 是硬件级开发:

HW 安全要求规范 (HSR)
HW 架构 + 设计
FMEDA + SPFM / LFM / PMHF 计算
HW 安全机制(DESAT / OC sensor / NTC / lockstep MCU)
HW 评估 + fault injection

核心 work product:FMEDA 报告(每个元件失效模式 + DC + SM 覆盖)+ HW SR + 设计文档。

链接:FMEDA 深度 / 栅极驱动保护链 / Fault Injection Test 深度

6. Part 6 — Software

Part 6 是软件级开发:

SW 安全要求规范 (SSR)
SW 架构 (component 分层)
Unit-level coding standards (MISRA C)
Unit test + integration test + 覆盖率 (statement / branch / MC/DC)
SW 安全机制 (RAM ECC / Flash CRC / watchdog / lockstep)

核心 work product:SW 安全要求 + 单元覆盖率报告 + 工具资格证明。

链接:ISO 26262 Part 6 软件 / SafeState Manager 深度 / Aurix TC3xx ASIL D

7. Part 7 — Production / Operation / Service

量产阶段 + 长期运维的功能安全:

量产 SAR (Safety Anomaly Report) 流程
量产工艺 FMEA + Cpk / Ppk 监控
维修 / 升级 (OTA) 流程
Field monitoring + 召回触发条件

核心 work product:量产 SAR + Field issue 收集 / 分析报告。量产后 continuous monitoring field data 是 Part 7 的实战重点。

链接:ISO 26262 Part 7 量产

8. Part 8 — Supporting Processes (横向贯穿)

Part 8 不属 V-cycle 任一节点,而是横向 supporting:

DIA (Development Interface Agreement) — Tier-1 ↔ OEM 责任分工
Tool qualification (TI/TD/TCL/TQL) — 开发工具的可信度
Confirmation Measures I0-I3 (反向也是 Part 2 责任)
Configuration management + change management
文档管理

没 DIA = 评审拒,Part 8 是合规底线。

链接:Confirmation Measures 深度 / Tool Qualification

9. Part 9 — ASIL-oriented Analyses

Part 9 是横向分析方法:

ASIL Decomposition — D=B+B 等分解规则
DFA (Dependent Failure Analysis) — 独立性 6 项验证
Safety Element out of Context (SEooC) — 用 Part 11
Common Cause Analysis (CCA) — 共因失效

核心 work product:ASIL 分解决策 + DFA 报告 + 独立性证据。

链接:ASIL 分解深度

10. Part 11 — Semiconductors (供应商生态)

Part 11 (2018 二版新加) 处理半导体供应商接口:

SEooC (Safety Element out of Context) 框架
供应商 assumption list
IP / SoC / MCU 的 FS evidence
客户应用约束 (User Manual 写明 SM 使用条件)

EV 主驱主流 MCU (Aurix / S32K3) 都按 Part 11 出 SEooC 给 Tier-1 用。

链接:SEooC / Part 11 半导体

11. Part 12 — Motorcycles + Part 10 - Application Guidelines

剩下两个 Part 不在主流程:

Part 10:非规范性 guidelines + examples + 最佳实践,补充其它 Part;工程师常翻作为 "norm 读不懂时的解释"
Part 12:摩托车 + 三轮车专用规则(乘用车不用)

EV 主驱 ASIL D 项目几乎不直接 reference Part 12。

12. ASIL D 项目 18-24 个月里程碑

把 Part 2-9 + 11 排成时间线,典型 EV 主驱 ASIL D 项目 timeline:

阶段	主要活动
Month 0–3	Part 3 HARA + Part 4 FSC（DIA 草签）
Month 4–6	Part 4 TSC + ASIL 分解（Part 9）+ I0/I1 reviews
Month 7–12	Part 5 HW design + FMEDA + Part 6 SW design（并行）
Month 13–15	集成测试 + FI test + I2 FS Audit
Month 16–18	I3 pre-assessment（TÜV）+ 整改
Month 19–21	I3 main assessment + FSAR
Month 22	Part 7 量产 SAR setup + OEM PPAP
Month 23–24	SOP + field monitor + continuous improvement

13. ISO 26262 vs ISO 21434 vs ISO 21448

3 个相关标准容易混淆,实际各管一段:

ISO 26262 (本页) — 功能安全 (功能本身正确,失效后果可控)
ISO 21434 — 汽车 cybersecurity (防恶意攻击,2021 起强制)
ISO 21448 (SOTIF) — Safety of the Intended Functionality (功能本身性能不足,没坏但表现不及预期,自动驾驶为主)

EV 主驱至少跑 ISO 26262 + ISO 21434;L2+ 自动驾驶才上 21448。

链接:ISO 21434 / ISO 21448

14. 主流 work product 速查

Part 2-11 各自的核心 work product 与负责 team — 项目立项第一周可照此分工 + 估人头:

Part	核心 work product	主要负责 team
2	Safety Plan / Safety Case	FS Manager
3	HARA + SG list + FSC	System Architect
4	TSC + Sys integration test	System / HW lead
5	HSR + FMEDA + HW DV	HW lead
6	SSR + SW test coverage	SW lead
7	Production SAR + Field monitor	Quality / Production
8	DIA + Tool qual + Confirmation reviews	FS Manager
9	ASIL 分解 + DFA report	System / FS
11	SEooC + Tool TQL	Semi vendor + Tier-1

EV OEM ASIL D 项目典型团队 30-80 人,FS Manager 1-2 人横管所有 Part 评审。

15. 子页深度链接

ISO 26262 wiki 已有 40+ 子页。本节按 Part 挂该 Part 的方法 deep(2026-06 补全各 Part 量化/分析/文档方法的代表作);完整学习路径与厂商芯片穷举见功能安全工程师指南,两者分工互补:

Part 2 / 8 Management & Supporting:

Confirmation Measures 深度 ★
Safety Case
Safety Case GSN tree 写作工程化深度 ★ — 7 步 SOP + 5 defeater 修法 + Confidence Argument
Tool Qualification 深度 ★ — TI / TD / TCL / TQL 推导 + 主流工具评估
Safety Plan 写作工程化深度 ★ — 10 章模板 + Milestone + RACI + Confirmation Strategy
Safety Manager 角色深度 ★ — Anchor / Manager / Engineer RACI
Development Interface Agreement (DIA)

Part 3 Concept:

HARA
HARA Worked Example 深度 ★ — 主驱意外加速 ASIL D 完整推导
Functional Safety Concept
ASIL classification

Part 4 System:

TSC
FSR / TSR 写作工程化深度 ★ — 8/10 字段模板 + 双向 traceability + 5 反模式
HSI Document 写作工程化深度 ★ — 12 章模板 + timing / shared-resource 双向追溯
SafeState Manager 深度 ★
FTTI 时间预算分解深度 ★ — FTTI = FDTI + FRTI 微秒级账本

Part 5 Hardware:

FMEDA 深度 ★
FTA 深度 ★ — top-down 最小割集 + 定量回溯
LFDT 深度 ★ — Latent Fault Detection Time 寿命外推
Lockstep Core 深度 ★ — dual-CPU + CCC,ASIL D 单核 PMHF 约束
CCF 共因失效深度 ★ — DFA + 7 类 DFI + Beta Factor
栅极驱动保护链 ★
Driver Soft Turn-Off 深度 ★

Part 6 Software:

MISRA-C 2012 深度 ★ — 156 规则 Mandatory/Required/Advisory
Aurix TC3xx ASIL D
Software safety mechanisms

Part 7 Production:

Part 9 Analyses:

ASIL 分解深度 ★
Fault Injection Test 深度 ★
STPA 危害分析深度 ★ — STAMP / CAST + UCA 4→14 sub-types
Silent Data Corruption (SDC) 深度 ★ — 静默误算击穿 DC / LFM 假设

Part 11 Semiconductors:

SEooC
Aurix Part 11 评估
Infineon AURIX TC3xx 功能安全工程化 ★ — TC375/TC387/TC397/TC399 + SMU/FCCU + OPTIREG 配对 + 3 家横评

16. 工程陷阱

ISO 26262 在 Tier-1 供应商实战中存在三类高频陷阱:规则理解正确、但实施时的隐含假设往往才是失效点,以下均来自 TÜV Süd 评审反馈与国内头部 Tier-1 集成经验。

16.1 ASIL 分解后独立性不成立

ASIL D = ASIL B + ASIL B 分解的核心前提是两路完全独立——共享任何资源(电源轨、参考地、MCU Die、通信总线)即失去独立性。实战中最常见的错误是两路 ASIL B 安全通道共用同一 12 V 辅助电源,DFA (Dependent Failure Analysis) 审查时立即被 I2/I3 拒绝。补救代价巨大:需重新走 HW 重设计 + FMEDA + DFA 完整流程,通常延误 3-6 个月。

判断依据:每路通道的失效需在 DFA 中证明相关性 $β < 0.01$ (Part 9 第 7 章),并对所有 6 类共因失效(电磁、热、电源、地、时钟、软件共享)逐一出证据。

16.2 V&V 闭环追覆盖率却忽略 FTTI 时序

Safety Validation 计划通常能满足覆盖率(MC/DC 100%、fault injection 通过率大于 95%),但却未将验证结论与 Safety Goal 的 FTTI 时序约束对齐。典型模式:FTTI = 100 ms 的 SG,Safety Case 里引用的是 HIL 最长响应时间 95 ms,但未记录最坏情况(WCET + 通信延迟 + SM 执行时间)的端到端实测数据,I3 评估时被判 Open Item。

修复方向:每条 SG 对应的 Safety Validation Report 必须有 FTTI 时序预算表——FDTI + FRTI 分项填入实测值,并留有大于等于 10% 裕量。

16.3 Tier-1 接收 SEooC 却跳过 AoU 审核

半导体供应商(如 Infineon、NXP)按 Part 11 SEooC 框架交付 Safety Manual,含 Assumption of Use (AoU) 列表。项目组常忽略逐条审核 AoU,直到集成阶段才发现某项假设(如"SPI 刷新周期不超过 1 ms")在 SW 架构里无法满足(实际刷新 5 ms),导致 SM 有效性失效、整条 ASIL D 链断裂。

正确做法:DIA 签署时同步建立 AoU 追溯矩阵,每条 AoU 映射到项目 TSR 或 SSR 中可验证的需求条目。

17. 边界与局限

ISO 26262 (2018 第二版) 是 E/E 系统功能安全的权威标准,但其边界清晰:明确排除了若干同等重要的风险维度,需配合其他标准或方法论形成闭环。

17.1 不覆盖信息安全

ISO 26262 假设系统处于无恶意干预的工况——它处理随机硬件失效和系统性失效,不处理蓄意攻击。车载网络渗透测试、OTA 签名验证、HSM 密钥管理均属 ISO 21434 (Road Vehicles Cybersecurity Engineering, 2021) 的管辖范围。两套标准的工作产品(TARA vs. HARA、CAL vs. ASIL)结构相似但评估维度不同,项目立项时需设置独立的 Cybersecurity Manager 与 Safety Manager 双轨并行。

17.2 不覆盖功能性能不足

当系统功能本身没有失效、但性能不足以应对场景(如摄像头在逆光中检测不到行人)时,ISO 26262 无法处置——此时不存在"失效"只有"不充分"。ISO 21448 (SOTIF, 2022) 专门为 L2+ ADAS 功能定义了预期功能安全分析框架,实战中 SOTIF 与 ISO 26262 的分工边界通常在 TSC 阶段协商并记录于 Safety Plan。

17.3 软件工具资格仅评估可信度

Part 8 的工具资格 (Tool Qualification) 只对开发工具分级 (TCL 1-3 / TQL 1-5),评估工具在特定使用情境下是否可信——不等于对工具本身做功能安全认证,也不能替代工具供应商的独立评估。编译器输出的正确性仍需通过软件测试(覆盖率 + 对象代码检查)验证,工具 TQL 高不意味着可以减少测试。

17.4 不覆盖量产后现场失效的统计学分析

ISO 26262 的 FMEDA / PMHF 计算基于初始失效率 $λ_{base}$ 与环境系数——它预测的是统计期望,而非每台车的寿命曲线。大规模量产后的 field FIT 实测值、批次差异、早期失效(浴盆曲线左翼)与老化失效(右翼)超出标准管辖,需配合 AEC-Q 可靠性试验与 Part 7 的 Field Monitor 流程才能形成闭环。

18. 工程计算示例

ASIL D 硬件随机失效指标的量化常令工程师困惑。下面以简化的栅极驱动器单元 FMEDA 为例,展示从器件原始失效率到 PMHF 贡献的完整计算链。

18.1 器件失效率的 π 因子修正

原始器件失效率通常取自 IEC 62380 或供应商 FIT 声明,再经温度系数 $π_{T}$ 与质量系数 $π_{Q}$ 修正:

λ_{component} = λ_{base} \times π_{T} \times π_{Q}

以栅极驱动芯片(工作结温 $T_{j} = 105^{\circ} C$ ,AEC-Q100 Grade 1)为例:

参数	数值	说明
$λ_{base}$	20 FIT	供应商 FIT 声明 (25°C 参考温度)
$π_{T}$	2.0	Arrhenius 外推 ( $E_{a} = 0.7 eV$ ,25°C 至 105°C)
$π_{Q}$	0.5	AEC-Q100 Grade 1 质量降额
$λ_{component}$	20 FIT	$20 \times 2.0 \times 0.5 = 20 FIT$

同理对采样电阻(无质量分级, $π_{Q} = 1.0$ ),失效率为 $λ_{R} = 4 \times 1.5 \times 1.0 = 6 FIT$ 。

18.2 PMHF 贡献的 FMEDA 计算

ASIL D 的 PMHF 目标为 PMHF < 10 FIT(即 $1 0^{- 8}$ h $^{- 1}$ ,ISO 26262-5 Table D.4)。潜伏故障对 PMHF 的贡献公式为:

PMHF_{latent} = i \sum λ_{i} \times (1 - DC_{i}) \times (1 - LFM_{i})

其中 $DC_{i}$ 为诊断覆盖率(Diagnostic Coverage), $LFM_{i}$ 为潜伏故障覆盖率(Latent Fault Metric Coverage)。以三器件示例计算:

器件	$λ$ (FIT)	DC	LFM	PMHF 贡献 (FIT)
栅极驱动 IC	20	0.95	0.90	$20 \times 0.05 \times 0.10 = 0.10$
采样电阻	6	0.60	0.80	$6 \times 0.40 \times 0.20 = 0.48$
隔离电容	4	0.80	0.70	$4 \times 0.20 \times 0.30 = 0.24$
合计	30	—	—	0.82 FIT

三器件子系统的 PMHF 贡献 0.82 FIT 远低于 ASIL D 的 10 FIT 预算,说明当前安全机制配置有效。量产级 FMEDA 通常含 50-200 个器件,通过逐行计算合计后验证总 PMHF 是否满足目标。

核心要点

ISO 26262 12 个 Part 沿 V-cycle 排开 — Part 3-6 设计 / 验证,Part 2 / 8 全程 manage,Part 7 量产。
Part 3 HARA 起家,Part 4 TSC 拆架构,Part 5/6 HW/SW 设计 + FMEDA,Part 9 ASIL 分解 + DFA。
Part 11 SEooC 处理供应商接口,Part 8 DIA + CM I0-I3 贯穿全程。
EV 主驱 ASIL D 项目18-24 个月 — 3 月 HARA + 12 月开发 + 9 月评审(I3)。
团队 30-80 人,FS Manager 横管所有 Part。
DIA + 关闭所有 Major issue 是 PPAP 准入 hard gate。
ISO 26262 与 ISO 21434 (cybersecurity) + ISO 21448 (SOTIF) 各管一段,EV 主驱至少跑 26262 + 21434。
wiki 上 30+ 子页按 Part 分布完整 — 本 hub 是导航主轴。

Cross-references

← 索引
HARA 深度
FMEDA 深度
ASIL 分解深度
Confirmation Measures 深度
SafeState Manager 深度
Fault Injection Test 深度
栅极驱动保护链
EV 主驱 ASIL D 项目总线 — 本 hub 的项目时间线 worked 视角(交付物流转 + 全站导览)
BMS overview L7 hub — 姊妹 hub
EV traction inverter 全栈 — 姊妹 hub
Power Module 全栈 — 姊妹 hub
OBC overview L7 hub — 姊妹 hub