ISO 26262 V-cycle 全栈 — Part 2-9 work product hub

ISO 26262 开发流程是经典 V-cycle:左边设计 top-down(整车 SG → HW/SW 单元),右边验证 bottom-up(unit 测试 → 整车 SG 验证),底部相接;Part 2 管理 + Part 8 接口贯穿全程。下方 14 阶段每个对应一篇工程化深度页(★ = 已有完整 deep)。

职责:功能安全 lifecycle 的 management — 不出 work product,只定 process:

• 公司级 FS policy + role 分配
• 项目级 FS plan (项目周期 / 里程碑 / 评审节点)
• Confirmation Measures (CM) I0-I3 体系建立
• FS culture + training

关键 work product:Safety Case (项目结束时整理所有证据 → 给 OEM)。

链接:Confirmation Measures 深度 / Safety Case

HARA (Hazard Analysis and Risk Assessment) 是 ISO 26262 的第一步:

1. 列出 Hazardous Event (车在哪种工况下会有什么危害)
2. 三维评估每个 hazard:
   • Severity (S0-S3) — 后果严重度
   • Exposure (E0-E4) — 出现频率
   • Controllability (C0-C3) — 驾驶员能否避免
3. SxExCx 三维查表 → ASIL A/B/C/D / QM
4. 每条 ASIL ≥ A 的 hazard → Safety Goal (SG)

典型 EV 主驱 SG:

• "防止非预期扭矩 > ±10%"(ASIL D / FTTI 100ms)
• "防止 HV 触电"(ASIL D)
• "防止意外熄火"(ASIL B-C)

输出:HARA 报告 + SG 列表 + FSC (Functional Safety Concept,SG 怎么实现的高层视图)。

链接:HARA 深度 / Functional Safety Concept

FSC (Functional Safety Concept) 是 SG 的功能层描述,TSC (Technical Safety Concept) 是技术架构层 — 决定 SG 在哪个 ECU 实现 / 哪个 SM 触发 safe state / FTTI 时序。

TSC 典型输出:

• 系统架构图 (整车 + ECU 分配)
• 接口规范 (TSC Interface Specification)
• 时序约束 (FTTI per SG)
• Safe state 定义 (主驱:STO / ASC)

Part 4 整合阶段 (验证侧):整车 SG 验证 + 整车 FI test。

链接:FSC / TSC / SafeState Manager 深度

Part 5 是硬件级开发:

• HW 安全要求规范 (HSR)
• HW 架构 + 设计
• FMEDA + SPFM / LFM / PMHF 计算
• HW 安全机制(DESAT / OC sensor / NTC / lockstep MCU)
• HW 评估 + fault injection

核心 work product:FMEDA 报告(每个元件失效模式 + DC + SM 覆盖)+ HW SR + 设计文档。

链接:FMEDA 深度 / 栅极驱动保护链 / Fault Injection Test 深度

Part 6 是软件级开发:

• SW 安全要求规范 (SSR)
• SW 架构 (component 分层)
• Unit-level coding standards (MISRA C)
• Unit test + integration test + 覆盖率 (statement / branch / MC/DC)
• SW 安全机制 (RAM ECC / Flash CRC / watchdog / lockstep)

核心 work product:SW 安全要求 + 单元覆盖率报告 + 工具资格证明。

链接:ISO 26262 Part 6 软件 / SafeState Manager 深度 / Aurix TC3xx ASIL D

量产阶段 + 长期运维的功能安全:

• 量产 SAR (Safety Anomaly Report) 流程
• 量产工艺 FMEA + Cpk / Ppk 监控
• 维修 / 升级 (OTA) 流程
• Field monitoring + 召回触发条件

核心 work product:量产 SAR + Field issue 收集 / 分析报告。量产后 continuous monitoring field data 是 Part 7 的实战重点。

链接:ISO 26262 Part 7 量产

Part 8 不属 V-cycle 任一节点,而是横向 supporting:

• DIA (Development Interface Agreement) — Tier-1 ↔ OEM 责任分工
• Tool qualification (TI/TD/TCL/TQL) — 开发工具的可信度
• Confirmation Measures I0-I3 (反向也是 Part 2 责任)
• Configuration management + change management
• 文档管理

没 DIA = 评审拒,Part 8 是合规底线。

链接:Confirmation Measures 深度 / Tool Qualification

Part 9 是横向分析方法:

• ASIL Decomposition — D=B+B 等分解规则
• DFA (Dependent Failure Analysis) — 独立性 6 项验证
• Safety Element out of Context (SEooC) — 用 Part 11
• Common Cause Analysis (CCA) — 共因失效

核心 work product:ASIL 分解决策 + DFA 报告 + 独立性证据。

链接:ASIL 分解深度

Part 11 (2018 二版新加) 处理半导体供应商接口:

• SEooC (Safety Element out of Context) 框架
• 供应商 assumption list
• IP / SoC / MCU 的 FS evidence
• 客户应用约束 (User Manual 写明 SM 使用条件)

EV 主驱主流 MCU (Aurix / S32K3) 都按 Part 11 出 SEooC 给 Tier-1 用。

链接:SEooC / Part 11 半导体

剩下两个 Part 不在主流程:

• Part 10:非规范性 guidelines + examples + 最佳实践,补充其它 Part;工程师常翻作为 "norm 读不懂时的解释"
• Part 12:摩托车 + 三轮车专用规则(乘用车不用)

EV 主驱 ASIL D 项目几乎不直接 reference Part 12。

把 Part 2-9 + 11 排成时间线,典型 EV 主驱 ASIL D 项目 timeline:

3 个相关标准容易混淆,实际各管一段:

• ISO 26262 (本页) — 功能安全 (功能本身正确,失效后果可控)
• ISO 21434 — 汽车 cybersecurity (防恶意攻击,2021 起强制)
• ISO 21448 (SOTIF) — Safety of the Intended Functionality (功能本身性能不足,没坏但表现不及预期,自动驾驶为主)

EV 主驱至少跑 ISO 26262 + ISO 21434;L2+ 自动驾驶才上 21448。

链接:ISO 21434 / ISO 21448

Part 2-11 各自的核心 work product 与负责 team — 项目立项第一周可照此分工 + 估人头:

EV OEM ASIL D 项目典型团队 30-80 人,FS Manager 1-2 人横管所有 Part 评审。

ISO 26262 wiki 已有 40+ 子页。本节按 Part 挂该 Part 的方法 deep(2026-06 补全各 Part 量化/分析/文档方法的代表作);完整学习路径与厂商芯片穷举见 功能安全工程师指南,两者分工互补:

Part 2 / 8 Management & Supporting:

• Confirmation Measures 深度 ★
• Safety Case
• Safety Case GSN tree 写作工程化深度 ★ — 7 步 SOP + 5 defeater 修法 + Confidence Argument
• Tool Qualification 深度 ★ — TI / TD / TCL / TQL 推导 + 主流工具评估
• Safety Plan 写作工程化深度 ★ — 10 章模板 + Milestone + RACI + Confirmation Strategy
• Safety Manager 角色深度 ★ — Anchor / Manager / Engineer RACI
• Development Interface Agreement (DIA)

Part 3 Concept:

• HARA
• HARA Worked Example 深度 ★ — 主驱意外加速 ASIL D 完整推导
• Functional Safety Concept
• ASIL classification

Part 4 System:

• TSC
• FSR / TSR 写作工程化深度 ★ — 8/10 字段模板 + 双向 traceability + 5 反模式
• HSI Document 写作工程化深度 ★ — 12 章模板 + timing / shared-resource 双向追溯
• SafeState Manager 深度 ★
• FTTI 时间预算分解深度 ★ — FTTI = FDTI + FRTI 微秒级账本

Part 5 Hardware:

• FMEDA 深度 ★
• FTA 深度 ★ — top-down 最小割集 + 定量回溯
• LFDT 深度 ★ — Latent Fault Detection Time 寿命外推
• Lockstep Core 深度 ★ — dual-CPU + CCC,ASIL D 单核 PMHF 约束
• CCF 共因失效深度 ★ — DFA + 7 类 DFI + Beta Factor
• 栅极驱动保护链 ★
• Driver Soft Turn-Off 深度 ★

Part 6 Software:

• MISRA-C 2012 深度 ★ — 156 规则 Mandatory/Required/Advisory
• Aurix TC3xx ASIL D
• Software safety mechanisms

Part 7 Production:

• Production SAR
• PPAP

Part 9 Analyses:

• ASIL 分解深度 ★
• Fault Injection Test 深度 ★
• STPA 危害分析深度 ★ — STAMP / CAST + UCA 4→14 sub-types
• Silent Data Corruption (SDC) 深度 ★ — 静默误算击穿 DC / LFM 假设

Part 11 Semiconductors:

• SEooC
• Aurix Part 11 评估
• Infineon AURIX TC3xx 功能安全工程化 ★ — TC375/TC387/TC397/TC399 + SMU/FCCU + OPTIREG 配对 + 3 家横评