王伟峰
资深功能安全技术专家，有10余年功能安全开发和管理经验，经历过零部件和主机厂在不同角色视角下对于功能安全实践的挑战。现就职于某知名上市企业（一家以人工智能为核心的商用车安全及信息化解决方案提供商），主导功能安全流程体系的搭建与功能安全产品的开发和管理。
对功能安全的开发和落地实践总结了一套自己的方法论和见解，推行功能安全要在项目中落地的理念，并将该理念付诸于项目实践。主导过多个产品（BMS、VCU、FCU、LiDAR、AEBS等）的功能安全流程与产品认证。熟悉ISO 26262、ISO 21448、ISO/SAE 21434、ASPICE等汽车领域安全、质量相关标准；对于工业领域的安全相关标准，如IEC 61508、ISO 13849、IEC 62061、EN1175等，也有丰富的项目(AGV/AMR)实践经验。
微信公众号“功能安全落地漫谈”的主理人提交申请

前　　言
为什么要写这本书
几年前在进行IEC 61508标准融合研究时，我查阅了一本国外的书籍，书名叫The Safety Critical Systems Handbook。当时，该书已经出版到第4版。对于这本非常小众的专业书籍能一版再版，我不免有些好奇。读完该书之后，我才发现它之所以具备这么强的生命力，一是因为内容质量高，具有实践指导意义；二是因为内容紧跟标准发展动态，会及时将新内容、新思考同步到图书中。目前，该书已更新至第5版。
钦佩之余，不禁感叹，我也写一本基于ISO 26262的汽车领域功能安全图书怎么样！
人天生有惰性，怎么说服自己将想法付诸实践，正是“万事开头难”的关键。真正让我把动念付诸实践的原因是，内子在三年前经历的一场重病，这让我意识到，如果想做点什么，就得尽快开始行动。而真正开始行动的标志性事件是，在“功能安全落地漫谈”发表了第一篇文章。
其实，在微信公众号发表第一篇文章之前，我已经完成了用于内部培训的PPT，但实际写文章与编写PPT相差甚远。PPT字少图多，追求言简意赅，基本无法用于出版图书，因为出版物对内容的正确性、逻辑性、规范性、详细程度有严格要求，而且受众变成了整个行业的从业人员，包括各个层次的开发人员、专家、学者等，这就迫使我重新规划书稿内容。因此，只能再次克服“惰性”对文章内容进行重构。正如费曼学习法中所讲，这个重构的过程其实就是“用输出倒逼输入”。最终给大家呈现的内容是经过重新翻阅标准原文并查阅大量相关资料后，结合实践经验编写而成的。
期望本书能够成为汽车功能安全领域的一本常翻常新的工具书，为广大读者提供全面、深入、实用的功能安全知识和实践应用参考。同时，期待与读者一起探讨汽车功能安全在项目中的落地实践方法。希望能持续更新和丰富这本书的内容，使其保持生命力。
读者对象
本书适合以下汽车从业者阅读。
组织内部的功能安全专家和评估师
从事汽车电子电气系统、硬件、软件开发及测试的人员
项目管理人员、产品经理和质量管理人员
车规级芯片设计人员
汽车科技科研机构
汽车工程专业学生
其他行业的功能安全从业人员
本书特色
随着科技的飞速发展，汽车已不再仅仅是简单的代步工具，它们正逐渐演变成集智能、互联、安全于一体的移动空间。在这个过程中，汽车功能安全的重要性日益凸显。
简而言之，汽车功能安全就是确保汽车在各种可能的工作状态下都能保持其设计功能的完整性和安全性。这包括但不限于车辆的控制系统、驾驶辅助系统、动力系统、底盘系统等。每一项功能的稳定运行，都离不开严格的安全设计和验证。要实现这些，需要系统性的方法论来提供理论依据，而ISO 26262正是提供功能安全开发和管理方法论的标准
依据。
本书主要基于ISO 26262及GB/T 34590，从汽车功能安全的基本概念入手，逐步介绍其发展历程、技术原理、设计方法、验证流程等，旨在全面、深入地探讨汽车功能安全的相关内容。
在编写本书时，汽车功能安全标准在国内已经推行了10多年，单纯讲解标准已经不再吸引读者。读者更希望了解的是如何将标准条款应用到实际项目工程中，这就是我常提到的“落地”。在实践中，汽车功能安全的落地是读者关注的重点，也是我在项目实践中不断探索的话题。
鉴于读者对汽车功能安全在项目实践中的关注，本书从标准条款入手，结合V模型，循序渐进地以问题的形式展开讲解，全面深入地介绍每个阶段的相关要求及对应的实践经验（详见本书中标有“解读”字样的内容）。同时，在行文过程中随机对当前内容提出疑问，以引发读者的思考和讨论（详见书中标有“Q”字样的内容）。无论是解读还是随机提出的疑问，这些内容都凝聚了个人在不同产品功能安全项目中的实践经验和思考，旨在为读者提供标准条款解读的同时，提供一些功能安全的可行实践参考。
同时，针对不同开发阶段（系统、硬件、软件）的一些技术要求以及不同分析方法，本书尽量结合具体案例进行说明和分析。实践过程中，大部分活动其实都非常具有挑战性，而本书试图给读者提供可参考的解决方案。
如何阅读本书
本书共16章，分为两个部分，具体内容如下。
第一部分　功能安全详解
第1章对标准进行整体性介绍，以期建立或重塑读者对于标准的认知。
第2章系统地介绍功能安全管理相关的活动，以及如何与常规项目管理融合。
第3章阐述功能安全概念阶段的活动应如何实施。
第4章基于功能安全系统层面开发模型，阐述功能安全系统阶段的活动要求及实践，以及系统阶段的验证和确认要求及实践。
第5章基于功能安全硬件层面开发模型，阐述硬件安全要求、硬件设计、硬件安全分析、硬件架构度量、硬件设计验证等内容。
第6章基于功能安全软件层面开发模型，并结合ASPICE的过程开发要求，阐述软件安全要求、软件设计（架构设计+详细设计）、软件设计验证等内容。
第7章系统讲解了功能安全V模型右侧各阶段的测试与验证活动要求，并对活动的测试与验证方法进行了详细解读。
第8章从标准要求出发，解读标准要求，阐述如何实施硬件要素评估、软件组件鉴定和软件工具鉴定。
第9章从MooN架构模型谈起，阐述了不同MooN架构模型及其与Fail-safe架构和Fail-operational架构的关系，还介绍了ISO 13849中关于机械安全系统的指定架构模型、IEC 62061中的安全控制系统（SCS）架构、E-GAS三层电子监控架构，探讨了这些架构模型的关系，以及这些安全架构模型在芯片功能安全架构设计和自动驾驶系统安全架构设计中的应用。
第二部分　功能安全分析
第10章全面深入地阐述了FMEA和FMEA-MSR方法及具有实际指导意义的实践应用。
第11章全面深入地阐述了FTA相关的术语、符号、事件、实施原则等概念，并结合示例阐释FTA方法。
第12章基于第11章讲解的FTA方法，结合示例进行实践应用分析，讲解如何通过FTA方法来改进系统设计的薄弱环节。
第13章讨论FMEA与FTA融合分析的可能性和方法论，提供两者融合分析的参考思路。
第14章讲解FMEDA的相关概念、随机硬件故障的特征及分类流程、FMEDA输入输出信息、FMEDA的相关要求，并结合示例介绍FMEDA方法应用。
第15章全面深入地讲解DFA方法，包括为什么要实施DFA、DFA与其他安全分析方法之间的关系、DFA实施的相关要求、DFA六步法。
第16章介绍了ASIL分解的相关概念和原理，并结合示例说明ASIL分解的应用。
勘误与支持
由于个人能力有限，本书在力求“惟精惟一，允执厥中”的同时，难免有纰漏和待商榷之处，欢迎广大读者不吝指正。欢迎关注“功能安全落地漫谈”或知乎账号“WF.WANG”，留言“功能安全落地漫谈”即可获取本书的参考文件目录。阅读过程中发现任何问题，可在微信公众号或知乎账号留言，我将尽可能及时回复，并定期在微信公众号公布解答及勘误清单。
致谢
在撰写本书的过程中，我得到了业内专家和广大读者的大力支持。他们对书中的内容提出了许多宝贵的意见。在此，向他们表示衷心的感谢！同时，也要感谢家人对我的理解和支持。本书的编写大多是在晚上和节假日完成的，占用了陪伴他们的时间，在这里向家人表达我深深的谢意！
声明
本书提供的是针对标准内容的个人实践应用参考，并不能作为组织在功能安全开发方面的依据。鉴于该领域的知识和最佳实践在不断变化，组织可能需要基于行业动态及产品形态改变研究方法、专业实践和测试方法。
在法律允许的最大范围内，出版商、作者、编辑均不对因使用本书中的任何方法、产品、说明或想法而造成的任何人身伤害和财产损害承担任何责任。

目　　录?Contents
前言
第一部分　功能安全详解
第1章　功能安全概述　2
1.1　导读　2
1.2　关于安全文化　5
1.2.1　安全文化的定义及评价
准则　5
1.2.2　安全文化的要求与呈现
方式　8
1.3　ISO 26262 功能安全概述　 13
1.3.1　ISO 26262的发展历程　13
1.3.2　重要术语定义　14
1.3.3　为什么需要功能安全　22
1.3.4　ISO 26262标准总体内容
框架概览　25
1.3.5　ISO 26262标准分解概览　26
1.4　本章小结　40
第2章　ISO 26262中的功能安全
管理　41
2.1　功能安全管理的主要活动　42
2.2　功能安全管理中的角色与职责　42
2.3?安全计划　44
2.3.1　关于组织架构　45
2.3.2　关于开发接口协议　46
2.3.3　关于安全异常管理　47
2.3.4　关于能力管理　49
2.4　关于安全档案　49
2.5　关于认可措施　51
2.5.1　认可措施简介　52
2.5.2　认可评审　55
2.5.3　功能安全审核　55
2.5.4　功能安全评估　56
2.5.5　认可措施的独立性　57
2.6　关于验证　58
2.6.1　验证方式　58
2.6.2　验证与认可措施的联系　59
2.7　功能安全管理之生产、运营、
服务和报废环节　60
2.7.1　生产计划的相关要求　61
2.7.2　样件制造、预生产及生产的
相关要求　62
2.7.3　运营、服务和报废计划相关
要求　63
2.8　功能安全管理之需求管理　64
2.8.1　需求的颗粒度与完整性　67
2.8.2　需求的来源　70
2.8.3　如何编写需求　72
2.8.4　如何管理需求　73
2.8.5　安全需求与安全概念的
区别和联系　78
2.9　本章小结　83
第3章　功能安全之概念阶段　84
3.1　什么是HARA　84
3.2　实施HARA活动前的准备　85
3.3　如何实施HARA活动　88
3.3.1　步骤一：危害分析　89
3.3.2　步骤二：场景识别　93
3.3.3　步骤三：风险评估　95
3.3.4　步骤四：分析整理　103
3.4　HARA方法得到的ASIL等级
对应活动的区别　104
3.5　“万里长征”第一步：从SG
到FSC　108
3.5.1　什么是 FSR　108
3.5.2　如何获取FSR　110
3.5.3　什么是 FSC　112
3.6　本章小结　113
第4章　功能安全之系统开发　114
4.1　系统层面开发模型概览　114
4.2　系统层面功能安全开发的考虑　116
4.3　技术安全概念设计基本要点　117
4.4　系统层面的架构设计　120
4.5　软硬件接口规范　122
4.6　安全验证与确认　125
4.6.1　验证　125
4.6.2　确认　126
4.6.3　系统验证和确认要求　127
4.7　本章小结　128
第5章　功能安全之硬件开发　129
5.1　功能安全硬件开发模型　129
5.2　功能安全硬件开发中的
常见问题　130
5.3　硬件安全要求　132
5.3.1　目的　132
5.3.2　输入输出关系　132
5.3.3　如何定义HSR　133
5.3.4　硬件安全要求的导出示例　134
5.4　硬件设计　137
5.4.1　目的　137
5.4.2　输入输出关系　138
5.4.3　硬件设计过程　138
5.4.4?硬件层面的HSI规范　144
5.5　硬件安全分析　145
5.5.1　硬件故障的类型及相关
定义　147
5.5.2　硬件安全分析（定性）与
设计举例　149
5.5.3　练习时刻　155
5.6　硬件架构度量　156
5.6.1　基础知识　156
5.6.2　单点故障度量　158
5.6.3　潜在故障度量　158
5.6.4　随机硬件失效度量　159
5.6.5　硬件架构度量计算示例　160
5.6.6　练习时刻　164
5.7　硬件设计验证　167
5.7.1　目的　167
5.7.2　要求及建议　167
5.7.3　工作成果　170
5.8　本章小结　170
第6章　功能安全之软件开发　172
6.1　软件开发概述　172
6.1.1　软件开发模型　172
6.1.2　软件开发的通用要求　173
6.2　软件安全要求　178
6.2.1　目的　178
6.2.2　要求与建议　178
6.3　软件架构设计　180
6.3.1　目的　180
6.3.2　什么是架构　180
6.3.3　什么是软件架构　181
6.3.4　软件架构与系统的交互　181
6.3.5　软件系统简介　182
6.3.6　软件层面的开发视图　183
6.3.7　软件架构设计要求及方法　185
6.4　软件详细设计　198
6.4.1　目的　 199
6.4.2　输入输出关系　199
6.4.3　软件详细设计要求　200
6.5　软件设计验证　202
6.5.1　软件安全分析　202
6.5.2　软件要素间的免于干扰　203
6.5.3　简述软件单元验证　211
6.5.4　简述软件集成和验证　213
6.5.5　简述嵌入式软件测试　215
6.6　本章小结　217
第7章　功能安全之测试与验证　218
7.1　关于验证与确认　218
7.1.1　验证　219
7.1.2　确认　219
7.2　硬件测试与验证　220
7.2.1　目的　220
7.2.2　输入输出关系　221
7.2.3　硬件测试与验证的相关
要求　221
7.3　软件测试与验证　224
7.3.1　详解软件单元验证　224
7.3.2　详解软件集成和验证　231
7.3.3?详解嵌入式软件测试　233
7.3.4　软件测试方法　234
7.4　系统测试与验证　237
7.4.1　目的　238
7.4.2　输入输出关系　238
7.4.3　软硬件集成与验证　238
7.4.4　系统集成与验证　241
7.4.5　整车集成与验证　243
7.5　安全确认　244
7.5.1　目的　244
7.5.2　输入输出关系　245
7.5.3　安全确认的相关要求　245
7.6　本章小结　246
第8章　硬件要素评估与软件组件、
工具鉴定　247
8.1　硬件要素评估　247
8.1.1　硬件要素评估的目的　248
8.1.2　硬件要素的分类　249
8.1.3　硬件要素评估方法　250
8.2　软件组件鉴定　253
8.2.1　软件组件相关概念　253
8.2.2　软件组件鉴定的目的　254
8.2.3　软件组件鉴定的适用范围　255
8.2.4　软件组件鉴定的相关要求　255
8.2.5　如何进行软件组件鉴定　257
8.3　软件工具鉴定　259
8.3.1　软件工具鉴定的概念　259
8.3.2　软件工具置信度评估
相关要求　260
8.3.3　如何进行软件工具鉴定　261
8.4　本章小结　265
第9章　功能安全架构设计　266
9.1　MooN架构模型探讨　266
9.1.1　Fail-safe 架构　267
9.1.2　Fail-operational架构　269
9.1.3　MooN架构及MooN(D)
架构　271
9.2　机械安全系统的指定架构　278
9.2.1　Category B 指定架构　279
9.2.2　Category 1 指定架构　279
9.2.3　Category 2 指定架构　280
9.2.4　Category 3指定架构　280
9.2.5　Category 4指定架构　281
9.3　关于IEC 62061中的安全
控制系统架构　282
9.3.1　A类系统架构　282
9.3.2　B类系统架构　283
9.3.3　C类系统架构　283
9.3.4　D类系统架构　286
9.4　E-GAS三层电子监控架构　286
9.4.1　设计概念　287
9.4.2　应用示例：整车控制器　287
9.5　硬件层面的芯片功能安全
架构设计　294
9.5.1　芯片的硬件安全设计要求
参考　295
9.5.2　芯片的供电安全　297
9.5.3　芯片的时钟安全　302
9.5.4　芯片的存储安全　305
9.5.5　芯片的温度监控　307
9.6　软件层面的芯片功能安全
架构设计　308
9.6.1　芯片的软件安全　308
9.6.2　芯片的通信安全　313
9.6.3　芯片的信息安全　314
9.7　不可小瞧的“隐匿杀手”—
单粒子翻转　322
9.7.1　无处不在的电离辐射　322
9.7.2　单粒子翻转　323
9.7.3　单粒子翻转的缓解措施　324
9.8　自动驾驶系统的Fail-operational
架构　328
9.8.1　Fail-operational架构设计
考量　328
9.8.2　Fail-operational架构参考
模型　332
9.8.3　实现最低风险条件的智能
失效可运行的回退策略　337
9.9　本章小结　340
第二部分　功能安全分析
第10章　FMEA和FMEA-MSR
方法及应用　342
10.1　FMEA的定义及发展历程　342
10.1.1　FMEA简介　342
10.1.2　FMEA的发展历程　343
10.2　FMEA的目的和应用时机　344
10.3　FMEA的类型　345
10.3.1　DFMEA　345
10.3.2　PFMEA　345
10.4　FMEA方法　346
10.4.1　第一步：策划准备　347
10.4.2　第二步：结构分析　347
10.4.3　第三步：功能分析　349
10.4.4　第四步：失效分析　351
10.4.5　第五步：风险分析　355
10.4.6　第六步：优化　365
10.4.7　第七步：结果文件化　367
10.5　FMEA的特殊特性　369
10.5.1　特殊特性的定义及分类　370
10.5.2　特殊特性的传递　373
10.6　FMEA-MSR方法　376
10.6.1　FMEA在ISO 26262中
的局限　376
10.6.2　具体实施　377
10.6.3　如何避免监控设计的缺陷　385
10.7　本章小结　386
第11章　FTA方法　387
11.1　FTA的发展历程　387
11.2　FTA相关内容简介　389
11.2.1　故障树介绍　389
11.2.2　FTA的定义　389
11.2.3　FTA的目的　390
11.3　ISO 26262 中关于 FTA 的
说明及要求　390
11.4　FTA中的事件及其符号　392
11.4.1　底事件　 392
11.4.2　结果事件　392
11.4.3　特殊事件　393
11.4.4　FTA中的逻辑门及其
符号定义　393
11.4.5　FTA中的转移符号　395
11.5　FTA中的术语　397
11.5.1　模块与最大模块　397
11.5.2　割集与最小割集　398
11.5.3　径集与最小径集　399
11.5.4　单调故障树与非单调
故障树　401
11.5.5　重要度　403
11.6　FTA实施原则　404
11.6.1　划定边界和合理简化
架构图　404
11.6.2　故障事件严格定义　404
11.6.3　故障树应逐层推演　405
11.6.4　从上而下逐级建树　405
11.6.5　建树时不允许逻辑门
直接相连　406
11.6.6　妥善处理共因事件　406
11.7　FTA实施步骤　407
11.8　本章小结　408
第12章　故障树构建与分析　409
12.1　确定顶事件　410
12.2　确定子树　410
12.3　子树演绎　410
12.4　子树集成　414
12.5　故障树整理　415
12.5.1　目的　415
12.5.2　故障树规范化的基本
规则　415
12.5.3　故障树的简化与模块
分解　419
12.6　故障树定性分析　426
12.6.1　目的　426
12.6.2　求最小割集　426
12.6.3　故障树定性分析示例　428
12.7　本章小结　433
第13章　FMEA与FTA融合分析　434
13.1　FMEA与FTA的区别与联系　434
13.2　FMEA与FTA的融合　436
13.2.1　前融合　437
13.2.2　后融合　437
13.2.3　双向融合　438
13.3　本章小结　440
第14章　FMEDA方法　441
14.1　FMEDA相关概念　441
14.1.1　FMEDA与FMEA　442
14.1.2　失效率　442
14.1.3　失效模式　443
14.1.4　安全机制　444
14.1.5　诊断覆盖率　444
14.1.6　安全状态　445
14.2　随机硬件故障的特征及
分类流程　445
14.2.1　单点故障特征　445
14.2.2　残余故障特征　446
14.2.3　可探测的双点故障特征　446
14.2.4　可感知的双点故障特征　447
14.2.5　潜在双点故障特征　447
14.2.6　安全故障特征　448
14.2.7　随机硬件故障分类流程　448
14.3　FMEDA输入输出信息　448
14.4　FMEDA 的相关要求　449
14.5　FMEDA方法应用　450
14.5.1　FMEDA五步法　450
14.5.2　FMEDA示例　451
14.6　本章小结　456
第15章　DFA方法　457
15.1　为什么要实施DFA　457
15.2　DFA与其他安全分析方法
之间的关系　459
15.3　DFA实施的相关要求　460
15.4　DFA六步法　461
15.5　本章小结　469
第16章　ASIL等级分解　470
16.1　ASIL 等级分解相关概念
及要求　470
16.1.1　ASIL 等级分解的概念　471
16.1.2　ASIL等级分解要求　472
16.2　ASIL等级分解的目的　473
16.3　ASIL等级分解原理　474
16.3.1　ASIL等级分解的数学
原理　475
16.3.2　ASIL等级分解要点　476
16.4　ASIL 等级分解实践　477
16.5　本章小结　479
后记　480