ISO 26262-1-2018 中文版 道路车辆 - 功能安全 第 1 部分：术语

ISO26262-1:2018中文版道路车辆—功能安全第1部分：术语前言本标准为ISO26262系列标准的第1部分，对应国际标准ISO26262-1:2018《Roadvehicles—Functionalsafety—Part1:Vocabulary》，本中文版为等同采用该国际标准的中文翻译版本，无技术性差异，仅对国际标准中的术语进行中文适配翻译，确保术语定义的准确性、一致性和专业性。ISO26262系列标准是国际标准化组织（ISO）针对道路车辆电气电子（E/E）系统功能安全制定的专项标准，源于IEC61508系列标准的汽车行业适配与优化，旨在为道路车辆安全相关E/E系统的全生命周期提供系统化、可追溯、可验证的功能安全开发与管理框架，降低因E/E系统故障导致的车辆安全风险。本部分作为系列标准的基础模块，专门规定了道路车辆功能安全领域的核心术语和定义，为ISO26262系列其他所有部分（第2至第9部分）的实施提供统一的术语基准，避免术语歧义，确保系列标准内部的一致性，同时为汽车整车企业、零部件供应商、检测机构、认证机构等相关方提供统一的沟通与执行依据。本标准发布于2018年12月，正式实施日期与发布日期一致，替代了2011年发布的ISO26262-1:2011版本。与2011版相比，本版本在术语覆盖范围、定义准确性、表述规范性等方面进行了修订和完善，新增了适配汽车智能化、网联化发展趋势的相关术语，补充了ASIL分解、可配置软件等相关术语的细化定义，删除了已过时或与系列标准其他部分重复的术语，使术语体系更贴合当前道路车辆功能安全的发展需求。本标准的实施，对于规范道路车辆功能安全领域的术语使用、统一行业认知、推动ISO26262系列标准的全面落地具有重要意义。国内相关标准GB/T34590.1-2022《道路车辆功能安全第1部分：术语》修改采用本标准，进一步推动了我国汽车功能安全领域与国际标准的接轨，为国内汽车行业的功能安全合规提供了统一的术语支撑。1范围本标准规定了道路车辆安全相关电气电子（E/E）系统功能安全领域的核心术语和定义，适用于ISO26262系列标准的所有部分，同时适用于道路车辆安全相关E/E系统的概念阶段、开发阶段、生产阶段、运行阶段、服务阶段和退役阶段的所有相关活动，包括但不限于功能安全管理、风险评估、系统开发、硬件开发、软件开发、验证、确认、测试等。本标准适用于包含一个或多个E/E系统、安装在批量生产道路车辆（不包括轻便摩托车）中的安全相关系统，不适用于特种车辆中独特的E/E系统（如为残疾驾驶员设计的专用E/E系统），也不适用于非道路车辆（如工程机械、农业机械等）的E/E系统。本标准定义的术语仅适用于功能安全领域，不涉及道路车辆的机械安全、主动安全、被动安全等非E/E系统相关的术语，也不涉及与E/E系统故障行为无直接关联的危险（如电击、火灾、毒性等）相关的术语。本标准中的术语可作为汽车行业内相关方沟通、文档编制、测试认证、技术研发等活动的统一依据，确保各项工作的一致性和准确性。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件；凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。IEC61508-1:2010电气/电子/可编程电子安全相关系统的功能安全第1部分：一般要求IEC61508-2:2010电气/电子/可编程电子安全相关系统的功能安全第2部分：电气/电子/可编程电子系统的要求IEC61508-3:2010电气/电子/可编程电子安全相关系统的功能安全第3部分：软件要求ISO26262-2:2018道路车辆—功能安全第2部分：功能安全管理ISO26262-3:2018道路车辆—功能安全第3部分：概念阶段ISO26262-4:2018道路车辆—功能安全第4部分：产品开发at系统层面ISO26262-5:2018道路车辆—功能安全第5部分：产品开发at硬件层面ISO26262-6:2018道路车辆—功能安全第6部分：产品开发at软件层面ISO26262-7:2018道路车辆—功能安全第7部分：生产、运行、服务和退役ISO26262-8:2018道路车辆—功能安全第8部分：支持过程ISO26262-9:2018道路车辆—功能安全第9部分：ASIL导向与安全导向的开发3术语和定义下列术语和定义适用于本文件，同时适用于ISO26262系列其他所有部分。本标准未定义的术语，可参考IEC61508系列标准中的相关定义；若IEC61508系列标准也未定义，则应在具体应用场景中明确其含义，确保无歧义。3.1通用术语3.1.1道路车辆（RoadVehicle）：设计用于在道路上行驶的车辆，包括乘用车、商用车（卡车、客车、挂车等），不包括轻便摩托车、非道路车辆和特种车辆中独特的车辆类型。3.1.2电气电子系统（Electrical/ElectronicSystem，E/E系统）：由电气部件、电子部件、可编程电子部件及其互连组成的系统，用于实现道路车辆的特定功能，包括硬件和软件两部分。3.1.3安全相关系统（Safety-RelatedSystem）：其故障或失效可能导致人员伤亡、财产损失或环境破坏的系统，本标准中特指道路车辆中与安全相关的E/E系统。3.1.4组件（Component）：构成E/E系统的基本单元，可分为硬件组件和软件组件，具备独立的功能，可单独设计、实现、测试和替换，例如传感器、控制器、执行器、软件模块等。3.1.5功能（Function）：E/E系统或组件为实现预设目标而执行的特定操作或一系列操作，例如制动功能、转向功能、灯光控制功能等。3.1.6系统生命周期（SystemLifecycle）：E/E系统从概念提出、设计、开发、生产、运行、服务到退役的全过程，每个阶段均需遵循功能安全相关要求。3.1.7项目（Project）：为实现特定的安全相关E/E系统开发目标而开展的一系列有组织、有计划的活动，涵盖系统生命周期的全部或部分阶段。3.2功能安全基础术语3.2.1功能安全（FunctionalSafety）：避免因E/E系统的功能故障而导致的不合理风险的安全，即E/E系统在正常运行和故障情况下，均能确保车辆行驶安全，不引发危险事件。3.2.2危险（Hazard）：可能导致人员伤亡、财产损失或环境破坏的潜在状态或事件，对于道路车辆E/E系统，危险通常源于系统的功能故障，例如“制动系统失效导致车辆无法减速”即为一种危险。3.2.3危险事件（HazardousEvent）：由E/E系统功能故障引发的、可能导致危险发生的特定事件，是危险的具体表现形式，例如“高速行驶时制动系统突然失效”即为危险事件。3.2.4风险（Risk）：危险事件发生的可能性与该事件造成的严重程度的组合，风险的高低取决于危险事件的发生概率和危害程度，风险可通过风险评估进行量化和分级。3.2.5安全目标（SafetyGoal）：为实现功能安全而设定的最高级别的安全要求，用于明确“避免何种危险”，是功能安全开发的核心目标，每个安全目标均对应一个或多个危险事件，例如“避免因制动系统失效导致的车辆碰撞”。3.2.6技术安全概念（TechnicalSafetyConcept）：将安全目标转化为可实现的技术要求的概念性方案，明确安全目标对应的系统级安全功能、故障检测与处理机制、系统架构设计原则等，是连接安全目标与具体开发工作的桥梁。3.2.7安全需求（SafetyRequirement）：为实现安全目标和技术安全概念而提出的具体要求，分为系统级安全需求、硬件安全需求和软件安全需求，明确系统、硬件、软件需具备的功能和性能，确保危险事件不发生或降低其风险。3.2.8合理性（Reasonableness）：在功能安全领域，指风险降低到社会可接受的水平，即通过实施功能安全措施，将危险事件的风险降低至合理可行的最低水平，无需追求绝对安全。3.3ASIL相关术语3.3.1汽车安全完整性等级（AutomotiveSafetyIntegrityLevel，ASIL）：用于衡量安全相关E/E系统所需安全完整性的等级，反映系统对风险降低的要求程度，分为ASILA、ASILB、ASILC、ASILD四个等级，其中ASILA为最低等级，ASILD为最高等级，等级越高，系统开发、验证、管理的严格程度越高。3.3.2ASIL等级确定（ASILDetermination）：通过危险分析与风险评估，根据危险事件的严重度、暴露率和可控性三个因子，确定安全目标对应的ASIL等级的过程，三个因子的组合决定了ASIL等级的高低。3.3.3严重度（Severity）：危险事件发生后对人员、财产或环境造成危害的程度，分为不同等级，通常分为轻微、中等、严重、致命四个级别，是确定ASIL等级的核心因子之一。3.3.4暴露率（Exposure）：人员或环境暴露在危险事件可能发生的场景中的概率，即危险事件发生的可能性，分为不同等级，是确定ASIL等级的核心因子之一。3.3.5可控性（Controllability）：驾驶员或其他涉险人员能够避免危险事件造成危害的可能性，分为不同等级，可控性越低，ASIL等级越高，是确定ASIL等级的核心因子之一。3.3.6ASIL分解（ASILDecomposition）：将一个高等级ASIL（如ASILD）的安全需求分解为多个低等级ASIL（如ASILC和ASILA）的子需求的过程，分解后的子需求需满足独立性要求，避免共因失效，从而降低开发难度和成本，同时确保整体安全目标的实现。3.3.7独立性（Independence）：ASIL分解后，各个子需求对应的组件或模块之间不存在共因失效和级联失效的状态，即一个组件或模块的故障不会导致另一个组件或模块的故障，是ASIL分解的核心要求。3.3.8质量管理（QualityManagement，QM）：当危险事件的风险极低，无需通过功能安全措施进行风险降低，仅需按照常规质量管理体系进行开发和控制即可满足安全要求的等级，不属于ASIL等级，适用于非安全相关功能或风险可忽略的功能。3.4故障与失效相关术语3.4.1故障（Fault）：E/E系统或组件中存在的缺陷或异常，是导致失效的根本原因，分为硬件故障和软件故障，例如硬件的元器件损坏、软件的代码缺陷等。3.4.2失效（Failure）：E/E系统或组件无法正常执行其预设功能的状态，是故障的表现形式，例如传感器无法采集数据、执行器无法响应控制信号等。3.4.3功能故障（FunctionalFault）：导致E/E系统或组件的功能偏离预设要求的故障，可能引发危险事件，例如制动控制软件的逻辑故障导致制动功能异常。3.4.4共因失效（CommonCauseFailure）：由同一个原因导致多个组件或模块同时失效的现象，是ASIL分解中需重点避免的失效类型，例如电源故障导致多个控制器同时失效。3.4.5级联失效（CascadingFailure）：一个组件或模块的失效导致另一个组件或模块发生失效的现象，例如传感器失效导致控制器接收错误数据，进而导致执行器失效。3.4.6容错（FaultTolerance）：E/E系统或组件在存在故障的情况下，仍能维持其预设安全功能的能力，通过故障检测、故障隔离、冗余设计等措施实现，例如双冗余控制器设计，当一个控制器失效时，另一个控制器可正常工作。3.4.7故障检测（FaultDetection）：识别E/E系统或组件中存在的故障的过程，可通过硬件检测、软件检测等方式实现，例如通过自检程序检测传感器的故障。3.4.8故障隔离（FaultIsolation）：将故障限制在特定组件或模块内，防止故障扩散到其他组件或模块，避免引发级联失效的措施，例如通过隔离电路将故障传感器与控制器隔离。3.5开发与验证相关术语3.5.1验证（Verification）：通过检查、测试、分析等方式，确认E/E系统或组件的设计、实现是否符合预设的需求和规范的过程，确保“做对的事”，例如软件单元验证、系统集成验证等。3.5.2确认（Validation）：通过测试、仿真等方式，确认E/E系统或组件是否满足安全目标和实际使用需求的过程，确保“做对的事”，例如系统级确认测试、实车测试等。3.5.3测试（Testing）：通过执行E/E系统或组件的功能，观察其输出结果，验证其是否符合需求的方法，分为单元测试、集成测试、系统测试、嵌入式测试等多种类型。3.5.4静态分析（StaticAnalysis）：不执行E/E系统或组件的代码，通过工具或人工检查代码结构、语法、逻辑等，识别潜在故障的方法，主要用于软件单元验证阶段。3.5.5动态分析（DynamicAnalysis）：通过执行E/E系统或组件的代码，观察其运行状态和输出结果，验证其功能和性能是否符合需求的方法，包括测试、仿真等。3.5.6结构覆盖率（StructuralCoverage）：用于度量测试用例对软件代码的覆盖程度的指标，包括语句覆盖率、分支覆盖率、MC/DC（修改/判定条件覆盖率）等，是评估软件验证完整性的重要依据。3.5.7软件单元（SoftwareUnit）：软件架构中可独立设计、实现、测试的最小功能模块，是软件集成的基础单元，通常对应一个或多个函数、子程序或类。3.5.8软件集成（SoftwareIntegration）：将多个经过验证的软件单元按照软件架构设计的要求组合成完整软件系统的过程，同时进行集成测试，确保模块间接口兼容、数据交互正常。3.6支持过程相关术语3.6.1配置管理（ConfigurationManagement）：对E/E系统开发过程中的所有工作产品（需求文档、设计文档、代码、测试用例、测试报告等）进行版本控制、变更控制、存储管理的过程，确保工作产品的可追溯性和完整性。3.6.2变更管理（ChangeManagement）：对E/E系统开发过程中的所有变更（需求变更、设计变更、代码变更等）进行申请、评审、实施、验证的过程，确保变更不会引入新的故障，且不会影响安全目标的实现。3.6.3文档管理（DocumentationManagement）：对E/E系统开发过程中的所有文档进行编制、评审、归档、更新、查阅的过程，确保文档的准确性、完整性、规范性，为功能安全活动提供可追溯的依据。3.6.4质量保证（QualityAssurance）：对E/E系统开发过程的各个阶段进行监督和检查，确保开发过程符合ISO26262系列标准和企业内部规范，及时发现和纠正开发过程中的问题，保障产品质量。3.6.5工具资格认证（ToolQualification）：对E/E系统开发、测试过程中使用的工具（建模工具、编码工具、测试工具等）进行评估和认证，确保工具的可靠性和适用性，避免因工具故障导致软件或硬件缺陷。3.7其他关键术语3.7.1可配置软件（ConfigurableSoftware）：可通过参数配置、模块选择等方式适配不同应用场景或需求的软件，其配置过程需满足功能安全要求，确保配置结果的正确性和安全性。3.7.2冗余（Redundancy）：为提高E/E系统的可靠性和容错能力，设置多个功能相同或相似的组件或模块，当其中一个组件或模块失效时，另一个组件或模块可替代其工作的设计方式。3.7.3诊断覆盖率（DiagnosticCoverage）：通过故障检测措施能够检测到的故障占所有可能发生的故障的比例，是衡量故障检测能力的重要指标，ASIL等级越高，对诊断覆盖率的要求越高。3.7.4安全经理（SafetyManager）：负责监督E/E系统功能安全开发过程，确保开发过程符合ISO26262系列标准要求，协调解决功能安全相关问题，对功能安全目标的实现负责的人员。3.7.5安全评估（SafetyAssessment）：对E/E系统的功能安全符合性进行评估，确认系统是否满足安全目标、ASIL等级要求和ISO26262系列标准要求的过程，通常由独立的评估机构或人员执行。4附录A术语使用说明附录A旨在说明本标准中术语的使用规则，帮助相关方正确理解和应用术语，确保术语使用的一