根據(jù)標(biāo)準(zhǔn) ISO 26262，對(duì)安全相關(guān)系統(tǒng)進(jìn)行設(shè)計(jì)時(shí)，首先要對(duì)系統(tǒng)進(jìn)行危害分析和風(fēng)險(xiǎn)評(píng)估，以確定安全目標(biāo)和相應(yīng)的汽車安全完整性等級(jí)（ASIL），然后將 ASIL 等級(jí)分配到系統(tǒng)的組件上。由于成本、時(shí)間、技術(shù)上的限制等原因需要降低 ASIL 等級(jí)時(shí)，應(yīng)考慮組件冗余，進(jìn)行 ASIL 分解。本文以一些實(shí)際的例子介紹了標(biāo)準(zhǔn) ISO 26262 中的 ASIL 等級(jí)確定方法和分解原則。

　　汽車上電子/電氣系統(tǒng)（E/E）數(shù)量不斷的增加，一些高端豪華轎車上有多達(dá) 70 多個(gè) ECU （Electronic Control Unit 電子控制單元），其中安全氣囊系統(tǒng)、制動(dòng)系統(tǒng)、底盤控制系統(tǒng)、發(fā)動(dòng)機(jī)控制系統(tǒng)以及線控系統(tǒng)等都是安全相關(guān)系統(tǒng)。當(dāng)系統(tǒng)出現(xiàn)故障的時(shí)候，系統(tǒng)必須轉(zhuǎn)入安全狀態(tài)或者轉(zhuǎn)換到降級(jí)模式，避免系統(tǒng)功能失效而導(dǎo)致人員傷亡。失效可能是由于規(guī)范錯(cuò)誤（比如安全需求不完整）、人為原因的錯(cuò)誤（比如：軟件 bug）、環(huán)境的影響（ 比如：電磁干擾）等等原因引起的。為了實(shí)現(xiàn)汽車上電子/電氣系統(tǒng)的功能安全設(shè)計(jì)，道路車輛功能安全標(biāo)準(zhǔn) ISO 26262［1］于 2011 年正式發(fā)布，為開(kāi)發(fā)汽車安全相關(guān)系統(tǒng)提供了指南，該標(biāo)準(zhǔn)的基礎(chǔ)是適用于任何行業(yè)的電子/電氣/可編程電子系統(tǒng)的功能安全標(biāo)準(zhǔn) IEC 61508。