隨著汽車、工業(yè)設備日益智能化、網(wǎng)聯(lián)化，功能安全與信息安全之間的界限變得模糊，二者的融合與協(xié)同已成為確保系統(tǒng)整體安全的關鍵。本文將深入探討以ISO 26262為代表的功能安全標準解決了哪些核心問題，對比其在汽車領域與工業(yè)領域（ISO 13849）的異同，并分析其在網(wǎng)絡與信息安全軟件開發(fā)中的挑戰(zhàn)與應用。
一、ISO 26262功能安全：解決什么問題？
ISO 26262《道路車輛功能安全》是汽車電子電氣系統(tǒng)安全領域的國際標準。它旨在解決由電子電氣系統(tǒng)故障（包括硬件隨機故障和系統(tǒng)性故障）導致的不合理風險，確保車輛在發(fā)生故障時能進入或維持安全狀態(tài)，從而避免人身傷害。其核心解決的問題包括：
- 系統(tǒng)性風險控制：通過嚴格的V模型開發(fā)流程、需求管理、配置管理等，確保在開發(fā)過程中避免引入錯誤（如設計缺陷、軟件bug）。
- 硬件隨機故障管理：通過量化指標（如單點故障度量、潛在故障度量）、故障模式與影響分析（FMEA）、故障樹分析（FTA）等技術，評估和控制硬件隨機失效帶來的風險。
- 安全生命周期管理：為從概念階段到報廢的整個產(chǎn)品生命周期，提供一套完整的安全管理框架，明確各階段活動、職責和交付物。
- 汽車安全完整性等級（ASIL）：根據(jù)危害事件的嚴重度、暴露率和可控性進行風險分級（ASIL A到D，D為最高），并據(jù)此確定所需的安全要求和驗證嚴格度。
- 功能安全文化建立：推動組織建立以安全為導向的流程、文化和能力。
簡言之，ISO 26262的核心是應對“非惡意”的故障和失效，確保系統(tǒng)在“失效”情況下的行為安全。
二、ISO 26262 與 ISO 13849 對比：汽車與工業(yè)的功能安全
ISO 13849《機械安全 控制系統(tǒng)的安全相關部件》是廣泛應用于工業(yè)機械領域的安全標準。兩者同屬功能安全范疇，但側重點和應用領域不同：
| 對比維度 | ISO 26262 (道路車輛) | ISO 13849 (工業(yè)機械) |
| :--- | :--- | :--- |
| 核心目標 | 避免由E/E系統(tǒng)故障導致的人身傷害。 | 確保機械控制系統(tǒng)安全相關部件在發(fā)生故障時能提供所需的安全功能。 |
| 風險分類方法 | ASIL (Automotive Safety Integrity Level)，基于S/E/C三要素。 | PL (Performance Level)，基于風險圖的評估（S/F/P）。 |
| 量化指標 | 對硬件有嚴格的隨機硬件失效概率量化指標（如PMHF）。 | 更側重于通過架構類別（Category）、診斷覆蓋率（DC）、平均危險失效時間（MTTFd）等綜合確定PL。 |
| 覆蓋范圍 | 專注于電子電氣（E/E）系統(tǒng)，包括軟硬件。 | 涵蓋電氣、液壓、氣動、機械等所有類型的安全相關控制系統(tǒng)部件。 |
| 開發(fā)流程 | 高度結構化、文檔化的V模型，與汽車軟件過程（如ASPICE）結合緊密。 | 流程相對靈活，更側重于安全功能實現(xiàn)和驗證，對具體開發(fā)模型規(guī)定不如ISO 26262嚴格。 |
| 應用焦點 | 應對復雜、集成的汽車電子系統(tǒng)中的系統(tǒng)性及隨機硬件故障。 | 應對工業(yè)環(huán)境中相對獨立、功能明確的安全控制回路故障。 |
核心區(qū)別：ISO 26262更深度地融入了現(xiàn)代復雜電子系統(tǒng)的開發(fā)理念，尤其對軟件和硬件的系統(tǒng)性開發(fā)與驗證要求極高；而ISO 13849更“工程化”，為多種技術實現(xiàn)安全功能提供了靈活框架。對于同時涉及兩個領域的供應商（如為工程車輛提供控制器），可能需要同時滿足或協(xié)調(diào)兩者要求。
三、網(wǎng)絡與信息安全軟件開發(fā)的融合挑戰(zhàn)
當系統(tǒng)聯(lián)網(wǎng)后，面臨的威脅從“隨機故障”擴展到了“惡意攻擊”。傳統(tǒng)的功能安全（如ISO 26262）假設組件是“失效的”，而信息安全（如ISO/SAE 21434）假設組件可能是“被攻陷的”。這給軟件開發(fā)帶來了全新挑戰(zhàn)：
- 安全目標的沖突與協(xié)調(diào)：功能安全要求在某些故障下進入安全狀態(tài)（如關閉系統(tǒng)或降級運行），而信息安全要求保證服務的可用性和完整性，防止拒絕服務攻擊。兩者目標可能沖突，需要在架構設計早期進行權衡分析（Security & Safety Co-Analysis）。
- 開發(fā)流程的融合：信息安全需要貫穿整個生命周期（如ISO/SAE 21434定義的CSMS），包括威脅分析與風險評估（TARA）、安全需求定義、安全編碼、滲透測試等。這需要與ISO 26262的安全生命周期進行有機整合，避免流程冗余和需求矛盾。
- 架構設計的影響：需要采用既能容錯又能防御的架構。例如，引入安全隔離機制（如硬件隔離、虛擬機監(jiān)控程序）以確保一個區(qū)域的被攻陷不會直接影響功能安全關鍵區(qū)域；但同時要評估這些機制自身的可靠性和對實時性的影響。
- 軟件具體實踐：
- 安全需求：在功能安全需求（FSR）基礎上，必須明確增加網(wǎng)絡安全需求（Cybersecurity Requirements），如認證、加密、入侵檢測等。
- 設計與實現(xiàn)：采用安全的編碼規(guī)范（如MISRA C:2012/2023已增加安全指南）、進行代碼安全靜態(tài)/動態(tài)分析、管理第三方軟件物料清單（SBOM）以識別漏洞。
- 驗證與確認：功能安全的測試（如故障注入測試）需與信息安全的測試（如模糊測試、滲透測試）相結合。需要驗證在遭受攻擊場景下，安全機制是否有效，且功能安全狀態(tài)是否仍能得到保證。
- 運營與響應：軟件需支持安全更新（OTA），并具備事件檢測與日志記錄能力，以響應持續(xù)的安全威脅，這超出了傳統(tǒng)功能安全“出廠即固定”的范圍。
結論
ISO 26262成功解決了復雜汽車E/E系統(tǒng)在應對內(nèi)部故障時的功能安全問題，而ISO 13849為工業(yè)機械提供了實用的安全控制框架。在智能網(wǎng)聯(lián)時代，僅關注功能安全已不足夠。未來的安全關鍵軟件開發(fā)，必然是 “功能安全（Safety）” 與 “信息安全（Security）” 的深度融合。開發(fā)者必須在系統(tǒng)架構、需求工程、開發(fā)流程和驗證測試各個層面，同步考慮失效與攻擊兩種威脅模型，構建真正意義上 “既可靠又抗攻擊” 的韌性系統(tǒng)。這要求組織不僅建立功能安全文化，還需培育深厚的信息安全能力，并采用能支持兩者協(xié)同的工程方法和工具鏈。
