功能安全与行业标准

ISO 26262是关于道路车辆电气和电子系统功能安全的国际标准。该标准第二版于2018年发布，适用于轿车、卡车、公交车、专用车辆和摩托车。

每个开发项目均以危害分析与风险评估（HARA）为起点，据此确定安全相关功能所对应的汽车安全完整性等级（ASIL）。ASIL等级从A级（残余风险最低）到D级（残余风险最高），其中非安全相关软件仅需满足QM（质量管理）要求。

验证要求随ASIL等级而增加。在ASIL D级别，必须满足语句、分支以及MC/DC覆盖率要求，同时还需实现双向需求可追溯性和结构化单元测试。在较低的ASIL级别，覆盖率标准和方法建议会逐步放宽。

DO-178C《机载系统和设备认证中的软件考量》是批准基于商业软件的航空航天系统的主要标准。该标准由RTCA和EUROCAE联合发布，于2012年取代DO-178B。

DO-178C将开发保证级别（DAL）划分为从A级（灾难性故障后果）到D级（轻微后果）。开发过程的核心是基于需求的方法，从高级需求和低级需求开始，贯穿源代码、可执行目标代码以及测试用例、测试程序和测试结果，实现全面的双向可追溯性。

A级软件要求对所有决策实现MC/DC覆盖。这是所有标准中最为严苛的结构覆盖要求之一，也是VectorCAST的MC/DC自动化功能的核心驱动力。

IEC 61508是可编程电子系统功能安全的基础性国际标准。该标准适用于包括工厂控制系统、化工厂过程自动化以及任何其他未被行业特定标准涵盖的安全相关可编程系统在内的工业应用。

IEC 61508由七个部分组成。第3部分涵盖软件需求，并定义包括确认和验证在内的软件安全生命周期。该标准定义从SIL 1到SIL 4的安全完整性等级。在SIL 2及以上级别，强烈建议使用经过认证的工具；而在SIL 3和SIL 4级别，为确保实际合规，使用经过认证的工具实际上已成为强制要求。

IEC 61508也是ISO 26262、EN 50716以及其他若干行业特定标准的基础。

IEC 62304规范医疗器械的软件生命周期过程。该标准将软件组件分为三个安全等级：A级（不会造成伤害或损害）、B级（可能造成非严重伤害）和C级（可能造成严重伤害或死亡）。

验证要求随安全等级的提高而增加。C级软件需要最严格的验证活动，包括带有结构覆盖率测量和需求可追溯性的单元测试。任何可能影响患者安全的软件组件都必须予以识别、分类并进行相应的验证。

EN 50716:2023规范铁路应用中安全关键型电子系统的软件，取代EN 50128:2011和EN 50657:2017。该标准基于IEC 61508制定，并针对铁路信号、控制、保护及机车车辆应用的具体要求进行调整。软件完整性等级（SIL）从SIL 0到SIL 4。在SIL 4级别下，必须进行MC/DC覆盖。

IEC 60880:2006适用于核电站中执行A类安全功能的基于计算机的仪表和控制系统软件。该标准涵盖所有软件生命周期活动的要求，其适用范围与IEC 61508第3部分相似。验证需求包括基于需求的测试、结构覆盖率测量（包括MC/DC），以及贯穿整个软件生命周期的可追溯性记录。