选用车规微控制器时，项目组常能拿到一份安全手册，里面会写明哪些诊断要启用，故障信号由谁接收，以及外部电路要做什么。比如，芯片能在故障时发出告警，但供应商的设计前提是外部电路收到告警后会关闭驱动输出。到了具体车型，这个前提就得落到图纸、配置和试验结果上。SEooC讲的是这类安全相关要素如何在具体应用确定之前开展开发，使用假设则说明后续项目要兑现哪些条件。

　　一、ISO 26262中的SEooC是什么

　　SEooC是Safety Element out of Context的缩写，指脱离特定相关项开发的安全相关要素。“相关项”对应ISO 26262中的item。微控制器、软件组件、电子控制单元等都可以按这种方式开发，开发时先假定将来会承担哪些安全要求、接入什么样的系统，以及系统会为它提供哪些外部措施。

　　1、看清供应商交付的安全能力

　　同一款器件可能有多种安全用法。即使型号相同，启用的诊断、外部接线和故障处理方式也可能随用法变化，选型时要对着项目准备采用的方案看资料。

　　①取得对应型号和修订版的【安全手册】，核对适用的硬件版本、软件版本以及相关配置限制。

　　②找到【安全用例】和【使用假设（AoU）】，标记本项目会用到的功能。把手册中要求启用的诊断、要接出的故障信号和外部处理条件记下来。

　　③对照项目的【系统架构图】，标出器件自身能完成的动作，以及电路、应用软件或其他控制器接手的动作。

　　2、判断安全能力能否用在本项目

　　①从【技术安全要求】里找到拟分配给该要素的要求，核对功能、适用的运行模式、响应时限和汽车安全完整性等级（ASIL）。

　　②查阅【安全手册】及随附的安全评估资料，确认项目采用的用法是否落在评估范围内。项目若只启用部分诊断，同时核查已启用的机制能否支撑分配给该要素的要求。

　　供应商声明的ASIL能力有对应的使用条件。比如，手册把外部关断电路算作安全措施的一环，集成方就要交代这段电路如何接入、何时动作。项目的安全结论还取决于这些措施在整套系统中能否配合起来。

　　二、ISO 26262中SEooC的使用假设怎么验证

　　验证时可以从一条原始假设出发，找到实际设计中的落点，再给出能复核的证据。以“外部电路收到芯片故障信号后关闭驱动输出”为例，原理图能证明信号接到了哪里，台架记录才能说明驱动何时关断。

　　1、逐条写明项目如何满足假设

　　①在【使用假设核对表】中保留手册版本、条款编号和原文，把适用条款关联到项目需求，并写明由谁落实和验证。

　　②对照【原理图】和【接口说明】，确认故障信号接到了哪个部件，记录有效电平、接收端和输出关断路径。若该措施依赖软件配置，再核对待交付版本中的【诊断配置】。

　　③在【集成测试规格】里明确试验条件和通过判据，包括在哪些运行模式下试验、观察哪个输出，以及以哪两个事件之间的间隔作为响应时间。

　　④对判定不适用的条款，在【核对表】中记录具体理由，并回查项目的安全分析是否引用了这项条款所对应的安全机制或诊断覆盖。

　　2、实测故障信号到输出关断的时间

　　手册给外部电路的时限和项目给整条链路的时限，计时起点可能不同。外部电路的响应从告警信号出现时开始看，端到端响应还要计入芯片发现故障所花的时间。

　　①在【集成试验台架】上使用与验证对象一致的硬件、软件和诊断配置，按批准的试验方案模拟相应故障。

　　②同步记录【故障触发】、【故障信号变化】和【驱动输出关断】三个事件。核对实际驱动输出是否进入规定状态。

　　③按【集成测试规格】分别计算外部电路响应时间和端到端响应时间，与各自的限值比较。保存波形、测试条件和版本信息，并把结果关联到对应的使用假设。

　　三、SEooC使用假设不满足时怎么处理

　　有些差异在画原理图时就能发现，有些要等到台架上才看得出来。比如原方案要求故障信号直接触发外部关断，项目却改成由软件读到告警后再发关断指令。这项改动是否可接受，要看它对安全要求和故障处理链路有什么影响。

　　1、评估差异，再决定怎么处理

　　①在【问题记录】中并列写下原假设和实际方案，说明差异发生在电路、接口、软件配置还是运行条件上。

　　②在【变更影响分析】中追溯受影响的安全要求和安全目标。若新方案由软件处理告警，要检查软件失去调度或处理器异常时，关断是否还能完成。若差异涉及硬件故障覆盖，同步检查相关安全分析和指标。

　　③将评审结论写入【变更记录】。有证据证明差异可接受时，保留判断依据。需要改设计、调整安全要求或更换元件时，更新受影响的工作成果，并按变更范围重新验证。

　　一种替代方案在正常运行时可以完成关断，遇到处理器故障时却可能失去这条路径。评审时要把故障状态也算进去，尤其要核对替代措施是否仍能处理原方案负责的故障。

　　2、换件或改版后找出要重验的条款

　　①在【验证记录】里写明已验证的器件修订版、控制器硬件版本、软件版本和关键配置。若同一平台有多种量产配置，标注证据覆盖了哪些配置。

　　②更换器件、修改诊断周期或调整关断电路后，在【使用假设核对表】中定位受影响的条款。逐项确认原证据能否沿用，把需要补做的设计核查、时序分析和试验纳入变更验证。

　　总结

　　SEooC能否用于某个项目，要看它的安全能力能不能在实际系统里兑现。评审时，拿出一条使用假设，顺着它找到对应的电路或软件配置，再找到能说明问题的试验或分析记录，这条证据链就清楚了。碰到换料或改版，也可以沿着同一条链判断哪些结论还能沿用，哪些得重新确认。