ISO 26262中的“免于干扰”主要用于证明不同软件要素或安全相关要素共存时，一个要素的异常不会破坏另一个要素所承担的安全要求。它常见于不同ASIL等级软件共用处理器、内存和通信资源，以及安全分解后的独立性论证。围绕“ISO 26262怎么验证免于干扰，ISO 26262免于干扰分析需要检查哪些内容”，重点应放在干扰来源识别、防护机制和验证证据是否形成完整闭环。ISO 26262-6:2018专门在附录D讨论软件要素之间的免于干扰。

在汽车功能安全开发中，ASIL等级越高，对开发流程、验证深度和独立性的要求也越高。ISO 26262怎么进行ASIL分解，ISO 26262 ASIL分解后安全要求怎么分配，核心是通过架构冗余把高等级安全要求分配给相互独立的实现路径，同时保证原安全目标要求的安全完整性没有降低。ISO 26262-9专门规定了与ASIL相关的要求分解、元素共存和相关失效分析要求。

开展ISO 26262的接口分析，不能仅仅把它当成是对一张通信信号表格的整理。这里所说的接口，其范围要宽泛得多，它既包括了系统与外部车辆环境、传感器、执行器之间的那些连接，也涵盖了系统内部，也就是硬件、软件以及各个不同安全要素相互之间的数据交互、控制指令、电源供给以及时序上的配合关系。ISO 26262对于产品开发的要求，是贯穿了系统、硬件和软件这几个层面的，并且要通过安全导向的分析、配置管理以及变更管理，来形成一个能够闭合的环路。

ISO 26262软件安全需求，它处于技术安全设计与软件开发中间的位置，需要将分配给软件的那些安全职责，转变成能够去实现、测试和追踪的具体要求。这些需求既不能仅仅是“保证安全”“及时处理故障”这种模糊的说法，也不应该太早去限定函数和代码的结构。在编写的时候，需要将触发条件、预期行为、时间限制、异常处理和验证依据都写明白。

在讲ISO 26262的故障容错时间怎么去定，还有它的依据又要怎么去解释之前，有个地方得先想明白：这件事不是只写上一个毫秒级的数字就算是做完了。FTTI更像是一段留给安全机制去反应的时间窗口，从故障发生的那一刻算起，一直到车辆或者系统快要迈入危险状态的前夕，安全机制得靠着这段时间把问题处理掉。它和危险事件长什么样子、车辆跑在哪种运行场景里面、故障往前传导的速度快慢，还有诊断以及降级的能力都扭在一起，所以不能简简单单把它跟软件的任务周期画上等号。

在聊ISO 26262硬件架构指标怎么分解、薄弱环节又怎么去识别时，光盯着SPFM、LFM、PMHF最后那几个数字是不够的。硬件架构指标本身并不是为了一张漂漂亮亮的计算表，而是要借它去弄明白，随机的硬件失效会不会真的扰动安全目标，看看哪些失效已经被安全机制兜住了，哪些地方其实还残留着风险，又有哪些故障是可以悄悄潜伏很长时间的。在真实项目里，得把安全目标、硬件单元、失效模式、诊断覆盖率，还有验证的证据串到一块儿去看，这样做出来的分析结果才会有实际的意义。

在功能安全项目当中，依赖失效分析到底该怎样去开展，依赖失效的证据又该怎样去整理，这两样事情常常容易被做得不够扎实。它并不是把FMEA、FTA再拿出来重新做一遍，而是要判断系统里边那些原本希望相互独立的元素，会不会由于同一个原因一块儿失效，或者一个元素出了毛病之后又接着去影响另一个元素。就比方说主功能与监控功能之间、主通道跟冗余通道之间，还有做完ASIL分解之后的两个子元素之间，要是在实际的设计里共用了电源、通信链路、时钟、复位或者软件资源，那就不能简简单单地写上一句“相互独立”就交代过去了。

在功能安全开发中，降级策略要怎样去设计，和它配套的那些验证场景又要怎么去覆盖，这两块内容是比较容易被写得发虚的。降级策略不能只是轻飘飘的一句“故障后进入降级模式”，而是要交代清楚故障发生之后，系统用什么办法去限制风险，哪些功能还得继续保留，哪些功能必须完全退出，驾驶员在什么时候应该接手，以及后面靠哪些测试来证明这套办法确实有用。只有把设计、验证和证据这几个环节串在一块儿，降级策略才算真正地落了地。

在聊ISO 26262的安全状态该怎么定义、切换条件该如何确定之前，有个误区需要先提一下：安全状态并不是故障后把功能关掉那么简单。车辆还在行驶的时候，转向、制动、动力输出这类功能要是忽然退出了，驾驶员不一定能马上适应过来，整车反而可能冒出新的风险。ISO 26262这个标准本来就是面向道路车辆安全相关电子电气系统的功能安全开发，其中2018版的第3部分对应的是概念阶段，里面会牵涉到项目定义、HARA这些东西，安全状态通常也得顺着危害场景往下定。

在功能安全的前期，Item定义到底该怎么写，Item边界又该怎么去划分，这一步经常让人卡住。Item定义不是给系统写一段普普通通的介绍，更不是把控制器、传感器、执行器拉一张清单就算完事；它真正要去说明的，是当前要分析的那项车辆功能到底是什么，这个功能需要依赖哪些对象，以及边界内外怎样互相交换信息。ISO 26262-3:2018覆盖的是概念阶段，其中包含了Item Definition、危害分析与风险评估、功能安全概念等内容；而ISO 26262这个标准本身关注的，是安全相关电子电气系统因异常行为造成的危害，也包含系统之间交互带来的影响。