座椅占用传感器如何对接 ISO 26262：供应商接口、诊断与安全证据边界

先从整车功能和 item 边界判断传感器扮演什么角色

判断座椅占用传感器是否进入功能安全开发，先问三个问题：整车 item 是什么，传感信号支持哪项安全功能，信号错误会怎样影响该功能。ISO 26262-3:2018 的公开范围把 item 定义、危害分析与风险评估、功能安全概念放在概念阶段；这说明安全要求应从 item 和危害路径向下展开，而不是从一个零件名称向上猜测 ASIL。ISO 26262-3:2018 官方页面

同一种感应垫可能输出原始量，也可能与控制器组成带诊断的子系统。有人检测、安全带提醒和乘员分类的输入与故障后果不同；项目可先核对有人检测与乘员分类的边界，再识别安全相关信号。

整车 item—座椅系统—控制器—传感组件安全边界图（表格版）

安全完整性声明必须限定对象、假设和证据范围。传感器可作为独立安全元素（Safety Element out of Context，SEooC）按假设安全要求开发；了这种方法及其与技术安全概念、FMEDA 的联系。SAE 2015-01-0234 这不等于未定义架构的感应垫可贴通用 ASIL 标签。

项目启动输入至少包括 item、功能链、分配的安全要求与 ASIL、使用假设、外部安全机制、故障后行为和接口责任。缺项应标为待确认，不用产品目录补空白。

系统安全目标怎样转成传感器接口和技术安全要求

系统安全目标只有转成可测的接口行为，供应商才能交付证据。ISO 26262-4:2018 的公开范围覆盖技术安全要求、技术安全概念、系统架构、item 集成测试和安全验证，因此传感组件接口至少要说明“输出什么、在什么条件下有效、错误如何暴露、由谁响应、怎样验证”。ISO 26262-4:2018 官方页面

“传感器应可靠”或“支持 ASIL B”不可验证。要求应绑定唯一 ID、来源、配置、测量点、时间条件和验收方法；电气范围、采样、阈值与反应时间均来自项目安全分析，不设通用值。

安全要求—接口信号—故障模式—诊断—验证追溯矩阵（项目模板）

当安全工作产品跨 OEM、Tier 1、控制器和传感供应商边界时，应建立受控的功能安全开发接口协议（Development Interface Agreement，DIA）或客户认可的等效协议。ISO 26262-8:2018 的公开范围涵盖分布式开发接口、安全要求、配置、变更、验证和文档管理。ISO 26262-8:2018 官方页面

RACI 只是起点，DIA 还要指定故障模型、注入点、覆盖计算、时间测量、偏差处置和原始记录的责任。控制器接口可结合座椅传感器接入控制器的方法细化，参数仍以受控规范为准。

开路、短路、漂移、冻结与误判怎样进入故障模型

故障模型要连接物理原因、接口表现、系统影响和检测机制。只列开短路会漏掉漂移、冻结、间歇、共同原因和“电气有效但语义错误”的误判；误判也可能来自安装、泡棉、算法或其他输入。

FMEA、FTA 或 FMEDA 的选用和深度由安全计划决定。ISO 26262-9:2018 的公开范围包括相关失效与安全分析；多通道若共享供电、公共地、泡棉区域或算法，不能默认独立。ISO 26262-9:2018 官方页面

每个故障模式应有唯一编号、位置、持续/间歇属性、检测前提、传播路径和残余影响。维修诊断码、故障定位与安全机制有效性不是同一件事。

具体电气现象可参考座椅传感器开路、短路与漂移的分层排查。功能安全验证须在受控环境使用批准夹具；不提供安全系统旁路、欺骗检测、拆除报警或维修绕过方法。

诊断覆盖、故障反应时间和安全状态需要哪些证据

有诊断机制不等于已经证明诊断覆盖。ISO 26262-5:2018 的公开范围包括硬件安全要求、硬件设计、硬件架构度量、随机硬件失效导致安全目标违背的评估，以及硬件集成与验证。ISO 26262-5:2018 官方页面 因此“支持开短路检测”至少还要回答：覆盖哪组失效模式、在哪些条件有效、检测点在哪里、遗漏哪些故障、反应是否在系统时间预算内。

诊断覆盖声明须有失效率分解或项目认可分析，不能用测试通过率替代。若缺少计算边界、故障清单、排除理由和原始注入结果，该声明就是未证实输入。

系统方应从安全目标确定端到端时间窗口，再分配给传感建立、采样、诊断、通信和执行。报告须记录触发基准、时间同步、分辨率、误差、样件与配置；数值由项目确认。

安全状态不是固定答案。默认有人、无人、保留状态或输出未知，对不同功能可能后果相反。组件方可保证接口进入已定义输出；系统方须基于危害分析证明最终响应安全。

故障注入可核查机制触发、故障传播和观察点；同行评审研究也将其用于 ISO 26262 语境下的诊断覆盖评估，但方法充分性仍需项目评审。Electronics 2020, 9(5), 732 普通开短路测试或质量证书不能替代系统安全论证。

图纸、BOM、软硬件版本、异常和变更怎样受控

功能安全证据必须绑定配置。ISO 26262-8:2018 把配置、变更、验证和文档管理列入支持过程；图纸、物料清单（BOM）、软硬件、参数、生产测试、工具和样件编号都要能还原受测实现。

材料或参数变更会改变信号链。导电层、胶层、间隔结构、尾端、泡棉或预压可能影响灵敏度、迟滞、漂移和失效模式；滤波、阈值、去抖和校准会改变误判、诊断与反应时间。应沿安全要求做影响分析。

组件供应商安全证据包与变更通知清单

变更通知须说明原因、料号/版本、影响批次、兼容性、安全要求关系、已验证和待补项。供应商更新证据；系统安全负责人决定接受范围或补验证。偏差、确认措施和独立性按安全计划执行。

质量体系证书或部件尺寸、电气、环境、耐久结果，都不能证明某配置满足整车安全目标。评估形态与接口时，可从受控的汽车座椅占用传感器产品线资料开始，再由项目要求确定证据深度。

从故障注入到整车集成的安全证据怎样交接

证据交接要让每条分配要求从安全目标追溯到组件、诊断、故障注入、座椅和整车验证。ISO 26262-2:2018 覆盖组织与项目层功能安全管理；系统级开发还包括 item 集成和安全验证。ISO 26262-2:2018 官方页面

交接包须声明料号、版本、参数、样件/座椅配置、要求 ID、ASIL 分配、假设、测试条件、误差、偏差、原始数据位置和评审状态。诊断覆盖、反应时间或独立性跨出边界后须重新证明。

项目放行前可用以下设计检查表收口：

• [ ] item、安全目标、ASIL 和适用 ISO 26262 版本已批准。
• [ ] 组件要求有 ID、接口、配置、准则和责任人。
• [ ] 开路、短路、漂移、冻结、间歇、误判及相关失效已评审。
• [ ] 覆盖、反应时间和安全状态有分析、原始结果与系统验证。
• [ ] 图纸、BOM、软硬件、参数、生产测试、工具和样件配置可重建。
• [ ] 变更、异常、确认措施、独立性和未闭环项按安全计划处置。

座椅占用传感器 ISO 26262 项目中，组件方交付接口、失效、诊断、配置与验证证据；系统方保留 item、ASIL、算法、安全状态和最终论证责任。相关设计议题可在汽车座椅占用传感器技术文章中继续核对，项目仍以受控输入为准。

提交 item/系统边界、传感器 I/O、安全要求、诊断期望和供应商责任草案，获取功能安全接口与证据缺口清单。