GB 39901／47955／44721 三项汽车强标进入实施周期：功能安全文档审查列为必查项，智驾 SoC／MCU／PMIC／PHY 分得 ASIL B–D，车规芯片选型须核对 SEooC 使用假设
GB 39901-2025、GB 47955-2026、GB 44721-2026 三项汽车强标将分别于 2028-01-01、2027-01-01、2027-07-01 实施。标准正文没有芯片条款，却通过引用 GB/T 34590 系列与规范性附录 A/C/D，把功能安全文档审查变成必查项；智驾 SoC、MCU、传感器处理芯片、PMIC、PHY 典型 ASIL 为 B–D，车规选型需核对 SEooC 使用假设与交付物一致性。
2026 年 10 月 23 日，新华网刊出中汽芯（深圳）科技有限公司芯片功能安全专家奚文霞的解读：GB 39901、GB 47955、GB 44721 三项汽车强制性国家标准将陆续进入实施周期，整车层面的功能安全要求正沿着标准引用链向下传导到车规芯片、IP、晶圆制造与封测环节。对做车规器件的公司来说，这不是一次例行的合规提醒——功能安全文档被写成了准入清单上的必查项，而不再是可以事后补交的加分材料。
三项标准与各自的实施节点
三项标准的发布时间与生效时间并不相同，跨度接近三年，把它们当成同一批要求来准备会踩错节奏。按全国标准信息公共服务平台与工业和信息化部公布的信息：
- GB 39901-2025《轻型汽车自动紧急制动系统技术要求及试验方法》：2025 年 12 月 31 日发布，2028 年 1 月 1 日实施，全部代替 GB/T 39901-2021；
- GB 47955-2026《智能网联汽车 组合驾驶辅助系统安全要求》：2026 年 6 月 27 日发布，2027 年 1 月 1 日实施，针对基础单车道、基础多车道、领航驾驶辅助三类产品；
- GB 44721-2026《智能网联汽车 自动驾驶系统安全要求》：2026 年 7 月 30 日发布，2027 年 7 月 1 日实施，全部代替 GB/T 44721-2024，适用于搭载 L3、L4 级系统的 M 类和 N 类车辆，不包含自动泊车系统。
最近的一个节点是 2027 年 1 月 1 日，距今不到三个月。对已经在量产项目里供货的芯片来说，真正留出的准备时间不是到生效日为止，而是到客户把功能安全文档收进整车安全论证为止——这个动作通常发生在标准生效之前。
标准正文没有芯片条款，约束却落在芯片上
奚文霞的解释指出，三项强标都没有直接罗列车规芯片条款，而是通过规范性引用 GB/T 34590 系列功能安全国家标准，从整车顶层安全目标逐级向下分解，把功能安全需求传递到底层半导体器件。GB 47955-2026、GB 44721-2026、GB 39901-2025 分别通过附录 C、附录 D、附录 A 的规范性附录，对组合驾驶辅助系统、自动驾驶系统、自动紧急制动系统提出功能安全文档审查与验证确认的强制性要求。
三项标准由此确立了统一的准入逻辑：除场地、道路实车测试之外，功能安全文档审查同样属于必查环节。落到器件分类上，智驾域的系统级芯片（SoC）、微控制器（MCU）、传感器处理芯片、电源管理集成电路（PMIC）、通信物理层芯片（PHY）都被归入安全相关半导体组件，分配得到的典型 ASIL 等级为 ASIL B 至 ASIL D。
这一点容易被误读成「主控芯片的事」。实际上 PMIC 与 PHY 在安全架构里承担供电监控与通信链路完整性职责，一旦这部分交付物不完整，整车层面的安全论证同样会出现缺口，而它们的供应商往往是最晚被拉进功能安全讨论的一环。
实车测试为什么替代不了芯片级评估
整车与系统层级的实车测试验证的是功能表现与安全机制响应，很难下沉到芯片内部去验证功能实现与安全机制的有效性。受试验工况约束，实车测试无法充分复现芯片单点故障、潜伏故障等芯片级失效场景，故障场景覆盖不全是结构性的限制。因此仅依靠实车测试，并不能证明芯片内部发生故障时整车系统仍能维持安全状态。
换个角度看得更清楚：车规芯片中大量器件是按 SEooC（Safety Element out of Context，脱离具体上下文的安全要素）方式开发的。这类芯片输出的安全手册、FMEA（失效模式与影响分析）、FMEDA（失效模式影响与诊断分析）、使用假设与约束条件，是控制器功能安全开发的基础输入。即便实车测试全部达标，只要芯片层级的功能安全交付物缺失，或者 SEooC 的假设没有在项目中完成确认与验证，整车功能安全就无法证明满足既定安全目标。芯片作为控制器最核心的硬件单元，其失效本身就是系统安全风险的源头，跳过芯片级评估，上层控制器与整车的安全论证就缺少根基。
SEooC 使用假设：选型阶段真正要核对的几项东西
对整车企业和 Tier1 来说，选型环节的检查点正在从「参数表够不够」转向「交付物对不对得上」。按奚文霞给出的口径，需要确认的内容包括：
- 芯片在目标系统中承担的安全职责、安全要求与对应 ASIL 等级，以及接口、依赖关系与使用假设、约束条件；
- 按 SEooC 方式开发的芯片，厂商在开发阶段设定的假设是否与目标系统的实际应用场景一致——这一条最常被跳过，也最容易在后期变成返工；
- 功能安全交付物是否完整，并且要在实际系统架构中逐项确认使用假设、接口条件与集成约束是否被满足；
- 必要时通过故障注入、接口测试与系统集成测试，验证关键安全机制在真实应用环境中的有效性。
这里的顺序值得注意：文档完整性只是第一层，假设一致性才是决定项目能不能按时推进的第二层。一份齐全但与实际工况不匹配的安全手册，在审查环节比缺页更难处理，因为问题出在架构而不是补材料。
芯片企业侧的三项优先工作
奚文霞提出，国内车规芯片企业需要围绕功能安全全生命周期优先推进三项工作：基于典型应用场景明确芯片的目标应用场景、安全要求假设与约束条件、功能边界及接口，输出规范的安全手册；按顶层需求的 ASIL 等级实施完整的功能安全评估，包括 FMEA、FTA（故障树分析）、FMEDA、DFA（相关失效分析），完成 SPFM（单点故障度量）、LFM（潜伏故障度量）、PMHF（随机硬件失效概率度量）硬件指标度量，并设计 BIST、ECC、MPU 等安全机制、通过故障注入验证有效性；搭建符合 GB/T 34590 要求的功能安全管理体系，覆盖芯片定义、设计、测试、流片、量产与变更全生命周期。
第三项在实操中最容易被低估。芯片改版与 IP 迭代的变更管控一旦缺位，一次版本更新就可能带来对上层控制器与整车应用的安全影响重评估，而这类评估的时间成本通常远高于改版本身。对已经进入量产供货的器件，变更影响分析能力实际上是一种交付能力。
恒森视角
这一轮强标真正的门槛不在实车测试，而在芯片层功能安全交付物能不能被下游直接引用。三项标准都没有写芯片条款，却通过规范性引用 GB/T 34590 系列把审查压到器件层，智驾 SoC、MCU、传感器处理芯片、PMIC、PHY 都被划入安全相关组件，典型 ASIL 等级落在 B 至 D。控制器厂商做安全论证时，需要的是可以直接嵌入的假设、接口条件与度量结果。
由此可以推出一个时间上的判断：2027 年 1 月 1 日生效的组合驾驶辅助标准，会把压力最先传导到已经在量产平台上的国产器件。整车项目重做一次安全论证的周期通常长于标准发布到生效的间隔，留给供应商补齐 SEooC 假设与 FMEDA 数据的时间已被用掉大半。还在打样阶段的新平台反而更从容——器件未冻结，重新评估的空间正好开在合规压力最大的时候。
这个判断有边界：前提是客户把芯片级文档纳入整车安全论证链条。若整车厂选择用双冗余控制器消化单点失效，部分非主控器件尤其是 PHY 与 PMIC 的文档要求可能被放宽，落地节奏会比标准文本看上去更慢。失效的信号也可观察——当 Tier1 在询价阶段就要求 FMEDA 与安全手册随样品提供，而不是等到定点后再补，文档已经进入选型成本，时间表就不再是可协商的部分。
信息来源：新华网《中汽芯奚文霞：三项强标落地，驱动汽车功能安全向车规芯片底层溯源》（2026-10-23）；全国标准信息公共服务平台 GB 39901-2025、GB 47955-2026、GB 44721-2026 标准信息；工业和信息化部装备工业一司相关标准发布信息。