ISO 26262是从功能安全标准IEC 61508演化而来的面向汽车电子电气系统的功能安全标准。为汽车电子系统的功能安全设计提供了一套完整的指导。本研究依据ISO 26262的要求,从上而下系统性的针对燃料电池ECU(Electronic Control Unit)进行燃料电池汽车动力系统分析、安全概念分析、控制系统架构设计、硬件电路设计和测试验证工作,设计了满足ASIL(Automotive safety Integrity Level)C等级的燃料电池ECU系统和硬件,提出了功能安全的测试和验证方案。本文首先对功能安全标准ISO 26262的核心思想和关键概念进行理解和展开,并总结了各层面的工作成果。之后本文选定燃料电池发动机系统作为功能安全的研究对象,按照功能安全相关项定义的要求,设计燃料电池ECU的初步系统架构,使用HAZOP(Hazard and Operability Analysis)方法识别各功能的异常表现,进而实施危害分析和风险评估,得出燃料电池ECU的安全目标和功能安全要求。在系统开发层面,本文将功能安全要求具体展开到燃料电池ECU的功能模块,综合性的使用异常检测、故障保护和硬件冗余等手段作为安全机制,针对安全相关的功能完成详细系统架构设计。并使用FTA(Fault Tree Analysis)方法来验证燃料电池ECU的系统架构设计。在硬件开发层面,本文对硬件相关的技术安全要求进行抽出,设计了包含安全机制在内的硬件架构,包括双核锁步运行的MCU(Micro Control Unit)、带有WDT(Watchdog Timer)功能和输出监视功能的电源芯片、有输入范围检测功能的传感器接口、双重硬件冗余的喷射器输出状态监测。之后将安全机制在硬件元器件层面进行实现,完成了电气原理图及工作状态的详细设计。最终基于开发完成的燃料电池ECU,提出了对各功能模块进行功能测试方案和针对安全机制的故障注入测试方案,测试结果证明燃料电池ECU的安全机制能够有效监测各种失效模式,并迁移到安全状态。之后使用FMEDA(Failure Modes Effects and Diagnostic Analysis)方法对设计完成的燃料电池ECU电路实施安全分析,针对电阻、晶体管等硬件元器件的随机失效对安全目标的影响进行定量分析,得出燃料电池ECU的单点故障度量、潜伏故障度量和随机硬件失效违反安全目标的概率,证明燃料电池ECU的设计满足ASIL C等级。