背景
隨著汽車行業(yè)復雜性的日益提升，人們加大了開發(fā)安全合規(guī)系統(tǒng)的力度。例如，現(xiàn)代汽車使用了油門線控等線控系統(tǒng)。駕駛員踩油門時，踏板中的傳感器將向電子控制單元發(fā)送信號。該控制單元會對多種因素進行分析，如發(fā)動機轉(zhuǎn)速、車輛速度及踏板位置，然后向油門傳遞指令。要測試和驗證油門線控這類系統(tǒng)，對汽車行業(yè)來說是個不小的挑戰(zhàn)。ISO 26262的目標是為所有汽車E/E系統(tǒng)提供統(tǒng)一的安全標準。
ISO 26262的國際標準草案(DIS)于2009年6月發(fā)布。自草案發(fā)布以來，ISO 26262在汽車行業(yè)的影響力逐漸加深。由于公開標準草案的面世，律師們將ISO 26262視為尖端技術(shù)標準。尖端技術(shù)是指一個設(shè)備或工藝在特定時間的最高發(fā)展水平。德國法律規(guī)定，汽車生產(chǎn)商通常要對產(chǎn)品故障導致的人身傷害承擔賠償責任。尖端技術(shù)都無法檢測的故障可獲得免責。[德國產(chǎn)品責任法(§ 823 Abs.1 BGB, § 1 ProdHaftG)]。
ISO 26262提供了一個通用的標準，可用于衡量系統(tǒng)在使用時的安全性。同時，該標準還提供了通用的詞匯表，用來指代系統(tǒng)的特定部分。這和其他安全關(guān)鍵應(yīng)用領(lǐng)域保持一致：即提供一個通用的標準，衡量系統(tǒng)的安全性。
返回頂部ISO 26262的關(guān)鍵組成部分ISO 26262采用分步系統(tǒng)，管理功能安全，并在系統(tǒng)、硬件及軟件層面規(guī)范產(chǎn)品開發(fā)。
ISO 26262標準提供了規(guī)范及推薦做法，貫穿了產(chǎn)品從概念開發(fā)到報廢的整個開發(fā)過程。ISO 26262詳細介紹了如何為系統(tǒng)或組件指定可接受的風險等級，以及記錄總體測試過程的方法?？傮w來說，ISO 26262：
定義汽車安全生命周期(管理、開發(fā)、生產(chǎn)、運行、服務(wù)、報廢)，并支持在各生命周期階段中自定義必要的活動
提供基于風險的具體方法，判定汽車的風險等級(汽車安全完整性等級，簡稱ASIL)
使用ASIL指定項目的必要安全要求，以使殘余風險在可接受的范圍內(nèi)
提供驗證要求和確認方法，以確保實現(xiàn)有效且可接受的安全水平
汽車安全生命周期
ISO 26262共有10卷，用于系列量產(chǎn)車，包含針對汽車的章節(jié)。例如，ISO 26262的第7章對生產(chǎn)、運行、服務(wù)及報廢提出了明確的安全要求。
ISO 26262汽車安全生命周期描述了整個生產(chǎn)生命周期，包括對安全管理員的需求、安全計劃的制定以及確認方法的定義(包括安全檢查、審計及評估)。開發(fā)E/E系統(tǒng)及元件需要遵循這些要求。
本白皮書主要介紹生命周期的開發(fā)部分。ISO 26262的開發(fā)部分涉及了系統(tǒng)定義、系統(tǒng)設(shè)計、功能安全評估以及安全驗證。
汽車安全完整性等級(ASIL)
ASIL是ISO 26262標準的重要組成部分，在開發(fā)過程的開始階段確定。它分析系統(tǒng)的預(yù)期功能，同時指出可能的危害。ASIL提出這樣一個問題：“如果車輛發(fā)生故障，駕駛員和相關(guān)道路使用者會怎樣?”
為了評估風險，ASIL需綜合考慮暴露的可能性、駕駛員的控制能力以及發(fā)生重大事件時可能帶來的后果的嚴重程度。ASIL不管系統(tǒng)所使用的技術(shù)，只關(guān)注駕駛員及其他道路使用者所受到的危害。
ASIL根據(jù)不同的安全要求分為A、B、C、D四個級別，其中D級擁有最安全的關(guān)鍵流程，測試規(guī)范最為嚴格。ISO 26262標準根據(jù)組件的ASIL級別，分別規(guī)定了最低測試要求，有助于確定測試時必須采取的方法。確定ASIL后，就決定了系統(tǒng)的安全目標，也就是確定了保證安全所需的系統(tǒng)行為。
比如，以雨刷系統(tǒng)為例。安全分析將確定喪失雨刷功能會對駕駛員的視線造成何種影響。ASIL給出指導，選擇適當?shù)姆椒▉硎巩a(chǎn)品達到一定程度的完整性，旨在補充現(xiàn)有的安全做法。目前，汽車制造采用高安全標準，而ISO 26262旨在規(guī)范行業(yè)內(nèi)的特定做法。
下載文檔
