ISO26262的案例
汽車電子行業(yè)的功能安全標(biāo)準(zhǔn)ISO26262
基于IEC61508制訂汽車領(lǐng)域的功能安全標(biāo)準(zhǔn)的需求變得越來越迫切，國際標(biāo)準(zhǔn)化組織開始推動相應(yīng)ISO標(biāo)準(zhǔn)的制訂。
2 ISO26262介紹
ISO26262是IEC61508在道路車輛的電子電氣系統(tǒng)領(lǐng)域的應(yīng)用。該標(biāo)準(zhǔn)于2005年起動制訂工作，在2009年9月發(fā)布了草稿，并在2011年3月正式發(fā)布。
ISO26262的范圍是：
1）針對質(zhì)量小于3.5噸的批產(chǎn)轎車上安裝的安全相關(guān)系統(tǒng)，系統(tǒng)包含一個或多個電子電氣系統(tǒng)；
2）針對電子電氣安全相關(guān)系統(tǒng)故障時產(chǎn)生的可能危險。不針對電擊、起火、煙霧、發(fā)熱、輻射、毒性、易燃、放射性、腐蝕、能量釋放及其他類似危險，除非是直接由電子電氣安全相關(guān)系統(tǒng)的故障導(dǎo)致；
3）針對ISO26262發(fā)布之后的系統(tǒng)。
如圖1所示，ISO26262共分為10個部分：第1部分為詞匯表，解釋了標(biāo)準(zhǔn)中使用的術(shù)語以及容易混淆的概念；第2部分描述了功能安全管理的要求；第3部分到第7部分是ISO26262的核心部分，定義了一個完整的安全生命周期，并定義了相應(yīng)的要求；第8部分為支持ISO26262的流程，比如配置管理、變更管理等；第9部分解釋了如何進(jìn)行功能安全分析；第10部分提供了ISO26262的指導(dǎo)書。ISO26262總共包含了600多個要求和150多個工作產(chǎn)品。
展開 符合 ISO 26262 標(biāo)準(zhǔn)的模型驗(yàn)證咨詢服務(wù)
概述
經(jīng)緯恒潤從2008年起開始研究 ISO 26262 功能安全相關(guān)標(biāo)準(zhǔn)和技術(shù)，2012年經(jīng)緯恒潤參與國標(biāo)委組織的功能安全標(biāo)準(zhǔn)的討論會，并成為功能安全標(biāo)準(zhǔn)制定小組的成員。
經(jīng)過多年的研究和自身汽車電子產(chǎn)品研發(fā)過程實(shí)踐，經(jīng)緯恒潤已深入掌握功能安全標(biāo)準(zhǔn) ISO 26262 的內(nèi)涵，給客戶提供符合 ISO 26262 標(biāo)準(zhǔn)的軟件基于模型的驗(yàn)證咨詢服務(wù)及平臺規(guī)劃。
ISO 26262和FMEA中的風(fēng)險評估對比
對ISO 26262有了解的朋友都知道，對危害事件可能造成的風(fēng)險進(jìn)行ASIL等級評定是
功能安全開發(fā)的第一步。而ASIL等級通過三個維度來評定：
S（severity 嚴(yán)重度）
E（Exposure 曝光度）
C（controllability 可控度）
另一方面，F(xiàn)MEA (Failure Mode and Effects Analysis) 作為一種安全分析方法，也是通過三個維度對風(fēng)險進(jìn)行評估:
S（severity 嚴(yán)重度）
O（Occurrence 頻度）
D（Detection 探測度）
由于ISO 26262和FMEA都是伴隨著“安全”出現(xiàn)，且都涉及到從三個維度進(jìn)行評估，因此兩者似乎存在著聯(lián)系和重疊，這也導(dǎo)致在理解上造成了一定程度的混淆，然而，兩者千差萬別。
本文旨在對ISO 26262和FMEA進(jìn)行對比，梳理兩者之間的差別。
1.ISO 26262和FMEA的目的對比
在對ISO 26262和FMEA中的風(fēng)險評估進(jìn)行對比之前，需要先分清楚ISO 26262和FMEA分別做什么用，避免從從頂層概念上就產(chǎn)生了混淆。
1.1.ISO 26262的目的
2011年第一版ISO 26262問世，并隨著汽車智能化的發(fā)展逐步被汽車行業(yè)所接受。中國也在2017年基于ISO 26262頒布了功能安全法規(guī)GB/T 34590。
ISO 26262對功能安全的定義為：
Absence of unreasonable risk due to hazards caused by malfunctioning behavior of E/E systems.
展開 符合ISO 26262標(biāo)準(zhǔn)的模型驗(yàn)證技術(shù)
這一年，蠻多人關(guān)注汽車ISO26262，堅(jiān)定踐行道路安全衛(wèi)士。
汽車行業(yè)，越來越多企業(yè)取得了ISO26262流程認(rèn)證、產(chǎn)品認(rèn)證。隨著軟件功能比重加大，符合ISO26262標(biāo)準(zhǔn)的軟件開發(fā)過程，借助MBD技術(shù)構(gòu)建模型，軟件的驗(yàn)證當(dāng)然也要考慮模型的靜態(tài)驗(yàn)證（基于模型的規(guī)范檢查）、模型的動態(tài)驗(yàn)證（基于模型的動態(tài)測試）。
這一篇，我們介紹下，符合ISO26262標(biāo)準(zhǔn)軟件要求，采用MBD開發(fā)方式，如何進(jìn)行模型的驗(yàn)證，如何做好軟件的“防護(hù)服”或“防護(hù)口罩”，進(jìn)而提升軟件安全性。與大家分享結(jié)合模型形式的ISO 26262軟件驗(yàn)證要求、驗(yàn)證流程及實(shí)踐。
展開 
4月16日在線研討會預(yù)熱 | medini analyze — 符合ISO 26262的功能安全平臺
在國際功能安全標(biāo)準(zhǔn)ISO 26262的落地過程中遇到了很多的棘手問題：如何實(shí)施HARA以得到合適的安全目標(biāo)？如何進(jìn)行安全分析才能安全需求充分？如何驗(yàn)證系統(tǒng)/軟件/硬件設(shè)計(jì)方案的安全性？硬件指標(biāo)的評估計(jì)算要如何開展？開發(fā)過程的追溯性、一致性、如何保證？
功能介紹
medini analyze工具是專業(yè)的功能安全開發(fā)平臺工具，符合ISO 26262開發(fā)全流程，功能覆蓋ISO 26262要求的開發(fā)活動，它的主要功能如下：
refer to ISO26262 2018
? 項(xiàng)目定義
? 支持功能定義、行為設(shè)計(jì)、初始架構(gòu)建模；
? 提供HAZOP模板用于失效識別等。
? 危害分析和風(fēng)險評估
? 提供駕駛場景數(shù)據(jù)庫以支持HARA情景分析；
? 提供標(biāo)準(zhǔn)HARA模板，讓HARA分析過程更加清晰簡單。
? 安全需求開發(fā)
? 提供滿足ISO 26262要求的半形式化需求模板，需求編寫的規(guī)范性；
? 支持基于安全分析（如FTA）的安全需求導(dǎo)出，安全需求不被遺漏；
? 支持創(chuàng)建UML需求樹，滿足可視化的需求追溯關(guān)系建立和維護(hù)；
? 支持和DOORS、DNG、PTC等主流需求管理工具進(jìn)行交互。
? 安全架構(gòu)設(shè)計(jì)
? 支持標(biāo)準(zhǔn)SysML語言的架構(gòu)設(shè)計(jì)，支持向架構(gòu)分配需求，實(shí)現(xiàn)需求和設(shè)計(jì)的追溯性；
? 支持導(dǎo)入Simulink、SCADE、EA、Rhapsody等主流建模軟件的輸出模型文件。
展開 功能更新 | medini analyze — 符合ISO 26262的功能安全平臺工具
在國際功能安全標(biāo)準(zhǔn)ISO 26262的落地過程中遇到了很多的棘手問題：如何有效地實(shí)施HARA以得到合適的安全目標(biāo)？如何進(jìn)行安全分析才能安全需求而充分？如何驗(yàn)證系統(tǒng)/軟件/硬件設(shè)計(jì)方案的安全性？硬件指標(biāo)的評估計(jì)算要如何開展？開發(fā)過程的追溯性如何保證？
功能介紹
medini analyze工具是專業(yè)的功能安全開發(fā)平臺工具，符合ISO 26262開發(fā)全流程，功能覆蓋ISO 26262要求的開發(fā)活動，它的主要功能如下：
refer to ISO26262 2018
? 項(xiàng)目定義
? 支持功能定義、行為設(shè)計(jì)、初始架構(gòu)建模；
? 提供HAZOP模板用于失效識別等。
? 危害分析和風(fēng)險評估
? 提供駕駛場景數(shù)據(jù)庫以支持HARA情景分析；
? 提供標(biāo)準(zhǔn)HARA模板，讓HARA分析過程更加清晰簡單。
? 安全需求開發(fā)
? 提供滿足ISO 26262要求的半形式化需求模板，需求編寫的規(guī)范性；
? 支持基于安全分析（如FTA）的安全需求導(dǎo)出，安全需求不被遺漏；
? 支持創(chuàng)建UML需求樹，滿足可視化的需求追溯關(guān)系建立和維護(hù)；
? 支持和DOORS、DNG、PTC等主流需求管理工具進(jìn)行交互。
? 安全架構(gòu)設(shè)計(jì)
? 支持標(biāo)準(zhǔn)SysML語言的架構(gòu)設(shè)計(jì)，支持向架構(gòu)分配需求，實(shí)現(xiàn)需求和設(shè)計(jì)的追溯性；
? 支持導(dǎo)入Simulink、SCADE、EA、Rhapsody等主流建模軟件的輸出模型文件。
展開 ISO 26262筆記——如何理解ASIL分解？
隨機(jī)失效與系統(tǒng)性失效
從ISO 26262的要求上看，ISO 26262對系統(tǒng)性失效和隨機(jī)硬件失效的的要求存在明顯的不同。
對系統(tǒng)性失效的要求
ISO 26262對系統(tǒng)性失效的要求存在于相關(guān)項(xiàng)的各個層級，硬件元器件層(HW part level)、軟件單元層(SW-Unit level)、組件層(component level)和系統(tǒng)層(system level)都有各自對應(yīng)的要求。而且同時上面系統(tǒng)性失效的定義可以看出，ISO 26262對系統(tǒng)性失效的要求本質(zhì)上可以理解為對設(shè)計(jì)流程和驗(yàn)證流程的要求。
層級劃分圖示
這樣一來，ASIL分解后的需求分配到組成相關(guān)項(xiàng)整體中的某個（些）元素上，對于這些元素的系統(tǒng)性失效要求降低了。
舉個軟件元素的例子，如下圖所示，分解前對軟件模塊A的要求為ASIL D。
而分解以后對軟件模塊A的要求降低為ASIL B(D)。
在分解之前，模塊A需要遵循ASIL D的要求來開發(fā)以限制系統(tǒng)性失效；而分解后只需要按照ASIL B的要求來限制系統(tǒng)性失效，從而降低了開發(fā)難度和開發(fā)成本。拿對模塊A軟件單元的測試要求來說，從下圖可以看出，ASIL B的要求比ASIL D更加寬松了。
展開 EPB功能安全筆記(14)：FTA定量分析之ISO26262對隨機(jī)硬件失效的要求
PMHF的目標(biāo)值沒有絕對意義，僅用于新舊設(shè)計(jì)的比較
ISO 26262, part5中對PMHF這個特征的說明可能是整個ISO 26262最關(guān)鍵的說明。
注1：
這些……定量目標(biāo)值沒有任何絕對的意義，僅有助于將一個新的設(shè)計(jì)與已有設(shè)計(jì)相比較。其目的是生成可用的設(shè)計(jì)指導(dǎo)，并獲得設(shè)計(jì)符合安全目標(biāo)的可用證據(jù)。
換句話說，對研究對象進(jìn)行PMHF計(jì)算的目的在于驗(yàn)證新設(shè)計(jì)的可靠性比上一代更好。只有對一個全新設(shè)計(jì)的產(chǎn)品在沒有任何可參照的PMHF值時才會采用ISO 26262中推薦的表格進(jìn)行評定。
EPB功能安全筆記(20) 尾聲：ISO26262的總結(jié)和展望
“ISO 26262，part2，功能安全管理”中詳細(xì)介紹了功能安全的審核流程和要求，對應(yīng)的術(shù)語為“認(rèn)可措施，Confirmation measures”。
安全管理流程圖，截圖來自ISO 26262-2018, part2
Confirmation measures的主要目的是對功能安全開發(fā)過程及產(chǎn)物進(jìn)行評估，以確認(rèn)是否滿足ISO 26262的要求。而這一評估需要從三個維度來展開，如下圖所示。
ISO 26262安全的軟件開發(fā)流程
在ISO 26262-4中給出了技術(shù)安全需求規(guī)格，用來規(guī)范技術(shù)安全需求，細(xì)化功能安全概念，同時考慮到功能概念和初級的架構(gòu)假設(shè)級別上。在開發(fā)周期內(nèi)，技術(shù)安全規(guī)范是用來實(shí)現(xiàn)功能安全概念的必須技術(shù)需求。系統(tǒng)的初級架構(gòu)假設(shè)和系統(tǒng)性質(zhì)，包括：外部接口如通信和用戶接口，系統(tǒng)限制條件如環(huán)境和功能限制，系統(tǒng)配置需求。
在技術(shù)安全需求規(guī)范中應(yīng)該有的安全機(jī)制包括：
1）系統(tǒng)自身的錯誤檢查、通知和控制相關(guān)的措施，這些包含系統(tǒng)的自我監(jiān)控或者對于隨機(jī)硬件錯誤的檢查，也包含對通信通道（如數(shù)據(jù)接口，通信總線，無線連接）的失敗模式檢查和監(jiān)控措施。
2）在和系統(tǒng)交互的外部設(shè)備中，對錯誤的檢查、通知和控制相關(guān)的措施。其中，外部設(shè)備包括：其它電子控制單元，電力提供或者通信設(shè)備等。
3）使能系統(tǒng)到達(dá)或者維護(hù)一個安全狀態(tài)的措施，包括優(yōu)化安全機(jī)制沖突和仲裁邏輯。
4）細(xì)化和實(shí)現(xiàn)報警及降級概念。
5）防止?jié)撛阱e誤的措施。
設(shè)計(jì)階段
在軟件開發(fā)過程中，設(shè)計(jì)階段是繼需求之后的一個重要階段，在了解系統(tǒng)的需求后，設(shè)計(jì)階段是決定系統(tǒng)整體質(zhì)量的重要保證，在系統(tǒng)設(shè)計(jì)階段，主要關(guān)心的是系統(tǒng)的架構(gòu)設(shè)計(jì)，基本的輸入輸出流程，外部交互，組織結(jié)構(gòu)，模塊分配，功能劃分，數(shù)據(jù)結(jié)構(gòu)設(shè)計(jì)和出錯設(shè)計(jì)等，為軟件的詳細(xì)設(shè)計(jì)提供基石。
在ISO 26262-4和ISO 26262-6中都有涉及到到設(shè)計(jì)階段安全的開發(fā)。ISO 26262-4主要關(guān)注于系統(tǒng)級的設(shè)計(jì)和安全方面的概念。系統(tǒng)設(shè)計(jì)應(yīng)給予功能概念，基礎(chǔ)架構(gòu)假設(shè)以及技術(shù)安全需求，保證各個階段的基礎(chǔ)架構(gòu)假設(shè)保持一致。
考慮到技術(shù)安全需求的實(shí)現(xiàn)問題，系統(tǒng)設(shè)計(jì)應(yīng)該考慮一下這些問題：
1) 驗(yàn)證系統(tǒng)設(shè)計(jì)的能力。
2) 在系統(tǒng)集成期間測試的可執(zhí)行能力。
展開 新技術(shù)挑戰(zhàn)下如何高效開展ISO26262功能安全分析？
本文將以汽車行業(yè)為例，介紹ANSYS如何高效地幫助實(shí)現(xiàn)符合ISO 26262的功能安全分析。
為什么功能安全這么難？
2011年，汽車行業(yè)關(guān)于電子電氣系統(tǒng)的功能安全標(biāo)準(zhǔn)ISO 26262第一版發(fā)布，至此，功能安全就成為汽車行業(yè)的一個熱門話題從未停止討論，近年來國內(nèi)無論是OEM，還是各子系統(tǒng)、零部件廠商，都在積極開展功能安全工作，然而，功能安全工作的復(fù)雜和繁瑣也讓各位功能安全工程師深有體會。為什么功能安全難做？我們先看看ISO 26262 要求我們做什么？
ISO 26262 標(biāo)準(zhǔn)對電子電氣系統(tǒng)開發(fā)的各個階段提出了相應(yīng)的要求，也就是說，在概念階段、系統(tǒng)設(shè)計(jì)、軟硬件設(shè)計(jì)的各階段中，都需要伴隨著相應(yīng)的安全相關(guān)活動，比如：項(xiàng)目定義、功能和故障識別、風(fēng)險評估、安全目標(biāo)和安全需求推導(dǎo)，安全需求分配到架構(gòu)、FMEA和FTA、硬件失效率指標(biāo)計(jì)算、安全項(xiàng)目管理、管理追溯性和一致性證等等。而這些工作，在實(shí)際工程中是怎么做的呢？
傳統(tǒng)的方式在不同的點(diǎn)工具中分別做各個階段的工作，比如我們會用很多表格、圖表去做FMEA,FTA，用需求管理工具管理安全需求，用建模工具設(shè)計(jì)系統(tǒng)架構(gòu)… 這樣雖然也可以完成安全分析，但各個工作產(chǎn)物相互獨(dú)立，缺乏追溯和鏈接，難以保證準(zhǔn)確性和一致性，而且一旦發(fā)生變更，就會帶來一系列繁瑣的人工確認(rèn)工作。以“文檔”為中心的傳統(tǒng)工作方式，確實(shí)難做，而且對人力和時間成本都帶來巨大的挑戰(zhàn)。
展開 
官方免費(fèi) | 面向ISO26262高安全性應(yīng)用的車載軟件開發(fā)
Ansys提供解決當(dāng)前汽車行業(yè)合規(guī)ISO 26262高安全性車載軟件開發(fā)要求的解決方案 – Ansys SCADE。
研討會內(nèi)容簡介：
ISO26262標(biāo)準(zhǔn)的簡單介紹，合規(guī)給車企帶來的必要性和挑戰(zhàn)以及Ansys SCADE解決方案的工具組成、技術(shù)特點(diǎn)和應(yīng)對這些挑戰(zhàn)的方法。
適用人群：
車企OEM或零部件供應(yīng)商，從事車載電子控制單元（ECU）系統(tǒng)&軟件集成、開發(fā)和測試的技術(shù)管理人員和工程師。
講師簡介：
周霄，2017年初加入Ansys系統(tǒng)事業(yè)部，負(fù)責(zé)SCADE產(chǎn)品在華北區(qū)的技術(shù)推廣、支持和咨詢工作。擁有10多年嵌入式安全關(guān)鍵軟件領(lǐng)域的從業(yè)經(jīng)歷，曾先后就職于Honeywell，Wind River等跨國企業(yè)，承擔(dān)嵌入式軟件系統(tǒng)的開發(fā)、測試、咨詢和管理工作，熟悉航空航天、
軌交、汽車等領(lǐng)域嵌入式軟件的設(shè)計(jì)、開發(fā)和測試流程以及相應(yīng)的安全標(biāo)準(zhǔn)。同時
積累了豐富的和這些領(lǐng)域國類外客戶的交流經(jīng)驗(yàn)。
報名方式
請掃碼下方二維碼
點(diǎn)擊報名：http://event.31huiyi.com/1837936022/index?c=jishulink
展開 官方免費(fèi) | 面向ISO26262高安全性應(yīng)用的車載軟件開發(fā)
Ansys提供解決當(dāng)前汽車行業(yè)合規(guī)ISO 26262高安全性車載軟件開發(fā)要求的解決方案 – Ansys SCADE。
研討會內(nèi)容簡介：
ISO26262標(biāo)準(zhǔn)的簡單介紹，合規(guī)給車企帶來的必要性和挑戰(zhàn)以及Ansys SCADE解決方案的工具組成、技術(shù)特點(diǎn)和應(yīng)對這些挑戰(zhàn)的方法。
適用人群：
車企OEM或零部件供應(yīng)商，從事車載電子控制單元（ECU）系統(tǒng)&軟件集成、開發(fā)和測試的技術(shù)管理人員和工程師。
講師簡介：
周霄，2017年初加入Ansys系統(tǒng)事業(yè)部，負(fù)責(zé)SCADE產(chǎn)品在華北區(qū)的技術(shù)推廣、支持和咨詢工作。擁有10多年嵌入式安全關(guān)鍵軟件領(lǐng)域的從業(yè)經(jīng)歷，曾先后就職于Honeywell，Wind River等跨國企業(yè)，承擔(dān)嵌入式軟件系統(tǒng)的開發(fā)、測試、咨詢和管理工作，熟悉航空航天、
軌交、汽車等領(lǐng)域嵌入式軟件的設(shè)計(jì)、開發(fā)和測試流程以及相應(yīng)的安全標(biāo)準(zhǔn)。同時
積累了豐富的和這些領(lǐng)域國類外客戶的交流經(jīng)驗(yàn)。
報名方式
請掃碼下方二維碼
點(diǎn)擊報名：http://event.31huiyi.com/1837936022/index?c=jishulink
展開 ISO 26262中的安全分析：FMEA、FMEDA與FTA
ISO 26262中對單點(diǎn)故障度量的要求如下，對ASIL A的安全目標(biāo)沒有要求，對ASIL B的安全目標(biāo)沒有強(qiáng)制要求，對ASIL C和ASIL D的安全目標(biāo)有強(qiáng)制要求。
潛伏故障度量的計(jì)算公式為：
式中分母即安全相關(guān)的失效率總和。
ISO 26262中對潛伏故障度量的要求如下，對ASIL A的安全目標(biāo)沒有要求，對ASIL B的安全目標(biāo)沒有強(qiáng)制要求，對ASIL C和ASIL D的安全目標(biāo)有強(qiáng)制要求。
2.3.2.要求2：隨機(jī)硬件失效導(dǎo)致違背安全目標(biāo)的評估
簡單來說，對隨機(jī)硬件失效導(dǎo)致違背安全目標(biāo)的評估是用來確定違背安全目標(biāo)的殘余風(fēng)險已經(jīng)足夠低。最常用的方法為“隨機(jī)硬件失效概率度量”( Probabilistic Metric for random Hardware Failures，PMHF)。PMHF表示在汽車運(yùn)行周期中每小時平均失效概率。ISO 26262對PMHF的要求如下：
2.3.3.FTA與FMEDA合作
FTA定量分析的目標(biāo)為計(jì)算并分析電子電器系統(tǒng)的隨機(jī)硬件失效是否滿足ISO 26262對SPFM, LFM以及PMHF的要求。這一過程需要FTA和FMEDA合作完成。
從微觀角度講，對于一個電子電器系統(tǒng)的的ECU電路圖，我們可以確定電路圖中所有電子元器件的失效模式與對應(yīng)的失效率以及對失效的診斷覆蓋率。
展開 招兼職iso26262講師或技術(shù)支持人員
招兼職iso26262講師或技術(shù)支持人員，短周期的培訓(xùn)或技術(shù)支持，可周末，北上廣深，成都，武漢，西安，蘇州等 主要城市 ，內(nèi)容有培訓(xùn)講課，或技術(shù)支持，或項(xiàng)目外包，如您想掙點(diǎn)外塊，積累資源，充實(shí)生活，請聯(lián)系我，要求有實(shí)際項(xiàng)目經(jīng)歷，三年以上項(xiàng)目經(jīng)歷，表達(dá)能力較好，微信15501239699 ，郵件soft@info-soft.cn。
