安全開發的案例
智能網聯汽車信息安全開發解決方案
概述
智能網聯汽車為用戶帶來了多樣便捷的使用體驗，信息安全問題引發的安全風險和威脅不容小覷。近年來國內外標準組織和機構密集出臺多個法規或標準，作為智能網聯汽車準入的關鍵要求。
經緯恒潤整車安全團隊密切跟進行業發展趨勢，致力于為國內外客戶提供優質的信息安全咨詢服務，涵蓋同步E/E架構開發的信息開發解決方案，旨在協助客戶在E/E架構開發早期識別到系統薄弱點，定義合理的安全需求和安全提升方案，降低后續黑客攻擊引發的人身傷害或財產損失風險。
展開 智能網聯汽車功能安全開發解決方案
概述
“安全”被普遍認為是智能駕駛汽車被用戶接受或者得到商業應用較大的問題，傳統汽車電子按照功能安全（ISO 26262，避免系統性故障及隨機硬件失效）標準進行安全設計，而智能駕駛汽車安全要求超越了功能安全范疇，尤其是L4及以上智能駕駛車輛中駕駛員將不再接管對車輛的控制權，功能安全要求演化為失效可工作（Fail-operational），產品設計需要兼顧預期功能安全（ISO/PAS 21448，解決產品性能受限及駕乘人員誤操作）、信息安全（ISO/SAE 21434，防御網絡攻擊）等多重安全需求。
經緯恒潤結合自身汽車電子產品研發實踐，功能安全咨詢團隊在智駕域提供覆蓋安全流程、產品開發認證及工具平臺的綜合解決方案。
智能駕駛功能安全流程搭建
智能駕駛安全產品開發及認證
通過功能安全模板、開發實例及定制的Workshop給客戶提供專業的咨詢服務。
智能駕駛功能安全開發平臺
結合客戶工程需求，恒潤會協助構建適配智能駕駛的高可靠、高自動化功能安全平臺，以基于模型的安全分析為重要手段驅動智能駕駛產品架構及設計不斷持續改進。
依托Medini平臺及豐富的API接口可以構建完整的基于模型開發的功能安全平臺，所有的系統功能和系統架構基于SysML模型描述，基于這些系統設計，可以直接一鍵生成FMEA表格，以及快速的構建故障樹，進行FTA。在集成化的平臺里，可以管理安全目標、安全需求，并把安全需求分配給對應的系統和組件。進而，安全需求、系統設計、安全分析三者可以統一平臺中進行連接、交互和管理。
展開 經緯恒潤SOA功能安全開發方案, 助力車企軟件定義汽車
經緯恒潤安全團隊引入MBSE方法，通過量化的計算模型和仿真相結合的方式，定量計算得到危害事件的嚴重度S與可控度C值，結合場景庫中得到的暴露率E值，最終得到危害事件的ASIL等級并導出安全目標，迭代更新到功能定義文檔中。
▎SOA架構概念層級開發
功能安全概念（FSC）基于相關項定義中提取的時序圖，采用故障樹分析（FTA）的方法，分析時序圖中PC（Product Capability）的失效或PC之間交互的失效是否會違反相應的安全目標，若違反則設計對應的整車級安全策略（例如診斷并導入安全狀態、冗余設計等）。通過與E/E架構團隊的協同設計，確定功能安全設計過程中所引入的新的PC或PC之間接口的合理性及正確性，將上述功能安全策略更新到功能設計文檔的時序圖中。
▎SOA架構系統層級開發
功能安全系統階段開發主要基于E/E架構團隊的模塊設計文檔。技術安全概念（TSC）的主要分析對象是SWC的部署視圖，即不同的SWC分別部署在中央控制器、區域控制器及與區域控制器相連的ECU中。同樣通過故障樹分析的方式確定當前系統架構設計中的薄弱點，增加安全機制保證系統架構設計滿足功能安全的要求。新增的SWC及接口同樣通過和架構團隊討論后確定并更新到SWC部署視圖中。
經緯恒潤于2008年成立功能安全小組，是國內較早從事功能安全技術研究的團隊。作為功能安全國家標準委員會成員，參與了GB/T34590第一版、第二版起草工作及修訂工作；作為芯片創新聯盟核心成員，參與了車規級自主芯片功能安全標準制定。結合20余年汽車電子產品研發實踐，功能安全咨詢團隊提供面向量產車型開發從概念設計到正式投產的全棧功能安全咨詢服務。
展開 吉利路特斯高薪誠聘NVH，安全性能開發主任工程師！
職位：
虛擬安全性能開發主管/主任工程師（結構安全）
CAE Senior Engineer (structural safety)
崗位職責：
負責結構耐撞性安全開發技術要求制定與輸出，VDS、SDS制定
Determine and release the ESOW of crash safety on current program and complete VDS and SDS
負責結構安全性能開發相關造型及布置校核
Review and optimiaze the layout of design according to structural safety attributes target
負責結構安全虛擬性能目標定義、分解及達成
Define and divide CAE safety attributes and fulfil its target
負責整車碰撞及零部件碰撞仿真模型的搭建、分析及優化
Build, analyse and optimize the simulation model of crash test on both vehicle and components level
負責CAE優化方案的推進與跟蹤落實
Improve and implement the CAE plans
負責結構安全性能開發各階段試驗策劃，相關試驗樣車狀態核查與驗收、試驗跟進
Plan the structural safety
展開 
車輛安全性能開發流程
---分享汽車安全性能開發流程
SCADE—產品級安全關鍵系統的MBD開發套件
基于形式化語言“SCADE”，語法嚴謹，減少代碼生成配置環節，一鍵從模型生成代碼，且代碼生成器通過ISO26262等行業安全標準認證(TCL3)，行業目前經過安全認證（ASILD）的代碼生成器，適用于高安全軟件開發（適用于C和Ada），支持標定和NI/dSPACE等HIL橋接
SCADE Suite Gateway for Simulink：支持Simulink模型與SCADE模型的雙向轉換
SCADE Display：支持HMI詳細設計、仿真驗證、代碼自動生成。支持生成OpenGL/OpenGL Safety/OpenGL ES代碼，代碼生成器通過行業安全標準認證，適用于高安全軟件開發。SCADE Display是一款用于人機交互界面建模的專用工具，支持嵌入式圖形、顯示界面和HMI開發，以及安全關鍵型顯示界面的認證代碼生成，在汽車和工業等制造領域的企業中均用于HMI顯示軟件原型設計和開發
SCADE Test：用于需求驗證以及測試案例創建和管理的完整測試環境。用戶可以在主機和目標上自動執行測試案例，測量覆蓋率并管理任何SCADE應用的測試結果。借助SCADE Test，用戶可以盡早開始需求驗證并自動執行測試，以確保在早期開發階段實現合規性，減少后期成本高昂的設計變更。完整的交互式測試環境可通過圖形部件輕松實現原型構建和驗證；自動化完成模型測試執行、模型覆蓋結果報告以及硬件目標的測試轉換等功能。測試報告生成符合安全性標準（DO-178C、ISO 26262、EN 50128、IEC 61508）
SCADE Lifecycle：支持和ALM/PLM（例如DOORS、Reqtify、Polarion）進行橋接，實現生命周期數據管理、文檔自動生成等。
展開 BMS功能安全開發流程詳解
來源 |
汽車ECU開發、129Lab
一、BMS&ISO26262簡介
BMS即Battery Management System，電池管理系統。作為新能源汽車“三電”核心技術之一，BMS在新能源車上扮演十分重要的作用。按照新能源汽車對電池管理的需求，BMS具備的功能包括電壓/溫度/電流采樣及相應的過壓、欠壓、過溫、過流保護，SOC/SOH估算、SOP預測、故障診斷、均衡控制、熱管理和充電管理等。
為了保證汽車電子電氣的可靠性設計， 在2011年發布了IS0 26262道路車輛功能安全標準）, IS0 26262 標準是源于工業功能安全標準(IEC61508)[1]。目前許多汽車企業和零部件企業在控制器開發過程中采用ISO26262這個標準，ISO26262包括了汽車電子電氣開發中與安全相關的所有應用，制定了汽車整個生命周期中與安全相關的所有活動，ISO 26262從需求開始，當中包括概念設計、軟硬件設計，直至最后的生產、操作，都提出了相應的功能安全要求，其覆蓋了汽車整個生命周期，從而保證安全相關的電子產品的功能性失效不會造成危險的發生。
如下圖所示：
1、范圍及相關項
ISO26262適用于最大總質量不超過3.5噸的量產乘用車上的包含一個或多個電子電氣系統的與安全相關的系統。在這部分ISO26262和FMEA還是比較相似的，第一步是確定Scope，哪些是研究范圍之內的。對高壓電池系統而言，ISO26262適用于電池包電氣系統及BMS系統，而不適用于電池包的電芯及機械結構件等。
展開 ISO 26262安全的軟件開發流程
根據標準7.4.9中指出，軟件安全需求應該分配到軟件組件上，每個軟件組件應該根據分配給它的最高等級的ASIL來開發。
開發實現階段
開發實現階段是軟件工程中定義的系統開發的最中心的工作，它是完成系統實現的主要工作，因此在開發實現階段的安全保證也是Studio非常重要的工作。軟件的開發實現包括源碼的生成和轉化為目標代碼。
在ISO 26262-6的8.4.4中給出了軟件單元設計和在源碼級實現的屬性，包括：軟件單元的子程序和功能能夠正確執行相關步驟；軟件單元間保持接口一致；簡單性；可讀性和易理解性；魯棒性；易于修改和可測試性。如下表給出了我們工具符合標準的一些設計原則。
由于Studio的最終目標是生成安全可靠的代碼，包括軟件組件的內部算法，軟件組件間相互通信代碼，ECU配置等代碼，因此也需要符合標準中對于編碼的一些規范。
集成和測試階段
集成和測試階段是軟件開發的最后階段，它是正確高效運行軟件的必要保證。集成是按照系統設計的要求將各個模塊組裝成子系統或者是系統，測試驗證軟件開發是否正確的完成了需求。
根據ISO 26262-4中的規定，集成和測試階段包含三個階段和兩個目標。第一個階段是項目包含的每個元素的軟硬件集成；第二個階段是項目的所有元素集成一個完整的系統；第三個階段是本系統和其它系統的集成。第一個目標是根據需求和ASIL等級來測試系統對安全需求的符合性；第二個目標是驗證系統設計的功能需求和安全需求是否都完成。
展開 MSC在虛擬試駕中引入可靠的車輛動力學技術以加快安全型自動駕駛車輛的開發
我們通過支持 Adams 的 VTD 將軟件開發與汽車工程合二為一，業界可以從‘車會怎樣做？’轉變到‘車會怎樣對待這個命令？’，由此推動下一代安全型車輛的開發?！? 傳感器感知
ADAS 系統進行安全關鍵型決策時需要依賴來自攝像頭、RADAR/LiDAR 或者衛星導航的準確信息。目前可以識別出因車輛—道路動力學而導致的盲點，藉此確定哪些傳感器在什么時間可以依賴。例如，可確保汽車在駛過減速帶時能夠感知到行人，即便攝像頭振動妨礙了跟蹤。
車輛原始設備制造商（OEM）可以評估傳感器在振動或改變方向時的工作情況，這樣他們就能根據不同的道路試驗以更劃算的方式開發傳感器融合技術。MSC 軟件的汽車顧問 Luca Castignani 解釋說：“在剎車操作期間，與雷達測量數據相比，安裝在貨車駕駛室的攝像頭感知會有明顯改變，那么汽車前方遇到了什么？我們可以讓 ADAS 工程師開發出與此類似的極端測試場景，以便增強他們決策時的信心、開發精準的傳感器融合技術?！? 如今，通過開放的功能模型接口（FMI）及靈活配置，Adams 可直接在 VTD 2019.1 中使用，可仿真包括四輪以上的卡車及拖車在內的任何車輛。VTD 能與 Adams 同步進行實時、快速、強大的仿真。汽車制造商現在可以通過開放接口“引入自己的人工智能”，將自己的駕駛員在環系統嵌入到 VTD 中，然后在更準確的仿真、更豐富的數據中進行試驗并訓練自己的自動駕駛算法。
展開 官方免費 | 面向ISO26262高安全性應用的車載軟件開發
Ansys提供解決當前汽車行業合規ISO 26262高安全性車載軟件開發要求的解決方案 – Ansys SCADE。
研討會內容簡介：
ISO26262標準的簡單介紹，合規給車企帶來的必要性和挑戰以及Ansys SCADE解決方案的工具組成、技術特點和應對這些挑戰的方法。
適用人群：
車企OEM或零部件供應商，從事車載電子控制單元（ECU）系統&軟件集成、開發和測試的技術管理人員和工程師。
講師簡介：
周霄，2017年初加入Ansys系統事業部，負責SCADE產品在華北區的技術推廣、支持和咨詢工作。擁有10多年嵌入式安全關鍵軟件領域的從業經歷，曾先后就職于Honeywell，Wind River等跨國企業，承擔嵌入式軟件系統的開發、測試、咨詢和管理工作，熟悉航空航天、
軌交、汽車等領域嵌入式軟件的設計、開發和測試流程以及相應的安全標準。同時
積累了豐富的和這些領域國類外客戶的交流經驗。
報名方式
請掃碼下方二維碼
點擊報名：http://event.31huiyi.com/1837936022/index?c=jishulink
展開 官方免費 | 面向ISO26262高安全性應用的車載軟件開發
Ansys提供解決當前汽車行業合規ISO 26262高安全性車載軟件開發要求的解決方案 – Ansys SCADE。
研討會內容簡介：
ISO26262標準的簡單介紹，合規給車企帶來的必要性和挑戰以及Ansys SCADE解決方案的工具組成、技術特點和應對這些挑戰的方法。
適用人群：
車企OEM或零部件供應商，從事車載電子控制單元（ECU）系統&軟件集成、開發和測試的技術管理人員和工程師。
講師簡介：
周霄，2017年初加入Ansys系統事業部，負責SCADE產品在華北區的技術推廣、支持和咨詢工作。擁有10多年嵌入式安全關鍵軟件領域的從業經歷，曾先后就職于Honeywell，Wind River等跨國企業，承擔嵌入式軟件系統的開發、測試、咨詢和管理工作，熟悉航空航天、
軌交、汽車等領域嵌入式軟件的設計、開發和測試流程以及相應的安全標準。同時
積累了豐富的和這些領域國類外客戶的交流經驗。
報名方式
請掃碼下方二維碼
點擊報名：http://event.31huiyi.com/1837936022/index?c=jishulink
展開 
功能更新丨HyperMesh：被動安全報告管理器ASRM 2024.1，助力汽車安全開發效率再升級
<p>Altair被動安全報告管理器（Altair Safety Report Manager, ASRM）2024.1版本目前已經正式發布。這個版本通過高度自動化的報告生成能力、廣泛的法規支持及新增模塊功能，為汽車碰撞安全分析與合規驗證提供了一站式解決方案，顯著提升開發效率與決策速度。</p><p><br></p><p><strong>核心功能亮點有哪些？</strong></p><p><br></p><p><strong>1、全流程自動化報告生成</strong></p><p><br></p><p>ASRM支持從數據輸入到PPT/HTML報告生成的全自動化流程，覆蓋模型信息、仿真質量統計、乘員保護要求、結構評估等關鍵內容。用戶可根據需求自定義模塊組合，快速生成符合全球主流安全法規的“第一眼報告”（First Sight Report），減少人工操作誤差，縮短開發周期。</p><p><img src="https://mmbiz.qpic.cn/mmbiz_png/x0yLiaf5fF6yibYKGX2Id7WI7ibFMwjVzOibdiayj000JMTUDkrxbagVAAxR8PdNyCso91EWpaicg1ibrpxveicXddh3Wg/640?wx_fmt=png&from=appmsg"></p><p><br></p><p><strong>2、多場景法規全覆蓋</strong></p><p><br></p><ul><li><strong>碰撞類型</strong>：支持前碰、側碰、后碰及座椅碰撞等多種場景。
展開 【ANSYS線上直播回看】Ansys 面向ISO26262高安全性應用的車載軟件開發
『點擊觀看直播回放』
本次活動將介紹Ansys針對當前汽車行業合規ISO 26262高安全性車載軟件開發要求的解決方案 – Ansys SCADE。主要包括ISO 26262標準的簡單介紹，合規給車企帶來的必要性和挑戰以及Ansys SCADE解決方案的工具組成、技術特點和應對這些挑戰的方法。
此次網絡直播吸引了眾多觀眾在線觀看，在會后我們也陸續收到在線觀眾以及其他用戶前來詢問，在此附上本場網絡直播錄播內容，供大家回看學習。
▼▼▼2020 Ansys網絡研討會有獎反饋 - 可免費獲取本場錄播和講解資料，參與者均可獲得千元培訓券及技術鄰金幣獎勵！
沃爾沃：敏捷開發中滿足ISO26262的軟件安全分析
與Simulink模型相比，手寫代碼具有較少的開發限制(例如，非強制性地遵守干凈的編碼標準)和更多與其他文件和函數的耦合。因此，分析不那么清晰的數據流需要付出更多的努力，這在開發中可能是不可承受的。
01 研究方法
研究過程中的一個關鍵決定是首先識別軟件中的所有錯誤類型，因為由于錯誤的多樣性，不確定哪些類型應該進行面向安全的軟件分析。以及哪些錯誤會影響軟件安全分析的目標實現。通常采用行動研究來處理這種情況：成立了一個從業人員參考小組，在行動研究周期中進行迭代。其成員包括一名軟件工程技術領導，一名軟件安全技術專家，一名高級安全工程師，一名軟件開發首席工程師，一名軟件架構師，一名高級軟件開發人員，以及一名負責開發車輛安全關鍵功能的產品負責人。任務包括以下內容：
1．根據給定的軟件開發過程和工作產品，識別應用軟件中可能發生的所有類型的錯誤；
2．針對已識別的錯誤類型，調查并記錄當前的解決方法
3．為尚未發現的錯誤類型指定預設解決方法；
4．審查面向安全的軟件分析方法的開發。
沃爾沃為未發現的錯誤類型提出了初始的解決方法。他們還設計了面向安全的軟件分析方法的框架。并且根據參考小組在行動研究周期中對這些建議提出的批判性的質疑，討論得出了初步的結果。在大約一年半的時間里，軟件安全分析方法基本上具體化了。之后將該方法應用于沃爾沃某大型ECU內部應用軟件，對分析方法進行了更多的調整。應用該方法的軟件有大約200個Simulink模型(產生大約80萬行代碼)，由12個敏捷團隊開發。
展開 集成安全帶系統模型開發 ￥200
目的是開發一個 FE 模型，該模型代表最近型號乘用車的帶有集成安全帶的座椅。有限元模型是使用 LS-DYNA 軟件開發的，并使用適當的 ATD 模型進行動態碰撞模擬。 進行了靜態測試以評估座椅變形和潛在的失效機制，以評估高強度前后碰撞碰撞中的乘員運動學和傷害。 所有測試數據，連同座椅拆卸測量和組件測試。
附件為
數值模型與實體結構：
乘員運動學和傷害分析：
