汽車功能安全開發(fā)的案例
智能網(wǎng)聯(lián)汽車功能安全開發(fā)解決方案
概述
“安全”被普遍認為是智能駕駛汽車被用戶接受或者得到商業(yè)應用較大的問題，傳統(tǒng)汽車電子按照功能安全（ISO 26262，避免系統(tǒng)性故障及隨機硬件失效）標準進行安全設(shè)計，而智能駕駛汽車安全要求超越了功能安全范疇，尤其是L4及以上智能駕駛車輛中駕駛員將不再接管對車輛的控制權(quán)，功能安全要求演化為失效可工作（Fail-operational），產(chǎn)品設(shè)計需要兼顧預期功能安全（ISO/PAS 21448，解決產(chǎn)品性能受限及駕乘人員誤操作）、信息安全（ISO/SAE 21434，防御網(wǎng)絡攻擊）等多重安全需求。
經(jīng)緯恒潤結(jié)合自身汽車電子產(chǎn)品研發(fā)實踐，功能安全咨詢團隊在智駕域提供覆蓋安全流程、產(chǎn)品開發(fā)認證及工具平臺的綜合解決方案。
智能駕駛功能安全流程搭建
智能駕駛安全產(chǎn)品開發(fā)及認證
通過功能安全模板、開發(fā)實例及定制的Workshop給客戶提供專業(yè)的咨詢服務。
智能駕駛功能安全開發(fā)平臺
結(jié)合客戶工程需求，恒潤會協(xié)助構(gòu)建適配智能駕駛的高可靠、高自動化功能安全平臺，以基于模型的安全分析為重要手段驅(qū)動智能駕駛產(chǎn)品架構(gòu)及設(shè)計不斷持續(xù)改進。
依托Medini平臺及豐富的API接口可以構(gòu)建完整的基于模型開發(fā)的功能安全平臺，所有的系統(tǒng)功能和系統(tǒng)架構(gòu)基于SysML模型描述，基于這些系統(tǒng)設(shè)計，可以直接一鍵生成FMEA表格，以及快速的構(gòu)建故障樹，進行FTA。在集成化的平臺里，可以管理安全目標、安全需求，并把安全需求分配給對應的系統(tǒng)和組件。進而，安全需求、系統(tǒng)設(shè)計、安全分析三者可以統(tǒng)一平臺中進行連接、交互和管理。
展開 功能更新丨HyperMesh：被動安全報告管理器ASRM 2024.1，助力汽車安全開發(fā)效率再升級
<p>Altair被動安全報告管理器（Altair Safety Report Manager, ASRM）2024.1版本目前已經(jīng)正式發(fā)布。這個版本通過高度自動化的報告生成能力、廣泛的法規(guī)支持及新增模塊功能，為汽車碰撞安全分析與合規(guī)驗證提供了一站式解決方案，顯著提升開發(fā)效率與決策速度。</p><p><br></p><p><strong>核心功能亮點有哪些？</strong></p><p><br></p><p><strong>1、全流程自動化報告生成</strong></p><p><br></p><p>ASRM支持從數(shù)據(jù)輸入到PPT/HTML報告生成的全自動化流程，覆蓋模型信息、仿真質(zhì)量統(tǒng)計、乘員保護要求、結(jié)構(gòu)評估等關(guān)鍵內(nèi)容。用戶可根據(jù)需求自定義模塊組合，快速生成符合全球主流安全法規(guī)的“第一眼報告”（First Sight Report），減少人工操作誤差，縮短開發(fā)周期。</p><p><img src="https://mmbiz.qpic.cn/mmbiz_png/x0yLiaf5fF6yibYKGX2Id7WI7ibFMwjVzOibdiayj000JMTUDkrxbagVAAxR8PdNyCso91EWpaicg1ibrpxveicXddh3Wg/640?wx_fmt=png&from=appmsg"></p><p><br></p><p><strong>2、多場景法規(guī)全覆蓋</strong></p><p><br></p><ul><li><strong>碰撞類型</strong>：支持前碰、側(cè)碰、后碰及座椅碰撞等多種場景。
展開 經(jīng)緯恒潤SOA功能安全開發(fā)方案, 助力車企軟件定義汽車
作為功能安全國家標準委員會成員，參與了GB/T34590第一版、第二版起草工作及修訂工作；作為芯片創(chuàng)新聯(lián)盟核心成員，參與了車規(guī)級自主芯片功能安全標準制定。結(jié)合20余年汽車電子產(chǎn)品研發(fā)實踐，功能安全咨詢團隊提供面向量產(chǎn)車型開發(fā)從概念設(shè)計到正式投產(chǎn)的全棧功能安全咨詢服務。
目前，經(jīng)緯恒潤已經(jīng)為戴姆勒、現(xiàn)代、菲亞特克萊斯勒、一汽紅旗、一汽解放、東風、長安、上汽、吉利、長城、蔚來汽車、華人運通、合眾汽車、嵐圖汽車、博格華納、華域麥格納等國內(nèi)外主流客戶提供了功能安全開發(fā)服務并得到客戶廣泛認可。未來，經(jīng)緯恒潤將緊跟軟件定義汽車大勢，堅持自主創(chuàng)新，為智能汽車安全發(fā)展保駕護航！
展開 BMS功能安全開發(fā)流程詳解
來源 |
汽車ECU開發(fā)、129Lab
一、BMS&ISO26262簡介
BMS即Battery Management System，電池管理系統(tǒng)。作為新能源汽車“三電”核心技術(shù)之一，BMS在新能源車上扮演十分重要的作用。按照新能源汽車對電池管理的需求，BMS具備的功能包括電壓/溫度/電流采樣及相應的過壓、欠壓、過溫、過流保護，SOC/SOH估算、SOP預測、故障診斷、均衡控制、熱管理和充電管理等。
為了保證汽車電子電氣的可靠性設(shè)計， 在2011年發(fā)布了IS0 26262道路車輛功能安全標準）, IS0 26262 標準是源于工業(yè)功能安全標準(IEC61508)[1]。目前許多汽車企業(yè)和零部件企業(yè)在控制器開發(fā)過程中采用ISO26262這個標準，ISO26262包括了汽車電子電氣開發(fā)中與安全相關(guān)的所有應用，制定了汽車整個生命周期中與安全相關(guān)的所有活動，ISO 26262從需求開始，當中包括概念設(shè)計、軟硬件設(shè)計，直至最后的生產(chǎn)、操作，都提出了相應的功能安全要求，其覆蓋了汽車整個生命周期，從而保證安全相關(guān)的電子產(chǎn)品的功能性失效不會造成危險的發(fā)生。
如下圖所示：
1、范圍及相關(guān)項
ISO26262適用于最大總質(zhì)量不超過3.5噸的量產(chǎn)乘用車上的包含一個或多個電子電氣系統(tǒng)的與安全相關(guān)的系統(tǒng)。在這部分ISO26262和FMEA還是比較相似的，第一步是確定Scope，哪些是研究范圍之內(nèi)的。對高壓電池系統(tǒng)而言，ISO26262適用于電池包電氣系統(tǒng)及BMS系統(tǒng)，而不適用于電池包的電芯及機械結(jié)構(gòu)件等。
展開 
電池系統(tǒng)開發(fā)及功能安全需求
電池系統(tǒng)開發(fā)及功能安全需求
功能安全管理（四）：功能安全審核及功能安全評估
作者 | HYZY
出品 | 焉知
知圈 | 進“芯片社群”請加微信13636581676，備注芯片
功能安全開發(fā)流程的終點應該是對相關(guān)項的安全認可，以確認其達到了生產(chǎn)發(fā)布的安全條件。
一、認可措施的關(guān)系
ISO 26262標準中定義的認可措施包括認可評審、功能安全審核和功能安全評估三種類型，ISO 26262標準中允許將認可評審和功能安全審核與功能安全評估合并、聯(lián)合，以支持相關(guān)項類似變型的處理。
下圖1展示了三種認可措施及驗證評審之間的關(guān)系，可以看出：
認可評審/驗證評審與功能安全審核相對獨立，分別是針對工作成果及功能安全開發(fā)流程；
功能安全評估的范圍最廣，除涵蓋了認可評審、驗證評審和功能安全審核外，還包括安全措施的適宜性和有效性、功能安全實現(xiàn)的論證、安全檔案提供的論證、安全異常原因已按規(guī)定關(guān)閉等其它內(nèi)容。
圖 1 認可措施及驗證評審范圍
二、功能安全審核
1、功能安全審核內(nèi)涵
功能安全審核可類比ASPICE過程能力審核與TS 16949體系審核，可由公司的體系審核員或第三方機構(gòu)審核員按照ISO 26262標準中對于過程的要求，審核項目開發(fā)中的安全流程實施情況。
功能安全審核可與ASPICE過程能力評估一同進行（特別是對于支持過程的審核），但ASPICE過程能力評估不能代替功能安全審核。
展開 汽車功能安全工程師入行指南
來源 |
牛喀網(wǎng)
近年來 ISO 26262 越來越被汽車行業(yè)所接受，國內(nèi)外各大主流汽車企業(yè)陸續(xù)將 ISO 26262 中定義的需求融入自己的研發(fā)體系和流程中。與此同時，各大主流車企也紛紛在開發(fā)體系中獨立出了功能安全的專職崗位。高缺口、高福利、高發(fā)展使得功能安全工程師崗位也成了很多汽車從業(yè)者的一個優(yōu)先級比較高的考慮對象。
而相比系統(tǒng)工程師、軟件工程師、硬件工程師、測試工程師等這些在汽車研發(fā)體系中已經(jīng)非常成熟的崗位，論發(fā)展年頭，功能安全工程師這一新興的崗位著實屬于“小弟”。因此，很多工程師朋友在考慮這個崗位時，不免心生很多疑問。
基于此，該系列文章試圖結(jié)合工作經(jīng)驗和見聞，從以下幾個方面對功能安全工程師這一崗位進行一個比較全面的介紹，希望能為有意向從事功能安全的同行朋友提供一些有價值的參考。
什么是功能安全？
功能安全如何在企業(yè)落地？
功能安全經(jīng)理的工作定義
主機廠和供應商功能安全合作
系統(tǒng)/軟件/硬件功能安全工程師的工作日常
功能安全的前景及一些建議
1
什么是功能安全？
在這里僅從功能安全的定義出發(fā)，幫助建立對功能安全的淺顯易懂的初印象。
展開 經(jīng)緯恒潤預期功能安全（SOTIF）解決方案為自動駕駛安全保駕護航
經(jīng)緯恒潤功能安全團隊已為上汽、嵐圖汽車、北汽研究院、北汽福田等眾多國內(nèi)主流客戶提供了汽車預期功能安全產(chǎn)品開發(fā)技術(shù)咨詢服務，產(chǎn)品覆蓋乘用車、商用車領(lǐng)域，L2+、L3級別自動駕駛。服務質(zhì)量得到了客戶們的廣泛認可！未來，經(jīng)緯恒潤將緊跟行業(yè)發(fā)展趨勢和市場需求，結(jié)合自身汽車電子產(chǎn)品研發(fā)和國內(nèi)外咨詢實踐，一如既往地堅持自主創(chuàng)新道路，為自動駕駛安全保駕護航。
電動汽車電機驅(qū)動控制器功能安全架構(gòu)研究
0 引言
伴隨著新能源汽車產(chǎn)業(yè)的發(fā)展，車用電子電氣系統(tǒng)的功能也日趨復雜，如何確保電子電氣系統(tǒng)的功能安全已成為行業(yè)關(guān)注的重點和研究的熱點。國際標準化組織（ISO）于2011年正式發(fā)布了ISO26262《道路車輛功能安全》標準，其提供了一套涵蓋系統(tǒng)（包括硬件和軟件）及其生產(chǎn)制造的完整功能安全設(shè)計流程與認證制度，以確保汽車行駛的安全性，并已成為汽車行業(yè)目前普遍接受的一套完整的評估并降低風險的方法，獲得了全球主要汽車制造商以及零部件供應商的廣泛認可和采用。盡管該標準針對功能安全性給出了完整的設(shè)計流程，對功能安全理念的引入發(fā)揮了至關(guān)重要的作用，但由于其并不涉及特定產(chǎn)品的具體設(shè)計，同時國內(nèi)外的相關(guān)文獻也鮮有介紹，因此如何正確地實現(xiàn)產(chǎn)品級的功能安全，對設(shè)計人員而言仍然具有一定的難度。
作為純電動汽車核心動力部件，電機驅(qū)動控制器其功能安全的正確實施顯得尤為重要。本文將從純電動汽車電機驅(qū)動控制器的安全目標出發(fā)，詳細闡述針對不同微處理器結(jié)構(gòu)如何實現(xiàn)系統(tǒng)架構(gòu)設(shè)計層面的功能安全。
1 電動汽車電機驅(qū)動控制器安全完整性等級分析
1.1 安全目標及安全完整性等級ASIL
產(chǎn)品安全性開發(fā)的最終目的是為了符合安全目標。安全目標是系統(tǒng)最高層面的安全要求，是危害分析和風險評估（HARA）的結(jié)果。基于HARA分析可以得出針對安全目標的汽車安全完整性等級（ASIL）。根據(jù)文獻可知，ASIL等級的確定需要針對危害事件綜合考慮嚴重度（S）、暴露概率（E）和可控性（C）的因素，如表1所示，其中D代表最高等級，A代表最低等級，QM表示質(zhì)量管理。
對于S，E，C指標，文獻中均有明確定義，本文不再贅述。需要說明的是，一個安全目標可能與多種危害相關(guān)，而多個安全目標也可能與某種單一的危害有關(guān)。
展開 汽車電子行業(yè)的功能安全標準ISO26262
第三步，根據(jù)危險分類（S，E，C）查表得到汽車完全完整性等級ASIL。ASIL分為4個等級，從A到D，D的安全完整性等級最高。以車輛在駛出高速公路時出現(xiàn)非駕駛員意愿的加速為例，查表得到完全完整性等級為ASILB。
在ISO26262中，要求對每一個危險事件定義一個安全目標。而根據(jù)危險分類，每一個安全目標都會有一個汽車安全完整性等級（ASIL）。等級越高，意味著在生命周期中實現(xiàn)該安全目標需要滿足的安全要求越多越嚴格。目前，德國博世的發(fā)動機控制器和變速箱控制器定義的最高安全完整性等級為ASILB。
3 ISO26262的應用
很多國外整車廠（戴姆勒o克萊斯勒，寶馬，奧迪等）和零部件供應商（德國博世，大陸集團，德爾福等）參與了制訂ISO26262標準，同時也在落實ISO26262的實施。德國博世在2011年3月以后的產(chǎn)品均滿足該標準。同時，由于ISO26262對開發(fā)工具提出了要求，因此也得到了汽車領(lǐng)域開發(fā)工具供應商的積極響應，比如德國ETAS集團就宣稱將對用于軟件開發(fā)的ASCET、INCA等產(chǎn)品按ISO26262要求進行分類和驗證。
在歐洲，通常由整車廠或主機廠負責車輛的功能安全，定義安全目標，因為他們可以站在系統(tǒng)集成的角度看到所有系統(tǒng)之間的聯(lián)系。整車廠或主機廠進行風險分析，并提供安全目標、安全狀態(tài)和容錯時間，而供應商則根據(jù)安全目標實現(xiàn)安全概念，最后整車廠或主機廠進行檢查。
考慮以下因素，當下國內(nèi)的汽車產(chǎn)品設(shè)計也需要考慮在未來滿足該標準：
1）對產(chǎn)品安全的責任；
2）國內(nèi)客戶有車輛出口的需求，在歐洲，滿足ISO26262通常被認為是法規(guī)的要求；
3）國內(nèi)日益增長的功能安全需求。
展開 智能網(wǎng)聯(lián)汽車信息安全開發(fā)解決方案
概述
智能網(wǎng)聯(lián)汽車為用戶帶來了多樣便捷的使用體驗，信息安全問題引發(fā)的安全風險和威脅不容小覷。近年來國內(nèi)外標準組織和機構(gòu)密集出臺多個法規(guī)或標準，作為智能網(wǎng)聯(lián)汽車準入的關(guān)鍵要求。
經(jīng)緯恒潤整車安全團隊密切跟進行業(yè)發(fā)展趨勢，致力于為國內(nèi)外客戶提供優(yōu)質(zhì)的信息安全咨詢服務，涵蓋同步E/E架構(gòu)開發(fā)的信息開發(fā)解決方案，旨在協(xié)助客戶在E/E架構(gòu)開發(fā)早期識別到系統(tǒng)薄弱點，定義合理的安全需求和安全提升方案，降低后續(xù)黑客攻擊引發(fā)的人身傷害或財產(chǎn)損失風險。
展開 
catia-V5的知識工程優(yōu)化功能在汽車產(chǎn)品開發(fā)上的應用
介紹了與知識工程優(yōu)化有關(guān)的概念和采用catia-V5軟件知識工程優(yōu)化功能進行產(chǎn)品優(yōu)化設(shè)計的流程,并以油底殼體積優(yōu)化設(shè)計和刮雨器的結(jié)構(gòu)功能優(yōu)化設(shè)計為例,提出了catia-V5知識工程優(yōu)化的方法。
catia-V5的知識工程優(yōu)化功能在汽車產(chǎn)品開發(fā)上的應用.PDF
EPB功能安全筆記 (11)：FTA定性分析示例
本文要點
在上文（EPB功能安全筆記(10)：硬件隨機失效分析基礎(chǔ)）中系統(tǒng)地介紹了隨機硬件失效的故障類型，如下圖所示。
隨機硬件故障的類型，截圖來自GB/T 34590, 第5部分
本文將對ISO 26262中推薦的分析方法FTA (Fault Analysis Tree) 展開介紹。
FTA作為一種分析方法，任何產(chǎn)品（如機械產(chǎn)品、電子電器等）都可以根據(jù)自身需要來選擇FTA進行分析。由于機械零部件的失效率無法度量，因此對于機械產(chǎn)品FTA只能進行定性分析，而電子元器件的失效率可以度量，且業(yè)界有統(tǒng)一的設(shè)計規(guī)范和衡量指標，所以在對電子電器產(chǎn)品而言，F(xiàn)TA的優(yōu)勢立馬凸顯出來了，不僅可以進行定性分析，還能進行定量分析。這也是ISO 26262推薦FTA的重要原因。
本文以EPB系統(tǒng)為例說明FTA定性分析的步驟和特點。
FTA簡介
1961年以前的安全與失效分析方法僅局限于對系統(tǒng)部件的失效模式何失效影響進行定性分析。但是隨著系統(tǒng)復雜性逐漸提高，要想把每個失效模式對系統(tǒng)可能造成的影響理清越來越困難；與此同時，這種分析方法不適用于對系統(tǒng)的可靠性進行定量分析。1961年，基于可靠性理論的知識，貝爾實驗室的布爾代數(shù)工程師H. Watson將帶有邏輯符號的布爾模型引入失效分析方法中去定量評估控制系統(tǒng)的可靠性，F(xiàn)TA便誕生了。
在波音公司首次在Minuteman I發(fā)射控制安全研究中公開使用FTA并獲得很好的實踐結(jié)果后，F(xiàn)TA隨后被引入航空航天、核工程、機器人行業(yè)，幾十年的發(fā)展使得FTA在評估復雜系統(tǒng)的安全性和可靠性方面得到了廣泛的應用。2011年ISO 26262將FTA作為推薦的演繹分析法（Deductive analysis method）引入到汽車的功能安全開發(fā)中。
展開 歐盟開發(fā)出石墨烯增強汽車輕量化材料，更輕更強更安全！
英國桑德蘭大學（University of Sunderland）的科學家承擔著10.11號課題——歐盟石墨烯旗艦計劃的一部分——汽車復合材料。該項目正在探索如何利用石墨烯為汽車市場打造更輕，更強，更安全，更節(jié)能的部件。
由桑德蘭大學領(lǐng)導這個小組由意大利、西班牙和德國的研究機構(gòu)等五個研究合作伙伴組成，由過去兩年來一直在菲亞特克萊斯勒汽車公司的支持下進行一系列測試。 他們將石墨烯嵌入聚合物中，與傳統(tǒng)的碳纖維或玻璃纖維等結(jié)構(gòu)材料混合，作為汽車的保險杠材料進行測試，通過添加石墨烯，可以減小結(jié)構(gòu)部件的厚度。
該小組指出：“我們在第一階段發(fā)現(xiàn)的結(jié)果很不錯，我們?nèi)〉昧吮任覀冾A期的更多的成就。添加了石墨烯的復合材料非常輕、非常堅固，我們所做的沖擊測試結(jié)果顯示比傳統(tǒng)復合材料可以多吸收40％的能量。并且，該材料也更穩(wěn)定，當受到?jīng)_擊時，它的斷裂過程是受控的，能以受控的方式吸收能量。我們在開始的時候就預料到了這一點，但沒想到結(jié)果會如此好。“
“在石墨烯和聚合物之間取得適當?shù)钠胶馐侵陵P(guān)重要的。復合材料不能太弱，或太強，以至于碰撞時不能吸收能量。現(xiàn)代汽車的設(shè)計是為了防止乘客墜毀，而太結(jié)構(gòu)復雜的復合材料會將能量傳遞給乘客，從而危及他們的安全。我們現(xiàn)在有一個很好的統(tǒng)一分散，但這不是一件容易的事情。我們需要做到輕量級同時保證安全“。
該團隊已經(jīng)與歐洲一家汽車制造商及其一級供應商進行了會談，據(jù)報道他們對這項工作及其未來的應用非常感興趣。
來源：新材料技術(shù)前沿
傳播最新最全的材料科學技術(shù)，包括金屬材料成形、熱加工、陶瓷冶金，機械加工、粉末冶金、表面處理技術(shù)、熱處理、3D打印技術(shù)等相關(guān)材料科學技術(shù)。提供各種材料科學的視頻課程、新技術(shù)、專家答疑。
趕緊關(guān)注公眾號吧！
新材料技術(shù)前沿
展開 EPB系統(tǒng)功能安全筆記 (19)： 功能安全的認可措施（Confirmation Measures）理解與辨析
本文要點
：ISO 26262將功能安全開發(fā)融入了廣為熟知的“V模型”開發(fā)流程中。根據(jù)系統(tǒng)/軟件/硬件三個層級的劃分，ISO 26262的功能安全開發(fā)活動被融入了三個“V模型”之中，如下圖所示。在前面的系列文章中已經(jīng)對這三個“V模型”中包含的功能安全開發(fā)要點進行了說明。
“V模型”中的功能安全開發(fā)，截圖來自ISO 26262
做工程項目的朋友都知道，對于一款量產(chǎn)產(chǎn)品，除了完成開發(fā)工作以外，還需要對開發(fā)產(chǎn)物進行審核，審核通過后方能釋放產(chǎn)品。功能安全開發(fā)也是如此。“ISO 26262，part2，功能安全管理”中詳細介紹了功能安全的審核流程和要求，對應的術(shù)語為“認可措施，Confirmation measures”。
安全管理流程圖，截圖來自ISO 26262-2018, part2
一個現(xiàn)實的情況是，當讀者實際上去讀ISO 26262中“認可措施，Confirmation measures”相關(guān)的解釋和要求時，很容易就被其中包含的三個維度的措施給繞暈了，尤其是結(jié)合中文國標GB/T 34590對這三個維度的翻譯更加混淆，如下所示：
Confirmation review (認可評審)
Functional safety audit (功能安全審核)
Functional safety assessment (功能安全評估)
基于此，本文將試圖對“認可措施，Confirmation measures”以及其中包含的三個維度的措施進行辨析，旨在為讀者提供有價值的參考。
Note:
1. 考慮到中文翻譯的混淆性，除非有必要，本文接下來將使用英文概念進行描述。
2.
展開 