背景

隨著汽車行業(yè)復(fù)雜性的日益提升，人們加大了開發(fā)安全合規(guī)系統(tǒng)的力度。例如，現(xiàn)代汽車使用了油門線控等線控系統(tǒng)。駕駛員踩油門時(shí)，踏板中的傳感器將向電子控制單元發(fā)送信號(hào)。該控制單元會(huì)對(duì)多種因素進(jìn)行分析，如發(fā)動(dòng)機(jī)轉(zhuǎn)速、車輛速度及踏板位置，然后向油門傳遞指令。要測試和驗(yàn)證油門線控這類系統(tǒng)，對(duì)汽車行業(yè)來說是個(gè)不小的挑戰(zhàn)。ISO 26262的目標(biāo)是為所有汽車E/E系統(tǒng)提供統(tǒng)一的安全標(biāo)準(zhǔn)。

ISO 26262的國際標(biāo)準(zhǔn)草案(DIS)于2009年6月發(fā)布。自草案發(fā)布以來，ISO 26262在汽車行業(yè)的影響力逐漸加深。由于公開標(biāo)準(zhǔn)草案的面世，律師們將ISO 26262視為尖端技術(shù)標(biāo)準(zhǔn)。尖端技術(shù)是指一個(gè)設(shè)備或工藝在特定時(shí)間的最高發(fā)展水平。德國法律規(guī)定，汽車生產(chǎn)商通常要對(duì)產(chǎn)品故障導(dǎo)致的人身傷害承擔(dān)賠償責(zé)任。尖端技術(shù)都無法檢測的故障可獲得免責(zé)。[德國產(chǎn)品責(zé)任法(§ 823 Abs.1 BGB, § 1 ProdHaftG)]。

ISO 26262提供了一個(gè)通用的標(biāo)準(zhǔn)，可用于衡量系統(tǒng)在使用時(shí)的安全性。同時(shí)，該標(biāo)準(zhǔn)還提供了通用的詞匯表，用來指代系統(tǒng)的特定部分。這和其他安全關(guān)鍵應(yīng)用領(lǐng)域保持一致：即提供一個(gè)通用的標(biāo)準(zhǔn)，衡量系統(tǒng)的安全性。

返回頂部ISO 26262的關(guān)鍵組成部分ISO 26262采用分步系統(tǒng)，管理功能安全，并在系統(tǒng)、硬件及軟件層面規(guī)范產(chǎn)品開發(fā)。

ISO 26262標(biāo)準(zhǔn)提供了規(guī)范及推薦做法，貫穿了產(chǎn)品從概念開發(fā)到報(bào)廢的整個(gè)開發(fā)過程。ISO 26262詳細(xì)介紹了如何為系統(tǒng)或組件指定可接受的風(fēng)險(xiǎn)等級(jí)，以及記錄總體測試過程的方法?？傮w來說，ISO 26262：

定義汽車安全生命周期(管理、開發(fā)、生產(chǎn)、運(yùn)行、服務(wù)、報(bào)廢)，并支持在各生命周期階段中自定義必要的活動(dòng)

提供基于風(fēng)險(xiǎn)的具體方法，判定汽車的風(fēng)險(xiǎn)等級(jí)(汽車安全完整性等級(jí)，簡稱ASIL)

使用ASIL指定項(xiàng)目的必要安全要求，以使殘余風(fēng)險(xiǎn)在可接受的范圍內(nèi)

提供驗(yàn)證要求和確認(rèn)方法，以確保實(shí)現(xiàn)有效且可接受的安全水平

汽車安全生命周期

ISO 26262共有10卷，用于系列量產(chǎn)車，包含針對(duì)汽車的章節(jié)。例如，ISO 26262的第7章對(duì)生產(chǎn)、運(yùn)行、服務(wù)及報(bào)廢提出了明確的安全要求。

ISO 26262汽車安全生命周期描述了整個(gè)生產(chǎn)生命周期，包括對(duì)安全管理員的需求、安全計(jì)劃的制定以及確認(rèn)方法的定義(包括安全檢查、審計(jì)及評(píng)估)。開發(fā)E/E系統(tǒng)及元件需要遵循這些要求。

本白皮書主要介紹生命周期的開發(fā)部分。ISO 26262的開發(fā)部分涉及了系統(tǒng)定義、系統(tǒng)設(shè)計(jì)、功能安全評(píng)估以及安全驗(yàn)證。

汽車安全完整性等級(jí)(ASIL)

ASIL是ISO 26262標(biāo)準(zhǔn)的重要組成部分，在開發(fā)過程的開始階段確定。它分析系統(tǒng)的預(yù)期功能，同時(shí)指出可能的危害。ASIL提出這樣一個(gè)問題：“如果車輛發(fā)生故障，駕駛員和相關(guān)道路使用者會(huì)怎樣?”

為了評(píng)估風(fēng)險(xiǎn)，ASIL需綜合考慮暴露的可能性、駕駛員的控制能力以及發(fā)生重大事件時(shí)可能帶來的后果的嚴(yán)重程度。ASIL不管系統(tǒng)所使用的技術(shù)，只關(guān)注駕駛員及其他道路使用者所受到的危害。

ASIL根據(jù)不同的安全要求分為A、B、C、D四個(gè)級(jí)別，其中D級(jí)擁有最安全的關(guān)鍵流程，測試規(guī)范最為嚴(yán)格。ISO 26262標(biāo)準(zhǔn)根據(jù)組件的ASIL級(jí)別，分別規(guī)定了最低測試要求，有助于確定測試時(shí)必須采取的方法。確定ASIL后，就決定了系統(tǒng)的安全目標(biāo)，也就是確定了保證安全所需的系統(tǒng)行為。

比如，以雨刷系統(tǒng)為例。安全分析將確定喪失雨刷功能會(huì)對(duì)駕駛員的視線造成何種影響。ASIL給出指導(dǎo)，選擇適當(dāng)?shù)姆椒▉硎巩a(chǎn)品達(dá)到一定程度的完整性，旨在補(bǔ)充現(xiàn)有的安全做法。目前，汽車制造采用高安全標(biāo)準(zhǔn)，而ISO 26262旨在規(guī)范行業(yè)內(nèi)的特定做法。