iso 26262中的asil等級(jí)確定與分解

1、ISO26262中的中的ASIL等級(jí)確定與分解等級(jí)確定與分解1.引言引言汽車上電子電氣系統(tǒng)（EE）數(shù)量不斷的增加，一些高端豪華轎車上有多達(dá)70多個(gè)ECU（ElectronicControlUnit電子控制單元），其中安全氣囊系統(tǒng)、制動(dòng)系統(tǒng)、底盤控制系統(tǒng)、發(fā)動(dòng)機(jī)控制系統(tǒng)以及線控系統(tǒng)等都是安全相關(guān)系統(tǒng)。當(dāng)系統(tǒng)出現(xiàn)故障的時(shí)候，系統(tǒng)必須轉(zhuǎn)入安全狀態(tài)或者轉(zhuǎn)換到降級(jí)模式，避免系統(tǒng)功能失效而導(dǎo)致人員傷亡。失效可能是由于規(guī)范錯(cuò)誤(比如安全需求不完整)、

2、人為原因的錯(cuò)誤(比如：軟件bug)、環(huán)境的影響(比如：電磁干擾)等等原因引起的。為了實(shí)現(xiàn)汽車上電子電氣系統(tǒng)的功能安全設(shè)計(jì)，道路車輛功能安全標(biāo)準(zhǔn)ISO26262[1]于2011年正式發(fā)布，為開發(fā)汽車安全相關(guān)系統(tǒng)提供了指南，該標(biāo)準(zhǔn)的基礎(chǔ)是適用于任何行業(yè)的電子電氣可編程電子系統(tǒng)的功能安全標(biāo)準(zhǔn)IEC61508[2]。ISO26262標(biāo)準(zhǔn)中對(duì)系統(tǒng)做功能安全設(shè)計(jì)時(shí)，前期重要的一個(gè)步驟是對(duì)系統(tǒng)進(jìn)行危害分析和風(fēng)險(xiǎn)評(píng)估，識(shí)別出系統(tǒng)的危害并且對(duì)危害的風(fēng)險(xiǎn)等

3、級(jí)——ASIL等級(jí)（AutomotiveSafetyIntegrationLevel，汽車安全完整性等級(jí)）進(jìn)行評(píng)估。ASIL有四個(gè)等級(jí)，分別為A，B，C，D，其中A是最低的等級(jí)，D是最高的等級(jí)。然后，針對(duì)每種危害確定至少一個(gè)安全目標(biāo)，安全目標(biāo)是系統(tǒng)的最高級(jí)別的安全需求，由安全目標(biāo)導(dǎo)出系統(tǒng)級(jí)別的安全需求，再將安全需求分配到硬件和軟件。ASIL等級(jí)決定了對(duì)系統(tǒng)安全性的要求，ASIL等級(jí)越高，對(duì)系統(tǒng)的安全性要求越高，為實(shí)現(xiàn)安全付出的代價(jià)越高，

4、意味著硬件的診斷覆蓋率越高，開發(fā)流程越嚴(yán)格，相應(yīng)的開發(fā)成本增加、開發(fā)周期延長(zhǎng)，技術(shù)要求嚴(yán)格。ISO26262中提出了在滿足安全目標(biāo)的前提下降低ASIL等級(jí)的方法——ASIL分解，這樣可以解決上述開發(fā)中的難點(diǎn)。本文首先介紹了ISO26262標(biāo)準(zhǔn)中的危害分析和風(fēng)險(xiǎn)評(píng)估階段中的ASIL等級(jí)確定方法，然后介紹了ASIL分解的原則，并輔以實(shí)例進(jìn)行說明。2.危害分析和風(fēng)險(xiǎn)評(píng)估危害分析和風(fēng)險(xiǎn)評(píng)估依據(jù)ISO26262標(biāo)準(zhǔn)進(jìn)行功能安全設(shè)計(jì)時(shí)，首先識(shí)別系統(tǒng)

5、的功能，并分析其所有可能的功能故障（Malfunction），可采用的分析方法有HAZOP，F(xiàn)MEA、頭腦風(fēng)暴等。如果在系統(tǒng)開發(fā)的各個(gè)階段發(fā)現(xiàn)在本階段沒有識(shí)別出來的故障，都要回到這個(gè)階段，進(jìn)行更新。功能故障在特定的駕駛場(chǎng)景下，才會(huì)造成傷亡事件，比如近光燈系統(tǒng)，其中一個(gè)功能故障就是燈非預(yù)期熄滅，如果在漆黑的夜晚行駛在山路上，駕駛員看不清道路狀況，可能會(huì)掉入懸崖，造成車毀人亡；如果此功能故障發(fā)生在白天就不會(huì)產(chǎn)生任何的影響。所以進(jìn)行功能故障分

6、析后，要進(jìn)行情景分析，識(shí)別與此故障相關(guān)的駕駛情景，比如：高速公路超車、車庫(kù)停車等。分析駕駛情景建議從公路類型：比如國(guó)道、城市道路、鄉(xiāng)村道路等；路面情況：比如濕滑路面、冰雪路面、干燥路面；車輛狀態(tài)：比如轉(zhuǎn)向、超車、制動(dòng)、加速等；環(huán)境條件：比如：風(fēng)雪交加、夜晚、隧道燈；交通狀況：擁堵、順暢、紅綠燈等；人員情況：不如乘客、路人等幾個(gè)方面去考慮。功能故障和駕駛場(chǎng)景的組合叫做危害事件（hazardevent），危害事件確定后，根據(jù)三個(gè)因子——嚴(yán)重

7、度（Severity）、暴露率（Exposure）和可控性（Controllability）評(píng)估危害事件的風(fēng)險(xiǎn)級(jí)別——ASIL等級(jí)。其中嚴(yán)重度是指對(duì)駕駛員、乘員、或者行人等涉險(xiǎn)人員的傷害程度；暴露率是指人員暴露在系統(tǒng)的失效能夠造成危害的場(chǎng)景中的概率；可控性是指駕駛員或其他涉險(xiǎn)人員能夠避免事故或傷害的可能性。這三個(gè)因子的分類在表1中給出。表1嚴(yán)重度、暴露率、可控性分類通過以上分析，得出EPB系統(tǒng)的安全目標(biāo)為：防止制動(dòng)失效，ASIL等級(jí)為D

8、。3.ASIL分解原則分解原則通過上節(jié)介紹的危害分析和風(fēng)險(xiǎn)評(píng)估，我們得出系統(tǒng)的安全目標(biāo)和相應(yīng)的ASIL等級(jí)，從安全目標(biāo)可以推導(dǎo)出開發(fā)階段的安全需求，安全需求繼承安全目標(biāo)的ASIL等級(jí)。如果一個(gè)安全需求分解為兩個(gè)冗余的安全需求，那么原來的安全需求的ASIL等級(jí)可以分解到兩個(gè)冗余的安全需求上。因?yàn)橹挥挟?dāng)兩個(gè)安全需求同時(shí)不滿足時(shí)，才導(dǎo)致系統(tǒng)的失效，所以冗余安全需求的ASIL等級(jí)可以比原始的安全需求的ASIL等級(jí)低。ISO26262標(biāo)準(zhǔn)的第9章

9、給出了ASIL分解的原則，如圖1所示。分解后的ASIL等級(jí)后面括號(hào)里是指明原始需求的ASIL等級(jí)，比如ASILD等級(jí)分解為ASILC(D)和ASILA(D)等，因?yàn)榧珊托枨蟮尿?yàn)證仍然依據(jù)其原始的ASIL等級(jí)。ASIL分解可以在安全生命周期的多個(gè)階段進(jìn)行，比如功能安全概念、系統(tǒng)設(shè)計(jì)、硬件設(shè)計(jì)、軟件設(shè)計(jì)階段。而且ASIL等級(jí)可以分多次進(jìn)行，比如ASILD等級(jí)分為ASILC(D)和ASILA(D)，ASILC(D)還可以繼續(xù)分解為ASILB

10、(D)和ASILA(D)。但是ASIL分解的一個(gè)最重要的要求就是獨(dú)立性，如果不能滿足獨(dú)立性要求的話，冗余單元要按照原來的ASIL等級(jí)開發(fā)。所謂的獨(dú)立性就冗余單元之間不應(yīng)發(fā)生從屬失效（DependentFailure），從屬失效分為共因失效（CommonCauseFailure）和級(jí)聯(lián)失效(CadingFailure)兩種。共因失效是指兩個(gè)單元因?yàn)楣餐脑蚴В热畿浖?fù)制冗余，冗余單元會(huì)因?yàn)橥粋€(gè)軟件bug導(dǎo)致兩者都失效，為了避免該共