ISO26262中的ASIL等級確定與分解

ISO26262中的ASIL等級確定與分解1.引言

汽車上電子/電氣系統(tǒng)（E/E）數(shù)量不斷的增加，一些高端豪華轎車上有多達70多個ECU（ElectronicControlUnit電子控制單元），其中安全氣囊系統(tǒng)、制動系統(tǒng)、底盤控制系統(tǒng)、發(fā)動機控制系統(tǒng)以及線控系統(tǒng)等都是安全相關(guān)系統(tǒng)。當(dāng)系統(tǒng)出現(xiàn)故障的時候，系統(tǒng)必須轉(zhuǎn)入安全狀態(tài)或者轉(zhuǎn)換到降級模式，避免系統(tǒng)功能失效而導(dǎo)致人員傷亡。失效可能是由于規(guī)范錯誤(比如安全需求不完整)、人為原因的錯誤(比如：軟件bug)、環(huán)境的影響(比如：電磁干擾)等等原因引起的。為了實現(xiàn)汽車上電子/電氣系統(tǒng)的功能安全設(shè)計，道路車輛功能安全標準ISO26262[1]于2011年正式發(fā)布，為開發(fā)汽車安全相關(guān)系統(tǒng)提供了指南，該標準的基礎(chǔ)是適用于任何行業(yè)的電子/電氣/可編程電子系統(tǒng)的功能安全標準IEC61508[2]。

ISO26262標準中對系統(tǒng)做功能安全設(shè)計時，前期重要的一個步驟是對系統(tǒng)進行危害分析和風(fēng)險評估，識別出系統(tǒng)的危害并且對危害的風(fēng)險等級——ASIL等級（AutomotiveSafetyIntegrationLevel，汽車安全完整性等級）進行評估。ASIL有四個等級，分別為A，B，C，D，其中A是最低的等級，D是最高的等級。然后，針對每種危害確定至少一個安全目標，安全目標是系統(tǒng)的最高級別的安全需求，由安全目標導(dǎo)出系統(tǒng)級別的安全需求，再將安全需求分配到硬件和軟件。ASIL等級決定了對系統(tǒng)安全性的要求，ASIL等級越高，對系統(tǒng)的安全性要求越高，為實現(xiàn)安全付出的代價越高，意味著硬件的診斷覆蓋率越高，開發(fā)流程越嚴格，相應(yīng)的開發(fā)成本增加、開發(fā)周期延長，技術(shù)要求嚴格。ISO26262中提出了在滿足安全目標的前提下降低ASIL等級的方法——ASIL分解，這樣可以解決上述開發(fā)中的難點。

本文首先介紹了ISO26262標準中的危害分析和風(fēng)險評估階段中的ASIL等級確定方法，然后介紹了ASIL分解的原則，并輔以實例進行說明。2.危害分析和風(fēng)險評估

依據(jù)ISO26262標準進行功能安全設(shè)計時，首先識別系統(tǒng)的功能，并分析其所有可能的功能故障（Malfunction），可采用的分析方法有HAZOP，F(xiàn)MEA、頭腦風(fēng)暴等。如果在系統(tǒng)開發(fā)的各個階段發(fā)現(xiàn)在本階段沒有識別出來的故障，都要回到這個階段，進行更新。功能故障在特定的駕駛場景下，才會造成傷亡事件，比如近光燈系統(tǒng)，其中一個功能故障就是燈非預(yù)期熄滅，如果在漆黑的夜晚行駛在山路上，駕駛員看不清道路狀況，可能會掉入懸崖，造成車毀人亡；如果此功能故障發(fā)生在白天就不會產(chǎn)生任何的影響。所以進行功能故障分析后，要進行情景分析，識別與此故障相關(guān)的駕駛情景，比如：高速公路超車、車庫停車等。分析駕駛情景建議從公路類型：比如國道、城市道路、鄉(xiāng)村道路等；路面情況：比如濕滑路面、冰雪路面、干燥路面；車輛狀態(tài)：比如轉(zhuǎn)向、超車、制動、加速等；環(huán)境條件：比如：風(fēng)雪交加、夜晚、隧道燈；交通狀況：擁堵、順暢、紅綠燈等；人員情況：不如乘客、路人等幾個方面去考慮。功能故障和駕駛場景的組合叫做危害事件（hazardevent），危害事件確定后，根據(jù)三個因子——嚴重度（Severity）、暴露率（Exposure）和可控性（Controllability）評估危害事件的風(fēng)險級別——ASIL等級。其中嚴重度是指對駕駛員、乘員、或者行人等涉險人員的傷害程度；暴露率是指人員暴露在系統(tǒng)的失效能夠造成危害的場景中的概率；可控性是指駕駛員或其他涉險人員能夠避免事故或傷害的可能性。這三個因子的分類在表1中給出。表1嚴重度、暴露率、可控性分類

ASIL等級的確定基于這三個影響因子，表2中給出了ASIL的確定方法，其中D代表最高等級，A代表最低等級，QM表示質(zhì)量管理（QualityManagement），表示按照質(zhì)量管理體系開發(fā)系統(tǒng)或功能就足夠了，不用考慮任何安全相關(guān)的設(shè)計。確定了危害的ASIL等級后，為每個危害確定至少一個安全目標，作為功能和技術(shù)安全需求的基礎(chǔ)。表2ASIL等級確定

下面以EPB（ElectricalParkBrake）系統(tǒng)為例介紹如何進行危害分析和風(fēng)險評估。

EPB較傳統(tǒng)的駐車制動器，除了駐車功能，還有動態(tài)起步輔助功能、緊急制動功能以及自動駐車功能等。這里我們以駐車功能為例，當(dāng)駐車時，駕駛員通過按鈕或其它方式發(fā)出制動請求，EPB系統(tǒng)在汽車的后輪上施加制動力，以防止車非預(yù)期滑行。該系統(tǒng)的危害有：非預(yù)期制動失效、非預(yù)期制動啟動。相同的危害在不同的場景下的風(fēng)險是不一樣的，所以我們要對不同的駕駛場景進行分析。為了簡化問題，這里我們僅對”非預(yù)期制動失效”這種功能故障進行風(fēng)險評估。表3給出了EPB風(fēng)險評估表，在該表中我們考慮的駕駛場景是車停在斜坡上，駕駛員不在車上。如果駕駛員在車上的話，駕駛員可通過踩剎車控制汽車滑行，可控性增加，那么所評估的ASIL等級會比表中的ASILD低，但是對于同一個安全目標，如果評估的ASIL等級不同的話，要選擇ASIL等級最高的那個。表3EPB風(fēng)險評估圖4加入安全機制后的架構(gòu)

功能F和安全機制是冗余安全需求，同時來滿足安全目標，因此可以將功能F原來的ASIL等級在這兩個需求上進行分解，分解為ASILD(D)和QM(D)，分解后的ASIL等級如圖5所示。圖5ASIL分解后架構(gòu)示意圖

原來的傳感器S1、S2、S3按照QM開發(fā)，速度傳感器按照ASILD開發(fā)，ECU里面的軟件，原來的邏輯按QM開發(fā)，安全機制的邏輯按照ASILD開發(fā)，不同ASIL等級的軟件存在于一個ECU內(nèi)，為了保證軟件之間的獨立性，保證兩者之間不相互影響，需要考慮內(nèi)存保護機制，合適的調(diào)度屬性來保證存儲空間和CPU時間的獨立性，這樣會增加軟件開發(fā)的很多成本。那么我們進一步采取硬件上的分離來保證獨立性，我們選擇一個成本很低的簡單的芯片（比如PGA,ProgrammableGateArray）來運行安全機制中的軟件（如圖6所示）。需要注意的是PGA要使用獨立的電源和時鐘。圖6改進的ASIL分解后架構(gòu)示意圖

經(jīng)過分解后，按照ASILD開發(fā)的功能邏輯簡單，使得開發(fā)變得簡單，整體成本也得以降低。4.結(jié)論

本文以EPB為例介紹了ISO26262標準中安全目標及其ASIL等級確定的方法，安全目標的ASIL等級被開發(fā)階段安全需求繼承，如果安全需求的ASIL等級高，那么