ISO-26262介紹

1、ISO26262是國際標(biāo)準(zhǔn)化組織文件第26262號(hào)(ISO 26262)為機(jī)動(dòng)車輛開發(fā)和測(cè)試緊急安全電子系統(tǒng)提供了一個(gè)過程框架和程序模型。從電子、電氣及可編程器件功能安全基本標(biāo)準(zhǔn)IEC61508派生出來的，主要定位在汽車行業(yè)中特定的電氣器件、電子設(shè)備、可編程電子器件等專門用于汽車領(lǐng)域的部件，旨在提高汽車電子、電氣產(chǎn)品功能安全的國際標(biāo)準(zhǔn)。ISO26262從2005年11月起正式開始制定，經(jīng)歷了大約6年左右的時(shí)間，已于2011年11月正式頒布，成為國際標(biāo)準(zhǔn)。中國也正在積極進(jìn)行相應(yīng)國標(biāo)的制定。安全在將來的汽車研發(fā)中是關(guān)鍵要素之一，新的功能不僅用于輔助駕駛，也應(yīng)用于車輛的動(dòng)態(tài)控制和涉及到安全工程領(lǐng)域的

2、主動(dòng)安全系統(tǒng)。將來，這些功能的研發(fā)和集成必將加強(qiáng)安全系統(tǒng)研發(fā)過程的需求，同時(shí)，也為滿足所有預(yù)期的安全目的提供證據(jù)。隨著系統(tǒng)復(fù)雜性的提高，軟件和機(jī)電設(shè)備的應(yīng)用，來自系統(tǒng)失效和隨機(jī)硬件失效的風(fēng)險(xiǎn)也日益增加，制定ISO 26262標(biāo)準(zhǔn)的目的是使得人們對(duì)安全相關(guān)功能有一個(gè)更好的理解，并盡可能明確地對(duì)它們進(jìn)行解釋，同時(shí)為避免這些風(fēng)險(xiǎn)提供了可行性的要求和流程。ISO 26262為汽車安全提供了一個(gè)生命周期（管理、開發(fā)、生產(chǎn)、經(jīng)營、服務(wù)、報(bào)廢）理念，并在這些生命周期階段中提供必要的支持。該標(biāo)準(zhǔn)涵蓋功能性安全方面的整體開發(fā)過程（包括需求規(guī)劃、設(shè)計(jì)、實(shí)施、集成、驗(yàn)證、確認(rèn)和配置）。ISO 26262標(biāo)準(zhǔn)根據(jù)安全

3、風(fēng)險(xiǎn)程度對(duì)系統(tǒng)或系統(tǒng)某組成部分確定劃分由A到D的安全需求等級(jí)（Automotive Safety Integrity Level 汽車安全完整性等級(jí)ASIL），其中D級(jí)為最高等級(jí)，需要最苛刻的安全需求。伴隨著ASIL等級(jí)的增加，針對(duì)系統(tǒng)硬件和軟件開發(fā)流程的要求也隨之增強(qiáng)。對(duì)系統(tǒng)供應(yīng)商而言，除了需要滿足現(xiàn)有的高質(zhì)量要求外還必須滿足這些因?yàn)榘踩燃?jí)增加而提出的更高的要求。系統(tǒng)安全可以從大量的安全措施中獲得，包括各種技術(shù)的應(yīng)用（如：機(jī)械，液壓，氣動(dòng)，電力，電子，可編程電子元件）。盡管ISO26262是相關(guān)于E/E系統(tǒng)的，但它仍然提供了基于其他相關(guān)技術(shù)的安全相關(guān)系統(tǒng)的框架。ISO26262：-提供了汽

4、車生命周期（管理，研發(fā)，生產(chǎn)，運(yùn)行，服務(wù)，拆解）和生命周期中必要的改裝活動(dòng)。-提供了決定風(fēng)險(xiǎn)等級(jí)的具體風(fēng)險(xiǎn)評(píng)估方法（汽車安全綜合等級(jí)，ASILs）-使用ASILs方法來確定獲得可接受的殘余風(fēng)險(xiǎn)的必要安全要求。-提供了確保獲得足夠的和可接受的安全等級(jí)的有效性和確定性措施。功能安全受研發(fā)過程（包括具體要求，設(shè)計(jì)，執(zhí)行，整合，驗(yàn)證，有效性和配置），生產(chǎn)過程和服務(wù)流程以及管理流程的影響。安全事件總是和通常的功能和質(zhì)量相關(guān)的研發(fā)活動(dòng)及產(chǎn)品伴隨在一起。ISO26262強(qiáng)調(diào)了研發(fā)活動(dòng)和產(chǎn)品的安全相關(guān)方面。ISO26262主要用于安裝在最大毛重不超過3.5噸的乘用車上的一個(gè)或多個(gè)E/E系統(tǒng)的安全相關(guān)系統(tǒng)。IS

5、O26262唯一不適用于為殘疾人設(shè)計(jì)的特殊目的車輛的E/E系統(tǒng)。系統(tǒng)研發(fā)早于ISO26262出版日期的，也不在標(biāo)準(zhǔn)的要求之內(nèi)。ISO26262表述了由E/E安全相關(guān)系統(tǒng)，包括這些系統(tǒng)的互相影響，故障導(dǎo)致的可能的危險(xiǎn)行為，不包括電擊，火災(zāi)，熱，輻射，有毒物質(zhì)，可燃物質(zhì)，反應(yīng)物質(zhì)，腐蝕性物質(zhì)，能量釋放及類似的危險(xiǎn)，除非這些危險(xiǎn)是由于E/E安全相關(guān)系統(tǒng)故障導(dǎo)致的。ISO26262對(duì)E/E系統(tǒng)的標(biāo)稱性能沒有要求，對(duì)這些系統(tǒng)的功能性性能標(biāo)準(zhǔn)也沒有什么要求（例如：主被動(dòng)安全系統(tǒng)，剎車系統(tǒng)，ACC等）ISO26262主要包括以下幾個(gè)部分：Part 1：定義Part 2：功能安全管理Part 3：概念階段Pa

6、rt 4：產(chǎn)品研發(fā)：系統(tǒng)級(jí)Part 5：產(chǎn)品研發(fā)：硬件級(jí)Part 6：產(chǎn)品研發(fā)：軟件級(jí)Part 7：生產(chǎn)和操作Part 8：支持過程Part 9：基于ASIL和安全的分析Part 10：ISO26262導(dǎo)則ISO26262適用范圍ISO26262-BMS 電池管理系統(tǒng)ISO26262-MCU 微控制單元ISO26262-ECU 電子控制單元ISO26262-ABS 汽車防抱死制動(dòng)系統(tǒng)ISO26262-BAS 制動(dòng)輔助系統(tǒng)ISO26262-TPMS 胎壓實(shí)時(shí)監(jiān)控系統(tǒng)ISO26262-PEPS 無鑰匙進(jìn)入系統(tǒng)ISO26262-ESP 車身穩(wěn)定控制系統(tǒng)ISO26262-EPS 電子助力轉(zhuǎn)向系統(tǒng)ISO

7、26262-CCAS 汽車防撞雷達(dá)系統(tǒng)ISO26262-AFS 自適應(yīng)前照明系統(tǒng)ISO26262-LDWS 車道偏離預(yù)警系統(tǒng)ISO26262-ASR 牽引力控制系統(tǒng)ISO26262-EBD 電子剎車力分配系統(tǒng)ISO26262-EBA 緊急制動(dòng)輔助系統(tǒng)ISO26262-VSC 車身穩(wěn)定控制系統(tǒng)ISO26262-PAS 停車輔助系統(tǒng)ISO26262-Seat-belt pre-tensioning 安全帶預(yù)緊ISO26262-Electronic brake system 電子制動(dòng)系統(tǒng)ISO26262-電動(dòng)汽車(EV) 整車控制系統(tǒng)硬件及軟件ISO26262-混合動(dòng)力汽車(HEV) 整車控制系統(tǒng)硬

8、件及軟件VectorCAST認(rèn)證文檔包含· 工具操作需求（TOR）：· 在可驗(yàn)證的需求上實(shí)現(xiàn)VectorCAST的功能· 項(xiàng)目的作業(yè)環(huán)境(編譯器、平臺(tái)、目標(biāo)等。)· 管理流程的配置· 實(shí)現(xiàn)驗(yàn)證VectorCAST滿足特定測(cè)試需求的方法· 工具認(rèn)證數(shù)據(jù)(TQD):· 工具認(rèn)證的測(cè)試數(shù)據(jù)和結(jié)果· 重新執(zhí)行的測(cè)試腳本2. 功能安全概念設(shè)計(jì)在概念階段設(shè)計(jì)項(xiàng)目(或產(chǎn)品)定義、危險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)估和功能安全概念。2.1 項(xiàng)目定義項(xiàng)目定義描述了EPS系統(tǒng)的主要功能，如下所述：· 根據(jù)司機(jī)意圖，提供轉(zhuǎn)向支持· 主

9、動(dòng)回正· 向車內(nèi)其它系統(tǒng)提供轉(zhuǎn)向角度(通過CAN網(wǎng)絡(luò))2.2 危險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)估危險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)估需要考慮的要素有：安全功能、失效模式、駕駛場(chǎng)景、嚴(yán)重性、暴露的可能性、可控性以及安全目標(biāo)、ASIL等級(jí)、安全時(shí)間和安全狀態(tài)。根據(jù)分析，EPS系統(tǒng)有如下危險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)估結(jié)果：· 安全目標(biāo)1：防止電機(jī)產(chǎn)生自主扭矩確保電機(jī)不能自主產(chǎn)生扭矩，這樣會(huì)使車輛轉(zhuǎn)向偏離司機(jī)意圖。尤其在高速時(shí)，這種扭矩會(huì)產(chǎn)生意外的轉(zhuǎn)向，給司機(jī)乘客和行人帶來危險(xiǎn)。這種危險(xiǎn)可能源于傳感器或電控單元ECU的故障。ASIL等級(jí)：ASIL-D· 安全目標(biāo)2：防止電機(jī)產(chǎn)生死鎖扭矩確保電機(jī)不能鎖死，以至司機(jī)不能正

10、常轉(zhuǎn)向。電機(jī)死鎖可能由電氣失效或機(jī)械失效導(dǎo)致。尤其在高速時(shí)，這種意外的扭矩會(huì)給司機(jī)，乘客和行人帶來危險(xiǎn)。這種危險(xiǎn)可能源于電控單元ECU的故障，或電機(jī)及轉(zhuǎn)向系統(tǒng)的機(jī)械故障。ASIL等級(jí)：ASIL-D· 安全目標(biāo)3：防止系統(tǒng)從“安全狀態(tài)”錯(cuò)誤退出，電機(jī)產(chǎn)生突發(fā)扭矩這種工況是指當(dāng)EPS系統(tǒng)由于故障，如電機(jī)異常等原因，已經(jīng)進(jìn)入了所謂的“安全狀態(tài)”。但是由于電氣故障，EPS系統(tǒng)錯(cuò)誤地從“安全狀態(tài)”退出，在沒有任何告警的情況下，電機(jī)重新對(duì)轉(zhuǎn)向系統(tǒng)施加意外的扭矩，從而使司機(jī)不能按意圖控制轉(zhuǎn)向。ASIL等級(jí)：ASIL-A· 安全目標(biāo)4：防止電機(jī)不提供助力確保系統(tǒng)運(yùn)行正常，助力施加正確。助力

11、缺失不會(huì)導(dǎo)致車輛失控，因?yàn)橛袡C(jī)械轉(zhuǎn)向系統(tǒng)存在。一種合理的假設(shè)是：當(dāng)這種故障被檢測(cè)到后，顯示告警信息;司機(jī)察覺后，啟用“跛行回家”的行車模式,，比如降低車速等。ASIL等級(jí)：QM經(jīng)過危險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)估后，以上四個(gè)安全目標(biāo)的最高ASIL等級(jí)是ASIL-D。所以EPS系統(tǒng)的最高ASIL 等級(jí)是ASIL-D。2.3 功能安全概念為了實(shí)現(xiàn)系統(tǒng)的安全目標(biāo)，對(duì)系統(tǒng)架構(gòu)中的各個(gè)要素(Element)，如傳感器、控制單元和執(zhí)行單元(電機(jī))，都有功能安全需求。功能安全需求主要考慮各要素的ASIL等級(jí)、工作模式、安全時(shí)間、安全狀態(tài)、功能冗余即容錯(cuò)性能和各要素的初步架構(gòu)等。它不涉及具體的硬件和軟件實(shí)現(xiàn)細(xì)節(jié)。在EPS系

12、統(tǒng)中，采用了如圖2的初步系統(tǒng)架構(gòu)，可能的功能安全需求示例如下：· 整個(gè)EPS系統(tǒng)要求達(dá)到ASIL-D的要求。(系統(tǒng))· 安全狀態(tài)的定義必須確保當(dāng)系統(tǒng)出現(xiàn)致命故障時(shí)，電機(jī)的行為不會(huì)對(duì)轉(zhuǎn)向系統(tǒng)不利影響。(系統(tǒng))· 系統(tǒng)必須在安全時(shí)間內(nèi)進(jìn)入安全狀態(tài)。(控制單元)· 控制單元必須包括電機(jī)控制通道和電機(jī)監(jiān)控通道。(控制單元)· 控制通道和監(jiān)控通道都能獲得集成于車輛接口的傳感器信號(hào)。(傳感器和控制單元)· 控制通道和監(jiān)控通道都能獲得集成于執(zhí)行單元的傳感器信號(hào)。(傳感器和控制單元)· 控制通道和監(jiān)控通道所用的傳感器信號(hào)必須獨(dú)立。(傳感器)· 控制通道根據(jù)扭矩傳感器輸入和其它來自車身網(wǎng)絡(luò)的相關(guān)輸入計(jì)算助力需求。(控制單元)· 控制通道控制執(zhí)行單元，產(chǎn)生所需助力。(控制單元)· 監(jiān)控通道根據(jù)獨(dú)立的扭矩傳感器輸入和其它來自車身網(wǎng)絡(luò)的相關(guān)輸入，校驗(yàn)控制通道是否正確計(jì)算了助力需