(高清版)GBT 34590.3-2022 道路車輛 功能安全 第3部分：概念階段

國家市場監(jiān)督管理總局國家標(biāo)準(zhǔn)化管理委員會I Ⅲ V 1 1 2 2 2 2 2 3 3 3 3 35.2總則 35.3本章的輸入 35.4要求和建議 3 4 4 4 46.3本章的輸入 4 5 9 9 9 97.3本章的輸入 7.4要求和建議 7.5工作成果 附錄A(資料性)概念階段的概覽和工作流 附錄B(資料性)危害分析和風(fēng)險評估 21Ⅲ 第10部分：指南； 版的第1章); 本文件修改采用ISO26262-3:2018《道路車輛功能安全第3部分：概念階段》?！觅Y料性引用的GB/T34590.5—2 VGB/T34590針對的是電氣/電子系統(tǒng)的功能安全，通過安全措施(包括安全機制)來實現(xiàn)。 M 2-5整體安全管理1.術(shù)語2.功能安全管理2-6項目相關(guān)的安全管理2-7生產(chǎn)、運行、服務(wù)、報廢的安全管理3.概念階段3-5相關(guān)項定義3-6危害分析和風(fēng)險評估3-7功能安全概念12.摩托車的適用性12-5摩托車的適用性總則12-6安全文化12-7認可措施12-8危害分析和風(fēng)險評估12-9整車集成和測試12-10安全確認4.產(chǎn)品開發(fā)：系統(tǒng)層面45系統(tǒng)層面產(chǎn)品開發(fā)概述4-7系統(tǒng)及相關(guān)項集成和測試4-8安全確認5.產(chǎn)品開發(fā)，硬件層面5-5硬件層面產(chǎn)品開發(fā)概述5-6硬件安全要求的定文5-7硬件設(shè)計5-8硬件架構(gòu)度量的評估5-9隨機硬件失效導(dǎo)致違背安全目標(biāo)的評估5-10硬件集成和驗證6-5軟件層面產(chǎn)品開發(fā)概述6-7軟體架構(gòu)設(shè)計6-8軟件單元設(shè)計和實現(xiàn)6.9軟件單元驗證6-10軟件集成和驗證6-11嵌入式軟件測試7.生產(chǎn)、運行、服務(wù)和報廢5生產(chǎn)、運行、服務(wù)和報廢計劃7-6生產(chǎn)7-7運行、服務(wù)和8.支持過程8-5分布式開發(fā)的接口8-6安全要求的定義和管理8-7配置管理8-8變更管理8-9驗證8-10文檔管理8-11使用軟件工具的置信度8-12軟件組件的鑒定8-13硬件要素的評估8-14在用證明8-15GB/T34590適用范圍之外應(yīng)用的接口8-16未按照GB/T34590開發(fā)的安全相關(guān)系統(tǒng)的集成9.以汽車安全完整性等級為導(dǎo)向和以安全為9-6要素共存的準(zhǔn)則注1:陰影“V”表示GB/T34590.3—2022、GB/T34590.4-2022、GB/T34590.5—2022、GB/T34590.6—2022、注2:對于摩托車：——GB/T34590.12—2022的第8章支持GB/T34590.3—2022;——GB/T34590.12—2022的第9章和第10章支持GB/T34590.4-2022。1本文件適用于安裝在除輕便摩托車外的量產(chǎn)道路車輛上的包含一個或多個電氣/電子系統(tǒng)的與安件。對于在本文件發(fā)布前完成生產(chǎn)發(fā)布的系統(tǒng)及其組件進行變更時，本文件基于周期的活動進行裁剪。未按照本文件開發(fā)的系統(tǒng)與按照本文件開發(fā)的系統(tǒng)進合到企業(yè)特定的開發(fā)框架中。本文件規(guī)定了為實現(xiàn)產(chǎn)品功能安全的技術(shù)開發(fā)下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文GB/T34590.1道路車輛功能安全第1部分：術(shù)語(GB/T34590.1—2022,ISO26262-1:GB/T34590.2—2022道路車輛功能安全第2部分：功能安全管理(ISO26262-2:2018,MOD)GB/T34590.4—2022道路車輛功能安全第4部分：產(chǎn)品開發(fā)：系統(tǒng)層面(ISO26262-4:2018,GB/T34590.8—2022道路車輛功能安全第8部分：支持過程(ISO26262-8:2018,MOD)2GB/T34590.9—2022道路車輛功能安全第9部分：以汽車安全完整性等級為導(dǎo)向和安全為導(dǎo)向的分析(ISO26262-9:2018GB/T34590.1界定的術(shù)語和定義適用于本文件。a)如何符合GB/T34590;b)如何解釋GB/T34590中所使用的表格；c)如何解釋各章條基于不同的ASIL等級的適用性。b)不滿足要求的理由存在且是可接受的，并且按照GB/T34590.2—2022的要求對該理由進行本文件中的表是規(guī)范性或資料性取決于上下文。在滿足相關(guān)要求時，表中列出的不同方法有助于對于連續(xù)的條目，高度推薦和推薦的方法按照ASIL等級推薦予以使用。高度推薦或推薦的方法 “o”表示對于指定的ASIL等級，不推薦也不反34.4基于ASIL等級的要求和建議照安全目標(biāo)的ASIL等級。如果在項目開發(fā)的早期對ASIL等級完成了分解，按照GB/T34590.9—2022中第5章的要求，應(yīng)遵循分解后的ASIL等級。而非要求。這里的括號與ASIL等級分解無關(guān)。對于適用于GB/T34590.12—2022要求的摩托車的相關(guān)項或要素，GB/T34590.12—2022的要求替代本文件和GB/T34590.2—2022的相應(yīng)要求。無。4e)功能在所涉及的系統(tǒng)和要素間的分配；f)影響相關(guān)項功能的運行場景。a)識別并分類由相關(guān)項中的功能異常表現(xiàn)引起的危害事件；b)制定防止危害事件發(fā)生或減輕危害程度的安全目標(biāo)及其相應(yīng)的ASIL等級，以避免不合理的風(fēng)險。害事件，對相關(guān)項進行評估。通過對危害事件進行系統(tǒng)性的評估確定安全目標(biāo)及分配給他們的ASIL56.3.2支持信息可考慮如下信息：——其他相關(guān)項的相關(guān)信息(來自外部)。6.4要求和建議6.4.1危害分析和風(fēng)險評估的啟動應(yīng)基于相關(guān)項定義進行危害分析和風(fēng)險評估。在危害分析和風(fēng)險評估過程中，應(yīng)對不含內(nèi)部安全機制的相關(guān)項進行評估(即，在危害分析和風(fēng)險評估過程中不應(yīng)考慮將要實施或已經(jīng)在先前相關(guān)項中實施的安全機制)。6.4.2場景分析和危害識別應(yīng)對相關(guān)項的功能異常表現(xiàn)導(dǎo)致一個危害事件發(fā)生時所處的運行場景及運行模式進行描述，包括正確的使用車輛和可合理預(yù)見的不正確使用車輛的情況。應(yīng)基于相關(guān)項可能的功能異常表現(xiàn)系統(tǒng)性地確定危害。應(yīng)在整車層面定義由相關(guān)項的功能異常表現(xiàn)導(dǎo)致的危害。如果在本章中所識別出的危害超出了GB/T34590的范圍(見第1章),應(yīng)按照組織的特定流程處理這些危害。應(yīng)確定相關(guān)的危害事件。應(yīng)識別危害事件的后果。應(yīng)確保所選擇的運行場景列表的詳細程度不會導(dǎo)致ASIL等級的不適當(dāng)降低。6.4.3危害事件分類應(yīng)對在6.4.2中識別出的所有的危害事件進行分類，不含超出GB/T34590范圍的危害事件。6對于每一個危害事件，應(yīng)基于確定的理由來預(yù)估潛在傷害的嚴(yán)重度。應(yīng)按照表1為嚴(yán)重度指表1嚴(yán)重度等級無傷害(有存活的可能)不確定),致命的傷害有的運行場景會導(dǎo)致傷害(例如事故),在此運行場景下，其相關(guān)項后續(xù)的功能異常表現(xiàn)會增加或無法減小所產(chǎn)生的傷害，在這種情況下，嚴(yán)重度的分級可以僅限于初始運行場景(例如事故)和相關(guān)項功能異常表現(xiàn)所產(chǎn)生的嚴(yán)重度差異。如果經(jīng)過危害分析和風(fēng)險評估，確定相關(guān)項的功能異常表現(xiàn)的后果明顯僅限于物體損壞并不涉及對人員的傷害，則該危害的嚴(yán)重度等級可為S0。如果一個危害事件的嚴(yán)重度等級為S0,則無需分配ASIL等級。對于每一個危害事件，應(yīng)基于確定的理由預(yù)估每個運行場景的暴露概率。按照表2,應(yīng)為暴露表2關(guān)于運行場景的暴露概率等級中等概率高概率當(dāng)預(yù)估暴露概率時，不應(yīng)考慮裝備該相關(guān)項的車輛數(shù)量。暴露概率等級E0可用于在危害分析和風(fēng)險評估過程中所建議的那些認為是難以置信的場景，無需進一步探討。應(yīng)記錄排除這些場景的理由。如果一個危害事件的暴露概率等級被指定為E0,則無需分配ASIL等級。7對于每一個危害事件，應(yīng)基于一個確定的理由預(yù)估駕駛員或其他處于運行場景的人員對該危害事件的可控性。應(yīng)按照表3為可控性指定一個C0、C1、C2或C3的可控性等級。如果相關(guān)項不可用的危害不影響車輛的安全運行(例如，一些駕駛員輔助系統(tǒng)),或者可以通過常規(guī)的駕駛員行為來避免事故，則該危害事件的可控性等級可為CO。如果一個危害事件的可控性等級0每一個危害事件的ASIL等級基于嚴(yán)重度、暴露概率和可控性的分級，并按照表4來確定。表4ASIL等級確定AABAABABC8GB/T34590.3—2022表4ASIL等級確定(續(xù))ABABCBCD見1。1如果幾種不太可能的場景組合導(dǎo)致暴露概率低于E1,即使危害事件達到S3和C3仍然可以認定為QM。 6.4.4安全目標(biāo)的確定應(yīng)為具有ASIL等級的每個危害事件確定一個安全目標(biāo)，該ASIL等級從危害分析和風(fēng)險評估中得出。如果所確定的安全目標(biāo)是類似的，可將其合并為一個安全目標(biāo)。為危害事件所確定的ASIL等級應(yīng)分配給對應(yīng)的安全目標(biāo)。如果將類似的安全目標(biāo)合并為一個安全目標(biāo)，按照,應(yīng)將最高的ASIL等級分配給合并后的安全目標(biāo)。安全目標(biāo)及其ASIL等級應(yīng)按照GB/T34590.8—2022的第6章來定義。對于與確定ASIL等級(如果適用，包括定級為QM或沒有分配ASIL等級的危害事件)相關(guān)的危害分析和風(fēng)險評估過程，應(yīng)識別其使用到的或從中得出的假設(shè)。對于所集成的相關(guān)項，應(yīng)按照GB/T34590.4—2022的第8章對這些假設(shè)進行確認。6.4.5T&B車輛危害分析和風(fēng)險評估的差異管理6.4.5中的要求僅適用于T&B車輛。在對T&B車輛進行危害分析和風(fēng)險評估時，應(yīng)考慮如下差異：a)基礎(chǔ)車輛的類型；b)T&B車輛的配置；c)T&B車輛的運行狀態(tài)。9應(yīng)按照GB/T34590.8—2022的第9章對危害分析和風(fēng)險評估包括安全目標(biāo)進行驗證，以提供證a)對運行場景和危害識別(及T&B車輛配置)選擇的適用性；e)安全目標(biāo)與所分配的ASIL等級和相關(guān)危害事件的一致性。c)定義相關(guān)項層面的策略或者措施，通過相關(guān)項自身、駕駛員或外部措施來實現(xiàn)要求的故障容GB/T34590.3—2022素中實現(xiàn)，并在功能安全要求中規(guī)定。圖2說明了通過分層的方法，從危害分析和風(fēng)險評估中得出安全目標(biāo)，再由安全目標(biāo)得出功能安全要求并將安全要求分配到系統(tǒng)架構(gòu)設(shè)計。使用初步架構(gòu)設(shè)想為在早期開發(fā)階段處理不成熟的架構(gòu)信息提供了一種方法。GB/T34590相應(yīng)部分安全要求的結(jié)構(gòu)和分布見GB/T34590.8—2022的圖2。功能安全要求圖2安全目標(biāo)和功能安全要求層級7.3本章的輸入7.3.1前提條件應(yīng)具備以下信息：——相關(guān)項定義，按照5.5;——危害分析和風(fēng)險評估報告，按照6.5.1;——系統(tǒng)架構(gòu)設(shè)計(來自外部)。7.3.2支持信息可考慮以下信息：7.4要求和建議功能安全要求應(yīng)按照GB/T34590.8—2022的第6章進行定義。7.4.2功能安全要求的導(dǎo)出功能安全要求應(yīng)由安全目標(biāo)導(dǎo)出，并考慮系統(tǒng)架構(gòu)設(shè)計。應(yīng)為每一個安全目標(biāo)導(dǎo)出至少一項功能安全要求。f)將風(fēng)險暴露時間縮短到可接受時間所需的駕駛員警告；i)避免或減輕因不當(dāng)仲裁了不同功能同時產(chǎn)生的多個控制請求而導(dǎo)致的危害事件。a)在功能安全概念中應(yīng)定義這些行動；b)在功能安全概念中應(yīng)定義可供駕駛員或其他人員使用的足夠的方法和控制手段。a)在分配要求時，ASIL等級和中所給出的信息應(yīng)從相關(guān)的安全目標(biāo)中繼承得到。如果應(yīng)用了ASIL等級分解，則適用GB/T34590.9—2022中第5章的要求；b)如果按照GB/T34590.9—2022的第6章規(guī)定，無法證明系統(tǒng)架構(gòu)設(shè)計中實施安全要求的各要c)如果相關(guān)項包含多個電氣/電子系統(tǒng)，則應(yīng)根據(jù)系統(tǒng)架構(gòu)設(shè)計定義各個電氣/電子系統(tǒng)以及系相應(yīng)的隨機硬件故障度量目標(biāo)值(見GB/T34590.5—2022的第8章和第9章)并分配給各個e)如果在功能安全要求分配期間進行ASIL等級分解，則應(yīng)按照GB/T34590.9—2022中第5章如果功能安全概念依賴于其他技術(shù)的要素，則以下內(nèi)容應(yīng)適用：a)導(dǎo)出基于其他技術(shù)的要素所實現(xiàn)的功能安全要求，并將其分配給架構(gòu)中的相關(guān)要素；b)定義與其他技術(shù)要素的接口相關(guān)的功能安全要求；c)通過特定的措施(超出GB/T34590的范圍)來保證基于其他技術(shù)的要素所實現(xiàn)的功能安全要求；d)無需對分配給這些要素的安全要求分配ASIL等級。0如果功能安全概念依賴于外部措施，則以下內(nèi)容應(yīng)適用：a)導(dǎo)出并傳達由外部措施實施的功能安全要求；b)規(guī)定與外部措施接口的功能安全要求；c)如果外部措施由一個或多個電氣/電子系統(tǒng)實施，則按照GB/T34590指定功能安全要求。7.4.3安全確認準(zhǔn)則應(yīng)基于功能安全要求和安全目標(biāo)對相關(guān)項安全確認的接受準(zhǔn)則進行定義。7.4.4功能安全概念的驗證功能安全概念應(yīng)按照GB/T34590.8—2022的第9章進行驗證，提供證據(jù)證明：a)其與安全目標(biāo)的一致性和符合性；b)減輕或避免危害的能力。7.5工作成果7.5.1功能安全概念，由7.4.1～7.4.3的要求得出。7.5.2功能安全概念驗證報告，由7.4.4的要求得出。(資料性)表A.1概念階段概覽章本章的目的是：5功能，其與駕駛員、環(huán)境和其他相關(guān)項的依賴性和交互；無的要求得出階段的活動6險評估本章的目的是：a)識別并分類由相關(guān)項中的功能異常表現(xiàn)引起的危害事件；安全目標(biāo)及其相應(yīng)的ASIL等級，以避免不(見5.5)的要求得出；要求得出7本章的目的是：的功能行為；和控制相關(guān)故障的約束條件；障容錯，或者充分減輕相關(guān)故障的影響；d)分配功能安全要求給系統(tǒng)架構(gòu)設(shè)計或者外部措施；e)驗證功能安全概念和定義安全確認準(zhǔn)則相關(guān)項定義(見5.5);估報告(見6.5.1);系統(tǒng)架構(gòu)設(shè)計(來自外部)7.5.1功能安全概念，由證報告，由7.4.4的要求得出(資料性)危害分析和風(fēng)險評估B.1總則發(fā)生頻率f依次受到兩個因素的影響。要考慮的因素之一是人們以何種頻度及多長時間能夠發(fā)現(xiàn)他們自己處于上述危害事件可能發(fā)生的場景中。在GB/T34590中，它被簡化成會出現(xiàn)危害事件的運行場景發(fā)生概率的度量(暴露概率E)。另一個因素是相關(guān)項中故障的發(fā)生率，這在危害分析和風(fēng)險評估中是不考慮的。然而，在危害分析與風(fēng)險評估中由E、S、C的分級而得出的ASIL等級，確定了相危害分析和風(fēng)險評估子階段包括下述3個步驟。a)場景分析和危害識別(見6.4.2):場景分析和危害識別的目的是識別出可能會導(dǎo)致危害事件的相關(guān)項的潛在非預(yù)期行為。場景分析和危害識別活動需要一個關(guān)于相界的清晰定義。場景分析和危害識別是基于相關(guān)項的行為，因此并不一定需要知道相關(guān)項的設(shè)計細節(jié)。 b)危害事件的分類(見6.4.3):危害分類方案包括與相關(guān)項危害事件相關(guān)的嚴(yán)重度、暴露概率以及可控性的確定。嚴(yán)重度代表對一個特定駕駛場景中的潛在傷害的預(yù)估應(yīng)的場景來確定的?？煽匦院饬苛笋{駛員或其他道路交通參與者在所考慮到的運行場景中避免所考慮到的事故的難易程度。對于每一個危害，基于相關(guān)危害事件的數(shù)量，該分類將導(dǎo)B.2嚴(yán)重度示例由于事故的復(fù)雜性以及事故場景的多樣性，表B.1中所提供的例子僅代表對事故后果的一個大概ISS和NISS的適用性可以隨時間而變化。使用AIS分級來描述嚴(yán)重度。AIS代表受傷的嚴(yán)重程度分級，它由汽車事故醫(yī)學(xué)高級協(xié)會(AAAM)發(fā)布。該指南的創(chuàng)建使得國際間的嚴(yán)重度比較成為可能。AIS等級分為7(見表1)無傷害害(有存活的可能)不確定),致命的傷害的參考(根據(jù)AIS分性小于10%;或不能被歸為安全相關(guān)的損害AIS1-6可能性大于10%(不屬于S2和S3)AIS3-6可能性大于10%(不屬于S3)示例沖撞路邊設(shè)施；撞倒路邊郵筒、圍輕微刮痕損害；位置時損害；一沒有碰撞或者側(cè)翻的情景下離開道路側(cè)面碰撞一個狹窄(影響到乘員艙);-以非常低的速度和其他乘用車后碰/正碰；沒有乘員艙變形的側(cè)面碰撞一個狹窄的靜止物體，例如乘用車以低速撞上一棵樹(影響到乘員艙);以低速和其他乘用車后碰/正碰；以低速造成的行人一棵樹(影響到乘員艙);以中速和其他車輛后碰/正碰；其他車輛、半掛車)注：表B.1的信息示例可應(yīng)用于乘用車和T&B,但是要根據(jù)具體情況進行考慮。評估的結(jié)果會確定危害場景的暴露概率分級，暴露概率級別有5個，分別為E0(最低暴露概率等那些盡管在危害分析和風(fēng)險評估中被定義了，但又被認為是不尋?；蛄钊硕镋0。僅僅與E0場景關(guān)聯(lián)的危害的后續(xù)評估會被排除在進一步的分析之外。根據(jù)場景的持續(xù)時間(重疊時間)或發(fā)生的頻率，將其余的E1、E2、E3和E4等級指定給可發(fā)生危危害的暴露概率(E)可通過兩種方式進行預(yù)估。第一種是基于場景的持續(xù)時間，第二種是基于場除了這些駕駛場景外，還應(yīng)考慮該運行場景的表B.3/表B.5的例子可能無法得出相同如果失效維持在潛伏狀態(tài)的時間長度與危害事件預(yù)期發(fā)生之前的時表B.2基于運行場景持續(xù)時間的暴露概率等級等級(見表2)中等概率高概率時間的百分比)<1%的平均運行時間1%～10%的平均運行時間>10%的平均運行時間道路類型示例一一鄉(xiāng)間道路交叉口；一高速公路出口匝道單行道(城市道路)高速公路；鄉(xiāng)間道路；路面類型示例一冰雪路面； 有很多光滑樹葉的 類型示例啟動期間；連接掛車；-裝備車頂行李架；在斜坡上)一駕駛操控類型示例下坡時關(guān)閉發(fā)動機(山路)-停車(有掛車連接)市道路);-變道(高速公路)表B.3基于運行場景頻率的暴露概率等級分級(見表2)中等概率高概率言，一年發(fā)生的頻率對大多數(shù)駕駛員而言，多次駕駛中道路類型示例 的陡峭斜坡 一路面類型示例 一類型示例啟動發(fā)動機(在鐵路道口);車輛被拖的過程中車輛在加油；在斜坡上) 駕駛操控類型示例期路線 轉(zhuǎn)彎(轉(zhuǎn)向);使用指示器；等級(見表2)中等概率高概率持續(xù)時間(平均運行時間的百分比)<1%的平均運行時間1%～10%的平均運行時間>10%的平均運行時間示例—間客車配送車、專用作以小的速度差超過另(變道至對向車道)一一一一一配送車、長途客車、長途運輸車、專用行駛(在公共道路上)一一一陡坡配送車、長途客車、一—— 注：表B.2中的示例可用于T&B,但是要根據(jù)具體情況進行考慮。對于表B.2和表B.4中均出等級(見表2)中等概率高概率言，一年發(fā)生的頻率小于一次言，每年發(fā)生幾次對普通駕駛員而言，基本上每個月發(fā)生次駕駛中示例以小的速度差超過另一輛載貨汽車或客車(變道至對向車道) 配送車、長途客車，長途運輸車、專用行駛(在公共道路上) 配送車、專用作運送至施工現(xiàn)場)陡坡配送車、長途客車、 —注：表B.3中的示例可用于T&B,但是要根據(jù)具體情況進行考慮。對于表B.3和表B.5中均出更適合T&.B。為確定一個給定危害的可控性等級，需要預(yù)估具有代表性的駕駛員或車輛的可能性，或者在這個危害發(fā)生范圍內(nèi)的個體能夠通過他們的行動來避的控制行為的假設(shè)。這些場景對應(yīng)到可控性的分級，明確了用于判斷控制能力水平90%和99%的分可控性等級(見表3)駕駛因素和場景常規(guī)可控駛員或交通參與者能夠避免傷害90%到99%普通駕駛員或交通參與者能夠避免傷害員或交通參與者能例，如，無線電音量意外增加或燃油不足報警信息保持既定