汽車為什么需要功能安全？功能安全在解決什么問(wèn)題？

隨著軟件定義汽車，汽車功能安全顯得尤為重要，功能安全系列專題由此誕生，主要簡(jiǎn)述個(gè)人在功能安全不同開發(fā)階段(包括概念，系統(tǒng)，軟件，硬件開發(fā)等)重要內(nèi)容及學(xué)習(xí)心得。

本篇為功能安全系列專題開篇，主要聊聊以下幾個(gè)基本問(wèn)題:

為什么需要功能安全

功能安全在解決什么問(wèn)題

功能安全法規(guī)

功能安全有什么特點(diǎn)

功能安全真的有必要嗎

功能安全系列專題內(nèi)容預(yù)告

01

為什么需要功能安全？

在這個(gè)世界上，人和物都不是完美的。(愿望很美好，現(xiàn)實(shí)很殘酷)

1

人不是完美的 => 系統(tǒng)性失效

汽車開發(fā)工程師在汽車E/E系統(tǒng)開發(fā)中，包括軟件和控制器硬件，不可避免地存在人為疏忽或錯(cuò)誤，引起系統(tǒng)功能功能失效，進(jìn)而導(dǎo)致故障并產(chǎn)生危害。這部分人為疏忽導(dǎo)致的失效為系統(tǒng)性失效。(注: 硬件也有系統(tǒng)失效)

2

物不是完美的 => 隨機(jī)硬件失效

控制器硬件，由于自身老化，外部環(huán)境因素等引發(fā)功能失效，導(dǎo)致相應(yīng)故障并產(chǎn)生危害。硬件失效帶有隨機(jī)性，符合一定概率分布，因此稱為硬件隨機(jī)失效。

為了避免上述兩種失效，功能安全由此誕生。

02

功能安全在解決什么問(wèn)題？

1

除通常質(zhì)量管理(QM)外，對(duì)汽車E/E系統(tǒng)軟硬件全生命周期安全開發(fā)流程，方法等進(jìn)行約束和規(guī)范(主要是通過(guò)ASIL)，盡可能降低人為結(jié)構(gòu)性的系統(tǒng)失效

2

對(duì)控制器硬件部分進(jìn)行概率化度量，盡可能降低隨機(jī)硬件失效

3

除過(guò)程約束外，設(shè)定安全狀態(tài)，一旦系統(tǒng)發(fā)生故障，在故障容錯(cuò)時(shí)間內(nèi)將系統(tǒng)導(dǎo)入安全狀態(tài)，避免對(duì)人身、財(cái)產(chǎn)造成傷害

03

汽車功能安全法規(guī)

1

ISO 26262: 2018版，屬于第二版

下載鏈接:? ISO 26262-2018

2

中文國(guó)標(biāo):? GB/T 34590，于2017年發(fā)布，屬于ISO 26262第一版的中文版，英文不是太好的朋友可以先看中文版，但和 ISO 26262: 2018最新版存在一定差異

下載鏈接:?GBT-34590

ISO 26262屬于方法論模型，抽象又具體:

抽象在于:?除了個(gè)別開發(fā)流程方法外，其他過(guò)程并沒明確如何具體操作，這導(dǎo)致功能安全開發(fā)相對(duì)難以落地，不同開發(fā)商對(duì)功能安全理解也不近相同，不同企業(yè)產(chǎn)品功能安全無(wú)法直接橫向?qū)Ρ取?/p>

具體在于: 開發(fā)大的流程及工作輸出產(chǎn)物明確，和ASPICE過(guò)程參考模型相比還是具體很多。

可能是其魅力吧！通過(guò)抽象又具體的方法論，一方面對(duì)功能安全開發(fā)大的流程和方法提供了指南，另一方面，考慮了不同企業(yè)技術(shù)及KnowHow差異，為技術(shù)施行多樣性提供了可能。

04

汽車功能安全特點(diǎn)

汽車功能安全特點(diǎn)包括:

1

旨在盡可能避免由系統(tǒng)功能異常導(dǎo)致的危害，不是為了提高系統(tǒng)原有功能或非安全性能(如動(dòng)力性)或避免系統(tǒng)本身功能不足導(dǎo)致的危害(屬預(yù)期功能安全)

2

不關(guān)注本質(zhì)安全(即通過(guò)消除危險(xiǎn)的原因確保安全的方式)

3

既基于系統(tǒng)功能實(shí)現(xiàn)(基于現(xiàn)有功能進(jìn)行危害分析和風(fēng)險(xiǎn)評(píng)估，定義目標(biāo)及安全需求并采取安全措施)，又有所區(qū)別(一般獨(dú)立開發(fā)，ASIL要求貫穿全過(guò)程，直接決定功能安全開發(fā)工作量和內(nèi)容)

4

系統(tǒng)，軟件，硬件開發(fā)遵尋各自V模型，都是從需求，到架構(gòu)，再到設(shè)計(jì)實(shí)現(xiàn)，最后驗(yàn)證及系統(tǒng)確認(rèn)(確認(rèn)只有在系統(tǒng)層面)。為了加速迭代過(guò)程，可以和敏捷過(guò)程相結(jié)合(后續(xù)細(xì)聊)

05

功能安全真的有必要嗎？

雖然目前大部分開發(fā)商對(duì)功能安全越來(lái)越重視，但對(duì)很多企業(yè)而言，功能安全難以落地，投入產(chǎn)出比不高，項(xiàng)目進(jìn)度受阻等等。因此，也有一些質(zhì)疑的聲音，如：

為了覆蓋極少數(shù)可能發(fā)生的安全問(wèn)題，功能安全是否在浪費(fèi)項(xiàng)目開發(fā)時(shí)間和資源？

標(biāo)準(zhǔn)化的安全規(guī)范ISO 26262是否必須執(zhí)行？

針對(duì)以上相關(guān)問(wèn)題，以下僅談?wù)勎覀€(gè)人看法：

1

安全問(wèn)題重視程度取決于企業(yè)價(jià)值排序。個(gè)人覺得，安全第一，須竭盡全力保障汽車產(chǎn)品安全，先發(fā)布再以犧牲用戶利益為代價(jià)的市場(chǎng)測(cè)試，至少有違道德

2

條條道路通羅馬，ISO 26262只是其中一條，非強(qiáng)制執(zhí)行。只要企業(yè)安全文化到位，產(chǎn)品開發(fā)流程有效覆蓋功能安全問(wèn)題，也能走出自己的一條功能安全之路

3

規(guī)范的存在既是門檻，也是為了讓普通工程師在規(guī)范的約束下，有可能開發(fā)出一流的符合功能安全的產(chǎn)品(我這么說(shuō)不要打我，我也是普通工程師)

4

功能安全不是形式主義，不為死摳標(biāo)準(zhǔn)，不為通過(guò)評(píng)審而做，不會(huì)短期見效，卻能避免企業(yè)陷入重大安全召回

5

系統(tǒng)優(yōu)化企業(yè)組織架構(gòu)和交流接口，優(yōu)化開發(fā)流程，將功能安全融入企業(yè)各自開發(fā)流程中，實(shí)現(xiàn)不同平臺(tái)，項(xiàng)目間的最大化復(fù)用，是功能安全實(shí)施的關(guān)鍵之一

06

汽車功能安全系列專題內(nèi)容預(yù)告

鑒于功能安全(ISO 26262)內(nèi)容繁多，具體標(biāo)準(zhǔn)還得朋友們自己讀，不讀個(gè)3遍不要說(shuō)你看過(guò)，我現(xiàn)在依然還會(huì)讀。

該系列只對(duì)其重要內(nèi)容，容易誤解或難以理解內(nèi)容以個(gè)人經(jīng)驗(yàn)形式進(jìn)行闡述，旨在幫助朋友們更好地理解ISO 26262。

該系列首先以主要的功能安全開發(fā)階段，包括概念階段，系統(tǒng)階段，軟/硬件階段展開，剩余內(nèi)容多屬于支持過(guò)程，將以小專題形式進(jìn)行補(bǔ)充。

審核編輯：劉清