功能安全项目定义模板Item_Definition-ISO 26262-3-5
iso26262功能安全评价方法
iso26262功能安全评价方法【原创实用版2篇】目录（篇1）1.Iso26262 功能安全评价方法的背景和意义2.Iso26262 功能安全评价方法的具体内容3.Iso26262 功能安全评价方法的实施步骤4.Iso26262 功能安全评价方法的优势和应用5.Iso26262 功能安全评价方法的未来发展正文（篇1）一、Iso26262 功能安全评价方法的背景和意义Iso26262 功能安全评价方法是一种针对汽车电子系统功能安全的国际标准，它的出现是为了确保汽车电子系统在失效情况下能够按照预期方式进行故障处理，从而避免对人员和环境造成伤害。
随着汽车电子化程度的不断提高，功能安全日益受到重视，Iso26262 功能安全评价方法应运而生，成为了保证汽车安全的重要手段。
二、Iso26262 功能安全评价方法的具体内容Iso26262 功能安全评价方法主要包括以下几个方面：1.安全目标的定义：根据汽车电子系统的功能和失效模式，明确安全目标，确保系统在失效情况下能够按照预期方式进行故障处理。
2.危害分析：通过对汽车电子系统可能的失效模式进行分析，评估可能带来的风险和危害程度。
3.功能安全等级：根据危害分析结果，为汽车电子系统中的各个功能分配相应的安全等级。
4.安全要求和措施：针对不同安全等级的功能，制定相应的安全要求和措施，确保系统在失效情况下能够满足安全目标。
5.验证和评估：对汽车电子系统进行实际验证和评估，检查系统在失效情况下是否能够按照预期方式进行故障处理。
三、Iso26262 功能安全评价方法的实施步骤1.建立项目团队：由汽车制造商、零部件供应商、技术服务公司等相关方共同组成项目团队，明确各方职责和任务。
2.收集和分析相关信息：收集汽车电子系统的设计、制造、使用等方面的信息，进行系统分析和失效模式分析。
3.制定安全目标和功能安全等级：根据分析结果，制定安全目标和功能安全等级。
4.制定和实施安全要求和措施：针对不同安全等级的功能，制定相应的安全要求和措施，并确保在系统设计和制造过程中得到有效实施。
汽车电子功能安全标准ISO26262解析（三）——硬件部分
汽车电子功能安全标准ISO26262解析（三）——硬件部分汽车电子功能安全标准ISO26262解析（三）——硬件部分原创pianpian_zct 最后发布于2017-12-29 13:09:34 阅读数13865 收藏展开1. The necessary activities and processes for the product development at the hardware level include:(1) the hardware implementation of the technical safety concept;(2) the analysis of potential hardware faults and their effects;(3) the coordination with software development.为了满足ISO26262，硬件方面需要做的工作包括：(1) 功能安全概念的硬件实现；(2) 潜在硬件失效及后果分析；(3) 与软件开发协同合作。
2. 硬件功能安全相关工作：硬件功能安全方面相关工作包括：(1) 5.5 initiation of product development at the hardware level: 启动硬件设计具体包括哪些工作包？目的是决定并计划硬件设计每个阶段的功能安全活动。
输入：完善后的项目计划、完善前的安全计划、完善后的集成测试计划输出：完善后的安全计划(2) 5.6 specification of hardware safety requirements: 定义硬件功能安全需求输入：安全计划、安全概念、系统设计说明书、硬件软件接口说明输出：硬件安全需求(包括测试和验证标准)、完善的硬件软件接口说明、硬件安全需求验证报告如何定义硬件功能安全需求，使用什么工具软件，模板如何？They are derived from the technical safety concept and system design specification.硬件功能安全需求来源于系统安全概念和系统设计文档。
ISO26262的安全档案概述
符合ISO 26262标准的安全档案如今，道路车辆上（Road Vehicles）越来越多的安全相关功能由电子/电气系统实现。
这些系统如果出现功能故障（Malfunction），就有对车辆乘员或者其他道路使用者造成伤害的风险，比如，电动助力转向系统（Electrical power steering, EPS）如果出现助力反向的功能故障，车辆将不能按照驾驶员预期的方向行驶，可能会导致严重车祸，造成人员伤害。
为了保证安全，应考虑如何将风险降低到可接受的范围。
2011年11月正式发布的道路车辆功能安全标准ISO 26262[1]就是为了解决这一问题，该标准为开发安全相关系统提拱了过程和要求，其中一个很重要的要求就是生成安全档案（Safety Case），安全档案的目的是通过结构化论证（Argument）来证明安全相关系统是可接受安全的。
但是，ISO 26262 标准对安全档案的描述的篇幅很短，并没有给出开发安全档案的指南。
本文基于安全气囊系统来介绍如何利用GSN（Goal Structuring Notation）[2]方法开发符合ISO 26262 标准的安全档案。
本文的结构为:第二部分介绍安全档案的起源和概念,安全档案的描述方法GSN；第三部分介绍如何用GSN的方法来开发安全气囊系统的安全档案。
一、安全档案其他行业如核工业、化学工业、海上石油、铁路行业等，都有法律法规要求在其设施正式投入使用之前，必须提交安全档案以证明其产品是可接受安全的。
安全档案起源于1957年英国温茨凯尔火灾（Windscale fire）事故[3]。
该事故发生后，成立了英国核监管部门——核设施监察局（Nuclear installations inspectorate, NII), 核设施为了获得运营许可，需要向NII提交一系列报告以证明设计的安全，此被广泛认为是第一个安全档案，虽然这时候还没有采用“安全档案”这个概念。
许多标准给出了安全档案的定义[4]，ISO 26262标准中的定义为：安全档案应该清晰、全面、合乎情理的论证（有证据支撑）系统在特定的环境中不存在不合理风险。
5.5-相关技术---功能安全法规ISO26262简介
ISO26262
形式认证法规ECER79(转向)包含对功能安全的基本要求。北 美的OEM和供应商已经加快了追赶欧洲的步伐，正在依照ISO26262 建立自己IDE功能安全体系，SAE组织（美国机动车工程师协会）已 经组件汽车功能安全委员会（AFSC：Automotive Functional safety committee）在为欧洲OEM提供产品的一级供应商的驱动下，日本 在2010年末至2011年初，主流OEM启动了对ISO26262合规进程的启 动会议，由JAMA(一般社团法人日本自动车工业会)和JARI（日本自 动车研究所）合作创建通用的工作流程。国内的OEM和一级供应商 也非常关注ISO26262的动态，国标的转化工作正在中国汽车技术研 究中心的指导下全面展开
参考文献：电动助力转向系统故障诊断与失效保护 作者：张 瑞 硕士论文 2014.10 中国科学技术大学
故障诊断技术
系统故障自诊断是指系统的自身的硬件设计或者程序对系统 正常工作状态和工作异常作出判断，并根据故障特征，诊断系统故 障通过失效保护及处理程序，准确的定位故障。根据不同的故障类 型，使系统进入到安全的工作模式。
故障诊断技术
• 故障自诊断系统的主要任务有以下几块：系统对系统自身的故障 探测、诊断系统对故障类别的判断、系统故障定位及系统故障失 效保护等等。故障探测定义为系统正常工作后，通过周期性地实 时监测系统的运行状态，并通过系统设计好的诊断条件，判断系 统有没有产生了故障；诊断系统对故障类别的判断就是故障自诊 断系统在检测出故障发生后，自动告知系统故障的模式；故障定 位认为在故障自诊断系统监测出系统工作异常，并已经进行了系 统故障类别的判断，按照系统预定义的诊断条件定义具体故障位 置并记录故障诊断条件参数。同时，为系统的失效保护提供输入 信息；故障失效保护是系统故障诊断过程中最后一个环节，同时 也是最重要的一个环节，使系统能够根据故障原因，采取不同的 保护措施。
符合ISO26262标准的软件测试项目解决方案
符合ISO26262标准的软件测试解决方案随着汽车行业的迅速发展，汽车电子电器E/E系统在汽车中的作用不断提高，ECU开发所占用的时间和成本也越来越高。
与此同时，越来越多的电子控制系统（例如车身稳定控制系统ESP，防抱死制动系统ABS，自适应前照明系统AFS等）具有与安全相关的功能，因此对ECU的安全要求也越来越高。
为了减少产品的开发时间和成本，降低由于安全问题而导致的维护甚至召回的风险，越来越多的整车厂和供应商开始重视汽车领域的功能安全问题，ECU软件功能安全的问题也成为汽车行业迫切需要解决的问题，车辆功能安全标准ISO 26262就在这样的环境和需求下应运而生，并于2011年11月正式发布第一版本，该标准是当前汽车业中最流行、最复杂、也是最重要的一份标准。
ISO 26262的目标是通过避免汽车E/E 系统故障行为可能导致的危害来提高E/E系统的功能安全。
ISO 26262采用车辆安全完整性等级（ASIL）来判断系统的功能安全程度，ASIL由ASIL A（最低）、ASIL B、ASIL C及ASIL D（最高）四个等级组成，ASIL等级越高表示系统的功能安全评估越严格,相应的表示系统正确执行安全功能，或者说的避免该功能出错的概率越高，即系统的安全可靠性越高。
ISO 26262标准的组成架构由十个规范和信息指导文件组成，其中ISO 26262—4/5/6阐述的是系统级/硬件级/软件级的产品开发，使用嵌套的V模型定义了每个开发阶段的过程以及相应的工作产品。
本解决方案主要阐明了在软件级产品开发阶段如何去理解ISO 26262的要求，并且指出了在实际的软件开发过程中如何结合ISO 26262的软件测试生命周期，通过包括软件测试工作的执行以及过程控制等方面来确保ECU软件质量满足ISO 26262软件级功能安全相应等级的要求。
基于V模式的ISO26262软件测试生命周期如图所示，基于V模式的ISO 26262-6软件测试生命周期可以划分为五个阶段：静态分析需求和功能需求：在软件级产品开发初始化阶段和软件安全需求规范制定阶段确定了一些基本的嵌入式软件静态分析需求和功能需求，这部分内容是以后设计和测试的基础；架构验证：在软件架构设计阶段，我们可以使用人工分析的方式来验证和测试软件架构层的内容，但是有条件的话最好使用合适的架构设计工具，在设计的过程中同时进行架构验证；静态测试：在软件单元设计和实现阶段同时进行静态测试，可以使用开发辅助工具来进行静态测试，这样不必因为静态测试的活动而改变开发流程。
功能安全FunctionalSafetyISO26262-1
功能安全FunctionalSafetyISO26262-1ISO 26262-1 词汇表ISO26262是基于IEC61508标准演化⽽来的⼀项标准，旨在满⾜道路车辆电⼦电⽓系统领域的特定需求。
这种改编适⽤于由电⼦电⽓元件和软件组件组成的安全系统的整个⽣命周期内的所有活动。
安全是未来汽车发展的关键问题之⼀。
⼀些新的功能，在驾驶员辅助、动⼒、车内动态控制和主动&被动安全系统等⽅⾯⽇益牵涉到越来越多的系统安全⼯程。
这些功能的开发和集成会增加对安全系统开发流程、并证明所有合理的系统安全⽬标都得到满⾜的证据的需求程度。
随着技术复杂度、软件内容和机电⼀体化程度的不断提⾼，系统失效和随机硬件失效的风险也越来越⼤。
ISO 26262会提供适当的要求和流程来避免这些风险。
系统安全是通过⼀系列安全措施来实现的，通过应⽤各种技术（例如机械、液压、⽓动、电⽓、电⼦、可编程电⼦），并在开发过程的各个层⾯上应⽤。
尽管ISO26262涉及到电⼦电⽓系统的功能安全，但是它也会提供其他系统常⽤安全技术的框架。
ISO26262可以：a)提供车辆安全⽣命周期的⽀持（管理、开发、⽣产、操作、服务、报废）；b)提供车辆专⽤的风险评估⽅法（ASIL，Automotive Safety Integrity Levels，汽车安全完整性等级）；c)使⽤ASIL评级提出可实施的功能安全需求，来避免不合理的剩余风险；d)向供应商提供功能安全需求。
功能安全受到开发流程（需求规范、设计、实现、集成、验证、确认和配置）、⽣产和服务流程、管理流程的影响。
安全问题与以功能为导向、以质量为导向的开发活动和⼯作产品交织在⼀起。
ISO 26262阐述了开发活动和⼯作产品等安全相关的内容。
1 名称解释：⽂档、标准或者经验。
1.3architecture：架构；代表相关项/功能/系统/元件的构造块及构造块的边界和接⼝，且相关的功能已经分配给了硬件/软件元件。
ISO26262培训课件
Control units that use the CAN/MOST bus
为什么产品要考虑功能安全? • 产品越来越复杂 • 很多控制单元包括安全相关功能
Reference: Audi Euroforum 2004 14
安全功能举例
• 车辆系统越来越多的软件使用 • 软件包括安全相关部分
Seat-belt pre-tensioning
安全带预紧
Airbags
安全气囊
Driver drowsiness detection
司机瞌睡警示系统
Driver monitoring system
司机监控系统
Adaptive high beam (lights) assistant 自适应远光灯辅助系统
为什么使用这两个标准?
19
ISO26262背景介绍
20
ISO/DIS 26262 – 道路车辆 – 功能安全
IEC 61508 – 电子电气可编程电子安全相关系统的功能安全
• 80年代末期开始研究，应用于越来越复杂的安全相关系统。 • 来源于过程工业 • 1998年发布第一版 • 2010年发布第二版
传感器
控制器
执行器
Terms of Functional Safety
27
安全机制(safety mechanism)
由E/E功能或元素执行的措施，或者是其他技术，目的是达到安全状态或保 持安全状态，或者两者同时考虑。 如： 能够达到，保持安全状态 能够警告司机，以便于司机能够及时采取措施避免失效的影响
17
法规认证 vs. 产品责任 (1)
法规认证 2007/46/EC
71/320/EEC 制动系统
iso26262中hsr定义 -回复
iso26262中hsr定义-回复HSR (硬件安全性要求)ISO 26262是一项国际标准，用于指导汽车电子系统的功能安全性，以确保车辆在使用过程中对驾驶员和其他道路用户的安全。
ISO 26262 是针对整个汽车电子系统的要求进行分级，并提供了一组在设计、开发和验证过程中必须满足的硬件和软件安全性需求。
其中之一就是硬件安全性要求(HSR)。
HSR是ISO 26262标准中的一个重要概念，主要关注由硬件部分引起的功能安全问题。
HSR定义了在硬件电路和组件设计过程中所需采取的安全性措施，以减少故障状态的发生，并防止这些故障导致车辆的不安全行为。
从汽车其他系统的安全配置开始，HSR提供了一系列指导性规则，以确保硬件设计符合整体系统的安全要求。
HSR主要通过以下几个步骤实施：1. 概要需求分析阶段：在这个阶段，系统设计师需要定义系统级功能安全性目标并将其转化为硬件级目标。
这些目标应该在整个设计过程中得到保持，并与系统级目标保持一致。
同时，概要需求分析还需要定义硬件的安全性等级和安全性目标，以便提供给下一阶段的详细设计。
2. 详细设计和实现阶段：在这个阶段，详细的硬件设计和实现工作将开始。
首先，硬件设计师需要依据系统级功能安全性目标和安全性等级，确定硬件组件的安全性需求。
这些需求可能包括故障检测和诊断机制、错误处理和容错能力、系统监测和反馈等。
然后，设计师需要选择适合的硬件架构和组件，以满足这些安全性需求。
在设计的过程中，还需要考虑故障和错误的影响范围，并采取适当的冗余技术和故障检测机制来保证硬件的安全性。
3. 组件集成和验证阶段：在这个阶段，设计师需要将硬件组件进行集成，并进行安全性测试。
这些测试包括功能安全性验证、硬件故障注入测试、硬件设备失效效应分析等。
通过这些测试，设计师可以验证硬件设计是否满足预期的功能安全性和安全性目标。
4. 配置管理和过程评估阶段：在这个阶段，需要建立一套配置管理系统，以确保硬件设计的变更和修正能够按照规定的流程进行。
10-汽车功能安全（ISO26262）系列：软件开发-软件开发模型及安全需求
10-汽车功能安全（ISO26262）系列：软件开发-软件开发模型及安全需求本篇属于汽车功能安全专题系列第10篇内容，我们开始聊汽车功能安全软件开发相关内容。
开始阅读之前强烈建议参考之前系列文章:01 - 汽车功能安全(ISO 26262)系列 - 开篇02 - 汽车功能安全系列之概念阶段开发 - Item Definition & HARA03 - 汽车功能安全(ISO 26262)系列: 概念阶段开发 - 功能安全需求及方案(FSR&FSC)04 - 汽车功能安全(ISO 26262)系列: 系统阶段开发 - 技术安全需求(TSR)及安全机制05 - 汽车功能安全(ISO 26262)系列: 系统阶段开发 - 技术安全方案TSC及安全分析06 - 汽车功能安全(ISO 26262)系列: 系统阶段开发 - 系统安全架构07 - 汽车功能安全(ISO 26262)系列: 硬件开发 - 硬件安全需求，安全设计及安全机制08 - 汽车功能安全(ISO 26262)系列: 硬件开发 - 硬件随机失效概率化评估09 - 汽车功能安全(ISO 26262)系列: 硬件开发 - 随机硬件失效量化FMEDA在功能安全系统开发阶段，我们已经得到了技术层面可实施的技术安全需求TSR，并将其分配至系统架构中的硬件(HW)和软件(SW)组件，接下来以此为基础进行相应硬件和软件功能安全开发。
对于软件功能安全开发而言，具体来讲，主要包括以下内容:•软件开发模型•什么是软件安全需求•软件架构安全设计•软件详细设计•软件安全测试•鉴于内容较多，我们这篇来聊前两部分内容。
01软件开发模型为了更好了解软件及其功能安全开发过程，我们首先来聊聊软件开发模型。
不管是ISO 26262，Aspice还是System Engineering，其开发过程都基于V模型，可以说V模型是汽车工程师必修内容。
对于功能安全而言，软件功能安全开发V模型属于ISO 26262第6部分内容，是系统开发大的V模型中软件开发部分，紧接着第4部分系统开发内容。
ISO26262《道路车辆功能安全》
ISO 26262 《道路车辆功能安全》标准简要介绍ISO 26262（Road vehicles- Functional safety）道路车辆功能安全系列标准于2011年11月15日正式颁布，该标准的目的在于提高汽车电子、电气产品的功能安全，在产品的研发流程和管理流程中，预先分析和评估潜在的危害和风险，通过实施科学的安全技术措施、规范和方法来降低风险，利用软、硬件系统化的测试、验证和确认方法，使电子、电气产品的安全功能在安全生命周期内满足汽车安全完整性等级的要求，提升系统或产品的可靠性，避免过当设计而增加成本以及避免因系统失效、随机硬件失效、设计缺陷所带来的风险，使电子系统的安全功能在各种严酷条件下保持正常运作，确保驾乘人员及路人的安全。
该系列标准适用于安装在最大总质量为3.5吨的量产乘用车上的与安全相关的电子电气系统（包括电子、电气和软件组件）。
该标准所涵盖的范围广泛，几乎所涉及到了所有与功能安全相关的汽车电子、电气产品，包括传统汽车和新能源汽车。
该系列标准：⏹提出了一个汽车安全生命周期概念（管理、开发、生产、运行、维护、停用）；⏹提出了一个专用于汽车的基于风险分析的方法，以确定汽车安全完整性等级（ASIL：Automotive Safety Integrity Level）；⏹利用汽车安全完整性等级来制定相应的规范和措施以避免不合理的残余风险；⏹提出了验证和确认方法的规范以确保达到可接受的安全完整性等级；⏹提出了与供应商相关的规范要求。
功能安全受开发过程（包括规范要求、设计、应用、集成、验证、确认和配置）、生产过程和管理过程的影响。
ISO 26262系列标准由以下十部分组成：第1部分术语规定了ISO26262系列标准所应用的术语、定义和缩略语，如功能安全、功能安全要求、安全目标、生命周期、评估、汽车安全完整性等级、开发接口协议、嵌入式软件、软件组件、软件工具、软件单元、失效、失效模式、失效率、故障、故障模式、危险分析和风险评估、潜在故障、单点失效、单点故障、多点故障、随机硬件失效、系统故障、系统失效、瞬态故障、安全验证等。
功能安全 Functional Safety ISO26262-1
ISO 26262-1 词汇表ISO26262是基于IEC61508标准演化而来的一项标准，旨在满足道路车辆电子电气系统领域的特定需求。
这种改编适用于由电子电气元件和软件组件组成的安全系统的整个生命周期内的所有活动。
安全是未来汽车发展的关键问题之一。
一些新的功能，在驾驶员辅助、动力、车内动态控制和主动&被动安全系统等方面日益牵涉到越来越多的系统安全工程。
这些功能的开发和集成会增加对安全系统开发流程、并证明所有合理的系统安全目标都得到满足的证据的需求程度。
随着技术复杂度、软件内容和机电一体化程度的不断提高，系统失效和随机硬件失效的风险也越来越大。
ISO 26262会提供适当的要求和流程来避免这些风险。
系统安全是通过一系列安全措施来实现的，通过应用各种技术（例如机械、液压、气动、电气、电子、可编程电子），并在开发过程的各个层面上应用。
尽管ISO26262涉及到电子电气系统的功能安全，但是它也会提供其他系统常用安全技术的框架。
ISO26262可以：a)提供车辆安全生命周期的支持（管理、开发、生产、操作、服务、报废）；b)提供车辆专用的风险评估方法（ASIL，Automotive Safety Integrity Levels，汽车安全完整性等级）；c)使用ASIL评级提出可实施的功能安全需求，来避免不合理的剩余风险；d)向供应商提供功能安全需求。
功能安全受到开发流程（需求规范、设计、实现、集成、验证、确认和配置）、生产和服务流程、管理流程的影响。
安全问题与以功能为导向、以质量为导向的开发活动和工作产品交织在一起。
ISO 26262阐述了开发活动和工作产品等安全相关的内容。
1 名称解释：1.1allocation：分配；将需求分配给架构级元件。
1.2anomaly：异常；指偏离期望的一些条件，这些条件包括需求、说明书、设计文档、用户文档、标准或者经验。
1.3architecture：架构；代表相关项/功能/系统/元件的构造块及构造块的边界和接口，且相关的功能已经分配给了硬件/软件元件。
汽车ISO26262标准对汽车安全相关系统研发的要求简述
公
公司安全经理
司
级
别
调 度
反 馈
业 务
业务部门 1
部 门
安全经理
级
别
项
目
级
别
项目 1
安全经理
业务部门 2 安全经理
理队项 抽目 取从 安安 全全 经团
项目 2 安全经理
业务部门 3 安全经理
项目 3 安全经理
图 1：功能安全管理组织架构（来自 ISO26262 功能安全标准建议）
ISO26262 标准还对各级安全经理的具体工作职能联系和区分作了详尽的描述，以 及详细的安全活动内容和安全流程也有详尽阐述，这里不作赘述。
方法
ASIL
A
B
C
D
1
FTA
○
+
++
++
2
FMEA
+++
注：++含义为必须覆盖；+含义为推荐；○含义为不强制也不反对，后面表格中++/+/○这些符号含义与此处定义相同，后面不再分别
作出解释。
对于 ASIL 等级为 B，C，D 的情况，应提供证据或论证，证明安全机制避免单点 故障和多点故障的有效性，安全论证包括以下方面内容：一是应评估诊断覆盖率； 二是应提供证明，证明安全机制具有保持安全状态或安全地切换到安全状态的能力
11、硬件设计开发----硬件安全需求规范拟订
硬件在开发之前 ，需要制定一份完整的硬件安全需求规范，该规范需要考虑： 一是认证和测试；二是安全机制，通过硬件安全机制，能够控制硬件单元内部失效 以及能够承受单元外部失效以及能够检测和示意外部故障以及可以匹配其它单元的 安全要求；三是硬件量化要求指标，它包含硬件架构指标要求和随机硬件故障指标 要求。根据系统级规范和硬件安全要求进行硬件设计，硬件设计包括硬件架构设计 和硬件详细设计。硬件架构设计应表示出所有硬件组件及彼此间的关联，应实现规 定的硬件安全要求，应能通过硬件架构设计追溯到规定的硬件安全要求。硬件详细 设计是指在电气原理图级别上的设计，应表示出组成硬件组件的电子元器件之间的 相互关联。
什么是功能安全(ISO26262简介)
Introduction of a speaker2015-6-25Yuji ITOAutomotive Homologation Manager (ASEAN)TÜV SÜD (Thailand) Ltd. from Jan. 2014.History1981 –1999Worked for vehicle manufacturer in R&D Div., in charge of Engine Development.1999 –2013Worked for TÜV SÜD Japan. Ltd.-Founded Automotive group in 1999.-Appointed as recognized Homologation Expert.-Led homologation business and FS business as well as many engineering support to OEMs.Contact addressE-mail : yuji.ito@tuv-sud.co.th TEL : +66-2564-7847 (Ext. 527)TUV SUD (Thailand)1What s Functional Safety ?? 2Overview of ISO262623Part 2 : Functional Safety Management. (Who should do what ?)4Part 3 : Concept Phase (how to handle Risks ?)5Part 7 : Production Process 2015-6-25TUV SUD (Thailand)Car and ElectronicsTrend of Car ElectronicsNo. of ECUinstalledin a car1980’s : average 102010’s : 50-60Car Electronics component market in the world(extract from JARI, 2011)Now a day, driver’s action is converted into a signal, and is processed. And then it’s transferred to the devices through harness. The signal is again converted into a force and used to control the vehicle.In the conventional vehicle, driver’s action was transferred mechanically, and the basic function (drive, stop, turn) was executed.Trend of a CARConventio nalrecent structure simple complicated Safety function normal upgraded Probability of normal failurenormalless Unpredictability of failureless highTUV SUD (Thailand)How SAFETY is important ?Of course Safety is the most important.But 100% safety seems not possible due to technology, cost etc.There remains a risk of Danger.We have to think “Acceptable Risk”. (FS Point 1)What is Functional Safety?Intrinsic Safety Functional SafetyRoot causes of danger are completely removed.By adding functional measures, acceptable level of safety is ensured.Assessment of the “functional measures” (safety functions) and its numerical evaluation is the basis of Functional Safety.(FS Point 2) Example of railroad crossing. How much is the probability of collision?Functional Safety in ISO26262In this standard (ISO26262), Functional Safety means,in case “safety related system” is composed with “electric/electronic/programmable electronic systems”,a way of thinking concerning a reduction of risk to an acceptable level.ISO26262 only concerns a risk of dander which is caused by e/e/pe system.Risk caused by mechanical system is out of the scope of ISO26262.(FS Point 3)What is the standard “ISO 26262”?ISO 26262 is a Automotive Functional Safety standard focused on series-production passenger cars up to 3.5 t.Major contents are ;①In order to reduce risks occurred from electronic control system to acceptable level, what should be considered in the each step of development stage ?②clear definition of the risks and measures to reduce itRisk analysis and countable evaluation of the measures etc.③Whole company organization and management system to realize itFS organization, V-V model development etc.(FS Point 4)2nd edition of ISO26262 will most possibly be published in Jan. 2018, and motorcycle andcommercial vehicle will be included in the scope.Regulation & StandardTopics to be investigatedLegal requirements for homologation (mandatory)Product Liability (voluntary)Legally binding Application of, e.g., EU directives and UN ECE regulations (Europe)Recommended Application of IEC, ISO, EN or DIN standards (“State of the art”)ISO26262 belongs to here(FS Point 5)Required Obligations to be followedExample case :One driver stepped on the accel. pedal and brake pedal at the same time by mistake. As a result, vehicle didn’t stop and accident occurred. A driver was injured.Legally there is no regulation. (*)(except for some countries)But if most of the people thinks braking function must be prioritized in such case,what happens in law suit ?State of the Art.The term "state of the art" refers to the highest level of general development, as of a device, technique, or scientific field achieved at a particular time. It also refers to the level of development (as of a device, procedure, process, technique, or science) reached at any particular time as a result of the common methodologies employed(Extract from Wikipedia)Structure of ISO26262Concept phaseManagementSystem developmentHardwareSoftwareProduction & operationSupporting process Safety analysisPart 2. Functional safety management and processesFunctional Safety Management1. Construct Functional Safety Management (FSM) FS manual, FS Plan, Work rule, Training etc. Documentation2. Construct FS Organization responsible for realization appoint FS manager appoint FS assessorsThese should cover whole company as well as each Dept.same like QMS but focusing on FSDocumentsWork Product : All kinds of documents and evidences which are related with the decision taken.Safety Case : • is the compilation of all documents and data that explains the product isfunctionally safe. • The safety case can be derived from the work products of the development phases. • The safety plan forms the basis for the safety case. • The safety case is the key requirement for the release for production.ISO26262 requests to store all kinds of documents so that the history can be traced to prove the safety.Part 3. Concept phaseHow to handle risksAnalyze driving situation and investigate risks• （HAZOP etc.）Classification of risks• Severity, exposure and controllabilityDefine ASIL level• From risk matrixDefine safety goalHazard analysis and risk assessment reviewProbability of damagealwaysRisk Parameters : Severity, Probability & ControllabilityNot accepted riskInacceptable areasporadically lowvery lowextremely unlikelyAcceptable areaSeverity S lowAccepted residual riskControllability C of a dangerous driving situationExposure E to the dangerous driving situationSeverityhighHazard and risk analysis: parameter S (severity)ClassS0Description No injuriesS1light and moderate injuriesReference for single injuries (from AIS scale)AIS 0 Damage that cannot be classified safety-related, e.g. bumps with roadside infrastructuremore than 10% probability of AIS 1-6 (and not S2 or S3)S2S3Severe injuries, possibly lifethreatening, survival probableLife-threatening injuries (survival uncertain) or fatal injuriesmore than 10% probability of AIS 3-6 (and not S3)more than 10% probability of AIS 5-6AIS: Abbreviated Injury ScaleHazard and risk analysis: parameter E (exposure)Estimation of exposure probabilityClassDescriptionE1E2Very low probability Low probabilityE3E4Medium probability High probabilityDefinition of frequencySituations that occur less often than once a year for the great majority of driversSituations that occur a few times a year for the great majority of driversSituations that occur once a month or more often for an average driverAll situations that occur during almost every drive on averageHazard and risk analysis: parameter C (controllability)ClassC0C1C2C3DescriptionControllable in generalSimply controllableNormally controllableDifficult to control or uncontrollableDefinitionControllable in general99% or more of all drivers or other traffic participants are usually able to avoid a specific harm.90% or more of all drivers or other traffic participants are usually able to avoid a specific harm.Less than 90% of all drivers or other traffic participants are usually able, or barely able, to avoid a specific harm.Hazard and risk analysis: risk matrixAssign an Automotive Safety Integrity Level (ASIL) to each hazardous eventIn case of QM, ISO 26262 requirements do not applyASIL D is the highest levelSeverity S S1 S2 S3Probability E E1 E2 E3 E4 E1 E2 E3 E4 E1 E2 E3 E4C1 QM QM QM QM QM QM QM ASIL A QM QM ASIL A ASIL BControllability C C2 QM QM QMASIL A QM QM ASIL AASIL B QM ASIL A ASIL B ASIL CC3 QM QM ASIL A ASIL B QM ASIL A ASIL B ASIL C ASIL A ASIL B ASIL C ASIL DASIL levelRisk must be a risk of vehicle. So. ASIL level must be defined by vehicle manufacturer.In case ASIL level becomes high, probability of risk (injury / death) becomes high.Severe and thorough countermeasures are required.One example : Influence of ASIL levelHardware architecture metrics : Probability of detecting the following failure which violates achieving safety goal・Single Point Fault Metrics (SPFM） ・Latent Fault Metrics (LFM） Below percentage of failure has to be detected.SPFMHardware Architecture metricsASIL BASIL CASIL D≥ 90% ≥ 97% ≥ 99%LFM≥ 60% ≥ 80%ISO 26262-5, Table 4 & Table 5≥ 90%SPFM: Probability of detecting failure which single occurrence violates achieving safety goalLFM: Probability of detecting failure which violates achieving safety goal latentlyTUV SUD (Thailand)2015-6-25Part 7. Production and operationWhat should be done in Production ?• Planning of the production process Production • Development of production control planplanningPre • Production of items, systems or elements before release for production productionseries production• Production of items, systems or elements after release for Production productionRequirements on production• Specify the requirements of production from the FS point of view .• Develop a production plan for safety-related products.• Ensure that the required functional safety is achieved during the production process.Production PlanningFor production process planning evaluate item and considerRequirements Conditions for storage, Approved Lessons Competence for production transport and handling configurations learned of personnele.g. calibration and setup of sensore.g. allowed storage time for elementcreate Production planincludingProduction process flow andinstructionsProduction toolsTraceability measurese.g. labelling of elementSpecial measurese.g. burn-in testOther important pointsInterface of diverse development• Choose supplier – Confirm the development capability of supplier acc. to ISO 26262 – Clear request to comply the standard by RFQ Development scope, safety plan, ASIL etc.• 「Development Interface Agreement 」 ISO 26262 Part 8 Annex B – Confirm safety manager of both parties – Share the safety life cycle – Actual activity, process and responsibility of each side – Shared information and work productTUV SUD (Thailand)2015-6-25Key ISO 26262 services provided by TÜV SÜDISO 26262 servicesTÜV SÜD provides the following functional safety services for the automotive industry:Certification Product certification Process certification Generic Tool QualificationTesting Assessments Supplier auditsConsulting Workshops Project-related supportTraining Standard Basic Trainings Advanced Trainings FSCP2015-6-25TUV SUD (Thailand)TÜV SÜDThank you for your attention. Please let me know if you have any question.2015-6-25TUV SUD (Thailand)。
5.5-相关技术---功能安全法规ISO26262简介详解
ISO26262---概述
ISO26262是以IEC61508为基础，为满足道路车辆上特定电子电气 系统的需求而编写。
ISO26262适用于道路车辆上特定的由电子、电气和软件组件组成 的安全相关系统在安全生命周期内的所有活动。
安全是未来汽车发展的关键问题之一，不仅在驾驶员辅助和动力 驱动领域，而且在车辆动态控制和主被动安全系统领域，新的功能越来 越多地触及到系统安全工程领域。这些功能的开发和集成将强化对安全 相关系统开发流程的需求，并且要求提供满足所有合理的系统安全目标 的证据。
ISO 26262在多个方面对企业带来影响
法律
采购
工程技 术
IT支持
ISO26262
市场营 销
商业关 系
整体安全管理
概念阶段
相关项定义 安全生命周期启动 危害分析和风险评估 功能安全概念
ISO26262---概述
功能安全管理 概念阶段和产品开发阶段的安全管理
生产发布后的安全管理
产品开发：系统层面
3）故障系统的误报率和漏报率：误报认为系统没有出现故障反而 被错误的认为发生了故障；漏报定义为系统发生故障，故障诊断系 统未能诊断识别出。好的故障诊断系统和程序应尽可能将误报率和 障诊断系统的故障识别度：定义为故障诊断系统对于系统存 在的不同故障的区别能力。故障诊断系统的故障识别度越高，认为 故障诊断系统对系统产生不同故障的区别能力越强，从而，故障的 定位就越准确。
为了防止系统失效的发生必须有一套严谨且可靠的开发流程来让系统开发工程师遵循因此车辆领域的专家开始着手发展汽车领域的功能安全标准iso26262道路车辆功能安全标准在这样的环境与需求下应运而生iso262622012年8月国家标准化委员会发布关于下达2012年第一批国家标准制定修订计划的通知中正式将iso26262列入国标制定计划该标准将在3年内陆续出台并发布实施iso26262iso26262标准主要由欧洲的oem供应商和第三方评估机构发起因此在欧洲贯彻力度最大主要集中在法国和德国
ISO26262功能安全各个阶段测试要求
ISO26262功能安全各个阶段测试要求01总开发过程说明系统层面：包括软硬件集成测试、系统集成测试以及整车测试。
硬件层面：包括硬件集成与测试。
软件层面：单元测试、集成测试。
02功能安全总体要求2.1 各项指标2.2 诊断覆盖度举例针对一个信号举例说明：03功能安全测试要求3.1 测试计划核心内容应包括，测试对象：需要测试的对象描述，以及测试的范围描述；测试人员：人员能力、人员职责范围等；测试环境：涉及到的仿真环境（Simulink）、台架环境（HIL、实验台架等）等；测试工具：用到的各种软件以及硬件测试工具，如Canoe、Canape、Inca等，说明工具的型号以及版本信息；测试方法：功能安全表格中提到的针对各个阶段，所需采取的测试手段或方法；测试标准：测试通过以及失败的准则；测试条件：包括测试准入条件、测试准出条件以及测试异常退出条件等；测试回归：定义回归策略，如在产品末期，进行一次全回归测试等；测试时间计划表：针对各个阶段进行详细的测试计划安排，确保各个阶段人、事、物齐全，确保测试按照计划进行。
3.2 测试规格根据不同的测试对象进行分析，选择合适的测试方法、编写测试用例。
测试用例应包括，用例ID：每个测试用例应有唯一的测试ID，方便建立追溯；测试方法：说明测试用例选择的测试方法；测试环境：说明当前用例的环境；测试对象：说明对应的测试对象版本、配置信息；输入条件：说明测试用例的输入条件；测试步骤：说明测试用例的执行步骤；预期结果：说明测试用例执行后预期的输出、输出范围以及功能表现等，说明通过与失败评判标准。
3.3 软件相关测试3.3.1 软件单元测试测试对象：包括软件单元内部的语句、逻辑以及单元给外部调用的接口。
验证方法：表8 可通过静态验证工具来进行验证，表9中，一般需要进行数据流以及控制流分析图。
验证要求：证明软件单元满足软件单元设计规范；证明软件单元符合软硬件接口的定义；证明软件单元具有一定的鲁棒性；证明软件单元不包含非期望的功能，且满足下表覆盖度。
ISO 26262功能安全标准简介及组件重用的优势及效率提升
ISO 26262 功能安全标准简介及组件重用的优势及效
率提升
随着各行业引进一系列产品设计和测试的标准化流程，安全保障也日益规
范化。
ISO 26262 满足了人们对于汽车行业国际标准的需求，重点关注安全关键部件。
ISO 26262 基于IEC 61508－电气和电子(E/E)系统的通用功能安全标准。
本白皮书介绍ISO 26262 的关键组成以及软硬件认证。
此外，本白皮书还包含ISO 26262 的测试过程，以及ISO 26262 合规的认证工具。
1. 背景
随着汽车行业复杂性的日益提升，人们加大了开发安全合规系统的力度。
例如，现代汽车使用线控系统，如油门线控。
司机踩油门时，踏板中的传感
器将向电子控制元件发送信号。
该控制单元将分析多种因素，如引擎速度、
车辆速度及踏板位置。
接着，控制单元将向油门传递指令。
对油门线控这类
系统进行测试和验证，对汽车行业造成了挑战。
ISO 26262 的目标是为汽车电气和电子系统提供统一的安全标准。
ISO 26262 的国际标准草案(DIS)发布于2009 年6 月。
自发布起，ISO 26262 就获得了汽车行业的支持。
标准草案生效后，律师将ISO 26262 视为技术巅峰，即特定时期内某种设备或流程的最高发展水平。
德国法律规定，。
ISO26262 功能安全评估计划FSAP模板
General overview
This section shall contain a brief description of the background of and/or reason for this development project.
Describebriefly the system being developed. If the product/item developed at this level is part of a system, also briefly describe the products’ relationship to the system.
4References5
5Main content6
6Assessments7
6.1Preliminary Assessment 17
6.1.1Scope7
6.1.2Outcome7
6.1.3Method7
6.1.4Plan7
6.2Final Assessment7
6.2.1Scope7
6.2.2Outcome7
6.2.3Method7
6.2.4Plan7
2
Version
ECN no.
Changed by
Change from last version
01
The change history shall be a detailed enough description of what sections that have been changed since the last version. Depending on the changes that have been made it may be necessary to describe the changes more in detail.
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
3-5 Ite
Overview/Objective:
Objectives
General
The first objective is to define This clause lists the requirements and recommendations for establishing the
5.4.2
a) the elements of the item;
NOTE The elements could be also based on other technology
b) the assumptions concerning the effects of the item's behaviour on other items or elements, that is the environment of the item; c) interactions of the item with other items or elements; d) functionality required by other items, elements and the environment; e) functionality required from other items, elements and the environment; f) the allocation and distribution of functions among the involved systems and elements; and g) the operating scenarios which impact the functionality of the item
The second objective is to
"Initiation of safety lifecycle" (see Clause 6),
support an adequate
"Hazard analysis and risk assessment" (see Clause 7) and
understanding of the item so "Functional safety concept" (see Clause 8).
✓
✓
✓
✓
3574941039.xlsx
2
3-5 Item Definition
that the activities in subsequent
phases can be performed.
Work products:
3-5.5
Item definition resulting from requirements 5.4.
Name: Version: Date: State:
requirments
A
B
C
D
The functional and non-functional requirements of the item as well as the dependencies between the item and its environment shall be made available.
5.4.1
This information includes: a) functional concept, describing the purpose and functionality, including the operating modes and states of the item; b) operational and environmental constraints; c) legal requirements (especially laws and regulations), national and international standards d) behaviour achieved by similar functions, items or elements, if any; e) assumptions on behaviour expected from the item; and f) potential consequences of behaviour shortfalls including known failure modes and hazards.
interaction with the environment
and other items.
This definition serves to provide sufficient information about the item to the
persons who conduct the subsequent subphases:
NOTE 1 Requirements can be classified as safety-related after safety goals and their respective ASIL have been defined.
NOTE 2 The required information is a necessary input for the item definition although it is not safety-related. If not already available, its generation can be triggered by the requirements of this clause.
1
3-5 Item Definition
The boundary of the item its interfaces, and the assumptions concerning its interaction with other items and elements, shall be defined considering:
WP Concept 1.7 xx.yy.2014 ISO 26262:2011
* .. * ..
Key Words
Checklist - Item Definition (ISO 26262-3)
Req.
Requirements - reference to ISO 26262
Interpretation / Key Words / Detailed ASIL ASIL ASIL ASIL
and describe the item, its
definition of the item with regard to its functionality, interfaces,
depeቤተ መጻሕፍቲ ባይዱdencies on and
environmental conditions, legal requirements, hazards etc.
✓
✓
✓
✓
NOTE This can include known safety-related incidents on similar items.
Results of the Review
Remark of the Assessor during the
Assessment
Status
3574941039.xlsx