隨著各行業(yè)引進(jìn)一系列產(chǎn)品設(shè)計(jì)和測(cè)試的標(biāo)準(zhǔn)化流程，安全保障也日益規(guī)范化。ISO 26262滿足了人們對(duì)于汽車行業(yè)國(guó)際標(biāo)準(zhǔn)的需求，重點(diǎn)關(guān)注安全關(guān)鍵部件。ISO 26262基于IEC 61508－電氣和電子(E/E)系統(tǒng)的通用功能安全標(biāo)準(zhǔn)。本白皮書介紹ISO 26262的關(guān)鍵組成以及軟硬件認(rèn)證。此外，本白皮書還包含ISO 26262的測(cè)試過(guò)程，以及ISO 26262合規(guī)的認(rèn)證工具。
1. 背景
隨著汽車行業(yè)復(fù)雜性的日益提升，人們加大了開發(fā)安全合規(guī)系統(tǒng)的力度。例如，現(xiàn)代汽車使用線控系統(tǒng)，如油門線控。司機(jī)踩油門時(shí)，踏板中的傳感器將向電子控制元件發(fā)送信號(hào)。該控制單元將分析多種因素，如引擎速度、車輛速度及踏板位置。接著，控制單元將向油門傳遞指令。對(duì)油門線控這類系統(tǒng)進(jìn)行測(cè)試和驗(yàn)證，對(duì)汽車行業(yè)造成了挑戰(zhàn)。ISO 26262的目標(biāo)是為汽車電氣和電子系統(tǒng)提供統(tǒng)一的安全標(biāo)準(zhǔn)。
ISO 26262的國(guó)際標(biāo)準(zhǔn)草案(DIS)發(fā)布于2009年6月。自發(fā)布起，ISO 26262就獲得了汽車行業(yè)的支持。標(biāo)準(zhǔn)草案生效后，律師將ISO 26262視為技術(shù)巔峰，即特定時(shí)期內(nèi)某種設(shè)備或流程的最高發(fā)展水平。德國(guó)法律規(guī)定，汽車生產(chǎn)商通常要對(duì)產(chǎn)品故障導(dǎo)致的人身傷害承擔(dān)賠償責(zé)任。技術(shù)巔峰都無(wú)法檢測(cè)的故障可獲得免責(zé)。[德國(guó)產(chǎn)品責(zé)任法(§ 823 Abs.1 BGB, § 1 ProdHaftG)]。
ISO 26262提供了通用的標(biāo)準(zhǔn)，用于衡量系統(tǒng)在使用時(shí)的安全性。同時(shí)，該標(biāo)準(zhǔn)還提供了通用的詞匯表，用戶可使用該詞匯表指代系統(tǒng)的特定部分。這和其他安全關(guān)鍵應(yīng)用領(lǐng)域保持一致：即提供一個(gè)通用的標(biāo)準(zhǔn)，讓用戶可以衡量系統(tǒng)的安全性。
2. ISO 26262的關(guān)鍵部分
ISO 26262采用分步系統(tǒng)，管理功能安全，并在系統(tǒng)、硬件及軟件層面管理產(chǎn)品開發(fā)。
ISO 26262標(biāo)準(zhǔn)提供規(guī)范及推薦做法，貫穿了產(chǎn)品開發(fā)的全過(guò)程（從概念開發(fā)到停運(yùn)）。ISO 26262詳細(xì)介紹了如何為系統(tǒng)或組件指定可接受的風(fēng)險(xiǎn)等級(jí)，以及記錄總體測(cè)試流程的方法?？偠灾?，ISO 26262：
提供汽車安全生命周期（管理、開發(fā)、生產(chǎn)、運(yùn)行、服務(wù)、停運(yùn)），并支持在各階段中自定義必要的活動(dòng)
提供基于風(fēng)險(xiǎn)的方法，判定汽車的風(fēng)險(xiǎn)等級(jí)（汽車安全完整性等級(jí)，簡(jiǎn)稱ASIL）
使用ASIL指定項(xiàng)目的必要安全要求，以達(dá)到可接受的殘余風(fēng)險(xiǎn)
提供驗(yàn)證要求和確認(rèn)方法，以確保實(shí)現(xiàn)有效且可接受的安全性
汽車安全生命周期
ISO 26262共有10卷，用于系列量產(chǎn)車，并包含針對(duì)汽車的章節(jié)。例如，ISO 26262的第7章對(duì)生產(chǎn)、運(yùn)行、服務(wù)及停運(yùn)提出了明確的安全要求。
ISO 26262汽車安全生命周期描述了整個(gè)生產(chǎn)生命周期。包括對(duì)安全管理員的需求、安全計(jì)劃的開發(fā)以及確認(rèn)方法的定義（包括安全檢查、審計(jì)及評(píng)估）。這些要求用于開發(fā)電氣和電子系統(tǒng)及元件。
本白皮書主要介紹生命周期的開發(fā)部分。ISO 26262關(guān)于開發(fā)的部分包括定義系統(tǒng)、系統(tǒng)設(shè)計(jì)、功能安全評(píng)估以及安全驗(yàn)證。
汽車安全完整性等級(jí)(ASIL)
ASIL是ISO 26262標(biāo)準(zhǔn)的關(guān)鍵部分。ASIL是在開發(fā)過(guò)程的開始階段確定的。用戶需要根據(jù)可能的危害，分析系統(tǒng)的預(yù)期功能。ASIL提出這樣一個(gè)問(wèn)題：“如果車輛發(fā)生故障，駕駛員和相關(guān)行人會(huì)怎樣？”
為了評(píng)估風(fēng)險(xiǎn)的評(píng)估，ASIL需綜合考慮暴露的可能性、駕駛員的控制能力以及關(guān)鍵事件發(fā)生時(shí)的嚴(yán)重性。ASIL不處理系統(tǒng)所使用的技術(shù)，而只關(guān)注對(duì)駕駛員及其他行人造成的危害。
不同的安全要求分為ASIL的A、B、C、D級(jí)別，其中D級(jí)為最高安全關(guān)鍵流程，測(cè)試規(guī)范最為嚴(yán)格。ISO 26262標(biāo)準(zhǔn)根據(jù)組件的ASIL級(jí)別，分別規(guī)定了最低測(cè)試要求。這有助于確定測(cè)試時(shí)必須采取的方法。確定ASIL后，就決定了系統(tǒng)的安全目標(biāo)。即確定了保證安全所需的系統(tǒng)行為。
例如，讓我們以雨刷系統(tǒng)為例。安全分析將確定喪失雨刷功能會(huì)對(duì)駕駛員的視線造成何種影響。ASIL指導(dǎo)如何選擇適當(dāng)?shù)姆椒?，以達(dá)到一定程度的產(chǎn)品完整性。本指南旨在補(bǔ)充目前的安全做法。目前，汽車制造采用高安全標(biāo)準(zhǔn)，ISO 26262旨在規(guī)范行業(yè)內(nèi)的特定做法。
3. 硬件組件認(rèn)證
硬件認(rèn)證有兩個(gè)主要目的：展示部件如何適應(yīng)整體系統(tǒng)，并評(píng)估故障模式?；A(chǔ)硬件組件可通過(guò)標(biāo)準(zhǔn)資格評(píng)估，但更復(fù)雜的部件要求通過(guò)ASIL分解及測(cè)試進(jìn)行評(píng)估。硬件組件的認(rèn)證通常是在一系列環(huán)境和操作條件下進(jìn)行測(cè)試。接著，使用多種定量方法分析測(cè)試結(jié)果，并寫入資格報(bào)告，附帶測(cè)試程序、假設(shè)及輸入標(biāo)準(zhǔn)。
4. 軟件組件認(rèn)證
認(rèn)證軟件組件包括：確定功能要求、資源使用以及預(yù)測(cè)在故障和過(guò)載情況下的軟件行為。在實(shí)際應(yīng)用的開發(fā)階段使用認(rèn)證的軟件可大幅簡(jiǎn)化該過(guò)程。認(rèn)證的軟件組件通常是優(yōu)秀的產(chǎn)品，可在項(xiàng)目中復(fù)用，包含庫(kù)、操作系統(tǒng)、數(shù)據(jù)庫(kù)及驅(qū)動(dòng)軟件。
為了認(rèn)證軟件組件，標(biāo)準(zhǔn)要求在正常操作條件下進(jìn)行測(cè)試，并在系統(tǒng)中插入故障，以判定其如何應(yīng)對(duì)非正常輸入。設(shè)計(jì)階段將分析并處理軟件錯(cuò)誤，如運(yùn)行時(shí)和數(shù)據(jù)錯(cuò)誤。
5. “在實(shí)踐中證明”的證據(jù)
硬件及軟件組件可通過(guò)“在實(shí)踐中證明”的證據(jù)，證明其符合ISO 26262要求。若組件已在其他實(shí)際應(yīng)用中無(wú)故障運(yùn)行，則可適用該條款。ISO 26262也適用于在實(shí)踐中得到證明的早期系統(tǒng)。很多情況下，若某種系統(tǒng)已經(jīng)在幾百萬(wàn)輛汽車上得到驗(yàn)證，則沒(méi)有必要重新檢驗(yàn)其是否符合標(biāo)準(zhǔn)。例如，目前制造的汽車中，很多系統(tǒng)是按照ISO 26262發(fā)布前的高級(jí)別安全標(biāo)準(zhǔn)制造的。實(shí)際應(yīng)用過(guò)程中，這些安全關(guān)鍵部件運(yùn)行良好。從更早期汽車就保持不變的可靠系統(tǒng)仍然符合ISO 26262認(rèn)證。類似實(shí)際應(yīng)用中的認(rèn)證組件，和獲得廣泛部署的早期實(shí)際應(yīng)用一起，極大地降低了總體系統(tǒng)復(fù)雜度。
6. 應(yīng)用于現(xiàn)有流程
執(zhí)行類似于ISO 26262這樣的新標(biāo)準(zhǔn)的主要挑戰(zhàn)之一是將其應(yīng)用于現(xiàn)有流程。對(duì)于新標(biāo)準(zhǔn)，需要使用試驗(yàn)項(xiàng)目展示如何實(shí)現(xiàn)該標(biāo)準(zhǔn)，及其對(duì)現(xiàn)有流程的影響。目前的結(jié)果表明，ISO 26262符合業(yè)內(nèi)現(xiàn)有的安全理念。各公司已經(jīng)開始重視在開發(fā)階段評(píng)估風(fēng)險(xiǎn)并進(jìn)行危害分析，以及在各流程中進(jìn)行測(cè)試。
計(jì)劃執(zhí)行ISO 26262的公司需要理解，目的是在開發(fā)過(guò)程的早期階段分析風(fēng)險(xiǎn)、確立適當(dāng)?shù)陌踩?，并通過(guò)開發(fā)中的測(cè)試最終達(dá)到這些要求。
7. 測(cè)試工具認(rèn)證
測(cè)試是ISO 26262開發(fā)過(guò)程中的關(guān)鍵部分。安全關(guān)鍵系統(tǒng)必須合理應(yīng)對(duì)測(cè)試場(chǎng)景，并在面對(duì)各種人為及環(huán)境輸入時(shí)保持在指定的安全范圍內(nèi)。使用高質(zhì)量測(cè)試系統(tǒng)可提高產(chǎn)品性能、提升質(zhì)量及可靠性，并降低返修率。據(jù)估計(jì)，相比于在實(shí)際應(yīng)用中，在生產(chǎn)中發(fā)現(xiàn)的錯(cuò)誤導(dǎo)致的故障花費(fèi)將降低10倍；而若在設(shè)計(jì)環(huán)節(jié)發(fā)現(xiàn)錯(cuò)誤，則又比生產(chǎn)中降低10倍的花費(fèi)。通過(guò)發(fā)現(xiàn)錯(cuò)誤并收集數(shù)據(jù)，可改進(jìn)設(shè)計(jì)或流程。測(cè)試為您的組織創(chuàng)造了價(jià)值。通過(guò)技術(shù)創(chuàng)新和最佳實(shí)踐方法推動(dòng)流程創(chuàng)新，可大幅提升效率，降低花費(fèi)。人們?nèi)菀缀雎怨ぞ撸豢紤]系統(tǒng)的設(shè)計(jì)。但實(shí)際上，工具對(duì)終端用戶的安全十分重要。
ISO 26262承認(rèn)，使用廣泛應(yīng)用的軟件工具可簡(jiǎn)化或自動(dòng)化開發(fā)電子、電氣及軟件元素（提供安全相關(guān)功能）開發(fā)所需的步驟及任務(wù)。介紹工具認(rèn)證過(guò)程的細(xì)節(jié)前，需要定義一個(gè)工具認(rèn)證的重要部分：工具置信水平。
工具置信水平
通過(guò)工具的輸入和輸出，可開發(fā)典型（或參考）用例。分析用例便可確定工具置信水平，簡(jiǎn)稱TCL。TCL和ASIL決定軟件工具要求的認(rèn)證水平。確定置信水平，需要評(píng)估一下兩種因素：
軟件工具出故障的可能性，以及錯(cuò)誤輸出對(duì)開發(fā)中的安全相關(guān)項(xiàng)目或元素會(huì)造成何種危害
在輸出中預(yù)防或檢測(cè)該錯(cuò)誤的可能性
工具置信水平分為TCL1、TCL2、TCL3和TCL4，其中TCL4為最高置信水平，TCL1為最低置信水平。
工具認(rèn)證過(guò)程
在ISO 26262中，認(rèn)證工具有諸多要求。例如，必須已經(jīng)確定了ASIL。工具必須包含用戶手冊(cè)、獨(dú)特的標(biāo)識(shí)及版本號(hào)、功能描述、安裝過(guò)程以及環(huán)境（僅舉幾例）。ISO 2626要求以下認(rèn)證材料：
軟件工具認(rèn)證計(jì)劃
軟件工具文檔
軟件工具分類分析
軟件工具認(rèn)證報(bào)告
軟件工具認(rèn)證計(jì)劃
軟件工具認(rèn)證計(jì)劃(STQP)是在安全相關(guān)項(xiàng)目開發(fā)生命周期的早期創(chuàng)建的。它主要關(guān)注兩個(gè)方面：計(jì)劃軟件工具的認(rèn)證，以及能證明該工具符合所需置信水平的用例。
STQP必須包含的項(xiàng)目有：軟件工具獨(dú)特的標(biāo)識(shí)及版本號(hào)、用例、環(huán)境、描述、用戶手冊(cè)以及確定好的ASIL。
軟件工具分類分析
軟件工具分類分析(STCA)的主要目的是確定工具置信水平。確定TCL有兩個(gè)主要因素。第一個(gè)因素是工具影響(TI)。第二個(gè)因素是工具錯(cuò)誤檢測(cè)(TD)。根據(jù)這兩個(gè)因素，選擇合適的TCL。
工具影響分為TI1和TI2。當(dāng)故障軟件工具不可能違反安全要求時(shí)，可選擇TI1。其他情況則選擇TI2。
例如，假設(shè)某工具在執(zhí)行特定軟件功能時(shí)，會(huì)在文檔中產(chǎn)生錯(cuò)誤字符。這僅僅是一個(gè)小錯(cuò)誤，并不違反測(cè)試時(shí)的安全要求。該錯(cuò)誤造成的是TI1類別的工具影響。若工具造成的錯(cuò)誤以任何形式改變了系統(tǒng)行為，則選擇TI2。
工具錯(cuò)誤檢測(cè)分為TD1、TD2和TD3。TD1代表對(duì)工具檢測(cè)錯(cuò)誤的能力有高度的置信，而TD3則代表很低的置信水平，即只能隨機(jī)檢測(cè)出錯(cuò)誤。
例如，假設(shè)某工具用于檢測(cè)設(shè)計(jì)模型的錯(cuò)誤。該工具對(duì)模型執(zhí)行靜態(tài)分析。當(dāng)靜態(tài)分析良好時(shí)，該工具不能檢測(cè)模型中的所有可能違規(guī)行為。還有一點(diǎn)值得注意的是，這并不一定意味著該模型是錯(cuò)誤的，而僅僅表明需要額外的測(cè)試。該例是一種中等程度的置信水平，即TD2。
根據(jù)所需置信水平，一旦確定了工具影響(TI)和工具錯(cuò)誤檢測(cè)(TD)，就確定了TCL的級(jí)別。多個(gè)用例可能導(dǎo)致不同的TCL。出現(xiàn)這種情況時(shí)，請(qǐng)使用最高級(jí)別的TCL。對(duì)每個(gè)軟件工具，用戶需進(jìn)行工具分類。
軟件工具文檔
為確保正確使用軟件工具，必須提供多種信息。
功能描述
安裝過(guò)程描述
用戶手冊(cè)
操作環(huán)境
異常狀態(tài)下的預(yù)期行為
軟件工具認(rèn)證報(bào)告
軟件工具認(rèn)證報(bào)告包含結(jié)論以及完成認(rèn)證且滿足要求的證據(jù)。任何驗(yàn)證期間產(chǎn)生的故障或錯(cuò)誤輸出都需在此進(jìn)行分析和記錄。
從實(shí)踐中提升的置信
從實(shí)踐中提升置信是工具認(rèn)證的一個(gè)重要方面。若能證明某工具已經(jīng)符合認(rèn)證要求，就無(wú)需進(jìn)一步的認(rèn)證。這將大幅降低開發(fā)過(guò)程中的花費(fèi)及時(shí)間成本。然而，在開發(fā)該項(xiàng)目前，認(rèn)證要求必須在每個(gè)安全相關(guān)項(xiàng)目或元素上得到證明。為達(dá)到該要求，該工具必須證明：
曾經(jīng)為了相同的目的，在類似的用例中使用
該工具的規(guī)范保持不變
未在曾經(jīng)開發(fā)的安全相關(guān)項(xiàng)目中違反安全要求
例如，假設(shè)工具A用于驗(yàn)證汽車X的ECU（引擎控制單元）。若測(cè)試工具A未違反任何安全要求，且保持不變，那么它就可用于檢測(cè)汽車Y的ECU，只要汽車Y的ECU用途與汽車X的ECU使用方法類似。
8. 下一步
欲知NI測(cè)試工具如何用于測(cè)試安全相關(guān)項(xiàng)目，請(qǐng)參考 NI測(cè)試安全兼容系統(tǒng)最佳實(shí)踐。該白皮書包含諸如模型回路測(cè)試和硬件回路測(cè)試等技術(shù)，貫穿整個(gè)開發(fā)過(guò)程。此外，該白皮書還討論了組件重用的優(yōu)勢(shì)及效率提升。
中企檢測(cè)認(rèn)證網(wǎng)提供iso體系認(rèn)證機(jī)構(gòu)查詢，檢驗(yàn)檢測(cè)、認(rèn)證認(rèn)可、資質(zhì)資格、計(jì)量校準(zhǔn)、知識(shí)產(chǎn)權(quán)貫標(biāo)一站式行業(yè)企業(yè)服務(wù)平臺(tái)。中企檢測(cè)認(rèn)證網(wǎng)為檢測(cè)行業(yè)相關(guān)檢驗(yàn)、檢測(cè)、認(rèn)證、計(jì)量、校準(zhǔn)機(jī)構(gòu)，儀器設(shè)備、耗材、配件、試劑、標(biāo)準(zhǔn)品供應(yīng)商，法規(guī)咨詢、標(biāo)準(zhǔn)服務(wù)、實(shí)驗(yàn)室軟件提供商提供包括品牌宣傳、產(chǎn)品展示、技術(shù)交流、新品推薦等全方位推廣服務(wù)。這個(gè)問(wèn)題就給大家解答到這里了，如還需要了解更多專業(yè)性問(wèn)題可以撥打中企檢測(cè)認(rèn)證網(wǎng)在線客服13550333441。為您提供全面檢測(cè)、認(rèn)證、商標(biāo)、專利、知識(shí)產(chǎn)權(quán)、版權(quán)法律法規(guī)知識(shí)資訊，包括商標(biāo)注冊(cè)、食品檢測(cè)、第三方檢測(cè)機(jī)構(gòu)、網(wǎng)絡(luò)信息技術(shù)檢測(cè)、環(huán)境檢測(cè)、管理體系認(rèn)證、服務(wù)體系認(rèn)證、產(chǎn)品認(rèn)證、版權(quán)登記、專利申請(qǐng)、知識(shí)產(chǎn)權(quán)、檢測(cè)法、認(rèn)證標(biāo)準(zhǔn)等信息，中企檢測(cè)認(rèn)證網(wǎng)為檢測(cè)認(rèn)證商標(biāo)專利從業(yè)者提供多種檢測(cè)、認(rèn)證、知識(shí)產(chǎn)權(quán)、版權(quán)、商標(biāo)、專利的轉(zhuǎn)讓代理查詢法律法規(guī)，咨詢輔導(dǎo)等知識(shí)。
本文內(nèi)容整合網(wǎng)站：百度百科、搜狗百科、360百科、知乎、市場(chǎng)監(jiān)督總局 、國(guó)家認(rèn)證認(rèn)可監(jiān)督管理委員會(huì)、質(zhì)量認(rèn)證中心
免責(zé)聲明：本文部分內(nèi)容根據(jù)網(wǎng)絡(luò)信息整理，文章版權(quán)歸原作者所有。向原作者致敬！發(fā)布旨在積善利他，如涉及作品內(nèi)容、版權(quán)和其它問(wèn)題，請(qǐng)跟我們聯(lián)系刪除并致歉！
