智能汽车安全开发难题凸显，UL推出多安全标准融合开发模式

智能网联汽车的安全及合规性已经成为行业关注的热点。

一方面，越来越多的智能驾驶安全与网联信息安全相关事件，引发了来自高层监管机构的重视。去年以来，包括工信部、网信办等管理部门密集出台了关于汽车网络信息安全管理的相关规定或管理要求。

2021年8月，工信部发布《关于加强智能网联汽车生产企业及产品准入管理的意见》，要求进一步加强对智能网联汽车的准入管理，其中也对安全管理提出了相关要求。例如，智能网联汽车产品应满足功能安全、预期功能安全和网络安全等过程保障要求。

未来随着上述监管政策的出台，接下来到2023年智能汽车很可能必须通过相关安全准入才允许上市销售、上路行驶。这意味着，智能驾驶与智能网联功能实现安全合规将成为车型量产的必要条件。

另一层面来讲， 软件定义汽车模式下，车辆安全的范畴已经从传统车辆的主被动安全衍生到电子电气系统的功能安全、自动驾驶的预期功能安全、网联汽车的网络安全、软件定义汽车的软件安全等。

以ISO 26262道路车辆功能安全、ISO 21448道路车辆预期功能安全、ISO 21434道路车辆网络工程、Automotive SPICE（简称A-SPICE，欧洲主要汽车制造商制定的面向汽车行业的流程评估模型）汽车软件过程改进及能力评定等为核心的安全架构和监管要求变得越来越复杂。

以上，都对智能汽车的系统与功能在开发流程、设计、测试、评定等各环节的安全性、合规性提出了新的挑战与要求。

新的挑战和机遇迎来新的标准

ISO 26262道路车辆功能安全系列标准最早发布于2011年，目前已经于2018年发布第二版本。该系列标准是在汽车行业广为人知的安全设计标准，主要关注汽车电子电气(E/E)系统功能异常所导致的危害和风险。

在自动驾驶车辆开发流程中，除了功能安全（ISO 26262）之外，预期功能安全性（ISO 21448）也已成为不可或缺的重要标准。

1、预期功能安全性（SOTIF）ISO 21448

美国交通部（DOT）的“联邦自动化车辆政策”中使用了SAE J3016将道路机动车辆驾驶自动化划分为六级。这是一个被业内广泛接受的标准，用于定义汽车行业实施的自主等级。

自动驾驶等级

那么，SOTIF框架有什么作用呢？ISO 26262包含先进的框架和方法，用于降低E/E故障造成的危害风险。不过，ISO 26262并未涉及E/E系统的标称性能。虽然ISO 26262的实施必不可少，但并不足以确保ADAS和自动驾驶车辆的安全功能，因此需要一个框架来解决以下问题：

• 标称性能/性能限制

• 复杂的环境

• 可预见的误用和驾驶员疏忽

这就是ISO 21448的作用。所谓SOTIF是指不存在由于预期功能的功能不足而导致危险所造成的不合理风险。它解决了在没有ISO 26262中所定义故障的系统中，由于预期功能的限制而造成的危害。

预期功能的安全问题可能与几方面有关：系统和零部件的性能局限性、复杂多变的交通环境以及不清晰的人机交互等。

ISO 21448中的SOTIF主要活动

2、自动驾驶安全评估标准UL 4600 The Standard for Evaluation of Autonomous Products

ISO 26262规定了“安全相关E/E系统的故障行为可能造成的危害，包括这些系统的相互作用”。ISO 21448则指出：“由于预期行为的功能不足或可合理预见的人员误用而导致的危害，不存在不合理的风险”。而UL 4600旨在解决“自主驾驶产品评估的安全原则和流程”问题。

安全标准概览

通过UL 4600实现更安全的自主性的意图和关键原则包括：

• 使用基于目标的方法，规定创建安全案例时必须解决的主题；

• 该标准不会强制要求在创建系统时使用任何特定技术，并进一步提高设计过程的灵活性；

• 解决传统安全实践所需的变化，以适应自主性，例如缺少采取故障缓解措施的人工操作员。

标准所涉及的主题，包括：安全档案的完整性、危害和风险缓解、数据完整性、自动驾驶模块系统设计、人机交互（适用于非驾驶员）、指标和合规性评估等内容。

3、信息安全标准ISO/SAE 21434

国际标准化组织（ISO）/美国汽车工程师学会（SAE）于2021年联合起草发布了“ISO / SAE DIS 21434道路车辆-汽车网络安全工程”国际规范。从汽车行业的角度来看，该标准就产品开发和整个供应链网络安全设计方面达成了共识。这套标准（ISO/SAE 21434）的目的主要有三个，分别是：

• 确定一个结构化的流程，以确保信息安全设计；

• 实现降低攻击成功的可能性，减少损失；

• 提供清晰的方法，以帮助车企应对全球行业共同面对的信息安全威胁。

该标准没有给出信息安全技术、解决方案或补救措施的具体内容，也没有给出对自动车辆或道路基础设施的特殊要求，但是鼓励采取以风险为导向的方法来确定行动的优先次序。

ISO/SAE 21434标准框架

多安全标准融合开发

那么，作为智能网联汽车生产企业，如何用一套行之有效的开发流程满足各种安全标准的要求也已成为行业的热门话题，即 —— 多安全标准融合开发。

谈到融合开发，主要有两大方面的融合可以考虑：第一是方法论的融合，如何用一个安全活动覆盖多标准的要求；第二是流程的融合，如何用一套开发流程保障所有的安全活动都能被及时正确地执行。

从方法论融合的角度看，无论是功能安全、预期功能安全还是信息安全，都是系统安全的一部分，它们也都是一种基于危险的安全工程（Hazard-based Safety Engineering）。它们都是始于风险分析，再使用系统性的方法根据识别出来的风险有针对性地制定相应的安全措施，再将安全措施转换为各层级可实现的安全需求落实到产品设计中，以降低相关风险。之后，再使用各种特定的验证与确认的方法，以验证安全措施的有效性、覆盖率，以及确认相关产品的残余风险已经低于合理可接受的水平。

从流程融合的角度看，所有的安全工程都必须依托于良好的流程去实现和执行，各个安全活动需要的输入、使用的方法、工具、相关的责任人以及活动的输出物都需要进行完整定义。同时，成熟的需求管理、变更管理、配置管理等也都是保障所有安全需求和安全活动追溯性的重要前提。所以，成熟的多标准融合开发流程是所有安全工程和安全活动能够有效执行的重要基石。

如何打破纸上谈兵？

有了标准，还需要专业知识吗？答案是需要的，因为产品开发过程变得越来越复杂。

在受监管的环境中，如功能安全、网络安全性和规定的可靠性，重要的是避免在现有产品开发流程和实践基础上定义失联的流程。经过定义统一的产品开发流程和映射相关标准和法规的要素到哪些流程域，可以有效地找到合规性差距（Gap）并为审核和评估提供证据。

但是能否在文档中管理上述任务呢？最佳实践告诉我们非常困难，因为文档对于处理这种复杂性或矩阵结构来说捉襟见肘。

开发流程多重映射到多个标准框架

面对激烈的市场竞争，先进的公司通过基于模型的产品开发流程取得了显着的进步。为了控制复杂性、简化产品开发流程并摆脱纸上谈兵，是否有一种工程流程管理工具对所有人、流程所有者、质量人员和工程师都有利？答案是Stages。在流程管理工具领域，Stages 在推进工作和充分展示 UL 对车辆安全的贡献方面发挥了重要作用。

在流程管理工具景观中，Stages恰恰起到了承上启下的重要作用，也充分体现了UL对于汽车安全的助力。

流程管理工具

2001年到2010年，Stages的客户一直在稳定增长，首批用户有德国OEM，也有美国OEM；2010年到现在，Stages全球客户呈指数增长，涵盖欧洲、北美、中国、日本和韩国的领先OEM和Tier-1，领域包括汽车、航空航天和医疗设备，也包括电池制造商。

Stages全球客户

截至2021年，Stages全球客户数量已超过150家，Stages用户达到35万。

Stages概念

作为先进的工程流程管理工具，Stages的效益囊括了时间、成本和质量，有助于缩短产品上市时间，提高业务灵活性，加快工程师工艺验收，同时降低开发间接成本，使开发产品的质量更高。

Stages的效益

UL为安全世界而生

从2018年开始，UL联合相关科研机构和自动驾驶企业开始撰写UL 4600标准，2020年初正式发布。该标准是第一部专门针对自动驾驶的安全评估标准，旨在为高度自动驾驶设计提供完整的安全评估原则和安全评估体系。

标准包含危害分析和风险评估、安全设计流程、测试、自动驾驶验证、数据完整性等相关内容，以解决基于机器学习（ML）和人工智能（AI）的自动驾驶的安全性问题。

全球安全科学专家

作为IEC 61508（IEC/TC 65/SC65A）和ISO26262/21448（ISO/TC22/SC32）标准委员会成员单位，UL在功能安全领域的合作伙伴来自所有行业，包括汽车、机器人、能源设施、轨道交通、家用电器等。UL至今已为500多家公司提供了功能安全服务。在汽车领域，UL致力于为客户提供功能安全和自动驾驶安全的一站式解决方案。

UL制定了十余部电动汽车电池、充电系统、信息安全和无人驾驶相关标准；同时提供培训、评估和认证服务，助力客户保护品牌声誉、提供质量和性能、确认合规性、展示安全性、增强可持续性、加强安全性。

2019年6月UL收购了专注汽车功能安全和自动驾驶安全的技术的美国管理咨询公司kVA，开启了汽车安全服务领域的新征程，也为UL赋予了汽车功能安全开发方面的项目经验。

kVA在汽车行业的标准、流程和功能安全方面拥有超过60人的专家团队及数十年实践经验、资源和技术储备，覆盖自动驾驶、ADAS、动力总成、转向与底盘、车身与内饰、新能源和半导体等领域，客户资源涵盖全球知名汽车制造商、零部件供应商和新型自动驾驶汽车技术开发商。

至此，UL将自己的业务范围扩大至功能安全及自动驾驶安全领域，为广大客户提供基于ISO26262、ISO21448及UL 4600等标准的安全评估服务，涵盖认证、测试、审计和检查、验证、学习和开发、咨询、软件和数据洞察。

kVA by UL部分项目经验和服务

kVA by UL的理念是，作为安全专家不仅要有流程知识，还要具备产品知识。UL提供的功能安全并非单纯流程，而是通过丰富的咨询经验、资源和技术储备为客户提供具备工程价值的咨询。尤其是本土化咨询专家+全球专家网络，更能迅速响应客户需求，获得了自动驾驶领军企业的认可。

2021年7月，UL又收购了德国公司Method Park，其产品组合包括复杂的、基于流程的产品工程、软件解决方案、培训和咨询服务，专注于汽车、医疗和航空航天行业的安全关键方面。

作为全球安全科学专家UL的一部分，Method Park by UL与客户合作，推动创新安全、业务转型及遵守监管和行业特定质量标准。通过Method Park by UL专有的Stages流程管理工具，UL助力客户定义、实施和监控开发和业务流程，提高创新安全性、推进业务转型和监管与标准合规性。

V - 标准培训线上研讨会

UL在如何开发更安全的产品方面赢得了制造商的信任。通过公共研讨会、在线研讨会和在线学习等培训与咨询服务，UL不断与整个行业分享其专业知识与研究成果。请在以下链接关注相关活动：

• UL-CFSP UL认证功能安全工程师 ISO26262标准线上培训

https://mp.weixin.qq.com/s/TfyKbiJjTCTNBvX4teX9Hg

UL是全球知名的检测认证机构，通过检测、检验、审计、认证、验证、咨询、培训以及软件服务，为产品安全、信息安全及可持续发展提供创新性安全解决方案，为创新产品和创新技术的安全应用保驾护航。

UL全球拥有14,000多名专业员工, 分布于全球40多个国家/地区，致力于为全人类创造更安全的生活和工作环境。

联系人

技术负责人：李良城 David.l.li@UL.com

商务联系人：董新凯 Derek.dong@UL.com