基于ISO26262的功能安全 学习笔记2

学习笔记1中提到了对整个ISO26262的概括和综述，这篇笔记会针对Funkitonale Sicherheit nach ISO 26262此书第2章内容做出一个总结和学习。

---

第2章

在整本书中，我们将通过一个汽车行业的虚构项目示例来学习如何实际应用汽车专用标准ISO26262。这个项目为‘‘操纵杆传感器’’即‘‘项目Joy’’。通过这个示例对试点项目（pilot project）的所有阶段，在一个安全相关的环境中对ISO 26262所要求的规划活动进行介绍。

一、一般提示

涉及的公司和项目团队必须根据ASIL要求对转向系统的开发实施项目规划步骤。具体细节上，参考ISO26262:2011的想应部分：

• 相应产品开发的规划任务和引入功能管理

在IOS 26262:2011（第2~6部分）规划阶段中的‘‘功能安全管理’’阶段为：

• 事项定义（第3~5部分）
• 初步化安全生命周期（第3~6部分）
• 危害和风险分析（第3~7部分）
• 功能安全规划（第3~8部分）

“系统开发”阶段需要查看必要文档和所需的工作结果

• “系统开发”（第4~5部分）描述此工作阶段工作任务及指定负责人
• 在危害和风险分析的基础上处理技术安全要求的规范（第4~6部分）
• 系统设计（第4-7部分）用于了解与安全相关的事项
• 规划任务事项整合（第4-8部分）
• 安全验证（第4-9部分）包含验证和确认计划
• 功能安全审核（第4-10部分）讨论详细个例和辅助工具
• 准备生产产品发布（第4-11部分）不作详细讨论

二、项目前提和假设

为了把重点放在安全寿命周期的主要任务上，我们相应减少我们自由度，认定一些项目条件已经得到满足。
对于所描述的处理步骤前提条件，至少存在下面一条：

• 已获得认证的质量管理体系
• 专业的项目管理
• 基于流程的开发，比如进行V型开发
• 具有所提到的角色、技能和资源
• OEM与零部件供应商之间有合作意愿
• 高级管理人员的支持和同意

我们主要设计安全相关产品的开发规划阶段中重要方面和分布式开发时接口的必要工作任务。不直接引用标准原文，而是举例给出内容解释，便于大家查询和理解ISO26262。

三、项目Joy描述文档

（1）创新型
取消转向辅助与转向执行器之间的机械连接是这个项目的重点。也就是说，转向盘与 汽车车轮之间不存在机械链接。计划采用的驱动方式是轮毂驱动。通过取消中心驱动电机和其辅助设施，带有轮毂驱动的电动汽车具有一个独特的能力，且在被动安全方面没有线制。
由于安全原因，操作杆转向盘到目前为止还没有获得公共道路上使用的许可。轮毂驱动与制动系统集成的功能安全对这个项目提出了明显的挑战，因为要保证，在一个轮毂驱动产生突然错误的情况下，汽车能够被安全地、可控地停下来。

（2）产品信息
OEM要解决失效安全/错误容忍度上的问题，必须通过汽车制造专家、电驱动系统专家、制动系统专家跨专业的共同努力，同时还需要有丰富的专业知识。
在这个项目中，OEM寻找合适的有资质的操纵杆传感器供货商。操纵杆传感器给这个项目提供一个智能传感器控制器。这个控制器是一个下层功能的指令提供者/输入器：转矩降低（制动），转矩需求（加速）和转向。这三个指令通过ECU的接口导入。通过手控杆，给出必要的移动方向需求。在接口上通过Flexary传输移动信息，从电子控制单元（ECU）传递到执行器。
由供货商开发的转向传感器，具有下列主要功能：转向传感器作为指令提供者通过Flexray协议发出用于负转矩以及正转矩的信号。另外它还要提供用于转向功能的控制信号。
移动方向有：

• 前行
• 纵向和横向的合并移动
• 零位置
• 位置保持的检测

移动和位置信息必须在任何时候都可以获得、保持和识别，这可以通过对电信号的转换实现。信号触发执行器所定义的反应（执行单元），可以是电的或机械的反应。执行单元实现期望的以及必要的前轮转向角。电机和制动的执行单元也根据需求正确响应。

（3）参与公司
书中有详细的介绍，在这不一一列举。主要涉及OEM、嵌入式开发公司、硬件供应商、制造供货商。其中，整车厂引入功能安全管理，获得ISO16949认证。嵌入式开发公司获得ISO9001认证并根据OEM给出的ASIL-D给出整套功能安全管理。其余供应商均通过OEM认证及地区认证。

（4）Joy开发团队
角色的定义和分配时项目规划中的重要工作任务。

• OEM开发团队：产品开发负责人、功能安全经理、外部独立审核员、项目经理、技术经理、系统架构师、测试负责人、配置经理、集成工程师、开发及测试工程师、质量经理、硬件组长、设计负责人、生产负责人、验收经理。

• 嵌入式开发公司：开发负责人、安全经理、项目经理、配置经理和变更经理、安全协调人、需求经理、系统和软件架构师、软件架构师、测试负责人、开发及测试工程师、质量委托人、硬件组长。

• 硬件供应商：硬件组长、项目经理、硬件工程师、安全协调人、测试负责人、开发及测试工程师、质量委托人、硬件组长、

（5）法律基础和责任
要开发的电动车转向系统可能包含危险源，由此对于参与此项目的公司就存在义务，采取所有必要和合理的预防措施，防止伤害他人。
只有当电动转向系统的所有单元（子系统）满足安全期望，车主期望新车拥有最新的科学和技术水平时，配备这个转向系统的这个OEM的车辆才可以上路。如果在产品使用得当的前提下，OEM和供应商都应对其缺陷后果引发的伤害负责。

总结

在对这章节的学习中，不难发现开发一个新产品，不仅对OEM还是供应商都提出了明确的标准流程和规范，这里还没有涉及到Joy这个项目中软硬件具体在系统或者子系统上如何实现ASIL-D，也会在后面的章节慢慢叙述。上一章提到，任何一个汽车级电子产品都是有一定的功能安全等级，所以首先是OEM功能安全经理根据现有市场需求或者研发需求，给出目前新产品的一个安全等级，然后其他项目人员根据此等级，提出结合实际情况的解决方案，实际情况包括成本、研发周期、生命周期等等。系统设计完成后，再进行功能安全验证和审核，最终达到一个可交付、可发布水准。
下一章节将会学习有关阶段模型的相关概念和实例。