Road vehicles - Functional safety -Part 2:Management of functi
ISO 26262 is the adaptation of IEC 61508 to comply with needs specific to the application sector of electricaland/or electronic (E/E) systems within road vehicles.
This adaptation applies to all activities during the safety lifecycle of safety-related systems comprised ofelectrical, electronic and software components.
Safety is one of the key issues of future automobile development. New functionalities not only in areas such as driver assistance, propulsion, in vehicle dynamics control and act
Road vehicles - Functional safety -Part 1:Vocabulary
ISO (the International Organization for Standardization) is a worldwide federation of national standards bodies (ISO member bodies). The work of preparing International Standards is normally carried out through ISO technical committees. Each member body interested in a subject for which a technical committee has been established has Introduction
Scope .
1 Terms and definitions
2 Abbreviated term
Bibliography
Alphabetical index
道路车辆功能安全标准(FuSa)基础(十)
前面已经介绍了 ASIL 分解的基本原理,下面以一个例子介绍ASIL 分解的过程。
假设功能F,其输入信号为S1,S2,S3,这三个信号分别测量不同的物理量,是相互独立的,经过ECU内部的逻辑运算后,发送触发信息给执行器Actuator,功能F的架构示意图如下图所示。假设经过危害分析和风险评估后,功能F的ASIL等级为ASIL D,安全目标为避免非预期触发执行器。那么功能F的各个部分继承ASIL等级,即传感器、ECU、执行器都需要按照ASIL D 等级开发。
上面以EPB为例介绍了ISO 26262标准中安全目标及其ASIL等级确定的方法,安全目标的ASIL等级被开发阶段安全需求继承,如果安全需求的ASIL等级高,那么需要进行ASIL分解以降低ASIL等级,本文以实例介绍了ASIL分解的原则和步骤。ASIL分解并没有在ISO 26262中被强制要求执行,但是我们可以通过对系统进行分析、进而对系统架构进行调整,实现ASIL分解,可以解决因ASIL等级高而带来的开发成本、开发周期和技术要求等方面的问题。
道路车辆功能安全标准(FuSa)基础(九)
通过上节介绍的危害分析和风险评估,我们得出系统的安全目标和相应的ASIL等级,从安全目标可以推导出开发阶段的安全需求,安全需求继承安全目标的ASIL等级。每一条安全需求都从安全目标继承ASIL等级。如果一个安全需求分解为两个冗余的安全需求,那么原来的安全需求的ASIL等级可以分解到两个冗余的安全需求上。因为只有当两个安全需求同时不满足时,才导致系统的失效,所以冗余安全需求的ASIL等级可以比原始的安全需求的ASIL等级低。ISO 26262标准的第9章给出了ASIL分解的原则,下如图所示为ASIL分解原理图。通过最初的架构假设,功能性和技术性的安全需求被分配给架构的每一个硬件和软件模块。在ASIL等级分配的过程中,架构的决定性和架构中每个模块的独立存在性为我们提供了如下机会:通过使用这些独立的架构模块,来冗余地实现安全需求。为这些冗余的安全需求定义一个更低的ASIL等级。如果在模块之间没有独立性,那么每一条需求和每一个模块直接继承上一级的安全目标ASIL等级。
道路车辆功能安全标准(FuSa)基础(八)
在实际评级中,安全工程师会制定详细的E、C、S值量化评分表,于是对于任意一项需求,都可以对照评分表得出其E、C、S的值。其中,确定E值的过程叫做Risk Assessment,而确定C值和S值的过程叫做 Hazard Analysis。有了E、C、S值, 再对照ASIL评级图,就可以得出这项需求的ASIL 评级了。
根据ISO26262, 对于任何一项需求,其功能安全大致可以通过以下几个步骤来保证:
1)进行Hazard Analysis 和 Risk Assessment。前文已叙,这个步骤是为了获得需求的E、C、S值。
2)评出此需求的ASIL评级并建立Safety Goal。Safety Goal 是一个具体的、定性的安全目标,比如转向助力那个例子中, “助力方向一致” 这个需求一定是ASIL D级,故障后会有相当大的安全风险。其Safety Goal就是把故障风险降低至可容忍风险以下。Safety Goal继承对应需求的ASIL评级。
3) 将Safety Goal 进一步分解为 Functional Safety Concept 和Technical Safety Conce
道路车辆功能安全标准(FuSa)基础(七)
随着 汽车上电子/电气系统(E/E)数量不断的增加,一些高端豪华轿车上有多达70多个ECU(Electronic Control Unit电子控制单元),其中安全气囊系统、制动系统、底盘控制系统、发动机控制系统以及线控系统等都是安全相关系统。当系统出现故障的时候,系统必须转入安全状态或者转换到降级模式,避免系统功能失效而导致人员伤亡。失效可能是由于规范错误(比如安全需求不完整)、人为原因的错误(比如:软件bug)、环境的影响( 比如:电磁干扰)等等原因引起的。为了实现汽车上电子/电气系统的功能安全设计,道路车辆功能安全标准 ISO 26262于2011年正式发布,为开发汽车安全相关系统提供了指南,该标准的基础是适用于任何行业的电子/电气/可编程电子系统的功能安全标准IEC 61508。
ISO 26262标准中对系统做功能安全设计时,前期重要的一个步骤是对系统进行危害分析和风险评估,识别出系统的危害并且对危害的风险等级——ASIL等级(Automotive Safety Integration Level,汽车安全完整性等级)进行评估。
道路车辆功能安全标准(FuSa)基础(六)
汽车的电气化和电动汽车的发展,自动驾驶、智能汽车已经出现。这些使得电子电气系统在汽车领域的应用比例越来越大,对安全的影响也就越大。
在系统越来越复杂的事实面前,电子电气功能开发的系统化,对安全考虑的系统化,是预防系统性失效的必要手段。ISO26262站在系统和全生命周期的高度,统筹电子电气系统的功能安全,从提出产品概念阶段开始,覆盖系统开发、硬件开发、软件开发、生产运行和售后支持,以系统的方法,指导产品全生命周期的安全事项的实施。
ISO 26262标准提供了给系统产品划分安全等级的具体方法,使得全行业得到一个统一的参考系。全部信息都会以文档的形式留存,形成可以追根溯源的产品安全管理系统。标准还提供了审核方法,使安全体系形成闭环。
道路车辆功能安全标准(FuSa)基础(五)
然而,ISO26262:2018标准中仍缺少关于自动驾驶车辆开发的细节规定。在第二版ISO 26262发布后,这项遗漏的主题将出现在国际标准化组织公共适用规范标准ISO/PAS 21448之中。这项新标准通常被称为SOTIF,即“预期功能安全”。
ISO 26262标准和SOTIF所最终解决的问题,将涉及汽车供应链的所有部分。例如,设计自动化软件将用于解决汽车产品环境中部件的质量和可靠性问题SOTIF是与功能安全非常接近的概念,2016年相关工作组提议覆盖这个工作领域的相关工作,「ISO/PAS21448 道路车辆—预期功能安全性」目前在处于开发阶段,该标准的相关开发人员正是ISO26262标准的开发人员,而这一标准很可能被纳入最新版的ISO 26262标准。
ISO 26262标准对风险评估软件的功能要求进行了规定,并对使用此类软件具有信心。ISO2626标准2第8部分第11条对此进行了说明。对于适用于汽车设计、制造和系统操作中使用的所有软件,标准规定了软件工具合格证书的具体要求。
道路车辆功能安全标准(FuSa)基础(四)
为了更好地适应不断更新的技术需求,在 ISO 26262第一版发布的5年后,ISO(国际标准组织)对其进行评估,基于第一版进行完善并形成新的版本。ISO 26262于2018年正式改版。上文介绍ISO 26262国际标准第二版的一些更新情况,本文继续介绍后续更新内容。
五,ISO 26262 Part 5-产品开发:硬件层面
六, ISO 26262 Part 6-产品开发:软件层面
七, ISO 26262 Part 7 -生产、运行、服务和报废
八, ISO 26262 Part 8-支持过程
道路车辆功能安全标准(FuSa)基础(三)
由于 IEC61508是一个通用的标准,对于汽车电子有些方面不是特别适应。汽车电子的快速发展给 IEC 61508带来了较大的挑战,因此非常有必要针对汽车电子领域形成特定的标准,鉴于此,ISO 26262应运而生。2011年,汽车电子功能安全标准ISO 26262正式发布,该标准已经在汽车电子功能安全领域广泛应用。为了更好地适应不断更新的技术需求,在 ISO 26262第一版发布的5年后,ISO(国际标准组织)对其进行评估,基于第一版进行完善并形成新的版本。ISO 26262于2018年正式改版。本文介绍ISO 26262国际标准第二版的一些更新情况。
这次改版主要原因如上文描述, 总结一下, 主要是下面几点:
1. 第一版ISO 26262经验的累积:
2. 适用范围向其他种类车辆的拓展:
3. 半导体层面功能安全的引入:
4. Fail-operational(失效可操作)系统的引入:
道路车辆功能安全标准(FuSa)基础(二)
汽车制造商正稳步地将更多的自动驾驶功能集成到公路车辆中,并着手将功能安全上升为整个行业的重中之重。为解决这个问题,汽车巨头和其电气和/或电子(E/E)系统的各供应商遵循国际标准化组织于2011年制定的ISO 26262标准。
ISO 26262(道路车辆功能安全标准)是根据汽车行业特点而产生的功能安全应用标准,如前文所述,它从可编程电子电器系统的功能安全标准IEC61508发展而来。也就是国际电工委员会(IEC)1998年公告的IEC61508,针对一般工业领域的电机/电子/可程式电子(Electrical/Electronic/Programmable Electronic, E/E/PE)相关系统之功能安全评估与管控方法加以规范。而汽车电子系统与一般工业用E/E系统有着一些差异,如从成本考量或从可靠度要求等,因此在2011年国际标准组织 (ISO)公告专属车辆领域之国际标准ISO 26262,其适用于最大总质量不超过3.5吨的量产乘用车(M类)上的包含一个或多个电子电气系统的与安全相关的系统。ISO 26262适用于道路车辆上特定的由电子、电气和软件组成的安全相关系统在安全生命周期
道路车辆功能安全标准(FuSa)基础(一)
什么是功能安全?所谓的“功能安全”,就是通过安全功能和安全措施来避免不可容许的功能风险的技术总称。功能安全(Functional Safety)的“功能”指的是监控受控对象和控制器的安全装置起的作用。通常我们将计算机作为安全装置,如果控制器发生故障,则该计算机将会关闭受控对象,并向用户发出危险警告。安全装置所实现的这种安全性作用,被称为“功能安全”。功能安全可以说是通过使用计算机等的安全装置所设计出的安全措施。
但是,在这里不得不提醒大家,安全本身并不是通过增加某种电子安全设备来保证的,而是通过“去除”导致危险发生的设计或机械故障的安全机制来保证。这种安全机制被称为“本质安全”(Intrinsic Safety)。
CNCAP-REGULATION 英文版
C-NCAP aims at establishing high standard, fair and impartial methods for assessing
vehicle safety performance under impact, so as to promote the development of vehicle
technologies in pursuit of a higher concept for safety. The intention of the program is to
provide consumers with safety information concerning the newly marketed vehicles,
encourage the manufacturers to attach higher importance to safety standards, improve
the safety performance and technical standards of the vehicles while givi
CNCAP-REGULATION 中文版
C-NCAP 旨在建立高标准、公平和客观的车辆安全性能评价方法,以促进车辆技术的发展,
追求更高的安全理念。该项目意义在于给消费者提供新上市车辆的安全信息,并推动生产企业增强对安全标准的重视,提高车辆安全性能和技术水平,同时使具有优异的乘员安全保护性能的车辆在评价中予以体现。
C-NCAP 同样关注与消费者切身利益相关的燃料消耗量的评价方法,旨在促进汽车燃料经
济性水平的提高,推动生产企业不断改进节能技术。本评价方法将根据我国车辆技术的发展及对道路交通状况的深入研究逐步进行完善。
第一章 总则.
第二章 运行管理
第三章 评价办法
第四章 碰撞试验及鞭打试验方法
第五章 行人保护试验方法
第六章 车辆自动紧急制动系统(AEB)试验
第七章 附加试验——燃料消耗量试验方法
C-NCAP 2021版主动安全研究
C-NCAP主动安全研究
The Active Safety Research of C-NCAP行业分析报告
C-NCAP 2020版
评价项
可选审核项
场景:
SAS限速标识识别场景
LDW车道偏离预警场景
BSD盲区监测测试场景
AEB车对车测试场景
AEB车对二轮车测试场景
LKA车道保持辅助场景
HMI测试场景
BSD盲区监测测试场景
得分率计算方法
C-NCAP L2级自动驾驶测试研究
载智能计算基础平台参考架构2.0
载智能计算基础平台参考架构2.0
第 1 章 编制背景 1
1.1 智能网联变革机遇期,参考架构 1.0 有效凝聚共识 1
1.2 智能网联技术成长期,参考架构亟需迭代与细化 2
1.3 智能网联加速落地期,参考架构 2.0 加强前瞻引导 3
第 2 章 车载智能计算基础平台参考架构 2.0 概述 5
2.1 参考架构 2.0 总体框架 5
2.2 参考架构 2.0 的特点 8
2.3 参考架构 2.0 的重点创新研究方向 9
第 3 章 异构分布硬件架构 12
3.1 AI 计算单元 12
3.2 通用计算单元 13
3.3 控制单元 13
3.4 安全处理单元 13
第 4 章 车控操作系统 15
4.1 系统软件 15
4.2 功能软件 19
第 5 章 工具链 27
5.1 开发调试工具 27
5.2 测试仿真工具 29
5.3 持续集成工具 29
5.4 过程管理工具 30
第 6 章 安全体系 33
6.1 功能安全 33
6.2 预期功能安全 35
6.3 网络安全 37
6.4 数据安全
汽车软件白皮书2022年
白皮书 3.0 旨在分析汽车基础软件平台及其关联技术的发展趋势,除了对其技术形态做一般性定义之外,还进一步解读了其中的关键技术、分析了典型应用案例,帮助产业链参与者对智能汽车车用基础软件平台的技术形态和发展趋势产生更多思考。
第1 章 智能汽车车用基础软件平台概述
第 2 章 智能汽车车用基础软件的内核和中间件
第 3 章 智能汽车车用基础软件平台
第 4 章 智能汽车车用基础软件平台关联技术
第 5 章 国产基础软件生态介绍
第 6 章 国产基础软件问题与展望