功能安全入门02---标准解读02概念开发

在汽车电子电气系统开发的功能安全概念阶段，需要完成项目定义、安全生命周期启动、危害分析和风险评估、功能安全按概念确立四个方面的工作。在开始阐述主体内容之前，先简要介绍一个重要概念：
功能安全要求（ＦＳＲ），是指独立于具体实现形的安全行为或安全措施，其属性包括ＡＳＩＬ等级。可以理解为与车辆安全相关的电子电气系统或基于其他技术的安全相关系统所执行的安全需求，即要达到安全状态所需要采取的行为或措施

2.1整个功能安全生命安全周期

安全生命周期，是指功能安全开发中，从概念到报废的全部阶段。
安全生命周期启动的目的是对新项目开发和已有项目修改进行区分。如果是新项目开发，直接进入下一阶段，即危害分析与风险评估；如果是己有项目修改，则需对安全生命周期内的相关安全活动（safety activity），在安全生命周期的一个或多个子阶段进行的活动）进行剪裁！`（裁剪在标准的第九章有详细的解读，目前先大概解释一下：参见童 菲尚世亮等《GB/T 34590.9-2017《道路车辆 功能安全 第9部分：以汽车安全完整性等级为导向 和以安全为导向的分析》解读》

其目的旨在为安全要求分解成冗余的安全要求提供一定的规则和指导，进而允许在更细节层面的ASIL剪裁。这种设计过程中的ASIL剪裁又称为 “ASIL分解”，可应用于相关项或要素的功能安全要求、技术安全要求、软硬件安全要求等。如果充分独立的架构要素，冗余的实现一个安全要求，则可应用“ASIL分解”将一个可能更低的ASIL等级分配给这些分解后的安全要求。如果架构要素不是充分独立的，则冗余要求和架构要素须继承初始的ASIL等级，维持现状。因此，在ASIL分配过程中， 这种分解方法有助于充分独立的架构要素在架构决策中获得分解后的、较低的ASIL等级，而非继承初始的ASIL等级，这对降低整个系统的开发复杂 度及成本是很有益处的。 ）`

2.2危害分析和风险评估

危害分析和风险评估的目的是识别项目中因故障而引起的危害事件，并对这些事件进行分类归纳，制定防止危害事件发生或减轻危害程度的安全目标（SG，safetygoal，是危害分析和风险评估的结果，是最高层面的安全要求），以避免不合理的风险。该阶段需要完成危害分析、风险评估、ASIL等级确定、安全目标制定等工作。
此阶段应该是功能安全在概念开发阶段最为重要的部分。

1. ***危害分析：***危害（hazard），是指由于项目的功能异常而导致的（对人的）伤害的潜在来源。危害分析包括场景分析与危害识别两部分。一般采用的方法有：HAZOP、FMEA（归纳法，是一种自下而上的分析方法，识别故障模式，对系统更高级别的影响）、FTA（演绎法，是一种自上而下的方法），常见原因分析、相关失效分析、事件树分析等的。

2. ***风险评估：***就是对上文分析得到的危害事件从严重度（Ｓ）、暴露率（Ｅ）、可控性（Ｃ）三个方面进行评级，为下文ASIL等级确定提供依据。
   风险评估中：
   S0：无害；S1：轻度或者中度伤害；S2：严重伤害；S3:致命伤害。
   E1：概率很低，几乎为0；E2：概率＜1%；E3：概率为1%-10%；E4：概率为＞10%。
   C0：完全可控；C1：＞99%的概率可控；C2：＞90%的概率可控；C3：＜90%的概率可控。（一般情况下，S0和C0很少出现）

3. . ***ASIL等级确定：***ASIL，是汽车安全完整性等级（automotive safety integrity
   level）的英文缩写，定义为由于汽车安全功能所降低风险的相对水准，或者在采取安全措施后残余风险的相对水准。
   ASIL共分Ａ、Ｂ、Ｃ、Ｄ四个等级，依次表示汽车安全完整性从低到高。ASIL等级越高，表示对安全的要求越高，安全性越强，对系统、软硬件设计的要求越严格。在项目开发的危害分析与风险评估阶段，需要根据风险评估的结果参照ASIL等级矩阵确定相应危害对应的ASIL等级；在项目开发后期进行安全评审时，需要通过计算单点故障率、潜伏故障率等指标评估项目是否达到相应的ASIL等级。
   对照ASIL等级矩阵可以确定本文研宄的各项危害事件分别对应的ASIL等级。ASIL等级矩阵中ＱＭ表示在对应的严重度Ｓ、暴露率Ｅ、可控性Ｃ下，不需要考虑安全完整性等级，只需要遵从相关质量管理（QM，质量管理，科学定义参见ISO8402）即可！

   

2.3功能安全要求

在确定相应的功能安全目标之后，针对不同设计开发项目的相关项定义，制定相应的功能安全要求。
依据安全目标和开发系统各模块的功能划分，导出功能安全要求（FSR，并为每个FSR确定合理的ASIL等级。后续会结合具体案列为大家详细展开。

小结

功能安全概念设计是针对具体的危害事件，从功能安全目标中导出功能安全要求，并将其分配到系项目的各个子系统。一般主要是从故障探测、安全措施、容错机制等方面做提出要求，并分配到系统的各个子模块。