關(guān)于ISO 26262

汽車制造商正穩(wěn)步地將更多的自動駕駛功能集成到公路車輛中，并著手將功能安全上升為整個(gè)行業(yè)的重中之重。為解決這個(gè)問題，汽車巨頭和其電氣和/或電子（E/E）系統(tǒng)的各供應(yīng)商遵循國際標(biāo)準(zhǔn)化組織于2011年制定的ISO 26262標(biāo)準(zhǔn)。ISO 26262適用于道路車輛上特定的由電子、電氣和軟件組成的安全相關(guān)系統(tǒng)在安全生命周期內(nèi)的所有活動。

截至目前，ISO 26262標(biāo)準(zhǔn)已為最大皮重3.5噸的乘用車在功能安全領(lǐng)域解決了很多層面的標(biāo)準(zhǔn)問題。司機(jī)輔助設(shè)備領(lǐng)域、車輛動力控制領(lǐng)域、主動和被動安全系統(tǒng)的設(shè)計(jì)研發(fā)都需要遵循ISO 26262。如：汽車防抱死制動系統(tǒng)（ABS)；車身穩(wěn)定控制系統(tǒng)；防撞系統(tǒng)；車道偏離報(bào)警系統(tǒng)；自適應(yīng)助力轉(zhuǎn)向；主動停車輔助系統(tǒng)；自適應(yīng)懸架控制；安全氣囊；司機(jī)瞌睡警示系統(tǒng)；自動巡航系統(tǒng)；胎壓監(jiān)控系統(tǒng)等。

2018年發(fā)布的ISO 26262新標(biāo)準(zhǔn)包括多處更新，消除了對車身重量的限制，從而將其覆蓋范圍擴(kuò)大到其他類型的車輛，包括重型公路車輛、卡車、公共汽車和摩托車。值得注意的是，第二版還將增添一份關(guān)于半導(dǎo)體產(chǎn)品的功能安全設(shè)計(jì)和使用指南。

然而，ISO 26262:2018標(biāo)準(zhǔn)中仍缺少關(guān)于自動駕駛車輛開發(fā)的細(xì)節(jié)規(guī)定。在第二版ISO 26262發(fā)布后，這項(xiàng)遺漏的主題將出現(xiàn)在國際標(biāo)準(zhǔn)化組織公共適用規(guī)范標(biāo)準(zhǔn)ISO/PAS 21448之中。這項(xiàng)新標(biāo)準(zhǔn)通常被稱為SOTIF，即“預(yù)期功能安全”。

ISO 26262標(biāo)準(zhǔn)和SOTIF所最終解決的問題，將涉及汽車供應(yīng)鏈的所有部分。例如，設(shè)計(jì)自動化軟件將將用于解決汽車產(chǎn)品環(huán)境中部件的質(zhì)量和可靠性問題。

ISO 26262標(biāo)準(zhǔn)對風(fēng)險(xiǎn)評估軟件的功能要求進(jìn)行了規(guī)定，并對使用此類軟件具有信心。ISO 2626標(biāo)準(zhǔn)2第8部分第11條對此進(jìn)行了說明。對于適用于汽車設(shè)計(jì)、制造和系統(tǒng)操作中使用的所有軟件，標(biāo)準(zhǔn)規(guī)定了軟件工具合格證書的具體要求。

標(biāo)準(zhǔn)的現(xiàn)行版本已經(jīng)規(guī)定了這一要求。但是，哪些規(guī)定將產(chǎn)生重大的變更？

第二版ISO 26262標(biāo)準(zhǔn)的增添內(nèi)容

第二版有何重大的新變化？

第二版ISO 26262標(biāo)準(zhǔn)包括涉及軟件供應(yīng)商的一些重要修改和補(bǔ)充。具體包括：

更新了PMHF（硬件故障概率度量）方程式和安全分析驗(yàn)證。

擴(kuò)展了過程以確保軟件工具包括供應(yīng)商驗(yàn)證的使用置信度。

ISO 26262新標(biāo)準(zhǔn)中第11部分增加了中半導(dǎo)體應(yīng)用指南。

ISO 26262標(biāo)準(zhǔn)確立了一套關(guān)于功能安全的最低滿足標(biāo)準(zhǔn)，但它沒有也無法涵蓋某個(gè)產(chǎn)品的所有安全方面。系統(tǒng)供應(yīng)商有責(zé)任確保產(chǎn)品滿足最高的安全性、可靠性和性能指標(biāo)。確保軟件工具符合安全標(biāo)準(zhǔn)是該過程的一部分。

軟件工具的使用置信度

從ISO 26262的角度來看，用于制造汽車系統(tǒng)部件的軟件工具必須具備在功能安全設(shè)計(jì)環(huán)境中的使用資質(zhì)。證明文件以合格證書認(rèn)證報(bào)告的方式提交。。

本標(biāo)準(zhǔn)第8部分描述了所有軟件工具的認(rèn)證要求及分類要求。并特別明確規(guī)定了一項(xiàng)名改為“工具置信度”（TCL1-3）的標(biāo)準(zhǔn)對置信度進(jìn)行了分級。因此，TCL可以用來衡量軟件對故障的響應(yīng)能力和故障檢測能力。Tcl1為最高等級，Tcl3為最低等級。

對于用于汽車系統(tǒng)開發(fā)的軟件工具，ISO 26262標(biāo)準(zhǔn)規(guī)定，“[分析須確保]，對于因軟件工具故障導(dǎo)致的錯(cuò)誤輸出所產(chǎn)生的系統(tǒng)故障風(fēng)險(xiǎn)，在已開發(fā)產(chǎn)品中須控制在最低水平。中由于軟件工具故障導(dǎo)致錯(cuò)誤輸出的系統(tǒng)故障風(fēng)險(xiǎn)最小化。如果ISO 26262標(biāo)準(zhǔn)要求的活動或任務(wù)依賴于所用軟件工具的正確功能，則此開發(fā)過程就符合ISO 26262標(biāo)準(zhǔn)的要求而言是足夠的。”

ISO 26262標(biāo)準(zhǔn)描述了是否達(dá)到某一置信水平的四種認(rèn)證方法（如表1和表2所示對TCL2和TCL3進(jìn)行了分級規(guī)定），但并非所有方法都是必要的。建議根據(jù)設(shè)計(jì)的目標(biāo)汽車安全集成度（ASIL），采用不同的認(rèn)證方法。例如，如某部件對應(yīng)的是ASIL-A或ASIL-B等級，則1a和1b是“強(qiáng)烈推薦級方法”（++）， 1c和1d是“推薦級方法”（+）。

表1： TCL3等級的軟件工具資格（ISO 26262標(biāo)準(zhǔn)）

表2： TCL2等級的軟件工具資格（ISO 26262標(biāo)準(zhǔn)）

TCL 2等級的軟件工具認(rèn)證僅提供“強(qiáng)烈推薦級方法”（++）（1c）。 開發(fā)過程方法認(rèn)證（1d）已降級為“推薦級方法”（+）。

這四種方法只是工具認(rèn)證過程的一部分。作為執(zhí)行摘要的軟件工具認(rèn)證報(bào)告將包括分類、驗(yàn)證過程、結(jié)果、建議、特殊項(xiàng)目過程認(rèn)證、和有關(guān)工具使用的詳細(xì)信息。分類為TCL1等級的軟件開發(fā)工具適用于ASIL-D等級的部件，這是汽車安全集成度4個(gè)等級中最嚴(yán)格的等級。

新ISO 26262標(biāo)準(zhǔn)第11部分關(guān)于半導(dǎo)體的規(guī)定

作為二級汽車供應(yīng)商的半導(dǎo)體公司，必須滿足其原始設(shè)備制造商和一級客戶提出的各項(xiàng)苛刻要求。他們必須證明，交付給客戶的集成電路和系統(tǒng)的開發(fā)遵循或已經(jīng)遵循其所用軟件工具的合理設(shè)計(jì)、驗(yàn)證和驗(yàn)證流程。ISO 26262標(biāo)準(zhǔn)通過對工具認(rèn)證要求的描述，也印證了這一點(diǎn)。

c、錯(cuò)誤和故障模式的部分。它還涉及知識產(chǎn)權(quán)（IP），特別是涉及到了同ISO 26262標(biāo)準(zhǔn)知識產(chǎn)權(quán)規(guī)定相關(guān)的任何單個(gè)或多個(gè)安全要求。

自動駕駛和預(yù)期功能安全標(biāo)準(zhǔn)的進(jìn)步

2014年，國際汽車工程師學(xué)會（SAE International）在J3016標(biāo)準(zhǔn)中確立了自動駕駛的通用術(shù)語。它描述了六個(gè)等級的自動駕駛。更高程度的自動駕駛（AD）這一概念，也稱為無人駕駛或自動駕駛，正從第2級開始逐步引入。

圖1：自動駕駛的6個(gè)等級（國際汽車工程師學(xué)會）

目前，自動駕駛處于早期發(fā)展階段。我們今天在路上看到的汽車通常是二級車。汽車工業(yè)現(xiàn)在剛剛邁出了三級自動駕駛汽車商業(yè)化的第一步。盡管三級車輛已成為現(xiàn)實(shí)，但仍然面臨著來自阻礙其實(shí)施的法律和監(jiān)管的挑戰(zhàn)。未來還將出現(xiàn)能夠滿足“高度”自動駕駛和“完全”自動駕駛—4級和5級的自動駕駛車輛。

ISO 26262標(biāo)準(zhǔn)仍是提供安全系統(tǒng)、安全硬件和安全軟件的基礎(chǔ)。其目的是確保在發(fā)生故障時(shí)車輛能夠獨(dú)立、安全地運(yùn)行。ISO 26262標(biāo)準(zhǔn)建立了最先進(jìn)的流程和體系結(jié)構(gòu)，明確規(guī)定了保障系統(tǒng)安全的規(guī)則。

目前仍處于討論階段的預(yù)期功能安全標(biāo)準(zhǔn)將為0級、1級和2級自動駕駛（AD）車輛提供指南。即便如此，全球的自動駕駛專家仍在努力制定如何使系統(tǒng)安全的規(guī)定。

他們面臨一個(gè)難題：即使沒有故障，自動駕駛汽車也必須是安全的。因此，正在起草指導(dǎo)性的預(yù)期功能安全標(biāo)準(zhǔn)，以確保自動駕駛車輛在正常運(yùn)行期間的功能和安全。

因此，預(yù)期功能安全涵蓋的主題將包括：

自動駕駛設(shè)計(jì)高級概念的細(xì)節(jié)；

如何評估預(yù)期功能安全和ISDO 26262標(biāo)準(zhǔn)對危害的不同規(guī)定；

如何識別和評估場景和觸發(fā)事件；

如何降低預(yù)期功能安全的相關(guān)風(fēng)險(xiǎn)；

如何檢查和驗(yàn)證預(yù)期功能安全的相關(guān)風(fēng)險(xiǎn)；

以及在向市場投放自動駕駛車輛之前要滿足的標(biāo)準(zhǔn)。

這將構(gòu)成自動駕駛方法的基礎(chǔ)。接下來是具體實(shí)施。自動檢查和驗(yàn)證必須滿足從模擬到整車的多項(xiàng)測試，其中包括涵蓋整個(gè)四維環(huán)境的因素，如天氣、道路狀況、周圍景觀、產(chǎn)品質(zhì)地和可能存在的駕駛員誤用。

對于環(huán)境場景的前期概念分析和后期驗(yàn)證，預(yù)期功能安全將提供許多方法和指南。預(yù)期功能安全委員會希望通過不同的場景資料、這些場景的安全分析、安全場景驗(yàn)證、觸發(fā)事件驗(yàn)證、以及在環(huán)境中驗(yàn)證車輛搭載的安全系統(tǒng)，來指導(dǎo)廣大用戶。這些因素對于遵守即將發(fā)布的自動駕駛標(biāo)準(zhǔn)至關(guān)重要。

這些高級概念、評估和測試將遠(yuǎn)超以往的開發(fā)過程。有鑒于此，我們對測試平臺、軟件工具、數(shù)字雙模擬或硬件在環(huán)的依賴將比以往任何時(shí)候更重要。

因此，在開發(fā)自動駕駛系統(tǒng)時(shí)，您必須確信您的團(tuán)隊(duì)能夠使用一流的軟件工具。

參考資料

ISO 26262：2011國際標(biāo)準(zhǔn)化組織國際標(biāo)準(zhǔn)：《公路車輛—功能安全》，第1-9部分，第一版，2011年11月15日出版物；

ISO / DIS 26262：2016國際標(biāo)準(zhǔn)化組織國際標(biāo)準(zhǔn)草案，《公路車輛—功能安全》，2016年9月出版物；

ISO / DIS 26262-11：2016（E）國際標(biāo)準(zhǔn)化組織國際標(biāo)準(zhǔn)草案，《公路車輛—功能安全》，第11部分：“ISO 26262半導(dǎo)體應(yīng)用指南”；

ISO / FDIS 26262-8：2018（E）國際標(biāo)準(zhǔn)化組織最終國際標(biāo)準(zhǔn)版草案，《公路車輛—功能安全》，第8部分：支持過程；

《ISO 26262第二版：半導(dǎo)體測試的新內(nèi)容有哪些？》，明導(dǎo)白皮書；

《人工智能控制車輛的功能安全》，明導(dǎo)白皮書。