ASIL 汽车安全性等级.doc

《ASIL 汽车安全性等级.doc》由会员分享，可在线阅读，更多相关《ASIL 汽车安全性等级.doc（6页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、ISO 26262 ASIL安全等级，你知道如何来划分和分解吗？2019-04-22 17:34据九脑汇了解，随着汽车上电子/电气系统（E/E）数量不断的增加，一些高端豪华轿车上面就有多达70多个ECU（Electronic Control Unit电子控制单元），其中安全气囊系统、制动系统、底盘控制系统、发动机控制系统以及线控系统等都是安全相关系统。为了实现汽车上电子/电气系统的功能安全设计，道路车辆功能安全标准 ISO 26262于2011年正式发布，为开发汽车安全相关系统提供了指南，该标准的基础是适用于任何行业的电子/电气/可编程电子系统的功能安全标准IEC 61508。ASIL安全等级

2、的概念ASIL等级,Automotive Safety Integration Level，汽车安全完整性等级，指描述系统能够实现指定安全目标的概率高低。每个的安全功能要求都包括安全性目标和ASIL安全等级这两部分内容。对一个指定系统应用安全功能要求，ASIL安全等级划分包括如下步骤：1.根据预想架构、功能概念、操作模式和系统状态等确定安全事件；2.危险分析和风险评估，初步确定ASIL安全等级；3.逐级分解安全要求和安全等级，ASIL安全级别划分和ASIL安全级别逐层分解两个过程交替进行，直至抵达无法进一步分解 零件或者子系统；4.可用因素共存原则、相关失效分析和安全分析等原则来检查等级分配的

3、合理性。与ASIL相关的几个概念根据ASIL等级划分的基本规则，我们从安全目标出发，主要是考虑影响等级的三要素，最终确定系统或者零件安全等级的过程。ASIL等级划分目标在于为了降低系统性失效的概率，但并不针对单一零件性能参数的水平进行规定，对此也不会产生影响。你可知道ASIL是有四个等级，分别为A，B，C，D，其中A是最低的等级，D是最高的等级。而ASIL等级分解只要是将系统的安全目标和安全等级逐步落实到下级子系统的过程。危害，指系统功能异常导致危害的潜在来源；危害事件，指在指定场景下发生的危害；危害分析和风险评估，对指定系统的可能危害事件进行识别和归类，并定义防止或减轻危害发生的安全目标和安

4、全等级，来避免避免不合理风险。影响ASIL等级的三个基本要素是严重度（Severity）、暴露率（Exposure）和可控性（Controllability）。严重度，描述一旦风险成为现实，相关人员、财产将遭受损害的程度，比如电子锁故障就比刹车故障的严重程度低；暴露率，描述风险出现时，人员或者财产可能受到影响的概率，比如底盘出现异响比乘员座椅故障暴露率低；可控性，描述风险出现时，驾驶员等在多大程度上可以采取主动措施避免损害的发生，轮胎缓慢漏气比刹车失灵可控性高。为什么要划分和分解安全等级给汽车上的全部电子电气系统划分安全等级，明确每个系统，每个子系统，每个零件的安全目标，制定执行明确的安全措施

5、。一方面使相关人员和部门统一认识，避免因为目标含混不清，职责不明确造成的风险；另一方面，避免在同一个安全要素上重复投入资源，出现分布不均而出现的资源浪费，一个风险点有几个安全保障，而另一个故障点却没有人意识到。通过系统性，全生命周期的思考方式，实现全面的规划安全功能的目的。ASIL安全等级划分方法划分ASIL安全等级，首先我们需要做安全事项的危险分析和风险评估。针对所有可能发生的危害事件进行的危险分析和风险评估，是确定安全目标的第一步，这一步可以在还不知道对象细节的时候就进行。比如，车辆在路上运行，有碰撞的风险，这个风险的存在性和存在的形式都不必等待车辆设计好造型的时候才知道。为了明确功能安全

6、要求，ISO26262标准给出一系列建议，下面是比较重要的几点建议。1.根据系统基本架构提出功能安全的要求；2.下级系统应该全面继承上级系统的安全要求和安全等级；3.同一要素与上级的几个系统都有从属关系，则取安全等级最高的系统级别；4.处理好于飞电子电气类安全措施的接口，不要存在系统安全空白，也不要在一个点上过度设计；对于上文所提到的危险分析和风险评估方法建议，我们归纳起来大体如下：使用评估清单；采用头脑风暴、分析工具（如FEMA或者FTA等）；根据不同场景进行评估，场景应该是公认的，影响作用方式是常识中的；清晰界定每个危险事件自身的描述以及危险造成的影响，尽量使用最准确具体的语言，并全面的估

7、计影响；对于标准适用范围以外的风险应当一道给以适当处理。安全等级ASIL按照严重性、暴露性和可控性这三个维度来进行具体评估。严重性用SX表示，X取值可以是0/1/2/3，级别从低到高，级别越高，伤害越严重。S0无伤害；S1轻微或有限伤害；S2严重或危及生命的伤害（可生还）；S3危及生命的伤害（有死亡可能）或致命伤害；暴露性用EX表示， X取值从0至4，共5个等级。E0是几乎不肯能暴露于危险中，E4是可能性极高。可控性用CX表示，最低C0可控，最高C3几乎不可控，共4个级别。ASIL 等级分为A、B、C、D 四个等级，ASIL A 是最低的安全等级，ASIL D 是最高的安全等级。除了这四个等级

8、QM 表示与安全无关。评估结果范例表格如下图所示。ASIL安全等级分解效率最高的安全要素分配方式：ASIL分解倾向于把冗余的安全要求分配给足够独立的系统。从安全目标开始，安全要求在开发过程中会被分解和提炼。ASIL 作为安全目标的一个属性，会被每一个后续的安全要求所继承。功能和技术安全需求向每个架构要素的分配，开始于初步的架构设想，结束于硬件和软件要素。在设计过程中的ASIL 裁剪方法被称作“ASIL 分解”。在分配阶段，优势来自架构决定，包括存在足够独立的架构要素。这些好处在于：-应用冗余的安全要求通过独立的架构要素；-分配一个可能更低的ASIL 给这些分解后的安全要求；如果这些架构要素不是

9、足够独立的，那么冗余的要求和架构要素继承初始化的ASIL。”理解一安全等级的划分对象是电子电气系统或产品，不包括管理流程等事项；理解二标准不对标称参数做安全性评估，只对功能安全系统定义的安全要求进行拆解和评估；理解三安全等级的划分顺序，是自上而下的过程，上层系统分解出来的支持本层级安全目标的措施，分解到下面一层，成为下一个层级的安全目标，下层系统没有特殊情况，需要继承上层的安全目标和安全等级；理解四安全等级和安全要素的支持关系，存在着时间上的连续性，产品生命周期的每个阶段都必须始终支持本层级系统的安全目标；理解五如果组成系统的子系统之间没有耦合关系，即他们不是互相影响的，而是只受下面一个层次的

10、系统或者因素影响，那么这些独立系统可以分配略低的ASIL等级。从另一个角度说，如果分配正常的安全等级，则独立系统可以使得父系统获得更大的安全冗余。ASIL安全等级分解原则要素共存准则，一个系统内包含多个子要素，且某些子要素对其安全性产生影响，另外一些则不产生影响；或者一些子要素的安全等级高而另外的一些安全等级低。此时总的原则是，将子要素的安全等级提升到系统安全级别，除非能够证明，低等级的子要素对系统不产生不良影响，同时对其余子要素也不产生不良影响。相关失效分析，系统内并行的几个功能，可能因为受到同一个底层因素的影响，或者同一个外部因素的影响同时失效；系统中，串联关系（一个系统的输出是另一个系统

11、的输入）的几个系统，可能在一个底层输入的错误瞬间造成一系列的失效。必须识别出这种可能存在的失效模式和相关系统，避免系统中存在相关失效的情形。安全分析，在完成了危险性分析和风险评估以后，系统内每个相关因素的安全等级和安全目标都已经确定，回过头来，再次进行的一种评估分析。再次确认安全目标，考察安全措施实施的效果和可能面对的失效，探讨安全失效后可能造成的影响。安全分析，意在识别出风险评估阶段遗漏的安全项目和安全方案中的过度冗余和欠缺。6 缺 和度中案 目安安漏估险出你，知全安的何造后讨分效对能解效的？施考目安次分评行再头，经标全级的关每内，评和性成完形的效存系，关相模的可别须失的造误入底在，个几的系

12、是出个系联统；时的因一或响因层到因，功行内，响影不素子时，不产系子的明够，全系升等的要则的时低些一高全安些者影不则外影全安要且，个内系则原分级 余全的获系使可则等的正果说一。 略以系立么，者统的个受是响是不系耦没之的系解标标统层持终段每周品，连间存关支素和解级等标安层继，殊没层目安级为，下到措目全本的出层程的上序划级解估和拆要的义全对估性做标解项等程括不统电是象级解。 初承架要冗么立足要构求全后解给 的更配素要的过要安冗于在素构架足存包决势，配。分 “法剪 过素要软于想架初开分要个求安技。继求续个会性个标作 和分程开在，标统系够给要的把于分 方配安分等安示所格范结关无表 个级全高是 等的是 级

13、四、 等 别个，不 高， 最控高性可 险露肯几。等共0取，表露害害）能（的命 ）（的及或 ；有 害伤重越高越，别，/0可值示重估体进度三控性性照 级理理给当应以范响计面，的确用使影成及描的事个的识式方，公该，评场） 或如工分脑采清下如起们，法评析危到计设上一也，统存，接全气电好别统的等取，从都几上素级等安安系级全统系求要能出构系议点要较下建一给 求能道才的造设车都形和存风个险有行路，比进的节道还以一一目定确险和分进害的可对估风析的项做需，全 方划全的的功规全现考的生，统到识有点个而保几点一浪的出均分源投上全同免险风造责清含目免识统和关施全确执制全的每系每系每级安分电部的等全和要高控灵刹漏胎发损

14、施动以度大员驶出风描低低故座响出如比概到产或人时述低低的车就锁电，的受产人，为风述） 性可 露） 重要个的 险风不避级安标的害减防并归识件危能系对评析害的生定指件源来害导异系程的系到落级安目的系只等级等最级低最， ，别级个是 响生不对规进的性一针并率效统了于标等程的等件者确终三等影是发标全，本的级 概个关 性合分查来原安分失则存用统统者解一无至行交个分别安 划安 等全全分级级等 定初评险分件全安状和作念能、预骤下包划全 ，要安系指容内这全 和目全包功的个高标全现实述描性全车 等概级等 0 全功系程/电的行用适准标了统关车汽为式年于 安车道全功系/电汽统关相都控以系机发制盘动、气全，制电 0多就车豪些加断）/系/电着， -