產(chǎn)品介紹

　　汽車功能安全標(biāo)準(zhǔn)于2011年作為ISO標(biāo)準(zhǔn)正式頒布，此后，汽車業(yè)界開始采納應(yīng)用該標(biāo)準(zhǔn)。

　　雖然標(biāo)準(zhǔn)的采納是自愿的，但在這樣的背景和趨勢之下，無論是汽車廠商還是零部件供應(yīng)商，為了滿足ISO 26262的要求，要盡快調(diào)整體制，完善規(guī)章制度，構(gòu)筑基于規(guī)格的生產(chǎn)流程，并由負(fù)責(zé)ISO 26262認(rèn)證的第三方機(jī)構(gòu)進(jìn)行認(rèn)證。

　　一、功能安全

　　什么是功能安全？所謂的“功能安全”，就是通過安全功能和安全措施來避免不可容許的功能風(fēng)險的技術(shù)總稱。功能安全（Function Safety）的“功能”指的是監(jiān)控受控對象和控制器的安全裝置起的作用。通常我們將計算機(jī)作為安全裝置，如果控制器發(fā)生故障，則該計算機(jī)將會關(guān)閉受控對象，并向用戶發(fā)出危險警告。安全裝置所實(shí)現(xiàn)的這種安全性作用，被稱為“功能安全”。功能安全可以說是通過使用計算機(jī)等的安全裝置所設(shè)計出的安全措施。

　　但是，在這里不得不提醒大家，安全本身并不是通過增加某種電子安全設(shè)備來保證的，而是通過“去除”導(dǎo)致危險發(fā)生的設(shè)計或機(jī)械故障的安全機(jī)制來保證。這種安全機(jī)制被稱為“本質(zhì)安全”。

　　舉個栗子，這是一個非常經(jīng)典的例子：

　　比如在鐵路道口，我們常常有這樣的危險顧慮，就是有人或者車輛進(jìn)入到了鐵道入口，和火車相撞，導(dǎo)致死亡。“本質(zhì)安全”就是從根本上避免危險的措施，把危險源直接“除掉”，方法是可以把這個鐵道道口改為立交橋。但是在某些情況或某些制約下，不能把鐵道道口“除掉”，自然就會想到附加一個安全設(shè)施，這就是功能安全。因為某些制約，不得不設(shè)置鐵路道口，但大家還要想避免這樣的交通事故，那怎么辦呢？這是功能安全。

　　歐美已經(jīng)頒布了成套的功能安全相關(guān)產(chǎn)品指令和設(shè)計標(biāo)準(zhǔn)，并深入到各個領(lǐng)域，在核電行業(yè)、石油、化工、電廠等過程工業(yè)，工業(yè)機(jī)器、電梯扶梯、智能電網(wǎng)、家電軟件評估、汽車行業(yè)、醫(yī)療軟件評估領(lǐng)域廣泛應(yīng)用。

　　這里，我們只談汽車功能安全。

　　二、功能安全制定的歷程

　　功能安全標(biāo)準(zhǔn)化的運(yùn)動起源于20世紀(jì)90年代。

　　上世紀(jì)70年代開始，隨著各種現(xiàn)代化及其的使用，以及工業(yè)生產(chǎn)過程的自動化程度越來越高，以電氣、電子、可編程電子產(chǎn)品的大量應(yīng)用為標(biāo)志的現(xiàn)代化控制系統(tǒng)越來越多的滲透到各個領(lǐng)域，參與著各種控制過程。

　　但是，工業(yè)文明在給人類帶來利益的同時，也帶來了災(zāi)難。由于系統(tǒng)設(shè)計不合理、設(shè)備元器件故障或失效、軟件系統(tǒng)的故障導(dǎo)致的事故、人身傷害、環(huán)境污染，越來越頻繁的危及著我們的生命安全和賴以生存的環(huán)境。

　　人們開始認(rèn)識到，必須采取措施，用標(biāo)準(zhǔn)和法規(guī)來規(guī)范領(lǐng)域內(nèi)安全相關(guān)系統(tǒng)的使用，使技術(shù)在安全的框架內(nèi)發(fā)展，使人類既能盡可能享受新技術(shù)帶來的安全和舒適，同時又能掌控危險。功能安全標(biāo)準(zhǔn)研究從此展開。

　　然而，安全控制系統(tǒng)或設(shè)備執(zhí)行安全功能時的可靠性問題，限制了用戶使用新技術(shù)的積極性。由于沒有公認(rèn)的評價體系，制造商很難說服用戶使用新技術(shù)，尤其在關(guān)系人身財產(chǎn)安全的重要領(lǐng)域使用新技術(shù)。另外，不同行業(yè)對安全要求的不同，也限制了安全設(shè)備的產(chǎn)業(yè)化生產(chǎn)規(guī)模。制造商迫切需要一個公認(rèn)的標(biāo)準(zhǔn)來建立一個與用戶對接的公共平臺。

　　于是，2000年5月，國際電工委員會正式發(fā)布了IEC61508標(biāo)準(zhǔn)，名為《電氣/電子/可編程電子安全相關(guān)系統(tǒng)的功能安全》。

　　IEC61508中，系統(tǒng)中的安全設(shè)備（減少風(fēng)險的手段）由中繼控制器或PLC（Programmable logic控制器）等設(shè)備構(gòu)成，我們把安全設(shè)備將實(shí)現(xiàn)其安全功能的可靠性的概率稱為安全完整性水平，即SIL（Safety Integrity Level）。換句話說，基于這個等級標(biāo)準(zhǔn)，即，如果與構(gòu)成安全系統(tǒng)的部件的故障率低，則由此構(gòu)成的整個安全系統(tǒng)的故障率也是低的。

　　但是，有一種觀點(diǎn)認(rèn)為，在SIL定義中加入概率因素并不合適的。為什么不合適呢？那是因為功能安全標(biāo)準(zhǔn)不僅涉及了硬件部分，還涉及了軟件部分。僅論硬件故障發(fā)生的概率，除了初始故障和損耗故障以外，偶發(fā)故障基本是隨機(jī)發(fā)生的，如果把設(shè)計錯誤分開，那么加入概率因素是非常合適的。與此相對的軟件故障可不是隨機(jī)的了，所以軟件故障(bug)是很難去計算其發(fā)生的概率的。例如，如果軟件的設(shè)計中混入了bug，只要其發(fā)生路徑和條件具備，那么故障的發(fā)生概率就是百分百！

　　針對這個問題，對IEC 61508重新修訂制定了ISO 26262標(biāo)準(zhǔn)。2011年11月，ISO 26262正式頒布。

　　ISO 26262 不同于 IEC 61508，它“不是一個可靠性標(biāo)準(zhǔn)”，它并沒有為可接受失效概率設(shè)定準(zhǔn)確的數(shù)字。ISO 26262基于概率論的定量危害分析僅限適用于硬件，其次，基于目標(biāo)產(chǎn)品的使用條件和使用方法，針對整個系統(tǒng)進(jìn)行危害分析和風(fēng)險評估，識別出系統(tǒng)危害并對危害的風(fēng)險等級——ASIL等級（Automotive Safety Integration Level，汽車安全完整性等級）進(jìn)行評估。IEC 61508定義了安全完整性等級 (SIL)，而 ISO 26262 則定義了汽車安全完整性等級 (ASIL)。

　　ASIL有四個等級，分別為A，B，C，D，其中A是最低的等級，D是最高的等級。然后，針對每種危害確定至少一個安全目標(biāo)，安全目標(biāo)是系統(tǒng)的最高級別的安全需求，由安全目標(biāo)導(dǎo)出系統(tǒng)級別的安全需求，再將安全需求分配到硬件和軟件。ASIL等級決定了對系統(tǒng)安全性的要求，ASIL等級越高，對系統(tǒng)的安全性要求越高，為實(shí)現(xiàn)安全付出的代價越高，意味著硬件的診斷覆蓋率越高，開發(fā)流程越嚴(yán)格，相應(yīng)的開發(fā)成本增加、開發(fā)周期延長，技術(shù)要求嚴(yán)格。