基于ISO26262开发汽车电子电气产品的一般性实践

摘要：本文基于ISO26262的功能安全标准，以安全气囊为例子，介绍了一种通用的从系统层级到硬件和软件层级进行功能安全开发方法。在系统层级进行了危害及风险分析，得到安全目标和系统安全机制。基于系统层级的结果进一步指导硬件层级开发和软件层级的开发。最后，介绍V&V的验证方法从软件层级和硬件层架到系统层级进行全方位的验证以保证电子电器子系统开发符合ISO26262标准。

关键词：ISO26262;功能安全;汽车电子电气;

随着国家制定2030年实现碳达峰，2060年实现碳中和目标。在此背景下进一步推动了新能源汽车普及的速率。其中新能源汽车主要有两大技术趋势：

(1)乘用车趋向于选用纯电动汽车技术。

(2)商用车趋向于选用氢燃料电池技术。

新能源汽车新涌入互联网公司等IT玩家，汽车的功能为解决人们的出行需求已不再能满足人们的需求，而自动驾驶，智能座舱，人工智能等新技术逐渐受到人们的青睐。由此带来汽车的电子电气子系统从以前的几百突然急剧增加到几千。而如何确保让如此多的电子电器子系统从功能上实现安全，功能安全标准(ISO26262)就成为电子电气子系统开发过程中强有力的保障。

1 功能安全需求定义

根据ISO26262-3:2018得知，电子电气子系统的开发首先需要站在整车的角度对子系统进行危害及风险分析(Hazard and Risk Analysis,H&R)，通过H&R分析，我们就可以得到ASIL(Automotive Safety Integration Level,ASIL)等级，ASIL等级由严重度(Severity,S)，发生概率(Exposure,E)，可控度(Controllability,C)三个参数共同决定。即ASIL=f(S,E,C)。以安全气囊为例阐述依据ISO26262-3得到的H&R结果。如表1、表2、表3所示。

基于表2的结果，我们就可以得出安全目标。对于同一个ASIL等级可以有多个安全目标，至少是一个安全目标。

2 系统概念设计

以安全气囊为例，如图1所示，安全气囊子系统主要由控制单元，气囊，传感器三部分组成。控制单元不断地检测传感器信号并处理和计算，一旦符合气囊弹开条件，则控制单元发出指令使气囊弹开。

1 FIT=10-9/h.

安全分析：

通过通读ISO26262标准中的内容，不难发现ISO26262广泛地接受各种分析工具以使得设计人员可以设计出功能安全地产品。主要的工具有：

(1)框图。

(2)相关失效分析(DFA)。

(3)失效模式影响和诊断分析(FMEDA)。

ISO26262传达出的一个比较重要的理念就是尽量设计简洁的系统。因此框图就起到了一个很好的作用：

(1)虚拟的框图明确定义每个子模块的功能，通过框图让设计人员思考整个系统的完整性比设计本身更重要。

(2)基于框图可以做概念性的安全分析，尤其对于信号流的分析。

图1是一个用用框图方法的简单例子。一个简单的原则就是框图的层级不超过4层。

对于DFA和FMEDA本文就不在赘述。

3 硬件设计

根据ISO26262，以控制单元设计为例，控制单元的设计框图如图2。

单点/多点失效分析：

根据ISO26262的要求，硬件电路设计需满足表4的要求。

对于单点/多点失效分析，不是所有电路都需要进行计算。主要针对对功能安全有影响的电路进行分析。

λRF：固有失效率。

4 软件设计

对于ASIL D的系统，软件开发所使用的所有软件工具都必须符合ASIL D的标准。

通常来说软件开发遵循以下步骤：

4.1 架构设计

一般来说架构设计须遵从以下原则：

(1)软件架构可验证，可维护。

(2)安全相关的功能可以落实到对应的子单元。

(3)对于系统资源占用的评估(包括：CPU运行时间，内存占用，CPU占用率，总线容量)。

4.2 单元设计

一般来说单元设计须遵从以下原则：

(1)简洁性，避免不必要的复杂。

(2)可测试。

(3)可维护。

4.3 验证

验证主要有静态分析和动态测试。静态分析主要是代码级别，目前有很多写代码的软件自带这类功能。动态测试是一个非常重要的手段检验代码质量以及可靠性。

5 测试及验证

ISO26262推荐使用V&V方法从系统层级到硬件和软件层级进行验证。如图3所示。

V&V方法很好的在每一个层级实现了闭环，设计通过测试来验证，验证通过结果指导设计。从左边设计从上至下开展;而右边验证从下至上开展。验证需要从系统中最小单元开始。根据V&V流程，可以很好地保证系统地可靠性和稳定性。

6 结语

本文基于ISO26262标准阐述了一套标准的一般性功能安全开发的流程和方法。该方法对于汽车电子电气系统的开发具有普遍性和实用性，对于实际的工作具有重要的指导意义。为汽车推动智能化自动化在开发更加安全的系统提供一份指南。

参考文献

[1]万茹.新能源汽车动力电机控制器硬件功能安全的需求开发[J].科技经济导刊,2020,28(26):72+101.

[2]赵启霖.ISO26262安全标准下汽车起停系统功能安全设计[J].电子测试,2020(15):116-117+128.

[3]刘佳熙,郭辉,李君.汽车电子电气系统的功能安全标准ISO26262[J].上海汽车,2011(10):57-61.