ISO 26262 a Pain in the ASIL

Существует постоянно расширяющийся спектр автомобильных электрических и/или электронных (E/E/PE) систем, таких как адаптивные системы помощи водителю, антиблокировочные системы торможения, рулевое управление и подушки безопасности. Их растущие уровни интеграции и подключенности обеспечивают почти столько же проблем, сколько и их распространение, причем некритические системы, такие как развлекательные системы, используют одну и ту же инфраструктуру связи, как системы управления, торможения и управления. Конечным результатом является необходимость в требовании процессов разработки функциональной безопасности, от спецификации требований, проектирования, внедрения, интеграции, проверки и до конфигурации.

ISO 26262 «Дорожные транспортные средства — функциональная безопасность» был опубликован как реакция на возросшую сложность систем автомобилей и связанных с этим рисков для общественной безопасности. Подобно железнодорожным, медицинским и обрабатывающим секторам перед этим, автомобильный сектор основывал свой функциональный стандарт в значительной степени на отраслевом стандарте функциональной безопасности IEC 615082, который, в свою очередь, в значительной степени основывался на руководящих принципах аэрокосмических стандартов, таких как DO-178B/C. Конечным результатом является то, что инструменты доступные для реализации ISO 26262, были проверены ранее, чем сам стандарт.

ISO 26262: 2011 состоит из 10 частей, три из которых ориентированы на разработку продукта: уровень системы (часть 4), аппаратный уровень (часть 5) и уровень программного обеспечения (часть 6). Он содержит подробные отраслевые рекомендации для производства всего программного обеспечения для автомобильных систем и оборудования, независимо от того, является ли это критичным для безопасности или нет.

ISO 26262: 2011 определяет ряд уровней классификации опасностей, известных как ASIL (уровни полноты безопасности автомобиля, УПБА). ASIL варьируются от A до D, так что накладные расходы, связанные с созданием критически важной системы ASIL D (например, автоматическое торможение), больше, чем требуется для создания системы ASIL A с небольшими последствиями для безопасности (например, в развлекательной системе в автомобиле). ASIL назначается как свойства каждой отдельной функции безопасности, а не как свойство всей системы или системного компонента, и на каждую назначенную ASIL влияет частота ситуации («воздействие»), потенциальное воздействие на нее («серьезность»), и насколько легко ей можно будет управлять («управляемость»).

Безопасность в явном виде не идентифицируется как соображение в стандарте ISO 26262, возможно, отражая тот факт, что встроенные в автомобильные приложения традиционно изолированы. Статические, фиксированные функции, специфические для устройства реализации, а также методы и процессы используют этот статус. Подключение к внешнему миру резко меняет ситуацию, поскольку делает возможным удаленный доступ, не требуя никакой физической модификации систем автомобиля, наиболее известный в работе Миллера и Валасека «Удаленная эксплуатация неизмененного пассажирского автомобиля».

Однако, как и для любого другого риска, так как уязвимости безопасности, угрожают надежности, ISO 26262 требует целей безопасности и требований для решения этих проблем. Короче говоря, действия, которые необходимо предпринять для решения каждой проблемы безопасности, связанной с надежностью, должны быть пропорциональны риску (и, следовательно, ASIL).

Для детального ознакомления с информацией скачайте материал по ссылке ниже.