ASIL 汽車安全性等級

1、ISO 26262 ASIL安全等級，你知道如何來劃分和分解嗎？2019-04-22 17:34據(jù)九腦匯了解，隨著汽車上電子/電氣系統(tǒng)（E/E）數(shù)量不斷的增加，一些高端豪華轎車上面就有多達(dá)70多個ECU（Electronic Control Unit電子控制單元），其中安全氣囊系統(tǒng)、制動系統(tǒng)、底盤控制系統(tǒng)、發(fā)動機(jī)控制系統(tǒng)以及線控系統(tǒng)等都是安全相關(guān)系統(tǒng)。為了實現(xiàn)汽車上電子/電氣系統(tǒng)的功能安全設(shè)計，道路車輛功能安全標(biāo)準(zhǔn) ISO 26262于2011年正式發(fā)布，為開發(fā)汽車安全相關(guān)系統(tǒng)提供了指南，該標(biāo)準(zhǔn)的基礎(chǔ)是適用于任何行業(yè)的電子/電氣/可編程電子系統(tǒng)的功能安全標(biāo)準(zhǔn)IEC 61508。ASIL安全等級

2、的概念A(yù)SIL等級,Automotive Safety Integration Level，汽車安全完整性等級，指描述系統(tǒng)能夠?qū)崿F(xiàn)指定安全目標(biāo)的概率高低。每個的安全功能要求都包括安全性目標(biāo)和ASIL安全等級這兩部分內(nèi)容。對一個指定系統(tǒng)應(yīng)用安全功能要求，ASIL安全等級劃分包括如下步驟：1.根據(jù)預(yù)想架構(gòu)、功能概念、操作模式和系統(tǒng)狀態(tài)等確定安全事件；2.危險分析和風(fēng)險評估，初步確定ASIL安全等級；3.逐級分解安全要求和安全等級，ASIL安全級別劃分和ASIL安全級別逐層分解兩個過程交替進(jìn)行，直至抵達(dá)無法進(jìn)一步分解 零件或者子系統(tǒng)；4.可用因素共存原則、相關(guān)失效分析和安全分析等原則來檢查等級分配的

3、合理性。與ASIL相關(guān)的幾個概念根據(jù)ASIL等級劃分的基本規(guī)則，我們從安全目標(biāo)出發(fā)，主要是考慮影響等級的三要素，最終確定系統(tǒng)或者零件安全等級的過程。ASIL等級劃分目標(biāo)在于為了降低系統(tǒng)性失效的概率，但并不針對單一零件性能參數(shù)的水平進(jìn)行規(guī)定，對此也不會產(chǎn)生影響。你可知道ASIL是有四個等級，分別為A，B，C，D，其中A是最低的等級，D是最高的等級。而ASIL等級分解只要是將系統(tǒng)的安全目標(biāo)和安全等級逐步落實到下級子系統(tǒng)的過程。危害，指系統(tǒng)功能異常導(dǎo)致危害的潛在來源；危害事件，指在指定場景下發(fā)生的危害；危害分析和風(fēng)險評估，對指定系統(tǒng)的可能危害事件進(jìn)行識別和歸類，并定義防止或減輕危害發(fā)生的安全目標(biāo)和安

4、全等級，來避免避免不合理風(fēng)險。影響ASIL等級的三個基本要素是嚴(yán)重度（Severity）、暴露率（Exposure）和可控性（Controllability）。嚴(yán)重度，描述一旦風(fēng)險成為現(xiàn)實，相關(guān)人員、財產(chǎn)將遭受損害的程度，比如電子鎖故障就比剎車故障的嚴(yán)重程度低；暴露率，描述風(fēng)險出現(xiàn)時，人員或者財產(chǎn)可能受到影響的概率，比如底盤出現(xiàn)異響比乘員座椅故障暴露率低；可控性，描述風(fēng)險出現(xiàn)時，駕駛員等在多大程度上可以采取主動措施避免損害的發(fā)生，輪胎緩慢漏氣比剎車失靈可控性高。為什么要劃分和分解安全等級給汽車上的全部電子電氣系統(tǒng)劃分安全等級，明確每個系統(tǒng)，每個子系統(tǒng)，每個零件的安全目標(biāo)，制定執(zhí)行明確的安全措施

5、。一方面使相關(guān)人員和部門統(tǒng)一認(rèn)識，避免因為目標(biāo)含混不清，職責(zé)不明確造成的風(fēng)險；另一方面，避免在同一個安全要素上重復(fù)投入資源，出現(xiàn)分布不均而出現(xiàn)的資源浪費(fèi)，一個風(fēng)險點有幾個安全保障，而另一個故障點卻沒有人意識到。通過系統(tǒng)性，全生命周期的思考方式，實現(xiàn)全面的規(guī)劃安全功能的目的。ASIL安全等級劃分方法劃分ASIL安全等級，首先我們需要做安全事項的危險分析和風(fēng)險評估。針對所有可能發(fā)生的危害事件進(jìn)行的危險分析和風(fēng)險評估，是確定安全目標(biāo)的第一步，這一步可以在還不知道對象細(xì)節(jié)的時候就進(jìn)行。比如，車輛在路上運(yùn)行，有碰撞的風(fēng)險，這個風(fēng)險的存在性和存在的形式都不必等待車輛設(shè)計好造型的時候才知道。為了明確功能安全

6、要求，ISO26262標(biāo)準(zhǔn)給出一系列建議，下面是比較重要的幾點建議。1.根據(jù)系統(tǒng)基本架構(gòu)提出功能安全的要求；2.下級系統(tǒng)應(yīng)該全面繼承上級系統(tǒng)的安全要求和安全等級；3.同一要素與上級的幾個系統(tǒng)都有從屬關(guān)系，則取安全等級最高的系統(tǒng)級別；4.處理好于飛電子電氣類安全措施的接口，不要存在系統(tǒng)安全空白，也不要在一個點上過度設(shè)計；對于上文所提到的危險分析和風(fēng)險評估方法建議，我們歸納起來大體如下：使用評估清單；采用頭腦風(fēng)暴、分析工具（如FEMA或者FTA等）；根據(jù)不同場景進(jìn)行評估，場景應(yīng)該是公認(rèn)的，影響作用方式是常識中的；清晰界定每個危險事件自身的描述以及危險造成的影響，盡量使用最準(zhǔn)確具體的語言，并全面的估

7、計影響；對于標(biāo)準(zhǔn)適用范圍以外的風(fēng)險應(yīng)當(dāng)一道給以適當(dāng)處理。安全等級ASIL按照嚴(yán)重性、暴露性和可控性這三個維度來進(jìn)行具體評估。嚴(yán)重性用SX表示，X取值可以是0/1/2/3，級別從低到高，級別越高，傷害越嚴(yán)重。S0無傷害；S1輕微或有限傷害；S2嚴(yán)重或危及生命的傷害（可生還）；S3危及生命的傷害（有死亡可能）或致命傷害；暴露性用EX表示， X取值從0至4，共5個等級。E0是幾乎不肯能暴露于危險中，E4是可能性極高?？煽匦杂肅X表示，最低C0可控，最高C3幾乎不可控，共4個級別。ASIL 等級分為A、B、C、D 四個等級，ASIL A 是最低的安全等級，ASIL D 是最高的安全等級。除了這四個等級

8、QM 表示與安全無關(guān)。評估結(jié)果范例表格如下圖所示。ASIL安全等級分解效率最高的安全要素分配方式：ASIL分解傾向于把冗余的安全要求分配給足夠獨(dú)立的系統(tǒng)。從安全目標(biāo)開始，安全要求在開發(fā)過程中會被分解和提煉。ASIL 作為安全目標(biāo)的一個屬性，會被每一個后續(xù)的安全要求所繼承。功能和技術(shù)安全需求向每個架構(gòu)要素的分配，開始于初步的架構(gòu)設(shè)想，結(jié)束于硬件和軟件要素。在設(shè)計過程中的ASIL 裁剪方法被稱作“ASIL 分解”。在分配階段，優(yōu)勢來自架構(gòu)決定，包括存在足夠獨(dú)立的架構(gòu)要素。這些好處在于：-應(yīng)用冗余的安全要求通過獨(dú)立的架構(gòu)要素；-分配一個可能更低的ASIL 給這些分解后的安全要求；如果這些架構(gòu)要素不是

9、足夠獨(dú)立的，那么冗余的要求和架構(gòu)要素繼承初始化的ASIL?！崩斫庖话踩燃壍膭澐謱ο笫请娮与姎庀到y(tǒng)或產(chǎn)品，不包括管理流程等事項；理解二標(biāo)準(zhǔn)不對標(biāo)稱參數(shù)做安全性評估，只對功能安全系統(tǒng)定義的安全要求進(jìn)行拆解和評估；理解三安全等級的劃分順序，是自上而下的過程，上層系統(tǒng)分解出來的支持本層級安全目標(biāo)的措施，分解到下面一層，成為下一個層級的安全目標(biāo)，下層系統(tǒng)沒有特殊情況，需要繼承上層的安全目標(biāo)和安全等級；理解四安全等級和安全要素的支持關(guān)系，存在著時間上的連續(xù)性，產(chǎn)品生命周期的每個階段都必須始終支持本層級系統(tǒng)的安全目標(biāo)；理解五如果組成系統(tǒng)的子系統(tǒng)之間沒有耦合關(guān)系，即他們不是互相影響的，而是只受下面一個層次的

10、系統(tǒng)或者因素影響，那么這些獨(dú)立系統(tǒng)可以分配略低的ASIL等級。從另一個角度說，如果分配正常的安全等級，則獨(dú)立系統(tǒng)可以使得父系統(tǒng)獲得更大的安全冗余。ASIL安全等級分解原則要素共存準(zhǔn)則，一個系統(tǒng)內(nèi)包含多個子要素，且某些子要素對其安全性產(chǎn)生影響，另外一些則不產(chǎn)生影響；或者一些子要素的安全等級高而另外的一些安全等級低。此時總的原則是，將子要素的安全等級提升到系統(tǒng)安全級別，除非能夠證明，低等級的子要素對系統(tǒng)不產(chǎn)生不良影響，同時對其余子要素也不產(chǎn)生不良影響。相關(guān)失效分析，系統(tǒng)內(nèi)并行的幾個功能，可能因為受到同一個底層因素的影響，或者同一個外部因素的影響同時失效；系統(tǒng)中，串聯(lián)關(guān)系（一個系統(tǒng)的輸出是另一個系統(tǒng)的輸入）的幾個系統(tǒng)，可能在一個底層輸入的錯誤瞬間造成一系列的失效。必須識別出這種可能存在的失效模式和相關(guān)系統(tǒng)，避