汽車(chē)電子功能安全工程師必看！ISO 26262認證基本原理解析

　　汽車(chē)半導體設備和電子系統的開(kāi)發(fā)人員要小心：可能有些供應商聲稱(chēng)他們的產(chǎn)品符合ISO 26262安全標準要求，如果這些說(shuō)法未能闡明用于制造汽車(chē)產(chǎn)品的人員和流程驗證，則這些說(shuō)法可能是不可靠的。如果系統設計人員未能仔細評估供應商的資質(zhì)，他們就很難在汽車(chē)供應鏈中讓客戶(hù)接受其產(chǎn)品。

　　汽車(chē)供應鏈的參與者負責對每個(gè)供應商的產(chǎn)品進(jìn)行自己的功能安全評估，同時(shí)考慮供應商記錄的使用假設(AoU)，描述供應商的產(chǎn)品如何用于汽車(chē)系統。供應商根據特定配置和用例來(lái)定制自己的分析，這些配置和用例有望與其集成商客戶(hù)的配置相匹配。針對汽車(chē)系統中使用的元件的第三方ISO 26262認證可以幫助系統集成商執行此分析，但它不會(huì )取代集成商在其自己的使用環(huán)境中分析其供應商產(chǎn)品的義務(wù)。

　　本文探討了ISO 26262認證的基本原理，該認證涉及設計功能安全的汽車(chē)電子系統所涉及的人員，流程和產(chǎn)品。最終目標是讓開(kāi)發(fā)團隊，管理人員和投資者更加了解遵守汽車(chē)安全標準細節所涉及的責任。反過(guò)來(lái)，這將提供有關(guān)合規性的工作和成本的更多信息，還將使供應鏈成員之間的溝通更加有效。

　　不斷變化的汽車(chē)行業(yè)：新電子設備和新進(jìn)入者

　　所有乘用車(chē)電子系統在集成到汽車(chē)制造商的產(chǎn)品之前必須滿(mǎn)足嚴格的安全要求。該行業(yè)的供應商已經(jīng)建立了一個(gè)復雜的供應鏈，以提供這些系統，以及產(chǎn)品滿(mǎn)足這些安全要求的能力的證明。這種信息共享系統需要IP供應商、半導體SoC開(kāi)發(fā)人員、零組件供應商、軟件提供商、電子系統設計師和許多其他相關(guān)人員之間的詳細交流，以確保所有關(guān)鍵組件符合ISO 26262指南、程序、培訓水平、審核和評估。

　　圖1：以半導體為中心的供應鏈，用于奧迪zFAS中央駕駛輔助控制器的關(guān)鍵部件(來(lái)源：奧迪; IHS Markit; Arteris IP)

　　然而，隨著(zhù)越來(lái)越多的機械部件轉變?yōu)殡娮酉到y，汽車(chē)工業(yè)正在迅速發(fā)生變化。其結果是，過(guò)去由人類(lèi)駕駛員執行的功能正在由先進(jìn)的駕駛員輔助系統(ADAS)補充和替代，其正在演變?yōu)?a class="contentlabel" href="http://dyxdggzs.com/news/listbylabel/label/自動(dòng)駕駛">自動(dòng)駕駛系統。這兩個(gè)趨勢正在推動(dòng)汽車(chē)行業(yè)的經(jīng)濟增長(cháng)和技術(shù)創(chuàng )新浪潮。市場(chǎng)快速增長(cháng)的希望正在刺激新進(jìn)入者，參與到汽車(chē)電子系統的浪潮之中。

　　最近進(jìn)入者可能缺乏根據ISO 26262功能安全標準開(kāi)發(fā)和交付產(chǎn)品的經(jīng)驗。雖然這些供應商可能聲稱(chēng)其產(chǎn)品已準備好符合汽車(chē)安全標準，但供應鏈中的公司仍需要對產(chǎn)品開(kāi)發(fā)過(guò)程中涉及的人員和程序進(jìn)行廣泛、仔細的審查和評估，然后才能將其集成到更大的系統中。

　　汽車(chē)電子供應鏈參與者主動(dòng)解決此問(wèn)題的一種方法是從認可的評估機構獲得ISO 26262認證。然而，大多數針對汽車(chē)用途的電子產(chǎn)品并非完整的獨立系統，可以通過(guò)ISO 26262標準認證，并完全了解產(chǎn)品如何在車(chē)輛中集成和使用。因此，對于認真服務(wù)于該市場(chǎng)的任何開(kāi)發(fā)團隊而言，重要的是探索其供應商關(guān)于功能安全的聲明，無(wú)論是否聲明了認證。雖然第三方產(chǎn)品認證可以成為重要參考，但對任何組件的評估必須更深入，并且必須通過(guò)公司使用和集成產(chǎn)品來(lái)完成考察與認證。如果未能對供應商的人員，流程和產(chǎn)品進(jìn)行評估，則可能導致客戶(hù)拒絕。

　　為什么選擇ISO 26262?

　　國際標準組織(ISO)聲明如下：

　　ISO 26262旨在應用于安全相關(guān)系統，其包括一個(gè)或多個(gè)電氣或電子(E / E)系統并且安裝在批量生產(chǎn)的乘用車(chē)中。

　　ISO 26262解決了E / E安全相關(guān)系統故障行為可能造成的危害，包括這些系統的相互作用。

　　第一原則：信息共享是關(guān)鍵

　　汽車(chē)系統的電氣化在快速進(jìn)行。這一趨勢推動(dòng)著(zhù)創(chuàng )新，同時(shí)也吸引了更多投資、更多研發(fā)工作，以及汽車(chē)市場(chǎng)的新進(jìn)入者。

　　許多新進(jìn)入者可能不知道的是，遵守汽車(chē)安全標準要求通過(guò)供應鏈的每個(gè)部分共享信息。各級經(jīng)驗豐富的開(kāi)發(fā)團隊都受到這些標準的挑戰，因為需求在不斷變化，整個(gè)行業(yè)中只有少數專(zhuān)家可以指導項目完成這一過(guò)程。此外，半導體和軟件供應鏈的參與者通常對其IP的開(kāi)發(fā)方式及其工作原理保密。

　　圖2：ADAS和自動(dòng)駕駛系統價(jià)值鏈以半導體為中心

　　供應商必須提供的信息包括具有安全目標的系統的每個(gè)元件的分析，教育和文檔。供應鏈的每個(gè)成員都必須提供這些信息。半導體IP供應商向SoC的開(kāi)發(fā)人員提供此信息，芯片設計團隊使用這些信息來(lái)分析他們的定制系統，并將結果傳遞給Tier-1電子系統供應商。然后，這些一級供應商執行自己的分析并將結果發(fā)送給車(chē)輛制造商及其客戶(hù)。

　　汽車(chē)供應鏈中的這些關(guān)系正變得越來(lái)越復雜，因為制造或設計自動(dòng)駕駛應用芯片的傳統半導體供應商現在有時(shí)與Tier-1電子系統設計人員和OEM競爭，他們可能正在自己制造或設計芯片。此外，Uber，Waymo和Apple等新進(jìn)入者正在設計自己的整套系統，盡管他們在汽車(chē)行業(yè)缺乏經(jīng)驗。ISO 26262要求整個(gè)價(jià)值鏈中的高水平協(xié)作和信息共享，新進(jìn)入者可能不熟悉這些。

　　復雜性要求更好的分析

　　整個(gè)汽車(chē)行業(yè)日益復雜，需要加強這些系統的安全性?，F代汽車(chē)使用“線(xiàn)控”系統，例如線(xiàn)控油門(mén)，駕駛員推動(dòng)加速器和傳感器。踏板將電信號發(fā)送到電子控制單元(ECU)，該電子系統取代了過(guò)去使用連接在加速踏板和機械節流控制板上的金屬電纜。ECU比機械方法更智能，因為它可以做更多分析工作，如發(fā)動(dòng)機轉速，車(chē)速和踏板位置，然后將命令傳遞給油門(mén)。

　　我們也可以看到，測試和驗證線(xiàn)控油門(mén)系統比測試舊機械版本更困難。隨著(zhù)我們用電子系統，電動(dòng)傳動(dòng)系統以及為汽車(chē)增加ADAS和自動(dòng)駕駛功能取代機械系統，復雜性呈現爆炸式增長(cháng)。ISO 26262的目標是建立一個(gè)統一的功能安全標準，以滿(mǎn)足所有汽車(chē)電子系統的需求。

　　駕駛員輔助，電力推進(jìn)，車(chē)載動(dòng)態(tài)控制以及主動(dòng)和被動(dòng)安全系統等新功能越來(lái)越多地涉及系統安全工程領(lǐng)域。更大的技術(shù)復雜性、軟件內容和機電一體化實(shí)施帶來(lái)了系統硬件故障的更大風(fēng)險，系統硬件故障是由系統開(kāi)發(fā)期間的人為錯誤產(chǎn)生的。ISO 26262提供了如何通過(guò)規定要求和流程來(lái)最小化風(fēng)險的指導。

　　對于半導體SoC器件和IP的設計人員來(lái)說(shuō)，與完整系統的指南相比，ISO 26262合規性的要求更加抽象。因此，IP開(kāi)發(fā)人員必須對許多假設進(jìn)行額外的分析，以確定集成到功能安全的汽車(chē)系統中的IP準備情況。