Introduktion
I nutidens hurtigt udviklende bilindustri er sikkerhed ikke kun en funktion – det er en nødvendighed. Efterhånden som køretøjer bliver mere autonome og softwaredrevne, er sikring af funktionel sikkerhed blevet altafgørende. Det er her ASIL, eller Automotive Safety Integrity Level, spiller en afgørende rolle.
Defineret af ISO 26262-standarden hjælper ASIL-klassificeringen med at vurdere risikoen forbundet med potentielle farer i bilsystemer og vejleder de sikkerhedsforanstaltninger, der er nødvendige for at afbøde dem. Fra bremsesystemer til avancerede førerassistentsystemer (ADAS) hjælper bilsikkerhedsintegritetsniveauet med at bestemme, hvor meget stringens der kræves i udviklingsprocessen for at beskytte liv.
I denne artikel vil vi opdele, hvad Automotive Safety Integrity Level betyder, hvordan det bruges i ISO 26262, forskellene mellem Automotive Safety Integrity Level A, B, C og D, og hvordan man udfører en risikovurdering gennem Hazard Analysis and Risk Assessment (HARA). Uanset om du er ny med konceptet eller ønsker at uddybe din forståelse af bilsikkerhed, vil denne guide guide dig gennem alt, hvad du behøver at vide.
Hvad er ASIL (Automotive Safety Integrity Level)?
ASIL, eller Automotive Safety Integrity Level, er en risikoklassificeringsordning defineret af ISO 26262-standarden for funktionel sikkerhed i vejkøretøjer. Den kvantificerer de sikkerhedskrav, der er nødvendige for at undgå eller kontrollere farer forårsaget af potentielle systemfejl i bilkomponenter.
Automotive Safety Integritetsniveauer – A, B, C og D – bestemmes baseret på sværhedsgraden, eksponeringen og kontrollerbarheden af en potentiel fare. ASIL D repræsenterer det højeste risikoniveau og kræver derfor de strengeste sikkerhedsforanstaltninger, mens ASIL A afspejler det laveste.
Hvorfor er ASIL vigtigt i bilindustrien
Da moderne køretøjer er stærkt afhængige af elektroniske systemer og softwaresystemer til kritiske operationer – såsom bremsning, styring og undgåelse af kollisioner – kan konsekvenserne af systemfejl være livstruende. Dette gør ASIL-klassificeringen afgørende for at sikre, at alle sikkerhedsfunktioner til biler er udviklet, testet og valideret til et passende sikkerhedsniveau.
Ved at tildele et Automotive Safety Integrity Level til hver systemfunktion kan ingeniører bestemme de passende sikkerhedsprocesser og valideringsmetoder. Dette sikrer overholdelse af bilsikkerhedsstandarder og hjælper med at forhindre ulykker på grund af systemfejl.
Oversigt over ISO 26262 og funktionel sikkerhed
ISO 26262 er den internationale standard for funktionel sikkerhed i bilindustriens elektriske og elektroniske systemer. Det giver en systematisk tilgang til at identificere potentielle farer, vurdere risici og definere sikkerhedskrav ved hjælp af ASIL-klassificering.
Standarden definerer en omfattende kravkonstruktionsproces, der spænder fra koncept og design til implementering, test og vedligeholdelse. Dens primære mål er at reducere risikoen til et acceptabelt niveau gennem forebyggende foranstaltninger, der er tilpasset det fastlagte ASIL-niveau.
Automotive Safety Integrity Level er rygraden i ISO 26262 – det bygger bro mellem potentielle farer og de tekniske foranstaltninger, der er nødvendige for at forhindre eller afbøde dem, og sikrer sikker og pålidelig køretøjsydelse gennem hele produktets livscyklus.
ASILs rolle i ISO 26262-standarden
Inden for ISO 26262-rammen tjener bilsikkerhedsintegritetsniveauet som et grundlæggende element til at definere og administrere funktionelle sikkerhedskrav. ISO 26262 pålægger brugen af ASIL-klassificering til at vurdere risici forbundet med potentielle farer i bilsystemer.
Hver funktion i et køretøj evalueres ud fra tre kriterier:
- Alvor (påvirkning af svigt),
- Eksponering (hyppighed af operationelle scenarier),
- Styrbarhed (førerens evne til at kontrollere køretøjet efter fejl).
Disse kriterier styrer tildelingen af et ASIL-niveau (A til D), som derefter bestemmer de nødvendige udviklingsprocesser, valideringsbestræbelser og sikkerhedsmekanismer, der kræves for at mindske denne risiko. Uden Automotive Safety Integrity Level ville ISO 26262-standarden mangle en struktureret måde at prioritere sikkerhedskritiske komponenter på.
Hvordan ASIL understøtter funktionel sikkerhed i bilsystemer
Automotive Safety Integrity Level sikrer funktionel sikkerhed ved at bringe sikkerhedsmålene på linje med risikoniveauet ved systemfejl. For eksempel kan en fejl i et autonomt nødbremsesystem føre til alvorlige konsekvenser og vil derfor typisk blive klassificeret som niveau D - hvilket kræver det højeste sikkerhedsniveau.
Ved at tildele ASIL-niveauer:
- Udviklere vejledes i at anvende passende sikkerhedspraksis,
- Ingeniører kan implementere redundans, fejldetektion og diagnostik baseret på risiko,
- Teams sikrer overholdelse af bilsikkerhedsstandarder på tværs af produktets livscyklus.
Kort sagt giver bilsikkerhedsintegritetsniveauet i bilsystemer en struktureret og kvantificerbar måde at implementere ISO 26262 funktionelle sikkerhedskrav, hvilket reducerer risikoen for fejl og forbedrer den overordnede sikkerhed for moderne køretøjer.
ASIL-klassificering og niveauer (A, B, C, D)
ASIL-klassificering er en kernedel af ISO 26262-standarden og bruges til at definere de nødvendige sikkerhedskrav for hvert bilsystem eller -komponent baseret på dets risikoniveau. Klassifikationen inkluderer fire stigende niveauer - A, B, C og D - hvor ASIL D repræsenterer den højeste grad af risiko og kræver de mest strenge sikkerhedskontroller.
Klassifikationen er baseret på tre nøglefaktorer:
- Severity – Den potentielle skade forårsaget af en funktionsfejl,
- Eksponering – Hvor ofte operationstilstanden opstår,
- kontrollerbarhed – Førerens eller systemets evne til at forhindre skade.
Hver kombination af disse faktorer bestemmer det passende ASIL-niveau gennem en proces kendt som Hazard Analysis and Risk Assessment (HARA).
Detaljeret opdeling af bilsikkerhedsintegritetsniveauer: A, B, C og D
Niveau A
- Risikoniveau: Laveste
- Severity: Lette eller mindre skader
- Eksponering: Lejlighedsvis
- kontrollerbarhed: Nem styring af føreren
- Applikationer: Ikke-kritiske systemer (f.eks. infotainmentadvarsler)
Niveau B
- Risikoniveau: Moderat
- Severity: Potentielle moderate skader
- Eksponering: Mulig for hyppig
- kontrollerbarhed: Generelt kontrollerbar
- Applikationer: Servostyringsassistent, bakkamerasystemer
Niveau C
- Risikoniveau: høj
- Severity: Mulige alvorlige skader
- Eksponering: Sandsynlig eller hyppig
- kontrollerbarhed: Svært at kontrollere
- Applikationer: Vognbanesystemer, adaptiv fartpilot
Niveau D
- Risikoniveau: Højest
- Severity: Livstruende eller dødelige kvæstelser
- Eksponering: Meget hyppig eller kontinuerlig
- kontrollerbarhed: Svært eller umuligt at kontrollere
- Applikationer: Bremsesystemer, airbagudløsning, autonome kørselsfunktioner
ASIL A vs ASIL D Sammenligning: Risikosværhedsgrad, eksponering og kontrollerbarhed
ASIL D-systemer gennemgår de mest stringente udviklingsprocesser, herunder dybdegående test, redundansdesign og omfattende sikkerhedsvalidering for at overholde ISO 26262 retningslinjer for funktionel sikkerhed. I modsætning hertil kræver ASIL A-systemer mindre indsats, men skal stadig opfylde grundlæggende sikkerhedsgarantier.
ASIL risikovurdering og bestemmelse
Hvad er ASIL-risikovurdering?
ASIL risikovurdering er en struktureret proces defineret af ISO 26262 funktionel sikkerhedsstandard for at bestemme det passende Automotive Safety Integrity Level for en given køretøjsfunktion. Den evaluerer de risici, som potentielle systemfejl udgør, og guider udviklingen af sikkerhedsmål baseret på den vurderede risiko.
Denne vurdering sikrer, at systemdesignet stemmer overens med den påkrævede sikkerhedsstreng ved at klassificere hver funktion under ASIL A, B, C eller D ved hjælp af en formel analyse kaldet HARA—Hazard Analysis and Risk Assessment.
Sådan bestemmes ASIL-niveau: Trin-for-trin
Bestemmelse af den korrekte ASIL-klassificering involverer følgende strukturerede trin:
- Identificer funktioner og potentielle farer
- Definer systemet eller komponenten under analyse.
- Identificer alle potentielle fejlfunktioner eller farlige scenarier.
- Definer den operationelle situation
- Vurder under hvilke kørselsforhold (hastighed, vejtype, vejr) funktionen fungerer.
- Vurder sværhedsgrad (S)
- Estimer de potentielle konsekvenser af en fejl.
- Spænder fra S1 (let skade) til S3 (livstruende eller dødelig skade).
- Vurder eksponering (E)
- Bestem, hvor ofte den operationelle tilstand opstår.
- Spænder fra E1 (meget lav) til E4 (høj sandsynlighed).
- Vurder kontrollerbarhed (C)
- Vurder førerens eller systemets evne til at undgå faren.
- Spænder fra C1 (let kontrollerbar) til C3 (ukontrollerbar).
- Tildel ASIL-niveau
- Baseret på kombinationen af sværhedsgrad, eksponering og kontrollerbarhed, tildel et ASIL-niveau (A–D) eller QM (kvalitetsstyring), hvis risikoen er lav.
- Definer sikkerhedsmål og -krav
- Oversæt integritetsniveauresultaterne til specifikke sikkerhedsmål og tekniske sikkerhedskrav til systemudvikling.
Hvad er HARA (Hazard Analysis and Risk Assessment)?
HARA, en forkortelse for Hazard Analysis and Risk Assessment, er hjørnestensmetoden, der anvendes i ISO 26262 til at evaluere og klassificere risici forbundet med bilsystemer.
Gennem HARA analyseres hver identificeret fare for:
- Sværhedsgrad (S) – Fejlens indvirkning på menneskers sikkerhed
- Eksponering (E) – Sandsynlighed for, at kørselssituationen opstår
- Styrbarhed (C) – Førerens/systemets evne til at undgå skade
HARA-matricen kortlægger disse input for at bestemme det passende ASIL-niveau, som derefter informerer alle downstream-sikkerhedsaktiviteter.
ASIL-faktorer forklaret: sværhedsgrad, eksponering, kontrollerbarhed
Disse tre variabler danner grundlaget for fastlæggelse af bilsikkerhedsintegritetsniveau, hvilket gør det muligt for teams at anvende det rigtige niveau af funktionel sikkerhedsgaranti gennem hele produktudviklingens livscyklus.
Funktionel sikkerhed og ASIL-overholdelse
Funktionelle sikkerhedskrav baseret på ASIL-niveauer
Funktionel sikkerhed, som defineret af ISO 26262-standarden, sikrer, at bilsystemer fungerer sikkert, selv ved tilstedeværelse af fejl. Hvert ASIL-niveau (A til D) introducerer en anden grad af sikkerhedsintegritetskrav, hvor ASIL D kræver de mest stringente processer og kontroller.
Jo højere bilsikkerhedsintegritetsniveauet er, jo mere stringente skal udviklingsaktiviteterne være, herunder:
- Systematisk fejlforebyggelse
- Robuste designteknikker
- Verifikations- og valideringsprocedurer
- Fejltolerance og diagnostisk dækning
Dette sikrer, at funktionel sikkerhed opnås proportionalt med den potentielle risiko forbundet med hver funktion.
Sikkerhedsmål og sikkerhedskrav
Sikkerhedsmål er de funktionelle sikkerhedsmål på øverste niveau afledt af ASIL-risikovurderingen (HARA). Disse mål er mål på systemniveau, der har til formål at forhindre eller afbøde farlige hændelser.
Hvert sikkerhedsmål er derefter opdelt i funktionelle sikkerhedskrav (FSR'er) og tekniske sikkerhedskrav (TSR'er), som er allokeret på tværs af systemkomponenter og arkitektur.
For eksempel:
- Sikkerhedsmål: Undgå utilsigtet acceleration
- Funktionelt sikkerhedskrav: Overvåg gashåndtagets input for plausibilitet
- Tekniske sikkerhedskrav: Sensorredundans og signalsammenligning
Hvert krav bærer det ASIL-niveau, der er tildelt det oprindelige sikkerhedsmål, og håndhæver passende udviklingsstrenge i hele systemhierarkiet.
ASIL-overholdelse for bilsystemer og -komponenter
ASIL-overholdelse betyder at tilpasse hele produktudviklingsprocessen med den praksis, aktiviteter og dokumentation, der er beskrevet i ISO 26262 for den specifikke ASIL-klassificering.
Nøgleaspekter af overholdelse omfatter:
- Fareanalyse og risikovurdering (HARA)
- ASIL nedbrydning og allokering
- Udvikling af sikkerhedsmekanismer (f.eks. fejlsikringer, vagthunde)
- Verifikations- og valideringsaktiviteter (test, simuleringer)
- Oprettelse af en sikkerhedssag og understøttende dokumentation
Alle komponenter - hardware, software og mekaniske - skal demonstrere overensstemmelse med deres tildelte Automotive Safety Integrity Level for at blive betragtet som sikre til brug i produktionskøretøjer.
Indvirkning på elektroniske kontrolenheder (ECU'er) og systemdesign
Elektroniske kontrolenheder (ECU'er) spiller en central rolle i udførelsen af sikkerhedskritiske funktioner, hvilket gør dem direkte påvirket af klassificeringen af Automotive Safety Integrity Level.
ASIL påvirker ECU-designet på følgende måder:
- Redundans: Højere ASIL-niveauer kræver redundante processorer, hukommelse eller kommunikationsstier
- Diagnostics: Inkludering af fejldetekterende og fejltolerante mekanismer
- Partitionering: Isolering af sikkerhedskritisk software fra ikke-kritiske opgaver
- Udviklingsproces: Forbedret kvalitetssikring, sporbarhed og livscyklusdokumentation
- Component Selection: Præference for ASIL-certificerede eller ASIL-kompatible mikrocontrollere
Et veldesignet system overvejer ASIL fra arkitekturfasen for at optimere for overholdelse, omkostninger og pålidelighed.
Visurekrav ALM-platform til ASIL-overholdelse
At sikre ASIL-overholdelse inden for komplekse bilsystemer kræver kraftfulde værktøjer, der understøtter end-to-end funktionel sikkerhed og ISO 26262-tilpasning. Visure Requirements ALM-platformen er specielt bygget til at imødekomme udfordringerne ved ASIL-drevet udvikling og tilbyder en omfattende løsning til styring af sikkerhedskrav, risikovurderinger, sporbarhed og validering på tværs af hele livscyklussen.
Visures nøglefunktioner til ASIL-overholdelse
- ASIL-klar kravstyring – Visure giver centraliseret kontrol over alle sikkerhedsrelaterede krav og sikrer, at de er klart defineret, klassificeret og tilpasset de tilsvarende ASIL-niveauer. Teams kan administrere både funktionelle sikkerhedskrav og tekniske sikkerhedskrav inden for en samlet platform.
- Integreret HARA- og risikovurderingssupport – Visure understøtter HARA-processen (Hazard Analysis and Risk Assessment) ved at muliggøre risikomatricer, score for sværhedsgrad-eksponering-kontrollerbarhed og direkte kobling af farer til sikkerhedsmål og ASIL-klassifikationer – hvilket letter nøjagtige og auditerbare ASIL-risikovurderinger.
- Fuldstændig ende-til-ende sporbarhed – Fra sikkerhedsmål til systemkrav, testsager og verifikationsresultater muliggør Visure tovejs sporbarhed - et kernekrav for funktionel sikkerhedsoverholdelse af ISO 26262. Sporbarhedsvisninger sikrer fuld dækning og konsekvensanalyse på tværs af alle bilsikkerhedsintegritetsniveauer.
- ASIL-kompatible arbejdsgange og skabeloner – Visure leveres med prækonfigurerede ISO 26262-skabeloner, formularer og arbejdsgange, der er skræddersyet til ASIL-overholdelse. Disse kan tilpasses til din organisations sikkerhedslivscyklus og genbruges på tværs af projekter, hvilket øger konsistensen og reducerer revisionens forberedelsestid.
- Automatiseret ASIL dokumentation og rapportering – Generer ASIL-specifik dokumentation i realtid, såsom sikkerhedsplaner, sikkerhedskravspecifikationer (SRS), verifikations- og valideringsrapporter og sikkerhedstilfælde. Dette sikrer gennemsigtig rapportering til vurderinger, revisioner og certificeringer.
- AI-drevne krav Kvalitetsassistance – Med integrerede AI-drevne funktioner hjælper Visure med at identificere dårligt skrevne eller tvetydige sikkerhedskrav, forbedre kvaliteten og overensstemmelsen med ASIL skrivestandarder. Dette er afgørende for at minimere sikkerhedsrisici under udvikling.
Hvorfor vælge Visure til ASIL-projekter?
- Understøtter ISO 26262 overholdelse fra idé til produktion
- Optimerer samarbejdet på tværs af ingeniør- og sikkerhedsteams
- Strømliner dokumentation og sikkerhedsrevisioner
- Muliggør hurtigere risikoreduktion gennem tidlig fejldetektion
- Giver fleksibilitet til at integrere med værktøjer som MATLAB, Simulink, Polarion og mere
Uanset om du udvikler et bremsesystem klassificeret ASIL D eller en infotainment-grænseflade kategoriseret under QM, giver Visure Requirements ALM Platform dig den kontrol, udsyn og stringens, der er nødvendig for at opnå funktionel sikkerhed og overholdelse effektivt.
Konklusion
I nutidens udviklende billandskab spiller ASIL (Automotive Safety Integrity Level) en afgørende rolle i at sikre funktionel sikkerhed på tværs af stadig mere komplekse systemer. Med rod i ISO 26262-standarden giver ASIL en struktureret ramme til at identificere risici, definere sikkerhedskrav og sikre, at kritiske bilkomponenter fungerer pålideligt – selv under fejlforhold.
Forståelse og implementering af ASIL-niveauer (A til D) giver udviklingsteams mulighed for systematisk at styre risici, definere passende sikkerhedsmål og tilpasse systemarkitekturen med den nødvendige sikkerhedsintegritet. Fra indledende HARA-vurderinger til sporbarhed og overensstemmelsesverifikation hjælper ASIL med at forhindre farlige fejl, der kan føre til livstruende situationer.
Efterhånden som bilsystemer bliver mere intelligente og autonome, har efterspørgslen efter robuste overholdelsesprocesser og værktøjer aldrig været større. Det er her, Visure Requirements ALM-platformen træder ind – og leverer en integreret, AI-drevet løsning, der forenkler implementeringen af risikostyring, forbedrer sporbarheden og sikrer fuld overensstemmelse med ISO 26262.
Start din 14-dages gratis prøveversion af Visure Requirements ALM Platform i dag og oplev, hvordan det rigtige værktøj kan transformere din ASIL-kravstyring, sikkerhedsdokumentation og funktionelle sikkerhedslivscyklus.
