Вступ
У сучасній автомобільній промисловості, що швидко розвивається, безпека – це не просто функція, це необхідність. Оскільки транспортні засоби стають більш автономними та керованими програмним забезпеченням, забезпечення функціональної безпеки стає першорядним. Саме тут ASIL, або рівень цілісності автомобільної безпеки, відіграє вирішальну роль.
Класифікація ASIL, визначена стандартом ISO 26262, допомагає оцінити ризик, пов’язаний з потенційними небезпеками в автомобільних системах, і визначає заходи безпеки, необхідні для їх пом’якшення. Від гальмівних систем до розширених систем допомоги водієві (ADAS), рівень цілісності автомобільної безпеки допомагає визначити, наскільки ретельний процес розробки необхідний для захисту життя.
У цій статті ми розберемо, що означає рівень цілісності автомобільної безпеки, як він використовується в ISO 26262, відмінності між рівнями цілісності автомобільної безпеки A, B, C і D, а також як виконати оцінку ризику за допомогою аналізу ризиків і оцінки ризиків (HARA). Незалежно від того, чи ви новачок у цій концепції, чи хочете поглибити своє розуміння безпеки автомобіля, цей посібник проведе вас через усе, що вам потрібно знати.
Що таке ASIL (рівень цілісності автомобільної безпеки)?
ASIL, або рівень цілісності автомобільної безпеки, — це схема класифікації ризиків, визначена стандартом ISO 26262 для функціональної безпеки дорожніх транспортних засобів. Він кількісно визначає вимоги безпеки, необхідні для уникнення або контролю небезпек, спричинених потенційними системними збоями в автомобільних компонентах.
Рівні цілісності автомобільної безпеки — A, B, C і D — визначаються на основі серйозності, впливу та можливості контролю потенційної небезпеки. ASIL D представляє найвищий рівень ризику і, отже, вимагає найсуворіших заходів безпеки, тоді як ASIL A відображає найнижчий.
Чому ASIL важливий в автомобільній промисловості
Оскільки сучасні транспортні засоби значною мірою залежать від електронних і програмних систем для критичних операцій, таких як гальмування, рульове керування та запобігання зіткненням, наслідки збою системи можуть бути небезпечними для життя. Це робить класифікацію ASIL необхідною для забезпечення того, щоб усі автомобільні функції безпеки були розроблені, перевірені та перевірені на відповідний рівень безпеки.
Призначивши рівень цілісності автомобільної безпеки для кожної функції системи, інженери можуть визначити відповідні процеси безпеки та методи перевірки. Це забезпечує дотримання стандартів автомобільної безпеки та допомагає запобігти нещасним випадкам через несправності системи.
Огляд ISO 26262 і функціональної безпеки
ISO 26262 — це міжнародний стандарт функціональної безпеки в автомобільних електричних та електронних системах. Він забезпечує систематичний підхід до визначення потенційних небезпек, оцінки ризиків і визначення вимог безпеки за допомогою класифікації ASIL.
Стандарт визначає комплексний процес розробки вимог, який охоплює від концепції та проектування до впровадження, тестування та обслуговування. Основна мета — знизити ризик до прийнятного рівня за допомогою превентивних заходів, узгоджених із визначеним рівнем ASIL.
Рівень цілісності автомобільної безпеки є основою ISO 26262 — він усуває розрив між потенційними небезпеками та технічними заходами, необхідними для їх запобігання або пом’якшення, забезпечуючи безпечну та надійну роботу автомобіля протягом усього життєвого циклу продукту.
Роль ASIL у стандарті ISO 26262
У рамках стандарту ISO 26262 рівень цілісності автомобільної безпеки служить основоположним елементом для визначення та управління вимогами функціональної безпеки. ISO 26262 вимагає використання класифікації ASIL для оцінки ризиків, пов’язаних із потенційними небезпеками в автомобільних системах.
Кожна функція автомобіля оцінюється за трьома критеріями:
- Серйозність (вплив відмови),
- Експозиція (частота операційних сценаріїв),
- Керованість (здатність водія керувати транспортним засобом після відмови).
Ці критерії керують присвоєнням рівня ASIL (від A до D), який потім визначає необхідні процеси розробки, зусилля з перевірки та механізми безпеки, необхідні для пом’якшення цього ризику. Без рівня цілісності автомобільної безпеки стандарт ISO 26262 не мав би структурованого способу визначення пріоритетів критично важливих для безпеки компонентів.
Як ASIL підтримує функціональну безпеку в автомобільних системах
Рівень цілісності автомобільної безпеки забезпечує функціональну безпеку шляхом узгодження цілей безпеки з рівнем ризику, пов’язаного з системними збоями. Наприклад, збій автономної системи екстреного гальмування може призвести до серйозних наслідків і, отже, зазвичай класифікується як рівень D, що вимагає найвищого рівня безпеки.
Призначаючи рівні ASIL:
- Розробники отримують рекомендації щодо застосування відповідних заходів безпеки,
- Інженери можуть реалізувати резервування, виявлення несправностей і діагностику на основі ризику,
- Команди забезпечують дотримання стандартів автомобільної безпеки протягом усього життєвого циклу продукту.
Коротше кажучи, рівень цілісності автомобільної безпеки в автомобільних системах забезпечує структурований і кількісно визначений спосіб реалізації вимог функціональної безпеки ISO 26262, знижуючи ризик відмови та підвищуючи загальну безпеку сучасних транспортних засобів.
Класифікація та рівні ASIL (A, B, C, D)
Класифікація ASIL є основною частиною стандарту ISO 26262 і використовується для визначення необхідних вимог безпеки для кожної автомобільної системи або компонента на основі рівня ризику. Класифікація включає чотири висхідні рівні — A, B, C і D — з ASIL D, що представляє найвищий ступінь ризику та вимагає найсуворішого контролю безпеки.
Класифікація базується на трьох ключових факторах:
- Строгість – Потенційна шкода, спричинена несправністю,
- експонування – Як часто виникає робочий стан,
- Керованість – Здатність драйвера або системи запобігати шкоді.
Кожна комбінація цих факторів визначає відповідний рівень ASIL за допомогою процесу, відомого як аналіз небезпеки та оцінка ризику (HARA).
Детальна розбивка рівнів цілісності автомобільної безпеки: A, B, C і D
Рівень А
- Рівень ризику: Найнижчий
- Строгість: Легкі або незначні травми
- експонування: Зрідка
- Керованість: легко керується водієм
- додатків: Некритичні системи (наприклад, попередження інформаційно-розважальної системи)
Рівень В
- Рівень ризику: Помірний
- Строгість: Можливі травми середньої тяжкості
- експонування: Можливе часте
- Керованість: Загалом піддається контролю
- додатківДодаткова комплектація: гідропідсилювач керма, системи камери заднього виду
Рівень C
- Рівень ризику: Висока
- Строгість: Можливі серйозні травми
- експонування: ймовірно або часто
- Керованість: важко контролювати
- додатків: Системи утримання в смузі руху, адаптивний круїз-контроль
Рівень D
- Рівень ризику: Найвищий
- Строгість: Небезпечні для життя або смертельні травми
- експонування: Дуже часто або постійно
- Керованість: Важко або неможливо контролювати
- додатків: Гальмівні системи, розгортання подушок безпеки, функції автономного водіння
Порівняння ASIL A та ASIL D: серйозність ризику, ризик і контрольованість
Системи ASIL D проходять найсуворіші процеси розробки, включаючи поглиблене тестування, розробку резервування та всебічну перевірку безпеки на відповідність інструкціям із функціональної безпеки ISO 26262. Навпаки, системи ASIL A вимагають менше зусиль, але все одно мають відповідати базовим гарантіям безпеки.
Оцінка та визначення ризиків ASIL
Що таке оцінка ризику ASIL?
Оцінка ризику ASIL – це структурований процес, визначений стандартом функціональної безпеки ISO 26262 для визначення відповідного рівня цілісності автомобільної безпеки для певної функції автомобіля. Він оцінює ризики, пов’язані з потенційними збоями системи, і керує розробкою цілей безпеки на основі оціненого ризику.
Ця оцінка гарантує, що проект системи відповідає вимогам безпеки шляхом класифікації кожної функції за ASIL A, B, C або D за допомогою формального аналізу під назвою HARA — аналіз небезпеки та оцінка ризику.
Як визначити рівень ASIL: крок за кроком
Визначення правильної класифікації ASIL передбачає такі структуровані кроки:
- Визначте функції та потенційні небезпеки
- Визначте систему або компонент, що аналізується.
- Визначте всі можливі несправності або небезпечні сценарії.
- Визначте оперативну ситуацію
- Оцініть, за яких умов руху (швидкість, тип дороги, погода) працює функція.
- Оцінити серйозність (S)
- Оцініть можливі наслідки невдачі.
- Діапазон від S1 (легка травма) до S3 (небезпечна для життя або смертельна травма).
- Оцінити експозицію (E)
- Визначте, як часто виникає робочий стан.
- Діапазон від E1 (дуже низький) до E4 (висока ймовірність).
- Оцінити керованість (C)
- Оцініть здатність драйвера чи системи уникнути небезпеки.
- Діапазон від C1 (легко керований) до C3 (некерований).
- Призначте рівень ASIL
- На основі комбінації серйозності, експозиції та керованості призначте рівень ASIL (A–D) або QM (управління якістю), якщо ризик низький.
- Визначте цілі безпеки та вимоги
- Переведіть результати Рівня цілісності в конкретні цілі безпеки та технічні вимоги безпеки для розробки системи.
Що таке HARA (аналіз небезпек і оцінка ризиків)?
HARA, скорочення від Hazard Analysis and Risk Assessment, є наріжною методологією, яка використовується в ISO 26262 для оцінки та класифікації ризиків, пов’язаних з автомобільними системами.
Через HARA кожна ідентифікована небезпека аналізується на:
- Серйозність (S) – Вплив аварії на безпеку людини
- Експозиція (E) – Імовірність виникнення ситуації водіння
- Керованість (C) – Здатність водія/системи уникати шкоди
Матриця HARA відображає ці вхідні дані для визначення відповідного рівня ASIL, який потім інформує всі подальші заходи безпеки.
Пояснення факторів ASIL: серйозність, експозиція, контрольованість
Ці три змінні формують основу для визначення рівня цілісності автомобільної безпеки, що дозволяє командам застосовувати правильний рівень забезпечення функціональної безпеки протягом життєвого циклу розробки продукту.
Функціональна безпека та відповідність ASIL
Вимоги до функціональної безпеки на основі рівнів ASIL
Функціональна безпека, як визначено стандартом ISO 26262, гарантує безпечну роботу автомобільних систем навіть за наявності несправностей. Кожен рівень ASIL (від A до D) вводить різний ступінь вимог повноти безпеки, при цьому ASIL D вимагає найсуворіших процесів і засобів контролю.
Чим вищий рівень цілісності автомобільної безпеки, тим суворішою має бути діяльність із розробки, зокрема:
- Систематичне запобігання помилкам
- Надійні методи проектування
- Процедури перевірки та підтвердження
- Відмовостійкість і діагностика
Це гарантує, що функціональна безпека досягається пропорційно потенційному ризику, пов’язаному з кожною функцією.
Цілі та вимоги безпеки
Цілі безпеки — це цілі функціональної безпеки верхнього рівня, отримані з оцінки ризику ASIL (HARA). Ці цілі — це цілі системного рівня, спрямовані на запобігання або пом’якшення небезпечних подій.
Потім кожна ціль безпеки розбивається на вимоги функціональної безпеки (FSR) і технічні вимоги безпеки (TSR), які розподіляються між системними компонентами та архітектурою.
Наприклад:
- Мета безпеки: Запобігайте ненавмисному прискоренню
- Вимоги щодо функціональної безпеки: Контролюйте вхід дросельної заслінки для правдоподібності
- Вимоги технічної безпеки: Резервування датчиків і порівняння сигналів
Кожна вимога містить рівень ASIL, призначений початковій меті безпеки, забезпечуючи належну суворість розробки в усій ієрархії системи.
Відповідність ASIL для автомобільних систем і компонентів
Відповідність ASIL означає узгодження всього процесу розробки продукту з практиками, діяльністю та документацією, викладеною в ISO 26262 для конкретної класифікації ASIL.
Основні аспекти відповідності включають:
- Аналіз небезпек і оцінка ризиків (HARA)
- Декомпозиція та виділення ASIL
- Розробка механізмів безпеки (наприклад, безвідмовних, сторожових систем)
- Діяльність з верифікації та валідації (тестування, моделювання)
- Створення обґрунтування безпеки та супровідної документації
Щоб вважатися безпечними для використання у серійних автомобілях, усі компоненти — апаратні, програмні та механічні — мають продемонструвати відповідність призначеному їм рівню повноти безпеки автомобіля.
Вплив на електронні блоки керування (ECU) і дизайн системи
Електронні блоки керування (ECU) відіграють центральну роль у виконанні критично важливих для безпеки функцій, тому на них безпосередньо впливає класифікація рівня цілісності автомобільної безпеки.
ASIL впливає на конструкцію ECU наступними способами:
- надмірність: Вищі рівні ASIL вимагають резервних процесорів, пам’яті або шляхів зв’язку
- Діагностика: Включення механізмів виявлення помилок і відмовостійких
- Розбиття: Ізоляція критичного для безпеки програмного забезпечення від некритичних завдань
- Процес розробки: покращене забезпечення якості, відстеження та документація життєвого циклу
- Вибір компонентів: Перевага ASIL-сертифікованим або ASIL-сумісним мікроконтролерам
Добре спроектована система враховує ASIL на етапі архітектури для оптимізації відповідності, вартості та надійності.
Вимоги Visure Платформа ALM для відповідності ASIL
Забезпечення відповідності ASIL у складних автомобільних системах вимагає потужних інструментів, які підтримують наскрізну функціональну безпеку та узгодженість із ISO 26262. Платформа Visure Requirements ALM розроблена спеціально для вирішення завдань розробки на основі ASIL, пропонуючи комплексне рішення для керування вимогами безпеки, оцінки ризиків, відстеження та валідації протягом усього життєвого циклу.
Ключові можливості Visure для відповідності ASIL
- Управління вимогами ASIL-Ready – Visure забезпечує централізований контроль над усіма вимогами, пов’язаними з безпекою, гарантуючи, що вони чітко визначені, класифіковані та узгоджені з відповідними рівнями ASIL. Команди можуть керувати як вимогами функціональної безпеки, так і вимогами технічної безпеки в рамках єдиної платформи.
- Інтегрована підтримка HARA та оцінки ризиків – Visure підтримує процес HARA (Аналіз небезпек і оцінка ризиків), забезпечуючи матриці ризиків, оцінку тяжкості, впливу, контрольованості та прямий зв’язок небезпек із цілями безпеки та класифікаціями ASIL, що полегшує точну оцінку ризиків ASIL, яку можна перевірити.
- Повна наскрізна відстежуваність – Від цілей безпеки до системних вимог, тестових випадків і результатів перевірки, Visure забезпечує двонаправлену відстежуваність — основну вимогу для відповідності функціональної безпеки ISO 26262. Перегляди відстеження забезпечують повне охоплення та аналіз впливу на всіх рівнях цілісності автомобільної безпеки.
- ASIL-сумісні робочі процеси та шаблони – Visure поставляється з попередньо налаштованими шаблонами, формами та робочими процесами ISO 26262, адаптованими для відповідності ASIL. Їх можна налаштувати відповідно до життєвого циклу безпеки вашої організації та повторно використовувати в проектах, підвищуючи послідовність і скорочуючи час підготовки до аудиту.
- Автоматизоване документування та звітність ASIL – Створюйте в режимі реального часу спеціальну документацію щодо ASIL, таку як плани безпеки, специфікації вимог безпеки (SRS), звіти про перевірку та підтвердження та випадки безпеки. Це забезпечує прозоре звітування для оцінок, аудитів і сертифікації.
- Допомога в забезпеченні якості вимог, керованих штучним інтелектом – Завдяки інтегрованим можливостям штучного інтелекту Visure допомагає виявляти погано написані або неоднозначні вимоги безпеки, покращуючи якість і відповідність стандартам написання ASIL. Це важливо для мінімізації ризиків безпеки під час розробки.
Чому варто вибрати Visure для проектів ASIL?
- Підтримка відповідності стандарту ISO 26262 від концепції до виробництва
- Оптимізує співпрацю між командами інженерів і безпеки
- Спрощує документацію та аудит безпеки
- Дозволяє швидше зменшувати ризики завдяки ранньому виявленню помилок
- Забезпечує гнучкість інтеграції з такими інструментами, як MATLAB, Simulink, Polarion тощо
Незалежно від того, чи розробляєте ви гальмівну систему з рейтингом ASIL D або інформаційно-розважальний інтерфейс, класифікований як QM, Visure Requirements ALM Platform надає вам контроль, видимість і ретельність, необхідні для досягнення функціональної безпеки та ефективної відповідності.
Висновок
У сучасному автомобільному ландшафті, що розвивається, ASIL (рівень цілісності автомобільної безпеки) відіграє життєво важливу роль у забезпеченні функціональної безпеки в системах, що стають все більш складними. Базуючись на стандарті ISO 26262, ASIL забезпечує структуровану структуру для виявлення ризиків, визначення вимог безпеки та забезпечення надійної роботи критичних автомобільних компонентів — навіть за умов несправності.
Розуміння та впровадження рівнів ASIL (від A до D) дозволяє групам розробників систематично керувати ризиками, визначати відповідні цілі безпеки та узгоджувати архітектуру системи з необхідною цілісністю безпеки. Від початкових оцінок HARA до відстеження та перевірки відповідності, ASIL допомагає запобігти небезпечним збоям, які можуть призвести до ситуацій, що загрожують життю.
Оскільки автомобільні системи стають все більш інтелектуальними та автономними, попит на надійні процеси та інструменти відповідності ніколи не був таким великим. Саме тут на допомогу приходить платформа Visure Requirements ALM Platform, яка надає інтегроване рішення на основі штучного інтелекту, яке спрощує впровадження управління ризиками, покращує відстеження та забезпечує повну відповідність ISO 26262.
Розпочніть 14-денну безкоштовну пробну версію Visure Requirements ALM Platform сьогодні і відчуйте, як правильний інструмент може змінити ваше керування вимогами ASIL, документацію з безпеки та життєвий цикл функціональної безпеки.
