Giới thiệu
Trong ngành công nghiệp ô tô đang phát triển nhanh chóng ngày nay, an toàn không chỉ là một tính năng mà còn là một điều cần thiết. Khi xe cộ ngày càng trở nên tự động hơn và được điều khiển bằng phần mềm, việc đảm bảo an toàn chức năng đã trở nên tối quan trọng. Đây chính là nơi ASIL, hay Cấp độ toàn vẹn an toàn ô tô, đóng vai trò quan trọng.
Được định nghĩa theo tiêu chuẩn ISO 26262, phân loại ASIL giúp đánh giá rủi ro liên quan đến các mối nguy tiềm ẩn trong hệ thống ô tô và hướng dẫn các biện pháp an toàn cần thiết để giảm thiểu chúng. Từ hệ thống phanh đến hệ thống hỗ trợ người lái tiên tiến (ADAS), Mức độ toàn vẹn an toàn ô tô giúp xác định mức độ nghiêm ngặt cần thiết trong quá trình phát triển để bảo vệ tính mạng.
Trong bài viết này, chúng tôi sẽ phân tích ý nghĩa của Cấp độ toàn vẹn an toàn ô tô, cách sử dụng trong ISO 26262, sự khác biệt giữa Cấp độ toàn vẹn an toàn ô tô A, B, C và D, và cách thực hiện đánh giá rủi ro thông qua Phân tích mối nguy và Đánh giá rủi ro (HARA). Cho dù bạn mới biết đến khái niệm này hay muốn tìm hiểu sâu hơn về an toàn ô tô, hướng dẫn này sẽ hướng dẫn bạn mọi thứ bạn cần biết.
ASIL (Mức độ toàn vẹn an toàn ô tô) là gì?
ASIL, hay Mức độ toàn vẹn an toàn ô tô, là một chương trình phân loại rủi ro được định nghĩa theo tiêu chuẩn ISO 26262 về an toàn chức năng trong xe cơ giới. Nó định lượng các yêu cầu an toàn cần thiết để tránh hoặc kiểm soát các mối nguy hiểm do lỗi hệ thống tiềm ẩn trong các thành phần ô tô.
Các mức độ toàn vẹn an toàn ô tô—A, B, C và D—được xác định dựa trên mức độ nghiêm trọng, mức độ phơi nhiễm và khả năng kiểm soát của mối nguy tiềm ẩn. ASIL D đại diện cho mức độ rủi ro cao nhất và do đó đòi hỏi các biện pháp an toàn nghiêm ngặt nhất, trong khi ASIL A phản ánh mức thấp nhất.
Tại sao ASIL lại quan trọng trong ngành công nghiệp ô tô
Vì các phương tiện hiện đại phụ thuộc rất nhiều vào hệ thống điện tử và phần mềm cho các hoạt động quan trọng—như phanh, lái và tránh va chạm—hậu quả của lỗi hệ thống có thể đe dọa đến tính mạng. Điều này khiến phân loại ASIL trở nên cần thiết để đảm bảo rằng tất cả các chức năng an toàn của ô tô đều được phát triển, thử nghiệm và xác nhận ở mức độ an toàn phù hợp.
Bằng cách chỉ định Mức độ toàn vẹn an toàn ô tô cho từng chức năng hệ thống, các kỹ sư có thể xác định các quy trình an toàn và phương pháp xác thực phù hợp. Điều này đảm bảo tuân thủ các tiêu chuẩn an toàn ô tô và giúp ngăn ngừa tai nạn do trục trặc hệ thống.
Tổng quan về ISO 26262 và An toàn chức năng
ISO 26262 là tiêu chuẩn quốc tế về an toàn chức năng trong hệ thống điện và điện tử ô tô. Tiêu chuẩn này cung cấp phương pháp tiếp cận có hệ thống để xác định các mối nguy tiềm ẩn, đánh giá rủi ro và xác định các yêu cầu an toàn bằng cách sử dụng phân loại ASIL.
Tiêu chuẩn này định nghĩa một quy trình kỹ thuật yêu cầu toàn diện trải dài từ khái niệm và thiết kế đến triển khai, thử nghiệm và bảo trì. Mục tiêu chính của nó là giảm rủi ro xuống mức có thể chấp nhận được thông qua các biện pháp phòng ngừa phù hợp với mức ASIL đã xác định.
Mức độ toàn vẹn an toàn ô tô là xương sống của ISO 26262—mức độ này thu hẹp khoảng cách giữa các mối nguy tiềm ẩn và các biện pháp kỹ thuật cần thiết để ngăn ngừa hoặc giảm thiểu chúng, đảm bảo hiệu suất của xe an toàn và đáng tin cậy trong suốt vòng đời sản phẩm.
Vai trò của ASIL trong Tiêu chuẩn ISO 26262
Trong khuôn khổ ISO 26262, Mức độ toàn vẹn an toàn ô tô đóng vai trò là yếu tố nền tảng để xác định và quản lý các yêu cầu an toàn chức năng. ISO 26262 yêu cầu sử dụng phân loại ASIL để đánh giá các rủi ro liên quan đến các mối nguy tiềm ẩn trong hệ thống ô tô.
Mỗi chức năng trong xe được đánh giá dựa trên ba tiêu chí:
- Mức độ nghiêm trọng (tác động của sự cố),
- Phơi nhiễm (tần suất của các kịch bản hoạt động),
- Khả năng kiểm soát (khả năng kiểm soát phương tiện của người lái sau khi xảy ra sự cố).
Các tiêu chí này hướng dẫn việc chỉ định mức ASIL (A đến D), sau đó xác định các quy trình phát triển cần thiết, nỗ lực xác thực và cơ chế an toàn cần thiết để giảm thiểu rủi ro đó. Nếu không có Mức độ toàn vẹn an toàn ô tô, tiêu chuẩn ISO 26262 sẽ thiếu một cách có cấu trúc để ưu tiên các thành phần quan trọng về an toàn.
ASIL hỗ trợ an toàn chức năng trong hệ thống ô tô như thế nào
Mức độ toàn vẹn an toàn ô tô đảm bảo an toàn chức năng bằng cách liên kết các mục tiêu an toàn với mức độ rủi ro do lỗi hệ thống gây ra. Ví dụ, lỗi trong hệ thống phanh khẩn cấp tự động có thể dẫn đến hậu quả nghiêm trọng và do đó thường được phân loại là mức D—yêu cầu mức độ nghiêm ngặt về an toàn cao nhất.
Bằng cách chỉ định mức ASIL:
- Các nhà phát triển được hướng dẫn áp dụng các biện pháp an toàn phù hợp,
- Các kỹ sư có thể triển khai dự phòng, phát hiện lỗi và chẩn đoán dựa trên rủi ro,
- Các nhóm đảm bảo tuân thủ các tiêu chuẩn an toàn ô tô trong suốt vòng đời sản phẩm.
Tóm lại, Mức độ toàn vẹn an toàn ô tô trong các hệ thống ô tô cung cấp một phương pháp có cấu trúc và định lượng để triển khai các yêu cầu an toàn chức năng ISO 26262, giảm nguy cơ hỏng hóc và tăng cường độ an toàn tổng thể của các loại xe hiện đại.
Phân loại và cấp độ ASIL (A, B, C, D)
Phân loại ASIL là một phần cốt lõi của tiêu chuẩn ISO 26262 và được sử dụng để xác định các yêu cầu an toàn cần thiết cho từng hệ thống hoặc thành phần ô tô dựa trên mức độ rủi ro của nó. Phân loại bao gồm bốn cấp độ tăng dần—A, B, C và D—với ASIL D đại diện cho mức độ rủi ro cao nhất và yêu cầu các biện pháp kiểm soát an toàn nghiêm ngặt nhất.
Phân loại dựa trên ba yếu tố chính:
- Mức độ nghiêm trọng – Tác hại tiềm tàng do sự cố gây ra,
- Tiếp xúc – Tần suất xảy ra tình trạng hoạt động,
- Khả năng kiểm soát – Khả năng của người lái xe hoặc hệ thống trong việc ngăn ngừa tác hại.
Mỗi sự kết hợp của các yếu tố này sẽ xác định mức ASIL phù hợp thông qua một quy trình được gọi là Phân tích mối nguy và Đánh giá rủi ro (HARA).
Phân tích chi tiết các cấp độ toàn vẹn an toàn ô tô: A, B, C và D
Cấp độ A
- Mức độ rủi ro: Thấp nhất
- Mức độ nghiêm trọng: Chấn thương nhẹ hoặc không đáng kể
- Tiếp xúc: Thỉnh thoảng
- Khả năng kiểm soát: Dễ dàng điều khiển bởi người lái xe
- Ứng dụng: Các hệ thống không quan trọng (ví dụ: cảnh báo thông tin giải trí)
Cấp B
- Mức độ rủi ro: Vừa phải
- Mức độ nghiêm trọng: Có khả năng gây thương tích vừa phải
- Tiếp xúc: Có thể thường xuyên
- Khả năng kiểm soát: Có thể kiểm soát được nói chung
- Ứng dụng: Trợ lực lái, hệ thống camera chiếu hậu
Cấp C
- Mức độ rủi ro: High
- Mức độ nghiêm trọng: Có thể gây thương tích nghiêm trọng
- Tiếp xúc: Có khả năng hoặc thường xuyên
- Khả năng kiểm soát: Khó kiểm soát
- Ứng dụng: Hệ thống giữ làn đường, kiểm soát hành trình thích ứng
Cấp D
- Mức độ rủi ro: Cao nhất
- Mức độ nghiêm trọng: Thương tích đe dọa tính mạng hoặc tử vong
- Tiếp xúc: Rất thường xuyên hoặc liên tục
- Khả năng kiểm soát: Khó hoặc không thể kiểm soát
- Ứng dụng: Hệ thống phanh, triển khai túi khí, chức năng lái xe tự động
So sánh ASIL A và ASIL D: Mức độ nghiêm trọng của rủi ro, mức độ phơi nhiễm và khả năng kiểm soát
Hệ thống ASIL D trải qua các quy trình phát triển nghiêm ngặt nhất, bao gồm thử nghiệm chuyên sâu, thiết kế dự phòng và xác thực an toàn toàn diện để tuân thủ các hướng dẫn an toàn chức năng ISO 26262. Ngược lại, hệ thống ASIL A đòi hỏi ít nỗ lực hơn nhưng vẫn phải đáp ứng được yêu cầu đảm bảo an toàn cơ bản.
Đánh giá và xác định rủi ro ASIL
Đánh giá rủi ro ASIL là gì?
Đánh giá rủi ro ASIL là một quy trình có cấu trúc được xác định theo tiêu chuẩn an toàn chức năng ISO 26262 để xác định Mức độ toàn vẹn an toàn ô tô phù hợp cho một chức năng xe nhất định. Đánh giá rủi ro do lỗi hệ thống tiềm ẩn gây ra và hướng dẫn phát triển các mục tiêu an toàn dựa trên rủi ro đã đánh giá.
Đánh giá này đảm bảo rằng thiết kế hệ thống phù hợp với mức độ nghiêm ngặt về an toàn cần thiết bằng cách phân loại từng chức năng theo ASIL A, B, C hoặc D bằng cách sử dụng phân tích chính thức có tên là HARA—Phân tích mối nguy và đánh giá rủi ro.
Cách xác định mức ASIL: từng bước
Việc xác định phân loại ASIL chính xác bao gồm các bước có cấu trúc sau:
- Xác định các chức năng và nguy cơ tiềm ẩn
- Xác định hệ thống hoặc thành phần cần phân tích.
- Xác định tất cả các sự cố tiềm ẩn hoặc tình huống nguy hiểm.
- Xác định tình hình hoạt động
- Đánh giá chức năng này hoạt động trong điều kiện lái xe nào (tốc độ, loại đường, thời tiết).
- Đánh giá mức độ nghiêm trọng (S)
- Ước tính hậu quả tiềm tàng của sự thất bại.
- Mức độ từ S1 (thương tích nhẹ) đến S3 (thương tích đe dọa tính mạng hoặc tử vong).
- Đánh giá mức độ phơi nhiễm (E)
- Xác định tần suất xảy ra tình trạng hoạt động.
- Phạm vi từ E1 (rất thấp) đến E4 (xác suất cao).
- Đánh giá khả năng kiểm soát (C)
- Đánh giá khả năng tránh nguy hiểm của người lái xe hoặc hệ thống.
- Phạm vi từ C1 (dễ kiểm soát) đến C3 (không kiểm soát được).
- Chỉ định mức ASIL
- Dựa trên sự kết hợp của Mức độ nghiêm trọng, Mức độ phơi nhiễm và Khả năng kiểm soát, hãy chỉ định mức ASIL (A–D) hoặc QM (Quản lý chất lượng) nếu rủi ro thấp.
- Xác định Mục tiêu và Yêu cầu An toàn
- Biên dịch kết quả Mức độ toàn vẹn thành các mục tiêu an toàn cụ thể và các yêu cầu an toàn kỹ thuật để phát triển hệ thống.
HARA (Phân tích mối nguy và đánh giá rủi ro) là gì?
HARA, viết tắt của Phân tích mối nguy và đánh giá rủi ro, là phương pháp luận nền tảng được sử dụng trong ISO 26262 để đánh giá và phân loại rủi ro liên quan đến hệ thống ô tô.
Thông qua HARA, mỗi mối nguy hiểm được xác định sẽ được phân tích để:
- Mức độ nghiêm trọng (S) – Tác động của sự cố đến sự an toàn của con người
- Phơi sáng (E) – Khả năng xảy ra tình huống lái xe
- Khả năng kiểm soát (C) – Khả năng tránh nguy hiểm của người lái xe/hệ thống
Ma trận HARA lập bản đồ các đầu vào này để xác định mức ASIL phù hợp, sau đó thông báo cho tất cả các hoạt động an toàn tiếp theo.
Giải thích các yếu tố ASIL: Mức độ nghiêm trọng, Mức độ phơi nhiễm, Khả năng kiểm soát
Ba biến này tạo thành cơ sở để xác định Mức độ toàn vẹn an toàn của ô tô, cho phép các nhóm áp dụng đúng mức đảm bảo an toàn chức năng trong suốt vòng đời phát triển sản phẩm.
An toàn chức năng và tuân thủ ASIL
Yêu cầu an toàn chức năng dựa trên mức độ ASIL
An toàn chức năng, theo định nghĩa của tiêu chuẩn ISO 26262, đảm bảo rằng các hệ thống ô tô hoạt động an toàn ngay cả khi có lỗi. Mỗi cấp độ ASIL (A đến D) đưa ra các yêu cầu về tính toàn vẹn an toàn khác nhau, trong đó ASIL D yêu cầu các quy trình và biện pháp kiểm soát nghiêm ngặt nhất.
Mức độ toàn vẹn an toàn ô tô càng cao thì các hoạt động phát triển phải càng nghiêm ngặt hơn, bao gồm:
- Phòng ngừa lỗi hệ thống
- Kỹ thuật thiết kế mạnh mẽ
- Thủ tục xác minh và xác nhận
- Khả năng chịu lỗi và phạm vi chẩn đoán
Điều này đảm bảo rằng sự an toàn chức năng đạt được tương xứng với rủi ro tiềm ẩn liên quan đến từng chức năng.
Mục tiêu an toàn và yêu cầu an toàn
Mục tiêu an toàn là mục tiêu an toàn chức năng cấp cao nhất có nguồn gốc từ đánh giá rủi ro ASIL (HARA). Các mục tiêu này là mục tiêu cấp hệ thống nhằm ngăn ngừa hoặc giảm thiểu các sự kiện nguy hiểm.
Mỗi mục tiêu an toàn sau đó được chia thành các Yêu cầu an toàn chức năng (FSR) và Yêu cầu an toàn kỹ thuật (TSR), được phân bổ cho các thành phần và kiến trúc hệ thống.
Ví dụ:
- Mục tiêu an toàn: Ngăn chặn sự tăng tốc không mong muốn
- Yêu cầu an toàn chức năng: Giám sát đầu vào bướm ga để đảm bảo tính hợp lý
- Yêu cầu về an toàn kỹ thuật: Sự dự phòng của cảm biến và so sánh tín hiệu
Mỗi yêu cầu đều mang cấp độ ASIL được chỉ định cho mục tiêu an toàn ban đầu, thực thi sự nghiêm ngặt trong quá trình phát triển trên toàn bộ hệ thống phân cấp.
Tuân thủ ASIL cho Hệ thống và Linh kiện ô tô
Tuân thủ ASIL có nghĩa là điều chỉnh toàn bộ quy trình phát triển sản phẩm theo các thông lệ, hoạt động và tài liệu được nêu trong ISO 26262 cho phân loại ASIL cụ thể.
Các khía cạnh chính của việc tuân thủ bao gồm:
- Phân tích mối nguy và đánh giá rủi ro (HARA)
- Phân tích và phân bổ ASIL
- Phát triển các cơ chế an toàn (ví dụ, hệ thống an toàn, hệ thống giám sát)
- Hoạt động xác minh và xác nhận (thử nghiệm, mô phỏng)
- Tạo trường hợp an toàn và tài liệu hỗ trợ
Tất cả các thành phần—phần cứng, phần mềm và cơ khí—phải chứng minh được sự tuân thủ theo Mức độ toàn vẹn an toàn ô tô được chỉ định để được coi là an toàn khi sử dụng trong xe sản xuất.
Tác động đến các đơn vị điều khiển điện tử (ECU) và thiết kế hệ thống
Bộ điều khiển điện tử (ECU) đóng vai trò trung tâm trong việc thực hiện các chức năng quan trọng liên quan đến an toàn, khiến chúng bị ảnh hưởng trực tiếp bởi phân loại Mức độ toàn vẹn an toàn của ô tô.
ASIL tác động đến thiết kế ECU theo những cách sau:
- Dư: Mức ASIL cao hơn yêu cầu bộ xử lý, bộ nhớ hoặc đường dẫn truyền thông dự phòng
- Chẩn đoán: Bao gồm các cơ chế phát hiện lỗi và chịu lỗi
- Phân vùng: Tách biệt phần mềm quan trọng về an toàn khỏi các tác vụ không quan trọng
- Quá trình phát triển: Đảm bảo chất lượng nâng cao, khả năng truy xuất nguồn gốc và tài liệu vòng đời
- Thành phần lựa chọn: Ưu tiên các bộ vi điều khiển được chứng nhận ASIL hoặc có khả năng ASIL
Một hệ thống được thiết kế tốt sẽ xem xét ASIL ngay từ giai đoạn kiến trúc để tối ưu hóa khả năng tuân thủ, chi phí và độ tin cậy.
Yêu cầu về Visure Nền tảng ALM để tuân thủ ASIL
Đảm bảo tuân thủ ASIL trong các hệ thống ô tô phức tạp đòi hỏi các công cụ mạnh mẽ hỗ trợ an toàn chức năng đầu cuối và sự liên kết ISO 26262. Nền tảng ALM theo yêu cầu của Visure được xây dựng riêng để giải quyết các thách thức của quá trình phát triển theo định hướng ASIL, cung cấp giải pháp toàn diện để quản lý các yêu cầu về an toàn, đánh giá rủi ro, khả năng truy xuất nguồn gốc và xác thực trong toàn bộ vòng đời.
Khả năng chính của Visure để tuân thủ ASIL
- Quản lý yêu cầu sẵn sàng cho ASIL – Visure cung cấp khả năng kiểm soát tập trung đối với tất cả các yêu cầu liên quan đến an toàn, đảm bảo chúng được xác định rõ ràng, phân loại và phù hợp với các cấp độ ASIL tương ứng. Các nhóm có thể quản lý cả các yêu cầu an toàn chức năng và các yêu cầu an toàn kỹ thuật trong một nền tảng thống nhất.
- Hỗ trợ đánh giá rủi ro và HARA tích hợp – Visure hỗ trợ quy trình HARA (Phân tích mối nguy và đánh giá rủi ro) bằng cách cho phép lập ma trận rủi ro, chấm điểm mức độ nghiêm trọng-phơi nhiễm-khả năng kiểm soát và liên kết trực tiếp các mối nguy hiểm với mục tiêu an toàn và phân loại ASIL—tạo điều kiện cho việc đánh giá rủi ro ASIL chính xác và có thể kiểm toán được.
- Khả năng truy xuất nguồn gốc hoàn chỉnh từ đầu đến cuối – Từ mục tiêu an toàn đến yêu cầu hệ thống, trường hợp thử nghiệm và kết quả xác minh, Visure cho phép truy xuất nguồn gốc hai chiều—một yêu cầu cốt lõi để tuân thủ an toàn chức năng ISO 26262. Chế độ xem truy xuất nguồn gốc đảm bảo phạm vi bao phủ đầy đủ và phân tích tác động trên tất cả các Cấp độ toàn vẹn an toàn ô tô.
- Quy trình làm việc và mẫu tuân thủ ASIL – Visure đi kèm với các mẫu, biểu mẫu và quy trình làm việc ISO 26262 được cấu hình sẵn để tuân thủ ASIL. Chúng có thể được tùy chỉnh theo vòng đời an toàn của tổ chức bạn và được sử dụng lại trên nhiều dự án, tăng cường tính nhất quán và giảm thời gian chuẩn bị kiểm toán.
- Tài liệu và báo cáo ASIL tự động – Tạo tài liệu cụ thể theo ASIL theo thời gian thực, chẳng hạn như Kế hoạch an toàn, Thông số kỹ thuật yêu cầu an toàn (SRS), Báo cáo xác minh & xác thực và Trường hợp an toàn. Điều này đảm bảo báo cáo minh bạch cho các đánh giá, kiểm toán và chứng nhận.
- Hỗ trợ chất lượng yêu cầu do AI thúc đẩy – Với khả năng tích hợp AI, Visure giúp xác định các yêu cầu an toàn được viết kém hoặc mơ hồ, cải thiện chất lượng và tuân thủ các tiêu chuẩn viết của ASIL. Điều này rất cần thiết để giảm thiểu rủi ro an toàn trong quá trình phát triển.
Tại sao nên chọn Visure cho các dự án ASIL?
- Hỗ trợ tuân thủ ISO 26262 từ khái niệm đến sản xuất
- Tối ưu hóa sự cộng tác giữa các nhóm kỹ thuật và an toàn
- Đơn giản hóa việc lập tài liệu và kiểm tra an toàn
- Cho phép giảm thiểu rủi ro nhanh hơn thông qua phát hiện lỗi sớm
- Cung cấp tính linh hoạt để tích hợp với các công cụ như MATLAB, Simulink, Polarion, v.v.
Cho dù bạn đang phát triển hệ thống phanh được xếp hạng ASIL D hay giao diện thông tin giải trí được phân loại theo QM, Nền tảng ALM về Yêu cầu về Tầm nhìn đều cung cấp cho bạn khả năng kiểm soát, khả năng hiển thị và tính nghiêm ngặt cần thiết để đạt được sự an toàn và tuân thủ chức năng một cách hiệu quả.
Kết luận
Trong bối cảnh ô tô đang phát triển ngày nay, ASIL (Mức độ toàn vẹn an toàn ô tô) đóng vai trò quan trọng trong việc đảm bảo an toàn chức năng trên các hệ thống ngày càng phức tạp. Dựa trên tiêu chuẩn ISO 26262, ASIL cung cấp một khuôn khổ có cấu trúc để xác định rủi ro, xác định các yêu cầu an toàn và đảm bảo các thành phần ô tô quan trọng hoạt động đáng tin cậy—ngay cả trong điều kiện lỗi.
Hiểu và triển khai các cấp độ ASIL (A đến D) cho phép các nhóm phát triển quản lý rủi ro một cách có hệ thống, xác định các mục tiêu an toàn phù hợp và điều chỉnh kiến trúc hệ thống theo tính toàn vẹn an toàn cần thiết. Từ các đánh giá HARA ban đầu đến khả năng truy xuất nguồn gốc và xác minh tuân thủ, ASIL giúp ngăn ngừa các lỗi nguy hiểm có thể dẫn đến các tình huống đe dọa tính mạng.
Khi các hệ thống ô tô ngày càng thông minh và tự động hơn, nhu cầu về các quy trình và công cụ tuân thủ mạnh mẽ chưa bao giờ lớn hơn thế. Đó là lúc Nền tảng ALM Yêu cầu Visure xuất hiện—cung cấp giải pháp tích hợp, hỗ trợ AI giúp đơn giản hóa việc triển khai quản lý rủi ro, tăng cường khả năng truy xuất nguồn gốc và đảm bảo sự phù hợp hoàn toàn với ISO 26262.
Bắt đầu dùng thử miễn phí 14 ngày Nền tảng ALM Yêu cầu Visure ngay hôm nay và trải nghiệm cách công cụ phù hợp có thể chuyển đổi hoạt động quản lý yêu cầu ASIL, tài liệu an toàn và vòng đời an toàn chức năng của bạn.
