基于ISO26262开发汽车电子电气产品的一般性实践

欧阳娟

（博世汽车部件（长沙）有限公司 湖南省长沙市 410100）

随着国家制定2030年实现碳达峰，2060年实现碳中和目标。在此背景下进一步推动了新能源汽车普及的速率。其中新能源汽车主要有两大技术趋势：

（1）乘用车趋向于选用纯电动汽车技术。

（2）商用车趋向于选用氢燃料电池技术。

新能源汽车新涌入互联网公司等IT 玩家，汽车的功能为解决人们的出行需求已不再能满足人们的需求，而自动驾驶，智能座舱，人工智能等新技术逐渐受到人们的青睐。由此带来汽车的电子电气子系统从以前的几百突然急剧增加到几千。而如何确保让如此多的电子电器子系统从功能上实现安全，功能安全标准（ISO26262）就成为电子电气子系统开发过程中强有力的保障。

1 功能安全需求定义

根据ISO26262-3:2018 得知，电子电气子系统的开发首先需要站在整车的角度对子系统进行危害及风险分析（Hazard and Risk Analysis, H&R），通过H&R 分析，我们就可以得到ASIL（Automotive Safety Integration Level, ASIL）等级，ASIL 等级由严重度（Severity, S），发生概率（Exposure, E），可控度（Controllability, C）三个参数共同决定。即ASIL = f(S,E,C)。以安全气囊为例阐述依据ISO26262-3 得到的H&R 结果。如表1、表2、表3 所示。

基于表2 的结果，我们就可以得出安全目标。对于同一个ASIL 等级可以有多个安全目标，至少是一个安全目标。

2 系统概念设计

以安全气囊为例，如图1 所示，安全气囊子系统主要由控制单元，气囊，传感器三部分组成。控制单元不断地检测传感器信号并处理和计算，一旦符合气囊弹开条件，则控制单元发出指令使气囊弹开。

图1：安全气囊子系统结构框图及ASIL 分解

表1：安全气囊功能异常分析

表2：安全气囊H&R

表3：ASIL 评级表

通过通读ISO26262 标准中的内容，不难发现ISO26262 广泛地接受各种分析工具以使得设计人员可以设计出功能安全地产品。主要的工具有：

（1）框图。

（2）相关失效分析（DFA）。

（3）失效模式影响和诊断分析（FMEDA）。

ISO26262 传达出的一个比较重要的理念就是尽量设计简洁的系统。因此框图就起到了一个很好的作用：

（1）虚拟的框图明确定义每个子模块的功能，通过框图让设计人员思考整个系统的完整性比设计本身更重要。

按照IPI评分标准，将NHL分为高危组17例（20.2%）、中危组30例（35.7%）和低危组37例（44.1%）。高危组、中危组和低危组SUVmax分 别 为 14.24±6.11、9.22±6.09和 8.24±5.00，高危组SUVmax明显高于中危组和低危组（P值均＜0.01），而SUVmax在中危组和低危组间的差异无统计学意义（P＞0.05）。

（2）基于框图可以做概念性的安全分析，尤其对于信号流的分析。

图1 是一个用用框图方法的简单例子。一个简单的原则就是框图的层级不超过4 层。

对于DFA 和FMEDA 本文就不在赘述。

3 硬件设计

根据ISO26262，以控制单元设计为例，控制单元的设计框图如图2。

图2：控制单元框图

单点/多点失效分析：

根据ISO26262 的要求，硬件电路设计需满足表4 的要求。

对于单点/多点失效分析，不是所有电路都需要进行计算。主要针对对功能安全有影响的电路进行分析。

λRF：固有失效率。

4 软件设计

对于ASIL D 的系统，软件开发所使用的所有软件工具都必须符合ASIL D 的标准。

通常来说软件开发遵循以下步骤：

4.1 架构设计

一般来说架构设计须遵从以下原则：

（1）软件架构可验证，可维护。

（2）安全相关的功能可以落实到对应的子单元。

（3）对于系统资源占用的评估（包括：CPU运行时间，内存占用，CPU 占用率，总线容量）。

4.2 单元设计

一般来说单元设计须遵从以下原则：

（1）简洁性，避免不必要的复杂。

（2）可测试。

（3）可维护。

4.3 验证

验证主要有静态分析和动态测试。静态分析主要是代码级别，目前有很多写代码的软件自带这类功能。动态测试是一个非常重要的手段检验代码质量以及可靠性。

5 测试及验证

ISO26262 推荐使用V&V 方法从系统层级到硬件和软件层级进行验证。如图3 所示。

图3：V&V 方法流程图

V&V 方法很好的在每一个层级实现了闭环，设计通过测试来验证，验证通过结果指导设计。从左边设计从上至下开展；而右边验证从下至上开展。验证需要从系统中最小单元开始。根据V&V流程，可以很好地保证系统地可靠性和稳定性。

6 结语

本文基于ISO26262 标准阐述了一套标准的一般性功能安全开发的流程和方法。该方法对于汽车电子电气系统的开发具有普遍性和实用性，对于实际的工作具有重要的指导意义。为汽车推动智能化自动化在开发更加安全的系统提供一份指南。