当咱们预计将来新手艺的离间时，采用联合的拓荒和运用准绳至合紧急。通用汽车副总裁 Ken Kelzer， 2018。正在诸众的准绳与模范中，ISO 26262（汽车性能安然准绳）

“当咱们预计将来新手艺的离间时，采用联合的拓荒和运用准绳至合紧急。” — 通用汽车副总裁 Ken Kelzer， 2018。

正在诸众的准绳与模范中，ISO 26262（汽车性能安然准绳），承袭自 IEC 61508（通用电子电气性能安然准绳），界说了针对汽车工业的安然（Safety）联系组件的国际准绳。大略的说，ISO 26262通过指点与模范化的体例，对汽车电子产物，从观念阶段到最终的产物报废阶段，提出了准绳化的请求。更进一步的是，ISO 26262细化了若何左右一个汽车电子产物或组件的人身摧毁危险正在可给与的领域，及文档化一共领会、计划、拓荒、测试及临盆进程。

ISO 26262的史册能够追溯到2011年，初版的ISO 26262准绳揭橥。初版准绳蕴涵10个部门:

相看待2011版的ISO 26262，揭橥于2018年的第二版准绳点窜了Part 7的名字为：

正在ISO 26262的Part 3中，先容正在产物拓荒的早期阶段的勾当及用于保护性能安然的拓荒流程。这个部门蕴涵了联系项的界说（Item Definition），迫害领会与危险评估（Hazard Analysis and Risk Assessment）的实质。本文将从根基观念启程，先容ISO 26262 : 2018 Part 3联系的流程，领会格式及联系手艺。

ISO 26262中的观念浩瀚（2018版185个），无法正在一篇著作中逐一描画，于是正在本节中，只针对Part 3中涉及到的紧急观念实行注解阐明。此中能够涉及到到的其它名词，都符上英文名词，便于正在准绳中查找。

Part 3的第一个勾当是联系项界说（Item Definition）。联系项界说看待运用ISO 26262到产物中极度紧急，列入到产物拓荒职员和商酌职员必要对产物有深切的明白，而联系项界说则供应了领会产物所必定的音讯。联系项（Item）正在准绳的Part 1中界说如下：

一个联系项（Item）能够认识为1个或众个人系（System），并向外供应1个或众脾气能（Function）。体系能够由众个子体系（Sub-system）组成，也能够认识为众个组件（Component）。组成一个人系或子体系的组件起码是3个：认真输入信号的传感器（Sensor），认真信号收拾及逻辑左右的左右器（Controller）及认真输出的驱动器（Actuator）。一个组件（Component）能够由1个或众个软件单位（Software Unit）或1个或众个硬件（Hardware Part）组成。下图给出了这些观念的逻辑相合：

识别迫害与迫害事宜（Hazard and Hazardous Event），联系项的十分动作会导致这些迫害事宜

为注意与缓解识别出来的迫害事宜，推导出相应安然对象（Safety Goal）及其ASIL评级，来避免不对理的危险

因为产物自身的性能点窜或者运转境遇转化，从影响领会（Impact Analysis）早先实行HA & RA

从2018版早先，合于影响领会的部门被划分到Part 2 性能安然解决中，于是正在2018版中，只要联系项界说动作HA & RA的输入。

联系项界说的进程中，依然思虑了产物的性能、职能及大概的失效带来的后果（如已知的失效形式），但并没有这些需求实行分类。通过HA & RA识别产物的安然对象，将这部门需求同产物自己性能区别开，纳入性能安然解决的流程（如下图所示）。于是，HA & RA看待产物的后续拓荒勾当有紧急的意思。

迫害（Hazard） 是指因为产物性能的失效，动作潜正在的来历，会导致发作人身摧毁。但这种迫害只是一种大概性，把迫害和迫害发作的场景（Operation Situation） 纠合起来，变成迫害事宜（Hazardous Event），才华对其实行分级（如，可给与或弗成给与）。对迫害事宜的分级重要思虑以下3个方面：紧要度（Severity），宣泄度（Exposure）和可控度（Controllability）。正在HA & RA进程中，辞别对这3个方面实行打分：紧要度（0 – 3，摧毁的紧要水平慢慢增添），宣泄度（0 – 4，宣泄正在伤害境遇中的水平慢慢增添），可控度（0 – 3，迫害发作时的可控度慢慢下降）。这3个数值中，历程评估任一数值取值为0，或者相加后的数值小于7，则以为这个迫害事宜的危险可给与，即联系的性能拓荒遵从QM解决即可；但即使相加的数值大于等于7，则以为危险弗成给与，对这个迫害事宜要分派 ASIL（Automotive Safety Integrity Level） 品级。ASIL分为4个品级，辞别对应相加数值的7，8，9和10。ASIL与紧要度、宣泄度和可控度的对应相合能够参考下表：

看待识别出的迫害事宜，实行精细的领会，并拟定安然对象（Safety Goal）。安然对象正在性能安然产物拓荒中，处于最上层的需求。安然对象与迫害事宜之间，能够是1:N或N:1（N大于等于1）的相合。安然对象能够用自然讲话的体例来描画，平常是如下的形式化体例：

每个安然对象都有对应的ASIL评级，安然对象的ASIL品级取决于与之联系联的危险事宜的最高ASIL品级。可认为每个安然对象分派妨碍响适时间间隔（Fault Tolerance Time Interval），用以规矩检测违反安然对象的妨碍和安然机制响适时间的最大间隔。安然对象能够用如下的表格的体例流露：

性能安然需求（Functional Safety Requirement，FSR）派生自安然对象，一个安然对象起码派生一条性能安然需求。派生出的性能安然需求有无歧义，可领会，无抵触，可杀青及可测试等请求。派生的进程中，性能安然需求独立于体系的手艺架构，还要给性能安然需求分派独一的ID，方今状况及对应ASIL品级属性。下面是一个表格体例的性能安然需求的例子：

性能安然观念（Functional Safety Concept）是Part 3的最终一个勾当。固然正在产物拓荒尚未进入体系计划阶段（Part 4），但此时必要假设一个人系架构（System Architectural Design），由于性能安然观念必要正在整车的架构上杀青。性能安然观念阶段必要描画须要的性能安然需求，并分派这些安然需求到体系的性能因素（Element）上。正在ISO 26262中，性能安然观念阶段请求告终以下对象：

指定与联系项安然对象相符性能动作（Functional Behavior）或者降级的性能动作（Degraded Functional Behavior）。体系性能的降级是指即使因为妨碍不行无误的运转，必要体系任务正在一脾气能或职能受限的状况。普通体系降级要计划降级的政策，如近光灯体系，降级政策请求起码有一个灯能够任务。

正在联系项的层面上，计划政策或者手段用来告终请求的容错才略，或者基于联系项自身、驾驶员或者外部手段以减轻联系妨碍形成的影响

验证性能安然观念并指定性能安然确认准绳，这里的验证是指对计划进程的验证（Verification），重要是检讨计划进程的无误性。

为保护性能安然观念阶段的勾当可能无误奉行，对应每个勾当都有一系列的奉行格式。本节对涉及到的少许紧急手艺方法实行先容。

为了识别出联系项（Item)及针春联系项（Item）任何的性能拓荒之前，无论这些涉及到的性能，是否是性能安然联系的，都必要一个适当的起点。正在这里，体系工程（System Engineering）的格式论能够给出一个很有价格的计划。体系工程格式论中，为描画体系对外供应的任职，有一个针对体系上下文（System Context）修模的进程。通过模子化的体系上下文，能够表达出一个人系针对方圆境遇直接的影响，还能够获得体系的输入与输出音讯流（蕴涵数据流与左右流）。正在这个阶段，正在外部与体系交互的是体系列入者（System Actor）。

平常体系工程中对体系修模采用SysML/UML，但体系上下文并没有动作独立观念正在SysML/UML中存正在，于是必要引入一种可能情景表达体系上下文的格式：SYSMOD。通过SYSMOD，咱们就能够正在SysML/UML中，以如下的办法界说一个车灯解决体系（Headlight Management System）的上下文：

一个车载体系或联系项，必定要和周边体系或驾驶员发作交互，它的边境便是一个极度紧急的音讯：哪些组件属于体系元素，哪些位于体系除外？这些音讯要正在联系项界说这个进程中识别出来（起码是一部门，由于有时项目初期产物的需求并不至极精确）。精确联系项边境的第一个使命是要精确体系交互的列入者（System Actor）。体系列入者正在观念阶段该当是明显的，不然就会陷入一个怪圈：即使体系的拓荒者看待体系的操纵者无法识别分明，那么该若何无误的修造体系的观念和领会呢？下面有几个格式能够速捷的助助识别体系的列入者：

与正正在拓荒的体系有交互的其它体系也该当被列为体系的列入者，而且实行分类，如，传感器，驱动器，外部体系，或者因为体系的运转，会受到影响的外部境遇（光辉、温度等），这些能够助助咱们更好的领会方今拓荒的体系，更容易的描画其供应的任职

识别出体系的列入者之后，第二个使命要识别出列入者与体系之间的音讯流。通过SysML/UML，咱们能够修造体系列入者和联系项之间的结合（如操纵Connector将2者相连），这流露体系的列入者供应音讯流给体系，或者授与从体系供应来的音讯流（如从传感器来的车速信号，或者输出到屏幕的视频信号）。同体系的列入者相通，咱们必要正在体系拓荒的早期识别出这些音讯流，并用修模的体例把它们识别出来（能够操纵SysML中的Information Item来流露，参考体系上下文图中的玄色三角）。以下几个格式能够用来识别体系中的音讯流：

界说完体系的列入者与相应的音讯流后，最终一个使命则是它们若何同联系项交互（蕴涵输入及输出），即识别出体系的交互点（Interaction Point，体系上下文图中的带箭头的小正方形）。当咱们操纵Connector修造体系列入者与联系项之间的结合时，Connector与联系项的交点能够以为便是交互点。但这种识别格式不敷精准，必要操纵以下格式实行提炼：

必要注意的是，正在性能安然观念阶段，体系的交互点（Interaction Point）和体系接口（Interface）是分歧的：体系交互点正在这个阶段照旧是个笼统的观念，只用于识别联系项与外部境遇之间存正在交互；而接口则蕴涵正在交互点内，描画联系项对外请求或供应的任职，以及音讯流的全部实质。接口的修模正在体系计划进程中奉行，如ASPICE流程中的SYS.2。

观念阶段的性能安然需求（Functional Safety Requirement）是后续性能安然拓荒勾当的底子。产物拓荒的告捷或铩羽依赖于性能安然需求的质料，大宗的事项能够追溯到有缺陷的需求，如不完善的表述，谬误的杀青以及对不明显的需求的谬误领会。ISO 26262中需求能够分为4个品级（但不限于4个，能够遵循必要再细分）：性能安然对象，性能安然需求，手艺安然需求及硬件/软件安然需求。好的需求看待产物德料、本钱/时刻、性能安然的杀青及测试都有紧急的意思，于是本节对需求的界说手艺做少许根基的描画。

需求界说平常由需求工程师实行。大无数告捷的项目起码有2名资深的需求工程师，他们协同任务并互相检讨对方的效率。需求拓荒进程中，最好也有其他的助理工程师参预，由于从机合的角度，需求拓荒进程中的常识积蓄必要传达给下逛的工程勾当，而且机合也必要培育更众的需求专家。需求拓荒请求的工程师才具请求普通蕴涵以下几点：

需求拓荒的体味。没有什么比体味更紧急，历程众个项主意陶冶后，有体味的工程师能够占定出哪些该做，哪些不该做。纵使没有告捷项主意体味，那么那些从铩羽的谬误中获取的体味也至极紧急。

互助。需求工程师险些和项目中的全部职员打交道，额外是正在灵巧（Agile）拓荒团队中，还要和客户实行面临面的疏导。

谛听和察看的手腕。需求工程师该当擅长从体系工程师或客户处发掘纤细的线索，用于开采缺失的需求。

写作疏导才略。需求工程师的重要脚色是将需求文档化，那就请求需求工程师可能明显有机合的把需求表达出来，纵使是少许庞大题目和思法。常用的方法蕴涵图表化、数据流图、左右流图、用例图或状况图等。

规模常识。看待正正在拓荒的产物，需求工程师要具备相应的规模常识，如导航工程师就不是至极适合拓荒刹车或者燃油体系的需求。

需求的表达办法除了采用MS Office系列（Word，Excel），还能够操纵援救SysML的器械实行描画，除了具备直观的好处除外，还能够和后续的工程勾当轻易的追溯（睹下节）。SysML中增添了需求图（Requirement Diagram）用于描画体系需求，如下图所示：

正在器械中，每一个需求块（Block）会分派一个整体独一的GUID，能够用于标识这个需求。但GUID平常与需求界说时分派的ID不相似且难于领会，于是针对需求块，SysML还供应了需求ID字段，用于与外部器械修造需求对应相合。别的，为轻易正在各个需求解决器械之间调换数据，平常会采用CSV花样的表格，通过导入/导出的体例实行数据传达。

动作撤消体系性妨碍（Systematic Fault）的紧急方法，可追溯性正在性能安然联系计划的验证进程中是核心检讨的实质。可追溯性正在体系拓荒的分歧阶段发扬分歧，如用例和需求之间，能够发扬为杀青相合（Realization）；用例和用例之间，能够发扬为蕴涵、扩展（Include, Extend）等相合。可追溯性的发扬体例能够有众种：

下图是一个操纵SysML/UML相合图修造追溯性的例子，正在图中通过手工结合的办法把用例和需求结合起来，利益是图形斗劲直观：

追溯图的体例可能同时表达的追溯领域有限，即使需乞降用例较众，追溯图因为图中的元素太众，就谢绝易操纵（如，查找是否有需求的脱漏），正在这种境况下操纵追溯矩阵（Traceability Matrix）就更适当。追溯矩阵能够正在工程的全途径的恣意2个不断的合键（如，需乞降用例）中央修造直观的相合矩阵。如下图所示，图的横纵坐标辞别流露需求与用例，箭头则流露杀青（Realization）的目标，高亮的行流露需求有脱漏的境况：

修造了双向追溯之后，需求或者计划发作了蜕变，就能够通过追溯判决蜕变的影响领域。援救baseline的SysML/UML器械，还能够基于baseline实行差分。基于baseline能够很容易的识别出需乞降计划中发作了蜕变的部门，从发作了蜕变的部门启程，能够追溯到对应的上下逛工程中，必要蜕变的实质，以确保相似性。

常用的迫害领会手艺有20众种，险些掩盖了蕴涵了：观念，概要计划，精确计划，测试及运转正在内的产物拓荒的各个阶段。从格式论上来说，迫害领会手艺能够分为2大类：内推法（Inductive）和外推法（Deductive）：

内推法从体系中某个组件的妨碍启程，自下而上的推导，正在整车的级别上发作的影响是否违反性能安然对象

以下先容一下FMEA的根基领会手腕。FMEA用于领会体系中的枢纽组件的失效是否会影响性能安然对象，影响性能安然对象的失效是否计划了安然机制，相应的安然机制能够动作性能安然需求而纪录到对应的文档中。FMEA的重要效率物为FMEA Worksheet，下图是来自于Ford的FMEA Handbook，图中给出了FMEA的重要的领会进程：

FMEA的输入有众种，此中斗劲紧急的是性能块图（Functional Block Diagram）和参数图（Parameter Diagram）。性能块图简化了体系计划和援救的任职，正在性能安然观念阶段能够助助速捷修造对产物的领会。性能块图出现了子体系之间的相合和接口，同时也指示了体系所务必供应的性能。下图给出了体系的性能块图的例子：

看待性能块图中的任一性能，对其实行迫害领会时，必要精确该性能的输入信号，运转境遇，摆设音讯及指望的和谬误的输出。把这些音讯整合，能够如下图所示的参数图（Parameter Diagram）：

通过对这些参数的领会，能够得出导致某脾气能展示妨碍的根基来历。正在后续的领会进程中，针对妨碍来历，计划合理的检测和撤消机制，能够有用的晋升体系的安然性。

本文从ISO 26262:2018，Part 3中的根基观念启程，先容了该部门涉及到紧急观念及拓荒进程中必要用到的根基手艺。正在ISO 26262流程中，观念阶段（蕴涵性能安然观念和手艺安然观念）是最紧急的阶段，这个阶段展示的任何马虎，都邑影响后续的性能安然拓荒勾当。因为ISO 26262采用的是V模子，观念阶段蜕变惹起的任务量会至极浩大。本文愿望通过少许紧急观念的注解和适用手艺的阐明，理清性能安然观念的进程，助助性能安然拓荒职员，杀青无误的性能安然观念。

汽车测试网-树立于2008年，报道汽车测试手艺与产物、趋向、动态等 联络邮箱 marketing#auto-testing.net (把#改成@)