TÜV北德功能安全论谈第十六期：ASPICE 3.1硬件扩展及ISO 26262硬件要求的一致性协调 (上)

 

汽车SPICE版本3.1已于2017年11月发布，VDA已于2018年1月发布了解释指南ASPICE 3.1。其中，附录D中的Automotive SPICE 3.1概述了硬件和机械SPICE评估模型概念。那么，如何进行两者硬件要求一致性协调？本文做了初步讨论。

Automotive SPICE 3.1包含HWE.1至HWE.6过程的描述和基本实践。HWE-SPICE包括以下过程：

 

下图演示了Automotive SPICE 3.1中的硬件和机械模型概念。

 

在Automotive SPICE中，软件分解成的最小部分称为SW单元。那么，什么是硬件单元的最小部分？功能安全(ISO 26262)规范包括硬件评估，因此ISO 26262规范的术语已经被重新使用。然而，ISO 26262标准没有定义硬件单元，而是定义了硬件要素和硬件部件。

 

 

图片来源：网络公开图片

 

如图所示，该模块的功能是将230V转换为12/5V的电源电路，这包括不同的硬件部件，并将它们集成到一个硬件单元中。硬件单元具有可映射到单元测试的功能，包括等效类测试：

 

在ISO 26262中，安全审核是对产品的评估。在评估硬件时需要考虑的方面包括：

 

受安全目标影响的所有硬件部件都从安全目标继承ASIL(汽车安全完整性级别，ASIL A–D)。例如在转向系统中，不产生超过驾驶员要求的扭矩。驾驶员转向扭矩由扭矩传感器测量，此扭矩由ECU(电子控制单元)计算，并用于控制电动马达，以便在转向齿条/系统上提供此扭矩。此功能链中受安全目标影响的每个硬件部分都标有适当的ASIL A-D级别。在转向过程中，上述安全目标被评定为ASIL–D。这包括：

 

FIT代表时间上的故障，用109个工作小时内发生的危险失效来衡量。ASIL越高，硬件部件的可靠性就越高。安全目标等级为ASIL D，例如需要达到10FIT，即10-8。109小时的观测时间现在很容易达到，因为现在汽车的寿命估计为104小时，使用这个组件，车队可能会超过100万辆(106)，总计104*106=1010小时。当查看受安全目标影响的单个硬件单元时，ISO 26262标准假设平均约100个此类组件，每个组件有10-10小时，因此100*10-10=10-8 (满足10-8 ASIL–D目标)。

 

ISO 26262第5部分的附录D包括了说明60%、90%或99%诊断覆盖率的指导。简化理解如下：

 

单点故障意味着如果单个硬件部件出现故障，则会出现危险错误。潜在故障是指硬件部分发生故障，诊断没有检测到故障，然后出现潜在故障。单点故障度量使用上述拟合和诊断覆盖率。

 

如果将ASIL–D分配给硬件单元，则需要做出设计决策，因为大多数情况下，无法以ASIL-D质量获得硬件单元/部件，通过使用两种不同的独立和多样化的渠道，有助于将诊断覆盖率提高到99.9%，从而消除FIT。因此，在大多数ASIL排名系统分解成平行的独立单元。

 

HSI指定安全关键软硬件接口，并分配原始变量和功能软件变量。这允许监控和测试影响安全系统行为的安全关键物理和软件参数。

 

对于每个安全目标，受影响的硬件部件及其相关的诊断覆盖率用于计算单点故障的总失效率。对于每个安全目标，受影响的硬件部件及其相关的诊断覆盖率用于计算潜在故障的总失效率。还有更多这样的设计策略，它们需要被集成到硬件SPICE评估模型中。

 

关于硬件开发流程的具体设计，我们将在下期具体说明。