寻找供应商
广告
首页 > 汽车测试技术 > 正文

功能安全的危害分析和风险评估方法

2020-04-03 19:04:33·  来源：原创 电动笔记侠 电动学堂  
　
作者单位：比亚迪汽车工业有限公司DOI:10.16638/j.cnki.1671-7988.2019.15.033引言所谓功能安全，即是通过分析和设计，将系统电子元器件失效引起的安全风险降低
作者单位：比亚迪汽车工业有限公司
DOI:10.16638/j.cnki.1671-7988.2019.15.033
 
引言
 
所谓功能安全，即是通过分析和设计，将系统电子元器件失效引起的安全风险降低到社会接受的水平｡关于汽车功能安全的研究由来已久，早在上世纪80 年代，欧洲已经针对发动机系统电子元器件失效的问题提出了EGAS 三层架构｡之后，工程师们将功能安全的开发思想和流程逐渐整理完善，并于2011 年11 月，发布了第一版汽车电子电气系统功能安全的国际标准ISO 26262，之后第二版也于2018 年正式发布｡
 
ASIL，全称汽车安全完整性等级(Automotive SafetyIntegrity Level)，用于描述失效风险水平以及系统功能可靠性的大小，是贯穿整个功能安全开发过程的一个重要概念｡因此，ASIL 评估的正确与否，对功能安全的开发起着至关重要的作用｡
然而，在实际开发过程中，由于ISO 26262 对于ASIL的定义过于抽象，很多工程师难以理解ASIL 的物理意义，加上ISO 26262 中关于ASIL的评估准则主观性太强，导致很多工程师难以得出客观有效的ASIL 评估结果｡为此，美国机动车工程师学会先后发布了SAE J2980 的第一版和第二版用于指导ASIL 定级，但是该标准在很多问题上还是过于主观，在实际应用中还存在很多问题｡
 
因此，本文通过数学推导介绍了ASIL 的物理意义，同时结合实际的工程应用问题，提出了九点建议准则，作为为ASIL 评估的参考意见｡
 
1ASIL物理意义及评估参考准则
 
所谓功能安全，就是功能失效引起的后果降低到社会能够接受的水平｡换就话说，就是希望导致事故严重度(S)越高的失效，引起事故发生的概率(f)越低，即：
 
其中λ 为一个定值，代表社会的接受水平｡
其中事故发生的概率f 需要从三个方面进行综合考虑：首先，它和电子元器件发生失效的概率f0相关;其次，即便电子元器件发生失效，其造成的事故的严重度(S)也是和事故发生的场景息息相关的，例如对刹车失效而言，该故障发生在雨雪天造成的后果比在晴天发生造成的后果要严重，因此，f 也和场景发生的概率相关，即暴露率(E);最后，即便发生了故障，有的问题驾驶员和行人具有处理能力，能防止事故的发生，因此，f 也和驾驶员和行人的故障处理能力相关，即可控性(C)｡因此，公式(1)可以写成如下：
 
公式中f0是和电子元器件系统的设计水平直接挂钩的，f0越小，代表系统的失效率非常低｡因此，功能安全取，利用严重度(S)､暴露率(E)､可控性(C)三者来计算ASIL等级，ASIL等级越高表明事故的后果越严重，我们需要失效率更低的电子元器件系统才能控制住该失效引起的风险｡因此，ASIL 既能用于描述失效风险的大小，也能用于描述系统的安全等级｡
 
如表1 所述，ASIL 基于严重度(S)､暴露率(E)､可控性(C)三者等级而确定｡SAE J2980 和ISO 26262 均给出了严重度(S)､暴露率(E)､可控性(C)的评估标准，但是这些准则主观性太大，不适合实际功能安全开发｡
结合SAE J2980､ISO 26262 以及实际开发经验，本文就ASIL 的评估问题，提出以下的一些参考准则：
 
准则1：评估的重点始终为整车层面单个功能的影响，而且暂且不考虑已经或者将要实施的安全机制(故障检测､报警､处理等安全措施)｡
准则2：驾驶员的过失操作不在考虑范围内｡
准则3：场景不可分割太细，否则暴露率会过低，造成整体ASIL等级过低的后果｡倘若场景的分割操作不会对严重度和可控性造成影响，仅仅只能降低暴露率，那这样的场景分割操作就是没必要的｡
准则4：凡是和机械刹车失效､转向失效､电池燃烧､电控爆炸相关的故障，通常情况下严重度均取最高等级S3｡类似效果的故障也取S3，例如驾驶过程中误触发电子驻车制动系统(EPB)，因为其效果和意外刹车一样，因此，严重度等级也取S3｡
准则5：对同一个失效，在转弯或者超车的场景下的严重度比直线行驶场景下的严重度要高一个到两个等级｡
准则6：暴露率评估可以采取按环境条件约束数量逐级递减的方法｡例如高速超车的情况，暴露率可以按照如下方法逐级分解为：高速公路暴露率等级为4，同时考虑超车的情况，暴露率等级降低一级为3，因此高速超车的暴露率等级为3｡
准则7：和场景无关的危害的暴露率等级均取4倘若一个失效在任何场景下都会发生严重的事故，则其暴露率可以直接评定为4。
准则8：可控性评估需要考虑驾驶员的应对能力，倘若驾驶员有充足的时间进行反应和处理，则可以适当降级｡因此，车速和前后车距是可控性评估的重要考虑因素｡
准则9：有的故障在引起事故前已经做出报警，或者驾驶员可明显感知到异常，则可以适当降低可控性等级｡
 
2 总结
本文从数学层面分析了ASIL 的物理意义，同时，针对实际功能安全开发过程中ASIL 评估主观性强的问题，提出了九点建议准则｡本文的工作成果对ASIL 的评估工作就有一定的指导意义，功能安全工程师们在实际开发过程中可以酌情参考采纳｡
分享到：
 
反对 0 举报 0 收藏 0 评论 0
  • 汽车测试网V课堂

    汽车测试网V课堂

  • 微信公众号

    微信公众号

  • 汽车测试网手机站

    汽车测试网手机站

• 设计仿真 | Digimat用于碰撞、冲击模拟热塑性塑料材料解决 • 电驱动总成NVH激励源分析与优化策略
• ENCAP2026对前向碰撞避免的要求④ • 信号分析仪灵敏度的深度解析
• ENCAP2026对前向碰撞避免的要求③ • 电动汽车用逆变器开发中的高阶波形分析(一)
• ENCAP2026对前向碰撞避免的要求② • 某纯电动汽车蠕行工况轰鸣问题分析与控制策略优化
• 4G/5G网络新时代的高效紧急呼叫系统NG-eCall • 设计仿真 | 新版本Dytran 用户子程序调用及案例分享
0 条相关评论
广告
  • 广告
  • 广告

编辑推荐

最新资讯

  • 广告
  • 广告
沪ICP备11026917号-25