ISO 26262 – funktionel sikkerhed i bilindustrien

Moderne køretøjer er fyldt med elektronik – fra motorstyringssystemer over førerassistentsystemer til sensorer og aktuatorer. At sikre deres fejlfri funktion er afgørende for sikkerheden. Standarden ISO 26262:2018 Road Vehicles – Functional Safety er en international standard, der fastlægger kravene til funktionssikkerhed for elektriske og elektroniske (E/E) systemer i vejgående køretøjer. Den er en tilpasning af den generelle standard IEC 61508 (som omhandler funktionssikkerhed på tværs af alle brancher), specifikt tilpasset bilindustriens vilkår. Formålet med ISO 26262 er at forebygge uacceptabel risiko forbundet med fejl i elektroniske systemer – ved at definere processer for risikovurdering og implementere sikkerhedsforanstaltninger, der reducerer risikoen til et acceptabelt niveau. Med andre ord adresserer standarden potentielle farer forårsaget af fejl i køretøjers elektronik og angiver, hvordan man modvirker dem.

ISO 26262 blev første gang udgivet i 2011, oprindeligt med et anvendelsesområde begrænset til personbiler med en masse op til 3,5 ton. Anden udgave fra 2018 introducerede væsentlige udvidelser – den kom til at omfatte alle vejgående køretøjer (lastbiler, busser, motorcykler m.m., dog med undtagelse af knallerter) og tilføjede nye afsnit om bl.a. halvlederkomponenter. Dermed afspejler standarden den voksende kompleksitet og variation i moderne bilers elektroniske systemer og tager højde for deres særlige udfordringer.

IEC 61508 som grundlag: Det er værd at understrege, at ISO 26262 udspringer direkte af moderstandarden IEC 61508, men at den er tæt tilpasset behovene i automotive-branchen. Det betyder, at metoden til risikovurdering, klassificering af farer og valg af sikkerhedsforanstaltninger er udformet til køretøjers typiske driftsforhold. Standarden definerer bl.a. en dedikeret sikkerhedslivscyklus for automotive og introducerer begreber, der er specifikke for dette område, såsom Automotive Safety Integrity Level beskrevet nedenfor.

ISO 26262 strukturerer hele arbejdet med at sikre funktionssikkerhed i produktets livscyklus – fra koncept over design, integration og test til produktion, drift og udfasning. Standarden angiver, hvilke aktiviteter der skal gennemføres i hver af disse faser for at identificere potentielle farer og minimere risikoen for fejl, der kan skabe farlige situationer.

ASIL-niveauer – risikoklassificering i ISO 26262

Et af de centrale begreber i ISO 26262 er ASIL (Automotive Safety Integrity Level), dvs. niveauet for funktionssikkerhedens integritet i automotive. ASIL er en skala til vurdering af risikoen forbundet med en potentiel fejl i et givent system – den angiver, hvor strenge sikkerhedsforanstaltninger der skal anvendes for at reducere risikoen til et acceptabelt niveau. Standarden definerer fire ASIL-niveauer: A, B, C, D (fra lavest til højest) samt kategorien QM (Quality Management), som betyder, at der ikke stilles sikkerhedskrav ud over de almindelige kvalitetsprocesser.

Fastlæggelse af ASIL-niveau: ASIL-niveauet fastlægges under fareanalyse og risikovurdering (Hazard Analysis and Risk Assessment, HARA). For hver potentiel fare vurderes tre nøglefaktorer: Severity – alvorligheden af de mulige konsekvenser (f.eks. personskade), Exposure – eksponering, dvs. hvor ofte situationer, der kan føre til fejlen, forekommer, samt Controllability – kontrollerbarhed, dvs. førerens mulighed for at håndtere situationen. Kombinationen af disse faktorer omsættes til en risikoklassificering. Niveauerne fra ASIL A til ASIL D afspejler netop den maksimale alvorlighed af fejlens konsekvenser, sandsynligheden for personskade samt muligheden for at kontrollere hændelsen. På baggrund af disse parametre tildeles den relevante sikkerhedsintegritetsklasse for den pågældende fare – eller QM, hvis risikoen er så lav, at almindelige designaktiviteter er tilstrækkelige.

ASIL’s betydning i risikovurderingen: Fastlæggelsen af det korrekte ASIL-niveau er helt afgørende, fordi det er dette, der bestemmer, hvor stringent udviklingsprocessen for systemet skal være. Jo højere ASIL, desto mere restriktive krav skal projektet opfylde – både i forhold til hardware-/softwarearkitekturen og i forhold til fremstilling, test og validering. Standarden stiller entydigt krav om, at der ved højere ASIL-niveauer skal leveres mere detaljeret dokumentation, anvendes strengere designregler, gennemføres mere dybdegående sikkerhedsanalyser samt foretages uafhængige gennemgange af arbejdsresultater. I praksis medfører et højt ASIL ofte, at der indbygges redundans og diagnostik i designet – så en enkelt fejl ikke fører til tab af sikkerhedsfunktionen. Til illustration: livskritiske systemer som airbags, ABS-systemet eller elektrisk servostyring klassificeres typisk som ASIL D, fordi en fejl udgør en alvorlig risiko for passagererne. Mindre kritiske funktioner, fx bageste positionslys, kan derimod få ASIL A eller endda blive vurderet som QM, fordi en eventuel fejl ikke indebærer nogen stor risiko. Denne tilgang gør det muligt at koncentrere den største ingeniørindsats dér, hvor den er mest nødvendig – ved de systemer, som menneskers sikkerhed afhænger af.

Strukturen i ISO 26262:2018 – del 1–10

ISO 26262-standarden (udgaven fra 2018) er opdelt i en række dele, som hver især fokuserer på et andet aspekt af sikkerhedens livscyklus. Kernen i standarden udgøres af ni normative dele (1–9) samt en ekstra del med retningslinjer (del 10). I anden udgave blev der desuden tilføjet del 11 og 12, som omhandler specifikke emner (henholdsvis halvledere og motorcykler), men i gennemgangen nedenfor fokuserer vi på de grundlæggende dele 1–10, som har universel anvendelse. Tabellen nedenfor viser de enkelte dele af ISO 26262:2018 sammen med deres titler og emnemæssige afgrænsning:

(Bemærk: I udgaven fra 2018 blev der også tilføjet del 11 – Vejledning vedrørende halvlederkomponenter samt del 12 – Tilpasning af ISO 26262 til motorcykler. Begge er supplerende, informative dokumenter, der udvider standardens anvendelsesområde til disse områder)

Som det fremgår, afspejler strukturen i ISO 26262:2018 de enkelte trin og aspekter i processen med at udvikle sikre systemer. Del 3–7 fører ingeniører gennem de efterfølgende faser – fra fastlæggelse af koncept og sikkerhedskrav, over systemdesign samt implementering på hardware- og softwareniveau, til fremstilling og anvendelse af produktet. Del 2 sikrer, at hele denne proces gennemføres inden for rammerne af en passende sikkerhedsledelse på virksomheds- og projektniveau. Del 8 leverer derudover organisatoriske og tekniske værktøjer (fx konfigurationsstyring eller værktøjskvalificering), som understøtter opfyldelsen af sikkerhedskravene i hvert eneste trin. Del 9 stiller analysemetodikker til rådighed og sikrer, at vi på intet tidspunkt overser faktorer, der påvirker risikoen (ASIL), og at vi identificerer potentielle fælles eller skjulte fejl. Tilsammen udgør alle disse elementer et omfattende system til sikring af funktionel sikkerhed.

ISO 26262:2018 strukturerer hele livscyklussen for funktionel sikkerhed i bilindustrien – fra konceptfasen, over detaljeret design og verifikation, til serieproduktion, vedligeholdelse og udfasning af produktet. Dermed udgør den en sammenhængende ramme for producenter og leverandører: fra risikoanalyse og fastlæggelse af sikkerhedskrav, over implementering af disse krav i de udviklede systemer og software, til afsluttende test og overvågning af produktet i drift. Anvendelse af standarden sikrer, at intet sikkerhedsaspekt bliver overset – fra projektledelse på højeste niveau til den mindste tekniske detalje. Resultatet er køretøjer udstyret med avancerede systemer, som samtidig lever op til strenge sikkerhedskriterier og minimerer risikoen for brugerne.

Vi ved, hvordan ISO 26262-kompatibel udvikling ser ud – fra risikoanalyse til afsluttende test. Med vores viden og erfaring hjælper vi med at implementere standardens krav i alle projektets faser, så funktionel sikkerhed ikke bliver et tillæg, men en integreret egenskab ved dit produkt.