ISO 26262 — международный стандарт по функциональной безопасности дорожных транспортных средств. Стандарт был подготовлен к выпуску Техническим комитетом ISO/TC 22/SC 32 «Электрические, электронные компоненты и виды систем общего назначения» Международной организации по стандартизации и выдержал на данный момент 2 издания: первое — в ноябре 2011 года и второе — в декабре 2018 года.
Полное наименование стандарта: «Дорожные транспортные средства — Функциональная безопасность».
Область применения стандарта Хотя в названии стандарта и указано, что он охватывает функциональную безопасность дорожного транспорта, практически же область его применения ограничена электрическими и/или электронными системами, имеющими отношение к выполнению функций, связанных с безопасностью, и установленными на серийно производимых дорожных транспортных средствах. Примерами таких систем могут служить системы электронного управления тягой, высоковольтные инверторы, электронные элементы управления рулем и тормозами, релейные логические цепи.
Действие стандарта не распространяется на мопеды а также на уникальные системы специальных транспортных средств, такие как электронные системы поддержки для водителей-инвалидов. Допускается применение стандарта совместно со стандартами по функциональной безопасности в других промышленных областях, что частично освещено в части 8 стандарта.
Структура стандарта Последнее издание стандарта состоит из 12 частей: Часть 1 — Словарь. Содержит термины, определения, сокращения и описания основных идей и концепций, используемых во всех частях стандарта. Часть 2 — Менеджмент функциональной безопасности. Содержит описание принципов менеджмента функциональной безопасности в рамках компании и в рамках проекта, а также основные шаги по подтверждению соответствия разрабатываемых систем требованиям по функциональной безопасности. Часть 3 — Стадия концепции. Описывает шаги, необходимые для описания исследуемой/разрабатываемой системы, определения создаваемых ею опасностей, проведения оценки рисков по данным опасностям, выявления целей безопасности и функциональных требований по безопасности. Часть 4 — Разработка на уровне системы. В данной части описываются требования, предъявляемые к архитектуре исследуемой или разрабатываемой системы с учетом технических требований по безопасности, её верификации и валидации. Часть 5 — Разработка на уровне аппаратного обеспечения. Определяет процессы идентификации аппаратных требований по безопасности исследуемой/разрабатываемой системы, правила разработки архитектуры аппаратной части системы с учетом этих требований, методы её верификации и валидации. Часть 6 — Разработка на уровне программного обеспечения. Определяет процессы идентификации программных требований по безопасности исследуемой/разрабатываемой системы, правила разработки архитектуры программного обеспечения системы с учетом этих требований, методы его верификации и валидации. Часть 7 — Производство, эксплуатация, обслуживание и списание. Охватывает методы обеспечения функциональной безопасности на этапах жизненного цикла исследуемой/разрабатываемой системы в период после окончания её разработки. Часть 8 — Вспомогательные процессы. Освещает процессы работы с поставщиками и кооперациями, документирования, учета изменений, конфигурирования, определения требований, верификации, квалификации и использования готового программного и/или аппаратного обеспечения в проектах, применения в проекте систем не соответствующих требованиям стандарта и интеграции требований стандарта с требованиями других стандартов по функциональной безопасности. Часть 9 — Анализ безопасности и автомобильных уровней полноты безопасности (ASIL — Automotive Safety Integrity Level). Данная часть содержит описание подходов к декомпозиции ASIL, определению критериев совместного использования различных видов компонентов в составе систем, анализу зависимых отказов и безопасности. Часть 10 — Руководящие указания по ISO 26262. Содержит важные примеры применения требований, освещенных в частях 2-9 стандарта. Часть 11 — Руководящие указания по применению ISO 26262 при разработке полупроводников. Определяет основные идеи и концепции применения стандарта в отношении полупроводниковых компонентов, например микроконтроллеров или интегральных схем, включая анализ их безопасности, тестирование с введением неисправностей, определение моделей отказов и т. д. Часть 12 — Адаптация ISO 26262 для применения в отношении мотоциклов. В последней части обозначены особенности применения стандарта в отношении мотоциклов.
Краткий обзор некоторых частей стандарта
Часть 1 — Словарь В первой части стандарта вводятся термины и определения, которые активно используются в дальнейшем. Стандарт, наряду с заимствованными терминами из IEC 61508, имеет некоторые весьма характерные и местами специфичные для автомобилестроительной индустрии термины и понятия, понимание которых критически важно для качественного прочтения последующих глав.
Функциональная безопасность — отсутствие неприемлемого уровня риска, связанного с опасностями, вызванными некорректным функциональным поведением электронных/электрических систем.
Концепция функциональной безопасности в рамках стандарта повторяет идеи, заложенные в стандарте IEC 61508, который считается «материнским» стандартом по отношению к ISO 26262, то есть при создании последнего во многом базировались на существовавшем тогда IEC 61508.
Часть 2 — Менеджмент функциональной безопасности Во второй части стандарта приводится описание принципов менеджмента функциональной безопасности в рамках компании и в рамках проекта как на стадии разработки, так и на стадиях производства, эксплуатации, обслуживания и списания. Приведено более детальное описание процедур подготовки и проведения аудита функциональной безопасности, оценки функциональной безопасности и подтверждающих обзоров. На диаграмме изображена структура 2 части стандарта. Условно ее можно разделить на 3 части: проектно-независимая и проектно-зависимая части менеджмента функциональной безопасности, а также менеджмент функциональной безопасности при производстве, эксплуатации, обслуживании и списании.
Проектно-независимая часть менеджмента функциональной безопасности направлена на создание и поддержание культуры безопасности, системы менеджмента качества, правил, процессов, подходов для обеспечения функциональной безопасности, управление несоответствиями функциональной безопасности и компетентностью специалистов, участвующих в разработке устройств. Для достижения функциональной безопасности разрабатываемых устройств необходимо обязательное наличие в организации системы менеджмента качества (СМК), при этом СМК может быть построена на основе любого стандарта. Так в качестве стандарта для СМК может использоваться ISO 9001, IATF 16949 или ASPICE. Наличие СМК в организации гарантирует, что процессы, описанные в ISO 26262 будут выстраиваться поверх уже имеющихся процессов разработки качественных устройств, добиваясь таким образом их функциональной безопасности при должном уровне надежности и качества. При отсутствии СМК внедрение ISO 26262 в организации представляется маловероятной и трудоемкой задачей.
Проектно-зависимая часть менеджмента функциональной безопасности направлена на оперирование многими аспектами проекта разработки устройства в организации и охватывает планирование разработки, правила анализа и внесения изменений, управление распределенной разработкой, создание обоснования безопасности, проведение аудитов функциональной безопасности, оценок функциональной безопасности и подтверждающих обзоров.
Планирование и координация действий по обеспечению безопасности являются ключевыми аспектами для любого проекта разработки устройств и находятся в зоне ответственности менеджера по функциональной безопасности. Он вправе делегировать некоторые задачи другим специалистам с соответствующими компетенциями, однако остается ответственным за составление плана безопасности, поддержание его актуальности и обновления текущего статуса разработки. Критически важно, чтобы все действия, указанные в плане, были доведены до соответствующих ответственных лиц (ответственность может быть оформлена в виде RASIC-матрицы).
В соответствии с планом безопасности должно быть разработано обоснование безопасности. Задача этого документа заключается в демонстрации того, что функциональная безопасность достигнута в рамках данного проекта. Выполнение задачи осуществляется за счет правильно выстроенных аргументов безопасности, то есть пояснений «почему данное устройство можно считать функционально безопасным». Каждый аргумент, как правило, состоит из 4 уровней: ядро и 3 уровня.
Для подтверждения безопасности устройства используются 3 подхода: подтверждающие обзоры, аудит функциональной безопасности и оценка функциональной безопасности.
Подтверждающие обзоры (confirmation review) используются в отношении отдельных результатов выполнения работ/задач и предназначены для подтверждения достаточности и адекватности данных результатов с точки зрения их использования в дальнейшем при формировании обоснования безопасности. Подтверждающие обзоры являются промежуточными контрольными точками в ходе жизненного цикла функциональной безопасности разрабатываемого устройства и обязательно должны быть завершены до запуска производства (а также до начала оценки безопасности). Каждый подтверждающий обзор могут проводить один или несколько специалистов по функциональной безопасности, при этом в ходе подтверждающего обзора проверяется корректность, завершенность, целостность и достаточность представленного на обзор результата работ/документа. В приложении C части 2 стандарта довольно подробно приведены основные детали процесса проведения подтверждающего обзора.
При аудите функциональной безопасности (functional safety audit) проводится экспертиза того, насколько процессы разработки электрических и/или электронных систем, имеющих отношение к выполнению функций, связанных с безопасностью, соответствует стандарту ISO 26262 в части описанных в нем процессов разработки. Рекомендуется для проведения в отношении устройств, среди целей безопасностей которых зафиксирован уровень ASIL B, а для устройств с уровнями ASIL C и ASIL D является обязательным. По итогам аудита приводятся рекомендации для разработчика устройства, в том числе и рекомендации по устранению несоответствий в случае наличия таковых.
При оценке функциональной безопасности (functional safety assessment) проверяется полнота и качество обоснования безопасности, созданного для разрабатываемого устройства. Также как и аудит, оценка рекомендуется для проведения в отношении устройств, среди целей безопасностей которых зафиксирован уровень ASIL B, а для устройств с уровнями ASIL C и ASIL D является обязательной. Структура оцениваемых параметров для оценки функциональной безопасности довольно детально раскрыта в приложении D 2 части стандарта. По результатам оценки формируется заключение о достижении, не достижении, или условном достижении функциональной безопасности устройством. В случае условного достижения однозначно указываются условия, при которых устройство считается функционально безопасным. В случае заключения о не достижении указываются причины и требуемые корректировки, после чего оценка повторяется.
Часть 3 — Стадия концепции