Odpovědí na úsilí výrobců je norma ISO 26262, notma která vychází z normy IEC 61508 a která se stala novou fuknční bezpečnostní normou pro automobilový průmysl. Téměř všichni výrobci automobilů požadují, aby jejich dodavatelský řetězec dodržoval procesy kompatibilní s normou ISO 26262 a dodával hardwarové a softwarové komponenty splňující požadavky normy.
Během posledních dvaceti let se výrazně zvýšila složitost elektrických a elektronických systémů používaných v automobilech. Vozidla vyráběná v 80. letech dvacátého století byla vybavena pouze několika elektronickými řídicími moduly nejdůležitějších soustav: palivové soustavy, posilovače řízení, kontrola trakce apod. Moderní auta mají mnohem více elektroniky: systém nouzového brzdění, systém sledování mrtvého úhlu, adaptivní pneumatické pérování, multimediální systémy a spoustu jiných prvků, díky nimž je jízda nejenom bezpečnější, ale i příjemnější. Kromě samotných zařízení, která ovládají a upravují funkce vozidla, důležitou roli sehrává také jejich software. Navíc, tyto systémy vzájemně komunikují, vyměňují informace ze snímačů, sledují aktuální provozní stavy a předávají příkazy jiným soustavám.
Složitá struktura je náchylná k poruchám různého druhu, způsobeným poškozeními nebo vadami zařízení a softwaru. Každé takové selhání může představovat vážné ohrožení. Například: během jízdy, z důvodu chybného signálu z čidla může dojít k neočekávánému aktivování airbagu; nebo při jízdě v noci, úzkou klikatou silnicí, selhání softwaru může způsobit neočekávané zhasnutí světlometů a podobně. Takové situace ohrožují život a bezpečnost osob uvnitř a vně vozidla.
Za účelem zajištění bezpečnosti a ochrany života uživatelů, se výrobci automobilů snaží zabránit všem případům tohoto druhu. Důvodem jsou často také ekonomická hlediska, tj. nutnosti nahradit nesprávné komponenty nebo aktualizovat vadný software. Bez ohledu na důvody, bezpečnost musí být základem funkčnosti vozidla již od prvního dne jeho provozu.
Norma reaguje na zmíněné výzvy a pokrývá návrh, vývoj a výrobu produktů. Procesy navržené a realizované k dosažení shody s požadavky ISO 26262 minimalizují všechna nežádoucí rizika a soustředí se na funkční bezpečnost produktu. V současnosti je téměř nemožné dodávat automobilové komponenty značkám jako je Volvo, VW, Toyota, Tesla, Ford, BMW, Mercedes nebo Fiat bez certifikovaného Systému funkční bezpečnosti podle ISO 26262. Stále více dodavatelů z Evropy, Spojených států a Asie dodává komponenty, které jsou certifikované podle mezinárodně uznávané normy pro funkční bezpečnost pro silniční vozidla. Norma ISO 26262 je orientovaná na splnění cílů funkční bezpečnosti. Řešením prostřednictvím eleminace všech nepřijatelných rizik a hrozeb, přičemž norma využívá rizikový přístup v průběhu celého životního cyklu bezpečnosti výrobku: od základního konceptu, přes návrh, vývoj až po výrobu a provoz.
Podle základní koncepce, pokud selže jakéhokoliv komponent, nesmí způsobit ohrožení pro osoby uvnitř nebo vně vozidla. Nesprávná funkce musí být pod kontrolou uživatele, která umožní řidiči vozdila udržet kontrolu nad neočekávanou situací. Výchozím bodem je identifikace rizika, následná vyyžadované opatření a úkony jsou založené na stupni klasifikace ASIL (Automotive Safety Integrity Level) daného komponentu. Větší hrozba související s chybnou funkcí komponentu znamená vyšší úroveň ASIL přiřazenou danému komponentu.
Sub systém klasifikovaný ASIL A má nejmenší vliv na lidské zdraví a proto vyžaduje významně menší úsilí a opatření pro zmírnění rizik. Dobrý příkladem je například autorádio – vliv jeho poškození na bezpečnost je nulový nebo zanedbatelný, a řidič je schopen bez problému ovládnout situaci. Selhání komponentů, které jsou důležitější z hlediska bezpečnosti (např. Brzdový systém ABS/ASR/BA) může způsobit ohrožení zdraví a života. Tyto komponenty, které jsou z pohledu bezpečnosti klíčové, musí splňovat požadavky nejvyšší klasifikace úrovně bezpečnosti – ASIL D – a vyžadují rozsáhlé opatření na snížení rizik, aby potenciální porucha soustavy nezpůsobila úraz řidiče, spolujezdců nebo ostatních účastníků silničního provozu.
Je důležité připomenout, že ISO 26262 může být použitá pro čistě hardwarové komponenty, čistě softwarové anebo jejich kombinaci – hardware s běžícími softwarovými systémy.
Norma se skládá z 10 dokumentů, z čehož 8 stanoví požadavky týkající se řízení, fáze konceptu, vývoje produktu, výroby, provozu a podpory. Podle rozsahu prací subdodavatele, lze definovat jako procesy dodávky kompletních provozních jednotek (např. přední světlomety) nebo jednotlivých komponentů, např. malé součásti zařízení nebo softwaru, nebo spojení obou (např. softwarový modul pro sledování obsazení sedadla).
Zavedení procesů funkční bezpečnosti podle ISO 26262 lze propojit se systémy řízení existujícími v organizaci. Systém řízení funkční bezpečnosti může být součástí systému řízení jakosti (ISO 9001, ISO/TS 16949 nebo jiného) a používané metodologie výzkumu a vývoje (Waterfall nebo Agile). Navíc, podporuje modely zralosti SPICE nebo CMMI a je s nimi částečně shodný. Což je také důležité, ve společnostech s vysokou úrovní procesní zralosti, správně navržené a zavedené procesy ISO 26262 nevyžadují žádné dodatečné náklady.
Navržení a zavedení systému řízení funkční bezpečnosti (FSMS - Functional Safety Management System) neliší se výrazně od zavádění jiných systému řízení procesů – např. od systému řízení jakosti podle ISO 9001. Je nutné zmínit, že ISO 26262 vyžaduje vyhodnocení spolehlivosti a důvěryhodnosti softwarových nástrojů, používaných během životního cyklu bezpečnosti výrobku. Díky tomu lze získat jistotu, že použitý software pro podporu výrobního procesu daného komponentu nezpůsobí dodatečné chyby produktu. Příklad: je nutné ověřit, zda kompilátor vždy poskytuje správný strojový kód a zda nepřidává žádné nežádoucí (dodatečné) funkce do programu. Na trhu je k dispozici řada softwarových nástrojů, certifikovaných podle normy ISO 26262, pro všechny úrovně ASIL – od A po D.
Systémy řízení funkční bezpečnosti jsou zpravidla vyhodnoceny a certifikovány z hlediska splnění požadavků ISO 26262. Proces certifikace probíhá podobně jako audity prováděné podle jiných norem. Volba zkoušených a certifikovaných procesních oblasti záleží na rozsahu prací, nezbytných k výrobě komponentu. V rámci tzv. rozdílové analýzy (gap analysis) se ověřují technické, řídicí a podpůrné procesy a způsob jejich zavedení. Jejím výsledkem je identifikace prvků systému řízení funkční bezpečnosti organizace a také její provozní funkce, které vyžadují úpravu.
Samotný komponent také může získat certifikát funkční bezpečnosti ISO 26262 – norma stanoví ověřovací úkony, které je nutné provést pro zjištění, zda výrobek splňuje cíle a bezpečnostní požadavky. Závěrečnou kontrolu může provést externí subjekt, který v příslušném prohlášení potvrdí – stejně jako u systému řízení funkční bezpečnosti – že výrobek splňuje požadovanou úroveň bezpečnosti. Vydaný certifikát bude zákazníkům deklarovat, že se výrobek nestane zdrojem ohrožení.
Moderní automobily s desítkami elektrických a elektronických systémů, plně autonomní vozidla – to všechno dnes činí moderní auta více náchylná k poruchám a výrobci automobilů zvyšují své úsilí, aby se bezpečnost stala dnes absolutní prioritou. Subdodavatelé automobilového průmyslu na celém světě již vyrábí produkty podle požadavků ISO 26262, nebo jsou ve fázi přizpůsobování svých procesů na splnění očekávání OEM. Funkční bezpečnost je nedílnou součástí celkové bezpečnosti finálního výrobku.
Zaujal Vás tento článek nebo máte jiné dotazy týkající se certifikace, assessmentů či školení v automobilovém průmyslu? kontaktujte nás nebo požádejte o bezplatnou nabídku služeb.
Bezpečnost už není luxus, ale nutnost!
Funkční bezpečnost (Functional Safety) - výzva
Během posledních dvaceti let se výrazně zvýšila složitost elektrických a elektronických systémů používaných v automobilech. Vozidla vyráběná v 80. letech dvacátého století byla vybavena pouze několika elektronickými řídicími moduly nejdůležitějších soustav: palivové soustavy, posilovače řízení, kontrola trakce apod. Moderní auta mají mnohem více elektroniky: systém nouzového brzdění, systém sledování mrtvého úhlu, adaptivní pneumatické pérování, multimediální systémy a spoustu jiných prvků, díky nimž je jízda nejenom bezpečnější, ale i příjemnější. Kromě samotných zařízení, která ovládají a upravují funkce vozidla, důležitou roli sehrává také jejich software. Navíc, tyto systémy vzájemně komunikují, vyměňují informace ze snímačů, sledují aktuální provozní stavy a předávají příkazy jiným soustavám.
Složitá struktura je náchylná k poruchám různého druhu, způsobeným poškozeními nebo vadami zařízení a softwaru. Každé takové selhání může představovat vážné ohrožení. Například: během jízdy, z důvodu chybného signálu z čidla může dojít k neočekávánému aktivování airbagu; nebo při jízdě v noci, úzkou klikatou silnicí, selhání softwaru může způsobit neočekávané zhasnutí světlometů a podobně. Takové situace ohrožují život a bezpečnost osob uvnitř a vně vozidla.
Za účelem zajištění bezpečnosti a ochrany života uživatelů, se výrobci automobilů snaží zabránit všem případům tohoto druhu. Důvodem jsou často také ekonomická hlediska, tj. nutnosti nahradit nesprávné komponenty nebo aktualizovat vadný software. Bez ohledu na důvody, bezpečnost musí být základem funkčnosti vozidla již od prvního dne jeho provozu.
Řešení: ISO 26262
Norma reaguje na zmíněné výzvy a pokrývá návrh, vývoj a výrobu produktů. Procesy navržené a realizované k dosažení shody s požadavky ISO 26262 minimalizují všechna nežádoucí rizika a soustředí se na funkční bezpečnost produktu. V současnosti je téměř nemožné dodávat automobilové komponenty značkám jako je Volvo, VW, Toyota, Tesla, Ford, BMW, Mercedes nebo Fiat bez certifikovaného Systému funkční bezpečnosti podle ISO 26262. Stále více dodavatelů z Evropy, Spojených států a Asie dodává komponenty, které jsou certifikované podle mezinárodně uznávané normy pro funkční bezpečnost pro silniční vozidla. Norma ISO 26262 je orientovaná na splnění cílů funkční bezpečnosti. Řešením prostřednictvím eleminace všech nepřijatelných rizik a hrozeb, přičemž norma využívá rizikový přístup v průběhu celého životního cyklu bezpečnosti výrobku: od základního konceptu, přes návrh, vývoj až po výrobu a provoz.
Podle základní koncepce, pokud selže jakéhokoliv komponent, nesmí způsobit ohrožení pro osoby uvnitř nebo vně vozidla. Nesprávná funkce musí být pod kontrolou uživatele, která umožní řidiči vozdila udržet kontrolu nad neočekávanou situací. Výchozím bodem je identifikace rizika, následná vyyžadované opatření a úkony jsou založené na stupni klasifikace ASIL (Automotive Safety Integrity Level) daného komponentu. Větší hrozba související s chybnou funkcí komponentu znamená vyšší úroveň ASIL přiřazenou danému komponentu.
Sub systém klasifikovaný ASIL A má nejmenší vliv na lidské zdraví a proto vyžaduje významně menší úsilí a opatření pro zmírnění rizik. Dobrý příkladem je například autorádio – vliv jeho poškození na bezpečnost je nulový nebo zanedbatelný, a řidič je schopen bez problému ovládnout situaci. Selhání komponentů, které jsou důležitější z hlediska bezpečnosti (např. Brzdový systém ABS/ASR/BA) může způsobit ohrožení zdraví a života. Tyto komponenty, které jsou z pohledu bezpečnosti klíčové, musí splňovat požadavky nejvyšší klasifikace úrovně bezpečnosti – ASIL D – a vyžadují rozsáhlé opatření na snížení rizik, aby potenciální porucha soustavy nezpůsobila úraz řidiče, spolujezdců nebo ostatních účastníků silničního provozu.
Je důležité připomenout, že ISO 26262 může být použitá pro čistě hardwarové komponenty, čistě softwarové anebo jejich kombinaci – hardware s běžícími softwarovými systémy.
ISO 26262 v praxi
Norma se skládá z 10 dokumentů, z čehož 8 stanoví požadavky týkající se řízení, fáze konceptu, vývoje produktu, výroby, provozu a podpory. Podle rozsahu prací subdodavatele, lze definovat jako procesy dodávky kompletních provozních jednotek (např. přední světlomety) nebo jednotlivých komponentů, např. malé součásti zařízení nebo softwaru, nebo spojení obou (např. softwarový modul pro sledování obsazení sedadla).
Zavedení procesů funkční bezpečnosti podle ISO 26262 lze propojit se systémy řízení existujícími v organizaci. Systém řízení funkční bezpečnosti může být součástí systému řízení jakosti (ISO 9001, ISO/TS 16949 nebo jiného) a používané metodologie výzkumu a vývoje (Waterfall nebo Agile). Navíc, podporuje modely zralosti SPICE nebo CMMI a je s nimi částečně shodný. Což je také důležité, ve společnostech s vysokou úrovní procesní zralosti, správně navržené a zavedené procesy ISO 26262 nevyžadují žádné dodatečné náklady.
Navržení a zavedení systému řízení funkční bezpečnosti (FSMS - Functional Safety Management System) neliší se výrazně od zavádění jiných systému řízení procesů – např. od systému řízení jakosti podle ISO 9001. Je nutné zmínit, že ISO 26262 vyžaduje vyhodnocení spolehlivosti a důvěryhodnosti softwarových nástrojů, používaných během životního cyklu bezpečnosti výrobku. Díky tomu lze získat jistotu, že použitý software pro podporu výrobního procesu daného komponentu nezpůsobí dodatečné chyby produktu. Příklad: je nutné ověřit, zda kompilátor vždy poskytuje správný strojový kód a zda nepřidává žádné nežádoucí (dodatečné) funkce do programu. Na trhu je k dispozici řada softwarových nástrojů, certifikovaných podle normy ISO 26262, pro všechny úrovně ASIL – od A po D.
Systémy řízení funkční bezpečnosti jsou zpravidla vyhodnoceny a certifikovány z hlediska splnění požadavků ISO 26262. Proces certifikace probíhá podobně jako audity prováděné podle jiných norem. Volba zkoušených a certifikovaných procesních oblasti záleží na rozsahu prací, nezbytných k výrobě komponentu. V rámci tzv. rozdílové analýzy (gap analysis) se ověřují technické, řídicí a podpůrné procesy a způsob jejich zavedení. Jejím výsledkem je identifikace prvků systému řízení funkční bezpečnosti organizace a také její provozní funkce, které vyžadují úpravu.
Samotný komponent také může získat certifikát funkční bezpečnosti ISO 26262 – norma stanoví ověřovací úkony, které je nutné provést pro zjištění, zda výrobek splňuje cíle a bezpečnostní požadavky. Závěrečnou kontrolu může provést externí subjekt, který v příslušném prohlášení potvrdí – stejně jako u systému řízení funkční bezpečnosti – že výrobek splňuje požadovanou úroveň bezpečnosti. Vydaný certifikát bude zákazníkům deklarovat, že se výrobek nestane zdrojem ohrožení.
Závěrem
Moderní automobily s desítkami elektrických a elektronických systémů, plně autonomní vozidla – to všechno dnes činí moderní auta více náchylná k poruchám a výrobci automobilů zvyšují své úsilí, aby se bezpečnost stala dnes absolutní prioritou. Subdodavatelé automobilového průmyslu na celém světě již vyrábí produkty podle požadavků ISO 26262, nebo jsou ve fázi přizpůsobování svých procesů na splnění očekávání OEM. Funkční bezpečnost je nedílnou součástí celkové bezpečnosti finálního výrobku.
Zaujal Vás tento článek nebo máte jiné dotazy týkající se certifikace, assessmentů či školení v automobilovém průmyslu? kontaktujte nás nebo požádejte o bezplatnou nabídku služeb.
Bezpečnost už není luxus, ale nutnost!
