MUNIK ꄲ 技术分享 ꄲ MUNIK标准解读 ꄲ MUNIK解读ISO26262：功能安全之系统阶段-系统安全分析

MUNIK解读ISO26262：功能安全之系统阶段-系统安全分析

—原创文章，文章内所有内容文字资料，版权均属本公众号所有，任何媒体、网站、公众号或个人未经本公众号授权不得转载、转贴、引用或以其他方式复制发布、发表。已经本公众号授权的媒体、网站、公众号、个人，在下载使用时必须注明来源，违者本公众号将依法追究相关责任.

回到本文的源头文章“ISO26262标准解读”，请点击链接：ISO26262 Functional Safety of Automotive汽车功能安全服务

回到知识分享，请点击链接：MUNIK中国-技术分享

功能安全之系统阶段-系统安全分析

安全分析在ISO26262标准中横跨了多个阶段例如：概念阶段、系统架构阶段、硬件详设阶段和软件详设阶段，其中part5中的安全分析工具FMEDA是标准中唯一一个和ASIL等级挂钩的，在Part5中也用了很大篇幅在介绍该安全分析的实施。我们本篇是写系统阶段的安全分析，我会用以下几个话题来讨论系统阶段的安全分析是怎样的。

l 为什么要做安全分析？

l 标准中对于系统阶段安全分析的定义

l 系统层级安全分析的示例说明

1. 为什么要做安全分析

在ISO 26262标准中，安全分析是一个关键的过程，旨在确保汽车电子系统的安全性。

安全分析的目的是识别潜在的危险和风险，评估这些风险的严重性和可能性，并制定相应的措施来减轻或消除这些风险，以保证系统在各种情况下都能维持在安全状态。

简单来讲就是安全分析和仿真一样属于产品研发阶段做的事前的分析，它可以预测产品的可靠性，判断系统的鲁棒性并且依据当前的薄弱点设计安全措施并制定持续优化的改进过程。因此，安全分析并非是一蹴而就的事情。

2. 标准中对于系统阶段安全分析的定义

在ISO26262标准的Part4 中的Table 1中给出了在系统阶段安全分析的方法，如下图所示。

演绎法（Deductive Analysis Method）：通常使用FTA的方法，是一种自上而下的分析方法，它从已知的影响出发，通过逻辑推理来寻找可能的原因。

归纳法（Inductive Analysis Method）：在系统层级使用方法通常是FMEA，归纳法是一种自下而上的分析方法，它从已知的原因出发，通过观察和实验来预测可能的影响。

上述两种方法是系统阶段的两种方法对用的工具，为了清晰表达出来每个阶段的安全分析方法，我总结了如下的表格：

在此篇中我们着重介绍系统阶段的安全分析，其他的不在此处赘述（会在其他的文章中体现，DFA可参考我们之前的文章：“功能安全之DFA相关失效分析”，其余的安全分析类的解读文章会陆续更新）

标准中要求在进行系统架构的安全分析时参考：“ISO 26262-9:2018, Clause 8”,其目的在于:

（1）为系统设计的适合性提供证据,以证明其适合提供与ASIL等级相适应的特定安全相关功能和特性;

（2）识别失效原因和故障影响;识别或确认安全相关系统要素和接口;

（3）支持设计规范,并基于已识别的故障原因和失效影响验证安全机制的有效性。

3. 系统层级安全分析的示例说明

FTA

FTA在系统阶段的作用是通过SG导出FSR，通过FSR导出TSR，适用于复杂的系统，该方法是可选择的（不一定必须使用），在我们的前期分享的标准解读文章（链接点击此处：MUNIK解读ISO26262：功能安全之概念阶段-FSC-FSR-MUNIK），文章中图二有提到使用FTA的方法从SG导出FSR的过程，在此不在赘述，大家感兴趣的可以去看看。

FMEA

FMEA在系统阶段和详设阶段主要的不同是“层级”不同，分析方法完全是一致的，以MCU举个例子来讲：