內(nèi)容提要：在本文中，我們提出了ISO 26262和ISO 21448之間的詳細(xì)工作流程，展示了哪些階段需要協(xié)調(diào)一致。我們還討論了確保解決SOTIF問(wèn)題的設(shè)計(jì)更改不會(huì)導(dǎo)致新的FuSa問(wèn)題的必要性，反之亦然。我們通過(guò)一個(gè)示例架構(gòu)討論了工作流，該架構(gòu)具有對(duì)驅(qū)動(dòng)、制動(dòng)和轉(zhuǎn)向執(zhí)行器的自動(dòng)控制功能。

確保安全對(duì)于自動(dòng)駕駛汽車來(lái)說(shuō)非常重要。自動(dòng)駕駛安全性主要可以從兩個(gè)角度來(lái)看：功能安全(FuSa)和預(yù)期功能安全(SOTIF)。FuSa確保系統(tǒng)在電氣和電子元件失效時(shí)的風(fēng)險(xiǎn)可接受，而SOTIF確保系統(tǒng)在功能不足和性能限制時(shí)的風(fēng)險(xiǎn)可接受。

ISO 26262 和ISO 21448是先進(jìn)的國(guó)際標(biāo)準(zhǔn)，分別用于確保自動(dòng)駕駛汽車系統(tǒng)符合FuSa和SOTIF。ISO 21448標(biāo)準(zhǔn)提到需要使ISO 26262開(kāi)發(fā)活動(dòng)與ISO 21448開(kāi)發(fā)活動(dòng)保持一致，并在非常高的層次上描述了映射關(guān)系。然而，考慮到ISO 21448中SOTIF開(kāi)發(fā)活動(dòng)的迭代性質(zhì)，兩個(gè)標(biāo)準(zhǔn)之間的工作流程并不是直接的一對(duì)一映射。因此，我們需要清楚地了解如何調(diào)整ISO 26262和ISO 21448開(kāi)發(fā)活動(dòng)，以及在一個(gè)標(biāo)準(zhǔn)中進(jìn)行的分析如何影響另一個(gè)標(biāo)準(zhǔn)。

為實(shí)現(xiàn)這一目標(biāo)，我們?cè)诒疚闹刑岢隽薎SO 26262和ISO 21448標(biāo)準(zhǔn)之間的詳細(xì)工作流程。我們討論了如何確定由于SOTIF更改而導(dǎo)致的設(shè)計(jì)變更是否會(huì)影響FuSa分析，反之亦然。我們還討論了敏捷開(kāi)發(fā)需要考慮的安全流程問(wèn)題。

介紹

在開(kāi)發(fā)汽車系統(tǒng)時(shí)，安全是我們需要考慮的重要方面之一。隨著許多公司轉(zhuǎn)向自動(dòng)駕駛，系統(tǒng)的復(fù)雜性一直在增加，進(jìn)而增加了安全保障方面的復(fù)雜性。安全標(biāo)準(zhǔn)，例如ISO 26262、ISO 21448，和ANSI/UL 4600就工程師和分析師如何確保汽車系統(tǒng)的安全性提供指導(dǎo)。

ISO 26262是一項(xiàng)功能安全標(biāo)準(zhǔn)，它為如何證明系統(tǒng)的電氣和電子組件不會(huì)產(chǎn)生不可接受的風(fēng)險(xiǎn)提供了指導(dǎo)。ISO 21448是預(yù)期功能的安全性(SOTIF)標(biāo)準(zhǔn)，它提供了有關(guān)如何確保系統(tǒng)不存在由于系統(tǒng)中組件的功能不足和性能限制而導(dǎo)致的不合理風(fēng)險(xiǎn)的指南。SOTIF標(biāo)準(zhǔn)旨在減少已知和未知的風(fēng)險(xiǎn)。與ISO 26262和ISO 21448標(biāo)準(zhǔn)不同，UL 4600是一個(gè)為無(wú)人系統(tǒng)構(gòu)建安全檔案提供指導(dǎo)的標(biāo)準(zhǔn)。這三個(gè)標(biāo)準(zhǔn)都有助于提高自動(dòng)駕駛汽車的安全性。

雖然UL 4600是一個(gè)獨(dú)立的標(biāo)準(zhǔn)，但I(xiàn)SO 21448第4.4條提到需要使其開(kāi)發(fā)活動(dòng)與ISO 26262開(kāi)發(fā)活動(dòng)保持一致。雖然ISO 21448附件A.2.3提供了有關(guān)ISO 21448和ISO 26262開(kāi)發(fā)活動(dòng)一致性的頂層信息，但我們沒(méi)有足夠的信息來(lái)說(shuō)明這些開(kāi)發(fā)活動(dòng)如何相互作用。此外，ISO 26262將其分析限制在與安全系統(tǒng)相關(guān)的電氣和電子元件。然而，ISO 21448適用于整個(gè)自動(dòng)駕駛汽車以及任何人機(jī)界面。因此，有必要了解系統(tǒng)、硬件和軟件級(jí)別的活動(dòng)的首選工作流程是什么，以及如何制定既能從ISO 26262和ISO 21448的角度確保安全，又有助于識(shí)別未知風(fēng)險(xiǎn)的系統(tǒng)化流程。

為了解決這一局限性，我們?cè)诒疚闹性敿?xì)介紹了使ISO 26262和ISO 21448之間的開(kāi)發(fā)活動(dòng)保持一致的工作流。我們還討論了工作流中考慮的流程背后的原因，并給出了一個(gè)說(shuō)明性示例來(lái)展示工作流程。我們相信我們的工作流程將有助于在組織中創(chuàng)建更好的流程，并促進(jìn)協(xié)同工作的團(tuán)隊(duì)之間更好的溝通。

背景及相關(guān)工作

ISO 26262

ISO 26262是道路車輛的功能安全標(biāo)準(zhǔn)。功能安全是指不存在由于電氣和電子系統(tǒng)失效而導(dǎo)致的不合理風(fēng)險(xiǎn)。ISO 26262遵循系統(tǒng)級(jí)開(kāi)發(fā)、硬件開(kāi)發(fā)和軟件開(kāi)發(fā)的V模型。ISO 26262所遵循的過(guò)程模型以及與各階段相關(guān)的部分編號(hào)如圖1所示。

我們從概念階段（ISO 26262第3部分）開(kāi)始，在此階段我們定義要分析功能安全的相關(guān)項(xiàng)。創(chuàng)建功能框圖并確定與每個(gè)模塊關(guān)聯(lián)的功能。相關(guān)項(xiàng)定義完成后，我們將識(shí)別項(xiàng)目邊界內(nèi)模塊的故障。基于這些故障，我們識(shí)別相應(yīng)的危害并進(jìn)行危害分析和風(fēng)險(xiǎn)評(píng)估(HARA)。在HARA期間，我們?yōu)槊總€(gè)故障分配嚴(yán)重性(S)、可控性(C)和暴露(E)等級(jí)，并確定相應(yīng)的汽車安全完整性等級(jí)(ASIL)。確定的最高級(jí)別是分配給整個(gè)系統(tǒng)的ASIL級(jí)別。我們還定義了與HARA期間每個(gè)危害相對(duì)應(yīng)的安全目標(biāo)。HARA完成后，我們將創(chuàng)建功能安全要求并將所有發(fā)現(xiàn)匯總到功能安全概念(FSC)中。

FSC生成后，我們進(jìn)入下一階段：系統(tǒng)規(guī)范和設(shè)計(jì)（ISO 26262的第4部分）。在此階段，我們定義系統(tǒng)規(guī)范、架構(gòu)、技術(shù)安全要求、硬件-軟件接口要求，并將發(fā)現(xiàn)匯總到技術(shù)安全概念(TSC)中。在定義了TSC之后，我們開(kāi)始進(jìn)行硬件級(jí)別的開(kāi)發(fā)（ISO 26262的第5部分）。在此階段，我們創(chuàng)建硬件(HW)安全規(guī)范和HW設(shè)計(jì)，分析和評(píng)估HW架構(gòu)指標(biāo)，計(jì)算隨機(jī)硬件失效率，并執(zhí)行HW集成和測(cè)試。

圖1—ISO 26262（功能安全）的工作流程

我們的軟件階段（ISO 26262的第6部分）開(kāi)發(fā)與硬件開(kāi)發(fā)階段并行。在此階段，我們首先定義軟件(SW)安全規(guī)范、SW架構(gòu)和設(shè)計(jì)。然后我們實(shí)施軟件，并執(zhí)行單元、集成和基于需求的測(cè)試。

在硬件和軟件級(jí)別的開(kāi)發(fā)完成后，我們進(jìn)入系統(tǒng)測(cè)試和安全驗(yàn)證階段（ISO 26262的第4部分），在此期間我們制定計(jì)劃對(duì)硬件、軟件、系統(tǒng)和車輛進(jìn)行集成測(cè)試，以及進(jìn)行安全驗(yàn)證。測(cè)試完成后，我們將進(jìn)入生產(chǎn)、運(yùn)營(yíng)、服務(wù)和報(bào)廢階段（ISO 26262第7部分），在此期間我們執(zhí)行生產(chǎn)和維護(hù)計(jì)劃，創(chuàng)建維修說(shuō)明并準(zhǔn)備用戶手冊(cè)。在遵循ISO 26262過(guò)程模型的同時(shí)，我們可能會(huì)使用ISO 26262第8部分中詳述的其他支持過(guò)程，例如工具鑒定和配置管理。

ISO 21448

與ISO 26262不同，ISO 21448不涉及車輛中電氣和電子元件的故障，也不限于安全關(guān)鍵系統(tǒng)。ISO 21448是預(yù)期功能的安全標(biāo)準(zhǔn)，主要適用于無(wú)人系統(tǒng)。它處理由于功能不足、性能限制和可預(yù)見(jiàn)的誤用而出現(xiàn)的安全問(wèn)題。

ISO 21448建議的過(guò)程如圖2所示。該圖顯示了過(guò)程中的每個(gè)階段及其在標(biāo)準(zhǔn)中的相應(yīng)條款編號(hào)。如圖所示，我們從收集無(wú)人系統(tǒng)的規(guī)范和設(shè)計(jì)（ISO 21448的第5條）開(kāi)始?；谝?guī)范中定義的功能，我們通過(guò)識(shí)別潛在的危害行為來(lái)執(zhí)行危害識(shí)別和風(fēng)險(xiǎn)評(píng)估(HIRE)（第6條）。

在HIRE期間，我們?cè)u(píng)估每個(gè)危害行為的可控性(C)和嚴(yán)重性(S)，如果C=0或S=0，則將它們定義為合理和可接受的風(fēng)險(xiǎn)。如果C和S均大于零，則風(fēng)險(xiǎn)為認(rèn)為是不可接受的。

也是在HIRE階段，我們可以開(kāi)始制定不可接受風(fēng)險(xiǎn)的危害的驗(yàn)收標(biāo)準(zhǔn)規(guī)范。要定義驗(yàn)收標(biāo)準(zhǔn)，我們需要有一個(gè)基本原理，例如GAMAB（全球至少同樣好，來(lái)自法語(yǔ)“globalement au moins aussi bon”）、ALARP（盡可能低的合理可行）和MEM（最小內(nèi)生死亡率），以及包含事故或死亡信息的數(shù)據(jù)源。使用此信息，我們提出了一個(gè)驗(yàn)收標(biāo)準(zhǔn)，以確?？赡軐?dǎo)致的潛在事故數(shù)量少于人類駕駛員，或少于或類似于以前版本的車輛。

HIRE完成后，我們將對(duì)觸發(fā)事件和功能不足進(jìn)行分析（第7條）。在此階段，我們確定傳感器限制、算法限制、執(zhí)行器限制和可能的誤用案例。然后我們分析具有不可接受風(fēng)險(xiǎn)的觸發(fā)條件，比如殘余風(fēng)險(xiǎn)高并且可能不滿足相應(yīng)的接受標(biāo)準(zhǔn)。對(duì)于具有不可接受風(fēng)險(xiǎn)的觸發(fā)條件，我們定義了與SOTIF相關(guān)的功能修改（第8條）。如果觸發(fā)條件確實(shí)有C=0或S=0，可以到達(dá)接受標(biāo)準(zhǔn)，那么我們可以認(rèn)為它具有可容忍的風(fēng)險(xiǎn)并進(jìn)入到驗(yàn)證和確認(rèn)策略的定義（第9條）。

圖2—ISO 21448 (SOTIF)工作流程

定義驗(yàn)證和確認(rèn)策略后，我們將執(zhí)行已知場(chǎng)景的評(píng)估（第10條），在此期間我們將執(zhí)行傳感器驗(yàn)證、算法驗(yàn)證、執(zhí)行器驗(yàn)證和車輛驗(yàn)證。一旦我們完成了對(duì)已知場(chǎng)景的評(píng)估，我們就會(huì)轉(zhuǎn)向?qū)ξ粗獔?chǎng)景的評(píng)估（第11條）。我們通過(guò)在現(xiàn)實(shí)世界中進(jìn)行安全確認(rèn)，并確保殘余風(fēng)險(xiǎn)處于可接受的水平。

在完成對(duì)未知場(chǎng)景的評(píng)估后，我們轉(zhuǎn)向SOTIF發(fā)布（第12條），我們?cè)谄渲写_定系統(tǒng)是否經(jīng)過(guò)嚴(yán)格和充分的分析，以確保SOTIF是可接受的。如果不是，則需要執(zhí)行SOTIF功能修改。如果評(píng)估人員認(rèn)為SOTIF可以接受，那么我們就可以進(jìn)行生產(chǎn)和運(yùn)營(yíng)。在運(yùn)行階段（第13條），仍然需要有運(yùn)行時(shí)監(jiān)控等機(jī)制，來(lái)識(shí)別可能導(dǎo)致SOTIF問(wèn)題的任何新事件或條件。

相關(guān)工作

我們提出了一個(gè)涵蓋系統(tǒng)、硬件和軟件開(kāi)發(fā)的完整通用工作流程。

ISO 26262和ISO 21448之間的工作流程

圖3說(shuō)明了我們提出的ISO 26262和ISO 21448之間的詳細(xì)工作流程。矩形表示ISO 26262活動(dòng)及其相關(guān)部分。圓角矩形表示SOTIF活動(dòng)及其相應(yīng)的條款編號(hào)。單個(gè)方向箭頭表示單向關(guān)聯(lián)—這意味著它是預(yù)期的活動(dòng)順序流。雙向箭頭表示雙向關(guān)聯(lián)，這意味著，根據(jù)其中一項(xiàng)活動(dòng)的更新，可能需要再次執(zhí)行另一項(xiàng)活動(dòng)或需要修改相應(yīng)的工作產(chǎn)品。雙向虛線箭頭表示ISO 26262活動(dòng)和ISO 21448活動(dòng)之間的雙向影響。雙向影響意味著在一個(gè)標(biāo)準(zhǔn)中找到的信息可能會(huì)影響另一個(gè)標(biāo)準(zhǔn)中的活動(dòng)或工作產(chǎn)品。

如圖3所示，ISO 26262從相關(guān)項(xiàng)定義開(kāi)始，而ISO 21448從規(guī)范和設(shè)計(jì)開(kāi)始。請(qǐng)注意，一開(kāi)始可能無(wú)法擁有完整的規(guī)范和設(shè)計(jì)。因此，SOTIF是一個(gè)高度迭代的過(guò)程。從規(guī)范和設(shè)計(jì)中，我們可以生成高層功能架構(gòu)（類似于FuSa的功能框圖，但面向無(wú)人系統(tǒng)）。ISO 26262中使用的相關(guān)項(xiàng)不需要與我們?cè)贗SO 21448中分析的無(wú)人系統(tǒng)完全匹配。

在FuSa系統(tǒng)和無(wú)人系統(tǒng)之間，我們可以考慮三種不同類型的架構(gòu)，如圖4。對(duì)于類型1架構(gòu)，我們有一個(gè)單獨(dú)的保護(hù)系統(tǒng)和無(wú)人系統(tǒng)。例如，如果我們考慮為車輛配備遠(yuǎn)程監(jiān)控器以確保系統(tǒng)安全。然后考慮與遠(yuǎn)程操作員和控件相關(guān)的系統(tǒng)的功能安全性，而對(duì)于SOTIF，我們考慮無(wú)人化以及人機(jī)交互。在這些架構(gòu)中，SOTIF和功能安全方面不會(huì)相互影響太多，并且更容易執(zhí)行變更影響分析。

我們考慮的第二種架構(gòu)是類型2架構(gòu)，其中功能安全系統(tǒng)是無(wú)人系統(tǒng)的一個(gè)子集。一個(gè)例子是緊急制動(dòng)系統(tǒng)被認(rèn)為是FuSa系統(tǒng)，但該車輛具有額外的感知算法，這些算法不包括在FuSa系統(tǒng)中。在這些系統(tǒng)中，我們需要將與FuSa組件及其接口相關(guān)的任何更新映射到SOTIF，反之亦然。它有助于使設(shè)計(jì)更好，并在我們需要在SOTIF中提供功能修改時(shí)，同時(shí)考慮FuSa和SOTIF。

圖3—ISO 26262和ISO 21448之間的工作流程

圖4—可能存在的架構(gòu)類型

第三種架構(gòu)，在圖中稱為類型3，需要同時(shí)符合FuSa和SOTIF的架構(gòu)是同一個(gè)。一個(gè)例子是使用端到端機(jī)器學(xué)習(xí)(ML)模型的車輛，即以傳感器數(shù)據(jù)作為輸入，并產(chǎn)生車輪電機(jī)速度作為輸出的ML模型。

在ISO 26262中的相關(guān)項(xiàng)定義之后，我們執(zhí)行HARA。對(duì)于ISO 21448，我們執(zhí)行HIRE。請(qǐng)注意，在HARA期間，可能會(huì)發(fā)現(xiàn)與SOTIF相關(guān)的問(wèn)題，同樣在HIRE期間，我們可能會(huì)發(fā)現(xiàn)失效。因此，我們需要跟蹤它們并相應(yīng)地更新分析。

在HARA之后，在ISO 26262中，我們創(chuàng)建了一個(gè)功能安全概念(FSC)，其中包含功能安全要求、安全目標(biāo)、ASIL信息以及HARA的任何發(fā)現(xiàn)。我們?cè)贗SO 21448中沒(méi)有FSC等同物。在ISO 26262中創(chuàng)建FSC后，我們進(jìn)入系統(tǒng)開(kāi)發(fā)階段，在此期間我們首先創(chuàng)建系統(tǒng)規(guī)范和設(shè)計(jì)。雖然ISO 21448沒(méi)有等效階段，但可以更新規(guī)范和設(shè)計(jì)中的架構(gòu)（以及FuSa系統(tǒng)架構(gòu)，如果它是無(wú)人系統(tǒng)的一部分）。

在ISO 26262中的系統(tǒng)架構(gòu)和設(shè)計(jì)階段之后，我們完成了技術(shù)安全概念(TSC)，其中包含技術(shù)安全要求、硬件-軟件接口規(guī)范以及作為系統(tǒng)安全分析一部分的任何其他觀察結(jié)果。TSC階段與ISO 21448中的活動(dòng)等效的是對(duì)系統(tǒng)級(jí)功能不足和觸發(fā)條件的分析。在此階段，類似于我們根據(jù)ISO 26262中的硬件和軟件詳細(xì)信息預(yù)測(cè)功能安全問(wèn)題的方式，我們根據(jù)傳感器、算法和執(zhí)行器列表識(shí)別潛在的不足及其原因。然而，這些不足之處無(wú)法最終確定，因?yàn)槲覀儾淮_切知道組件的不足之處是什么，以及導(dǎo)致這些不足之處的觸發(fā)條件。有必要進(jìn)行自下而上的分析，以了解我們假設(shè)的潛在不足是否真的會(huì)在系統(tǒng)級(jí)別發(fā)生。

在ISO 26262中開(kāi)發(fā)TSC之后，我們進(jìn)入硬件(HW)安全分析階段。請(qǐng)注意，雖然我們指定了硬件安全分析階段，但在TSC完成后，硬件和軟件開(kāi)發(fā)可以并行開(kāi)始。在硬件分析階段，我們生成硬件規(guī)范、設(shè)計(jì)、評(píng)估硬件架構(gòu)指標(biāo)并執(zhí)行FMEDA。對(duì)于ISO 21448，我們執(zhí)行的等效分析是分析特定于HW組件的功能不足和觸發(fā)條件。在此階段，我們估計(jì)傳感器限制、執(zhí)行器限制以及ECU，或任何其他硬件性能可能受到影響的條件。

圖5—包含姿態(tài)、定位、預(yù)測(cè)、規(guī)劃和控制功能的類型2架構(gòu)

在ISO 26262的硬件安全分析之后，我們進(jìn)行硬件安全驗(yàn)證，在此期間我們集成硬件并對(duì)其進(jìn)行測(cè)試。ISO 21448中的等效項(xiàng)是根據(jù)操作設(shè)計(jì)域(ODD)中可能發(fā)生的場(chǎng)景驗(yàn)證硬件組件。通過(guò)這樣做，我們可以驗(yàn)證系統(tǒng)在存在觸發(fā)條件的情況下，是否按預(yù)期安全運(yùn)行。

在ISO 26262中的硬件(HW)安全驗(yàn)證之后是軟件安全(SW)分析，我們?cè)谄渲卸x軟件規(guī)范、設(shè)計(jì)和執(zhí)行軟件FMEA以識(shí)別軟件級(jí)別的問(wèn)題。ISO 21448中的等效項(xiàng)是對(duì)軟件功能不足和觸發(fā)條件的分析。在此階段，我們確定算法限制。請(qǐng)注意，對(duì)于機(jī)器學(xué)習(xí)(ML)算法，我們不僅需要對(duì)ML模型進(jìn)行分析，還需要對(duì)支持這些模型的ML庫(kù)進(jìn)行分析。

在ISO 26262中的軟件安全分析之后，我們通過(guò)單元測(cè)試、集成測(cè)試和基于需求的測(cè)試來(lái)執(zhí)行軟件驗(yàn)證。ISO 21448中的等效步驟是根據(jù)ODD中的場(chǎng)景驗(yàn)證軟件。在此分析過(guò)程中，我們或許能夠發(fā)現(xiàn)算法的新觸發(fā)條件。如果更新硬件或軟件的觸發(fā)條件，則執(zhí)行自下而上的分析，以更新系統(tǒng)級(jí)的不足以及車輛級(jí)的危險(xiǎn)。請(qǐng)注意，在分析或驗(yàn)證過(guò)程中，我們可能會(huì)發(fā)現(xiàn)新的FuSa或SOTIF問(wèn)題，并且需要相應(yīng)地跨標(biāo)準(zhǔn)進(jìn)行映射。如果我們提出修改來(lái)解決SOTIF問(wèn)題，我們還應(yīng)該考慮新添加的更改是否會(huì)導(dǎo)致任何新的功能安全問(wèn)題。

在完成ISO 26262中的軟件驗(yàn)證后，我們進(jìn)行集成和測(cè)試，然后進(jìn)行整車級(jí)測(cè)試。ISO 21448中相應(yīng)的等效項(xiàng)是基于場(chǎng)景的集成驗(yàn)證和車輛驗(yàn)證。在此活動(dòng)期間，如果我們發(fā)現(xiàn)任何新問(wèn)題，我們會(huì)將它們映射到觸發(fā)條件和功能不足的系統(tǒng)級(jí)分析。此外，如果我們能夠根據(jù)硬件和軟件級(jí)別的驗(yàn)證，確定系統(tǒng)級(jí)事件的任何新觸發(fā)條件，則會(huì)更新測(cè)試計(jì)劃。請(qǐng)注意，車輛級(jí)驗(yàn)證的風(fēng)險(xiǎn)驗(yàn)收，是根據(jù)我們的驗(yàn)收標(biāo)準(zhǔn)和相應(yīng)的驗(yàn)證目標(biāo)完成的。

表1—類型2架構(gòu)的工作流程說(shuō)明

在ISO 26262車輛級(jí)測(cè)試后，我們進(jìn)行安全確認(rèn)。與ISO 21448中的此活動(dòng)等效的是對(duì)未知場(chǎng)景的評(píng)估，我們將車輛部署到道路上并計(jì)算殘余風(fēng)險(xiǎn)。在未知情況下發(fā)現(xiàn)的任何新問(wèn)題都用于執(zhí)行SOTIF功能修改以及根據(jù)需要更新規(guī)范和設(shè)計(jì)。

在ISO 26262安全確認(rèn)之后，我們進(jìn)入生產(chǎn)、運(yùn)營(yíng)、退役和服務(wù)階段，在此期間我們制定生產(chǎn)和維護(hù)計(jì)劃、升級(jí)和維修程序以及開(kāi)發(fā)用戶手冊(cè)。ISO 26262中的一個(gè)等效項(xiàng)是運(yùn)行階段，在此期間我們監(jiān)控部署在現(xiàn)實(shí)世界中的車輛，以查看是否可能出現(xiàn)潛在的未知觸發(fā)條件。如果確定了新的觸發(fā)條件，我們將其添加到現(xiàn)有列表中并重復(fù)SOTIF過(guò)程。

案例分析

為了對(duì)圖3中所示的擬議詳細(xì)工作流程和圖4中所示的不同類型架構(gòu)提供清晰的指導(dǎo)，請(qǐng)考慮圖5中所示的以下類型2架構(gòu)來(lái)執(zhí)行驅(qū)動(dòng)、制動(dòng)和轉(zhuǎn)向執(zhí)行器的自動(dòng)控制。

示例的工作流程在表1中提供。表中的第一列指的是ISO 26262的部分編號(hào)和ISO 21448的條款編號(hào)，我們認(rèn)為它們具有一致性。符號(hào)PX表示零件編號(hào)X，符號(hào)CY表示條款編號(hào)Y。

結(jié)論和未來(lái)的工作 

在本文中，我們提出了ISO 26262和ISO 21448之間的詳細(xì)工作流程，展示了哪些階段需要協(xié)調(diào)一致。我們還討論了確保解決SOTIF問(wèn)題的設(shè)計(jì)更改不會(huì)導(dǎo)致新的FuSa問(wèn)題的必要性，反之亦然。我們通過(guò)一個(gè)示例架構(gòu)討論了工作流，該架構(gòu)具有對(duì)驅(qū)動(dòng)、制動(dòng)和轉(zhuǎn)向執(zhí)行器的自動(dòng)控制功能。盡管我們討論了階段的對(duì)齊，但我們沒(méi)有討論在對(duì)齊兩個(gè)標(biāo)準(zhǔn)時(shí)，如何考慮質(zhì)量管理和變更管理。我們打算將此類分析作為我們未來(lái)工作的一部分。           

培訓(xùn)課程咨詢及報(bào)名，添加牛小喀微信：NewCarRen

作者：牛喀網(wǎng)專欄作者
?？W(wǎng)文章，未經(jīng)授權(quán)不得轉(zhuǎn)載！