Produktentwicklung auf HW-Ebene (Teil 5 der ISO 26262)

Der erste Schritt besteht darin, die technischen Sicherheitsanforderungen, welche die Hardware betreffen, zu sichten und diese als Hardware-Sicherheitsanforderungen zu verfeinern und zu spezifizieren:

• Dies wirkt sich auf die Spezifikationen der Sicherheitsmechanismen aus, die die Hardware implementieren muss. Zum Beispiel die Erkennung von übermäßigen Spannungsschwankungen in der Stromversorgung für einzelne Komponenten und Mikrocontroller. Oder die Erkennung von Schaltern, die nicht mehr schließen.
• Ihre Sicherheitsanforderungen müssen spezifizieren, wie die Erkennung, Meldung und Kontrolle/Beherrschung von Fehlern in Ihrer Hardware durchgeführt werden soll.
• In einigen Fällen wirken sich die Sicherheitsanforderungen auch auf die Überwachung von und die Reaktion auf Fehler in der angeschlossenen (externen) Hardware aus.
• Toleranzzeiten müssen spezifiziert werden.

Und dieser Punkt ist für ISO 26262 sehr speziell: Es gibt Hardware-Metriken und bestimmte Definitionen für Ausfallraten. Dazu müssen die Zielwerte definiert werden, die erreicht werden müssen.

Zudem muss man als Hardware-Ingenieur mithelfen, die Spezifikationen der Schnittstellen mit der Software zu verfeinern (Verfeinern des »Hardware-Software-Interface«).

Und schließlich müssen die Sicherheitsanforderungen an die Hardware verifiziert (z.B. durch Reviews) und freigegeben werden.

In dieser Phase werden die Anforderungen in einen konkreten Hardwareentwurf umgesetzt. 

Aus der Sicherheitsperspektive sollte die Hardware so entworfen werden, dass sie die erforderlichen Sicherheitsanforderungen an die Hardware umsetzt. Dieser Entwurf soll nicht nur funktionale Sicherheit liefern, sondern muss natürlich auch die eigentliche Funktion der Hardware sicherstellen. Sicherheitsmechanismen werden so zu einem integralen Bestandteil des Entwurfs.

Da wir möglicherweise mit Anforderungen unterschiedlicher ASILs zu tun haben, kann es Teile mit unterschiedlichen ASILs in der Hardware geben. Um zu vermeiden, dass unsichere Teile sichere Teile gefährden, legt ISO 26262 Kriterien fest, die Sie berücksichtigen müssen.

Schließlich müssen Sie in Form von Verlinkungen (»Traceability«) nachweisen, dass die Sicherheitsanforderungen an die Hardware systematisch umgesetzt wurden.

Danach kann der detaillierte Hardware-Entwurf (»hardware detailed design«) nach den üblichen Industriestandards entwickelt werden, aber Sie müssen die erforderliche Robustheit für Ihre Automobilanwendung berücksichtigen.

Für die funktionale Sicherheit müssen Sie so genannte  S i c h e r h e i t s a n a l y s e n  (»safety analyses«) durchführen.

Nach ASIL abgestuft, müssen Sie Hardware-Fehler im Hinblick auf die Verletzung der vorgegebenen Sicherheitsziele klassifizieren. Ich kann diese Begriffe hier nicht im Detail erklären, aber es gibt bestimmte Fehler, die die Sicherheitsziele nicht gefährden, solche, die sie direkt gefährden, und solche, die sie nur in Kombination mit anderen Faktoren gefährden.

Im Hinblick auf die Sicherheit von Automobilanwendungen müssen Sie glaubhaft nachweisen, wie Sie verhindern, dass Fehler die Sicherheitsziele verletzen, und wie Sie verhindern können, dass latente Fehler dauerhaft im Fahrzeug vorhanden bleiben.

In dieser Phase müssen Sie auch über die besonderen Merkmale (»special characteristics«) nachdenken, die für die Produktions- und Wartungsphase erforderlich sind, und dafür sorgen, dass diese dann umgesetzt werden.

Die nächsten beiden Abschnitte der ISO 26262 erfordern von Ihnen eine Analyse, um sicherzustellen, dass Ihre Hardware für den entsprechenden ASIL geeignet ist. Zunächst müssen Sie nachweisen, dass die Hardware über ausreichende Mechanismen zur Erkennung und Kontrolle/Beherrschung von zufälligen Hardwarefehlern verfügt. Die Sicherheitsmechanismen müssen zu bestimmten Prozentsätzen wirksam sein.

Dann müssen Sie nachweisen, dass die Ausfallwahrscheinlichkeit gering genug ist. Es muss nachgewiesen werden, dass die Raten der Sicherheitszielverletzungen durch zufällige Hardware-Ausfälle niedrig genug sind.

Beide Klauseln enthalten automobilspezifische Metriken und Methoden, die Sie implementieren müssen. Das ist aber ein Thema für ein separates Video.

Die Hardware wird wie üblich iterativ mit mehreren Mustern entwickelt und kann nach erfolgreicher Integration und Prüfung für die Massenproduktion freigegeben werden. ISO 26262 verlangt, dass diese Phase geplant wird und dass Tests spezifiziert und erfolgreich durchgeführt werden. Es muss nachgewiesen werden, dass methodische Verfahren zur Spezifikation von Testfällen angewendet wurden.

Sie müssen nachweisen, dass die Hardware-Sicherheitsanforderungen erfolgreich umgesetzt wurden und dass die Hardware robust ist. Sie müssen Tests gemäß den Industriestandards durchführen. Dazu gehören z.B. Funktionstests, elektrische Tests und EMV-Tests.