Konzeptphase der Funktionalen Sicherheit (Teil 3 der ISO 26262)

Zu Beginn geht es bei der "Item Definition" darum, den Gegenstand der Entwicklung klar zu definieren und abzugrenzen. Existiert ein Vorgängerprodukt, kommt eine Auswirkungsanalyse ("impact analysis") ins Spiel. Mit Hilfe einer Methode, spezifisch für den Automobilbereich, werden gefährliche Ereignisse bewertet und der erforderliche Fahrzeugsicherheits-Integritätslevel („Automotive Safety Integrity Level“/"ASIL") bestimmt, der definiert, wie die Entwicklung durchgeführt werden soll. Ein funktionales Sicherheitskonzept („functional safety concept“) legt auf Fahrzeugebene fest, wie die Sicherheitsziele erreicht werden sollen, durch Interaktion der zu entwickelnden Systeme.

Der Begriff "Item" bezeichnet das Objekt, das es zu entwickeln gilt, Ihr Produkt (siehe Abbildung). Dabei handelt es sich um ein oder mehrere interagierende elektrische und/oder elektronische Systeme, die die gewünschte Funktion implementieren. Beispiele für Items sind automatische Geschwindigkeitsregelungssysteme, Airbags oder elektrische Komponenten, wie ein elektrischer Fensterheber, der zum Beispiel einen Arm oder Kopf einklemmen kann. Ein Item zu entwickeln bedeutet, dass verschiedene Arten von Anforderungen und Randbedingungen zusammengeführt werden müssen, seien es funktionelle Anforderungen, normative Verweise oder die Leistung der beteiligten Aktuatoren im Fahrzeug. Es ist auch wichtig, sich darüber einig zu sein, was außerhalb des Items liegt, d.h. dass man die Grenze der Entwicklung kennt.

Dies ist unser zweites Thema. Über eine Auswirkungsanalyse findet man heraus, wie der Lebenszyklus angepasst werden sollte und welche Sicherheitsaktivitäten notwendig sind. Es muss bekannt sein, ob es sich um eine Neuentwicklung, eine Modifikation oder nur um den Einsatz eines zuvor entwickelten Items in einer veränderten Umgebung handelt, zum Beispiel eines Airbags in einer neuen Fahrzeugvariante. Im Sicherheitslebenszyklus bezieht sich dies nun in erster Linie auf die Ebene des Automobilherstellers und des Fahrzeugs, aber alle Zulieferer sollten für ihren Verantwortungsbereich eine Auswirkungsanalyse durchführen.

Bei unserem dritten Thema geht es um das Verständnis der von unserem Produkt ausgehenden Risiken.

Das Risiko für menschliches Leben, das von unserem Item ausgeht, muss abgeschätzt werden. Dies ist typischerweise eine Tätigkeit, die vom Fahrzeughersteller durchgeführt werden muss. Abhängig von dieser Risikoabschätzung muss technisch und organisatorisch manchmal mehr und manchmal weniger getan werden. Die Gefährdungsanalyse und Risikobewertung („Hazard Analysis and Risk Assessment“/"HARA") beginnt mit einer Beschreibung von Betriebssituationen („operational situations“) und Betriebsarten („operating modes“), zum Beispiel "Fahren auf einer Autobahn". Es werden die Gefahren ermittelt, die bei Fehlern in unserem Item auftreten. Beispielsweise könnte ein Spurhalteassistent das Fahrzeug versehentlich auf die andere Straßenseite lenken. Für die relevanten gefährlichen Ereignisse („hazardous events“) wird dann der Fahrzeugsicherheits-Integritätslevel bestimmt. Dieser „ASIL“ hat einen wesentlichen Einfluss auf die Entwicklungsaktivitäten und das Produkt.

Dazu bestimmen Sie

• den Schweregrad („Severity“) des Schadens,
• die Wahrscheinlichkeit sich in der Betriebssituation zu befinden („Exposure“) und
• die Beherrschbarkeit bzw. die Fähigkeit zur Schadensvermeidung durch Fahrer oder anderer Verkehrsteilnehmer („Controllability“).

Danach bestimmen Sie den ASIL anhand einer Tabelle, die Sie im Whitepaper findenBeispielsweise könnte ein fehlerhaftes Lenken durch den Spurhalteassistenten - auf die Gegenfahrbahn - als ASIL D eingestuft werden, da dies zu schweren Verletzungen führen kann. Dagegen ist die fehlerhafte Darstellung eines zu erkennenden Verkehrszeichens weniger kritisch, da ein Verkehrszeichenerkennungssystem für sich genommen nicht in den Fahrzeugbetrieb eingreift und der Fahrer in der Regel angemessen reagiert. Wenn Sie diese Bewertungen durchgeführt haben, schreiben Sie Sicherheitsziele („safety goals“) für die weitere Entwicklung auf. Sicherheitsziele sind Sicherheitsanforderungen der obersten Abstraktionsebene, die geeignet sind, gefährliche Ereignisse abzumildern.

Das vierte Thema in der Konzeptphase ist das funktionale Sicherheitskonzept („Functional Safety Concept"/“FSC“). Es geht darum, aus den Sicherheitszielen funktionale Sicherheitsanforderungen („Functional Safety Requirements“/“FSRs“) abzuleiten. Hier werden Anforderungen zur Vermeidung, Erkennung und Beherrschung von Fehlern spezifiziert. Es wird ein sicherer Zustand („safe state“) definiert, in den das System im Falle eines Fehlers übergeht. Oder, wenn dies nicht sofort möglich ist, in welchen degradierten Zustand das System vorübergehend wechseln soll. Es werden Warnungen für den Fahrer definiert, die im Fehlerfall angezeigt werden.

Anforderungen müssen so zugeordnet werden, dass sie entweder in der Systemarchitektur oder durch externe Maßnahmen umgesetzt werden. Das FSC muss überprüft werden (z.B. durch ein Review), um festzustellen, ob es geeignet ist, die Gefahren angemessen zu mindern.