技術文章

Method Park亞太區技術總監Sunil Kumar(左)與TUV NORD大中華區功能安全產品經理黃浩鈿(右)。

隨著電子系統在汽車所佔的比例日益升高，軟體對於車輛的功能安全性與效能也扮演著越來越重要的角色。為了確保軟體開發的品質，由德國汽車製造商共同制定的Automotive SPICE(軟體流程改善與功能測定標準；A-SPICE)，已逐漸成為汽車業者共同遵循的標準。

TUV NORD漢德公司大中華區功能安全產品經理黃浩鈿表示，汽車產業的通用標準IATF 16949在新版公告的標準草案中曾要求供應商若有開發軟體時，須提供以A-SPICE為基礎的能力評估報告。雖然最後的正式版本並未將此條文列入，卻已顯示出汽車業者對於軟體品質的要求勢在必行，何時正式納入規範只是時間的問題。

另一方面，在軟體業界行之有的CMMI評鑑制度，在汽車產業也已漸被A-SPICE所取代。最近的一個例子是，知名汽車零件供應商雖已具備CMMI的L3等級能力，但仍被其客戶要求重新建置遵循A-SPICE標準的流程。

「上述所提及的兩項發展使得從2016年開始，台灣業者對於A-SPICE的詢問度大增。TUV NORD目前已有協助台灣廠商，建置A-SPICE專案經驗包括半導體廠以及ODM業者，」黃浩鈿強調。「車廠來台灣找供應商時，一定會先要求業者改善流程，作為進入供應鏈的基本條件。這是整體汽車產業的發展方向，業者若想跨入門檻更高的汽車電子市場，必須願意投入資源，才能有競爭力。我們也看到了不少台灣業者對此領域的積極布局。」

針對台灣市場的A-SPICE標準訓練與建置服務，TUV NORD是與德國Method Park諮詢公司共同提供的。該公司的亞太區技術總監，同時也是A-SPICE首席評估師Sunil Kumar解釋說，A-SPICE是於2005年由德國汽車製造商制定之後，目前德國車廠有9成都採用此標準來評估供應商的軟體開發能力。此外，在日本、大陸、南韓、美國也逐漸獲得重視，已成為一項全球性的標準。

A-SPICE與CMMI相同，也是採取能力等級來認證，從L1到最高L5共有5個等級。目前依照車廠對個別專案的不同要求，主要是以L2 (managed)和L3(Established)兩項等級為主。

而與CMMI評鑑的主要不同之處在於，A-SPICE鉅細靡遺地針對軟體 / 系統要求、軟體架構、編程、測試、完整性、認證，以及甚至專案管理、變更管理、品質確認等各個流程都有詳盡的要求，不像CMMI比較偏向於高層次(high-level)的模型定義。

Kumar表示，由於CMMI有較大的自我解讀空間，因此車廠傾向於採用對流程細節有嚴格要求的A-SPICE標準。此外，負責管理A-SPICE標準的intacs組織特地將規範制定、訓練、以及認證劃分為三個獨立運作的組織，以確保認證結果的中立性。目前，A-SPICE標準共制定了32個流程，其中有11個與工程技術相關，其他的則包含管理、支援等。

不同的客戶會對流程有不同的要求，以BMW、Volkswagon和Audi為例，車廠要求供應商需符合16個流程(HIS Scope)，而Volvo、Ford、Jaguar則要求20個(HIS Extending)。車廠可根據需求有更大的彈性空間，並針對其專案來詳細檢視供應商的能力。此外，由於汽車電子系統不僅包含軟體，未來此標準有可能將硬體與機構的開發流程也一併納入，以進一步確保品質。

TUV NORD與Method Park可針對A-SPICE標準提供從訓練開始，到差異分析、流程建置諮詢與支援、預審查以及最後審查的完整服務。黃浩鈿表示，隨著汽車產業的快速發展，除了A-SPICE之外，ISO 26262功能安全性標準也是業者欲跨入車電市場的另一個重要條件。在實務上，他會建議業者先導入A-SPICE將流程建立好，有了基礎的框架之後，再來推動ISO 26262會更有效率。

黃浩鈿強調，由於擁有服務全球客戶的實際經驗，特別是了解各家車廠的不同要求，我們能提供業者所需的整合性認證服務，加速它們順利進入車電市場，這是TUV NORD的一大優勢。

(本文由DIGITIMES林仁鈞整理報導)

SO 26262 是汽車業使用的功能性安全標準，其標題為「道路車輛－功能性安全」。

遵循此一標準對於汽車產品開發非常重要。OEM 代工、其供應商、汽車零件開發商都必須遵循此一標準。

在此，我們剖析 ISO 26262 以及 ASIL（汽車安全完整性等級），和開發團隊的遵循標準指南。

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

ISO 26262 功能性安全綜覽

ISO 26262 是以風險為基礎的安全標準，來自於 IEC 61508。適用於車輛生產的電機及／或電子系統，其中包括駕駛輔助、動力和車輛動態控制系統。

ISO 26262 涵蓋整個開發流程的功能性安全層面：

• 需求規範 (Requirements specification)
• 設計 (Design)
• 執行 (Implementation)
• 整合 (Integration)
• 驗證 (Verification)
• 認可 (Configuration)

ISO 26262 的重要性

ISO 26262 旨在整個汽車設備與系統的使用壽命期間，保證安全。

每個階段都有特定步驟的要求，這保證了從最早的概念到車輛廢用為止的安全。

遵循此一標準，可避免或控制系統性故障，您也會察覺或控制隨機的硬體故障（或您可以減少故障的影響）。

ISO 26262 架構

ISO 26262 由十個章節組成 :

• Part 1：詞彙 (Vocabulary)
• Part 2：功能性安全管理 (Management of functional safety)
• Part 3：概念階段 (Concept Phase)
• Part 4：系統層級的產品開發 (Product development at the system level)
• Part 5：硬體層級的產品開發 (Product development at the hardware level)
• Part 6：軟體層級的產品開發 (Product development at the software level)
• Part 7：生產與操作 (Production and operation)
• Part 8：支援流程 (Supporting processes)
• Part 9：ASIL 導向與安全導向分析 (ASIL-oriented and safety-oriented analysis)
• Part 10：ISO 26262 方針 (Guideline on ISO 26262)

ISO 26262 第六部分(Part 6) 對軟體開發商而言是最重要的，其內容詳述開發商必須遵守以確保每一個元件安全的步驟。

Part 6 包括幾個表格，定義為了達到對此標準的遵循而必須考慮的方法。

ISO 26262 工具資格

任何使用在車輛開發上的工具必須為合格工具。ISO 26262 第八部分 (Part 8) 提供工具資格指南。

該部分規定了以下項目：

• 軟體工具合格計畫。
• 軟體工具文件存檔計畫。
• 軟體工具分級計畫。
• 軟體工具合格報告。

某些工具比其他工具更容易合格—附帶合規性證書，讓合格流程更為簡單。

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

什麼是 ASIL（汽車安全完整性等級）？

ASIL — 汽車安全完整性等級— 是 ISO 26262 的關鍵要素。ASIL 用於測量特定系統元件的風險。系統愈複雜，系統性故障和隨機硬體故障的風險就愈高。

ASIL 值從 A 到 D 分為四種。ASIL A 風險等級最低，ASIL D 最高，所以 ASIL D 的遵循要求會比 ASIL A 更嚴格。

在判斷 ASIL 時，還有第五個選擇：QM（品質管理）。這用於註解該項元件無須安全規定。（但能夠遵循以改善產品品質通常是件好事。）

如何判斷 ASIL

ASIL 由三個因素決定：嚴重性、曝險可能性、可控制性。

嚴重性

嚴重性測量一項系統故障的傷害有多嚴重，傷害包括人身與財產。

嚴重性分為四個等級：

• S0：沒有傷害。
• S1：輕至中度傷害。
• S2：重度至有生命危險（可能存活）傷害。
• S3：有生命危險（不一定存活）至致死傷害。

曝險可能性

曝險是特定故障會導致安全危險的狀況可能性。

每一種狀況的可能性按五分制排行：

• E0：非常不可能。
• E1：可能性極低（只在很罕見的操作狀況下會發生傷害）。
• E2：可能性低。
• E3：可能性中。
• E4：可能性高（大部分操作狀況下都會出現傷害）。

可控制性

可控制性是測量發生危險狀況時可避免傷害的可能性。此一狀況可能是因為駕駛人的行動或外部因素所導致。

危險狀況的可控制性以四分制排行：

• C0：一般而言可以控制。
• C1：可以簡單控制。
• C2：通常可以控制（大部分駕駛人可採取行動避免傷害）。
• C3：難以控制或無法控制。

判斷 ASIL

一旦判斷了嚴重性、可能性、可控制性，就可以決定 ASIL。第三部分表格四（ISO 26262-3）對此提供了指引。

根據嚴重性、曝險、可控制性，使用這份表格判斷 ASIL。

 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

ISO 26262 軟體合規性指南

無論是開發傳統汽車元件（如積體電路）或虛擬元件（如車輛虛擬機），遵循 ISO 26262 都十分重要，務必在整個軟體開發生命週期都遵循此一標準。

但對開發團隊而言，遵循可能有困難。系統與程式代碼庫日益複雜，造成軟體的驗證和批准有所困難。

以下說明如何將此變得簡單。

建立需求規範可追溯性

滿足合規性並證明已經達成，是很無聊瑣碎的過程。您必須將所有規範做成文件並能追溯到其他工具上，包括測試、問題及程式源碼等。

原文出處：What is ISO26262? And Overview