CN109389407A - 一种汽车电子产品功能安全的保证及验证方法 - Google Patents

Abstract

本发明公开了一种保证及验证汽车电子产品功能安全的方法。本发明方法是基于道路车辆方面的功能安全国际标准ISO26262，首先按照ISO26262标准设计或评估汽车电子电气产品(以下简称汽车电子产品或产品)，其中包括汽车电子电气系统；接着依据产品的设计或评估文档对产品进行安全论证，主要论证其是否符合功能安全要求；当论证产品是功能安全的之后，对安全论证文件进行建模与验证；最后为了保证建模验证的效率和准确性，采用计算机自动地对安全论证文件进行开发、建模与验证等操作。本发明方法适用于道路车辆电子电气的功能安全领域，采用本发明方法既保证了产品的功能安全也验证了产品的功能安全。

Description

一种汽车电子产品功能安全的保证及验证方法

技术领域

本发明涉及道理车辆功能安全领域，具体涉及一种汽车电子产品功能安全的保证及验证方法。

背景技术

汽车电子产品的功能安全对汽车行驶安全影响至关重要，根据统计资料显示由于汽车电子产品中有缺陷的软件和硬件所引发的故障数越来越多，因此如何能够保证及验证汽车电子产品的功能安全是一个非常值得研究的课题。

为了保证汽车电子产品的功能安全，国际标准化组织于2011年11月颁布了道路车辆功能安全国际标准ISO26262，该标准是在IEC61508标准的基础上制定的，理论上按照ISO26262标准就能设计或评估出符合功能安全的汽车电子产品。但是会由于人为和机械的错误，导致设计或评估的结果不能够正确，所以需要使用安全论证的方法证明该汽车电子产品是功能安全的。

安全论证方法就是一种以系统满足所有安全需求为结论,以系统设计、开发和生产运行的流程、结果和记录为证据的论证过程,要求将系统在生命周期全过程中产生的设计文档、安全需求文档、测试报告等证据依据合适的推理逻辑进行有机组合,以此向项目管理者、评估者及用户提供系统安全性证明。对于复杂的系统，其安全论证文件是非常庞大复杂的，如何能够理解、管理和验证这些安全论证文件将成为一个难题。

为了解决现有技术中所存在的上述难题，本发明采用形式化方法，提供了一种汽车电子产品功能安全的保证及验证方法。形式化是以数学符号的方法来描述事物,克服了非形式化方法中二义性、不确定性、不完整性和非一致性问题。因为将具体的事物用数学符号来表示,所以可以更加精确更加简洁地对事物进行描述、推理、演算和评估验证。开发本发明的过程中使用数学符号的另外一些优点是:可以在软件工程活动之间平滑地过渡、可以将数学公式推导和代码验证很好地混合以及提供了高层验证和确认的手段。正因形式化方法的这些优点,所以很有必要将形式化方法应用在安全相关的领域内。

发明内容

本发明提出了一种保证及验证汽车电子产品功能安全的方法，包括：

步骤一：按照道路车辆功能安全国际标准ISO26262，设计和评估汽车电子产品和可编程器件(汽车电子产品)，产生设计或评估文档；

步骤二：利用步骤一中得到的设计或评估文档对汽车电子产品进行安全论证，证明汽车电子产品是功能安全的；

步骤三：利用形式化方法，对步骤二中得到的安全论证文件进行形式化建模、分析与验证；

步骤四：利用计算机自动地开发汽车电子产品的安全论证文件并进行自动地建模、分析与验证。

本发明提出的所述的保证及验证汽车电子产品功能安全的方法中，所述步骤一进行汽车电子产品的设计和评估包括以下步骤：

步骤A1：进行汽车电子产品概念阶段的设计或评估；

步骤A2：根据概念阶段设计或评估文档，进行产品系统级开发阶段的设计或评估；

步骤A3:进行汽车电子产品生产和运行阶段的设计或评估。

本发明提出的所述的保证及验证汽车电子产品功能安全的方法中，所述步骤二进行汽车电子产品的安全论证包括以下步骤：

步骤B1：根据权利要求2所述步骤A1得到汽车电子产品的安全目标和安全需求；

步骤B2：运用适合的安全论证方法对汽车电子产品的安全目标进行安全论证；

步骤B3：将产品的需求文档、设计文档、评估文档和仿真实验结果等作为安全论证的安全论据支持产品的安全目标和安全需求；

本发明提出的所述的保证及验证汽车电子产品功能安全的方法中，所述步骤三中对安全论证文件进行形式化建模、分析与验证包括以下步骤：

步骤C1：用合适的形式化方法来描述安全论证文件，即进行安全论证文件的形式化建模；

步骤C2：对步骤C1中得到的模型、权利要求1步骤二中得到的安全论证文件、ISO26262标准和汽车电子产品的需求分析、设计和评估文档进行分析，提取一些需要验证的性质；

步骤C3：根据步骤C2中得到的性质，对步骤C1中的模型进行验证。

本发明提出的所述的保证及验证汽车电子产品功能安全的方法中，所述步骤A1进行汽车电子产品概念阶段的设计或评估包括以下步骤：

步骤D1：对汽车电子产品进行item定义；

步骤D2：根据汽车电子产品的item定义文档，对其进行危害分析和风险评估；

步骤D3：根据汽车电子产品的危害分析和风险评估文档，得到其安全目标；

步骤D4：根据汽车电子产品的安全目标，进行汽车电子产品功能安全概念阶段。

本发明提出的所述的保证及验证汽车电子产品功能安全的方法中，所述步骤A2进行汽车电子产品系统级开发的设计或评估包括以下步骤：

步骤E1：系统级产品开发的启动；

步骤E2：硬件级的产品开发和软件级的产品开发；

步骤E3：安全确认和生产发布。

本发明提出的所述的保证及验证汽车电子产品功能安全的方法中，，所述步骤E2进行汽车电子产品硬件级开发包括以下步骤：

步骤F1：硬件安全需求制定；

步骤F2：硬件设计和架构指标；

步骤F3：评估硬件随机失效违反安全目标；

步骤F4：硬件集成和测试。

本发明提出的所述的保证及验证汽车电子产品功能安全的方法中，所述步骤E2进行汽车电子产品软件级开发包括以下步骤：

步骤G1：软件安全需求制定；

步骤G2：软件架构设计；

步骤G3：软件单元设计与应用；

步骤G4：软件集成与测试；

步骤G5：软件安全需求审核。

本发明的有益效果是：本发明提供的方法中，首先是按照道理车辆安全标准ISO26262设计或评估汽车电子产品，保证了所设计和评估的汽车电子产品的功能安全；接着是采用安全论证的方法对汽车电子产品进行安全论证，证明其是符合功能安全的；最后是利用形式化的方法对安全论证文件进行形式化建模与验证，通过这3个步骤既可以保证汽车电子产品的功能安全又验证了汽车电子产品的功能安全，对汽车电子产品的功能安全提供了保证及验证的双重保障。

附图说明

图1表示本发明保证及验证汽车电子产品功能安全方法的流程示意图。

图2表示本发明保证及验证汽车电子产品功能安全方法中按照ISO26262标准进行汽车电子产品设计和评估的结构图。

图3表示本发明保证及验证汽车电子产品功能安全方法中基于ISO26262的安全论证框架图。

图4表示本发明具体实施例的系统结构图。

图5表示本发明中所采用安全论证方法的论证结构图。

图6表示本发明实施例FLEDS系统的安全论证图中协调器子系统的安全论证图。

图7表示本发明实施例FLEDS系统的安全论证图。

图8是性质验证的流程图。

具体实施方式

下面结合以下具体实施例和附图，对本发明作进一步的详细说明，以使本发明的优点和特征能更易于被本领域技术人员理解，从而对本发明的保护范围做出更为清楚明确的界定。实施本发明的过程、条件、实验方法等，除以下专门提及的内容之外，均为本领域的普遍知识和公知常识，本发明没有特别限制内容。

本发明的保证及验证汽车电子产品功能安全方法主要通过按照ISO26262标准设计或评估、安全论证和形式化建模验证实现了对汽车电子产品的功能安全保证及验证的双重保障。首先是按照道理车辆安全标准ISO26262设计或评估汽车电子产品，保证了所设计和评估的汽车电子产品的功能安全，产生了该汽车电子产品的设计文档或评估文档；接着是根据汽车电子产品的设计文档或评估文档和其他文档，采用安全论证的方法对汽车电子产品的安全目标进行安全论证，证明其是符合功能安全的；最后是利用形式化的方法对安全论证文件进行形式化建模、分析与验证。

如图1所示，是本发明的保证及验证汽车电子产品功能安全方法的流程图。以下本发明具体实施例以国际安全标准ISO26262为依据，包括以下步骤：

步骤一：为了保证汽车电子产品的功能安全，可以采取两种方式：按照ISO26262标准进行设计开发汽车电子产品和按照ISO26262标准进行评估汽车电子产品。对于这两种方式，不管采取什么方式其所实施的步骤都是一样的，只不过是从两种角度来对汽车电子产品进行功能安全方面的保证。这一步骤主要是按照ISO26262标准，从汽车电子产品的设计和评估的角度来保证产品的功能安全。

在这一步骤中，所需实施的步骤经过概括为3个阶段：概念阶段、产品系统级开发阶段和产品的生产和运行阶段。如果按照ISO26262进行完整的产品设计和评估，这3个阶段都需要实施。这3个阶段也可以分阶段进行设计和评估。具体的执行顺序如图2中的大“V”字模型所示，首先进行产品概念阶段的设计和评估，然后再进行产品系统级开发阶段，最后进行产品的生产和运行阶段。

在对产品进行概念阶段的设计或评估时，需要进行产品的item定义、产品危害分析和风险评估、制定产品的安全目标以及产生产品的功能安全概念。

在对产品进行产品系统级开发阶段的设计或评估时，就是执行图2所示系统开发阶段中的两个小“V”字模型，先后执行软硬件安全的需求分析、软硬件的架构设计及指标和软硬件的测试等等。

在对产品进行生产和运行时，主要就是对产品的生产和运行方面的设计和评估。

步骤二：使用某种安全论证方法，依据产品的设计文档、评估文档和测试文档等等，对产品进行安全论证，证明产品的安全目标是否得到满足。这一步骤主要是运用安全论证方法，从证明的角度，证明汽车电子产品的功能安全得到了满足。

在进行产品的安全论证时，以步骤一中得到的产品的安全目标为安全论证的安全目标，以步骤一中得到的产品的设计文档、评估文档和测试文档等等为安全论据，论证产品的安全目标是否得到满足。在进行安全论证时，需要进行安全目标的分解，将总目标分解逐步分解为多个子目标，也就是安全需求的精华分解。根据ISO26262标准中所述的安全需求结构，得到如图3所示的基于ISO26262安全论证框架结构，可以按照该框架结构对产品的安全需求进行分解，进而证明产品的安全需求是可以满足的。该框架结构是根据ISO26262标准中安全需求结构而得到的。

步骤三：一般安全论证文件都是非常庞大复杂的，很难被人们理解、验证、管理和维护等，为了解决这个问题需要采用某种形式化方法对安全论证文件进行形式化建模，用形式化的模型来描述安全论证文件，得到的形式化模型跟易于被人们理解、验证、管理和维护等。

在这一步骤中，最主要的是利用用于描述安全论证文件的的形式化模型验证安全论证的正确性。可以从ISO26262标准、产品设计文档、产品功能分析文档或安全论证文件等等文件中提取一些性质，用一些形式化验证的方法，在所得的形式化模型中验证这些性质是否可以得到满足，如果得到满足，则说明安全论证结果的正确性；否则，则说明安全论证结果不满足条件。

步骤四：利用计算机方便快速地对安全论证文件进行形式化建模与验证。为了更加方便、快捷和高效地对安全论证文件进行形式化建模与验证。在这一步骤中，首先需要做的是将安全论证文件转换成可输入到计算机中的数据，即需要利用计算机将安全论证文件转换成形式化模型，将得到的形式化模型作为验证的输入数据；其次是将提前到的性质也进行形式化的描述；最后是利用得到的安全论证文件与性质的形式化模型作为输入数据，进行形式化的证明。

本具体实施例为汽车油量估测与显示系统——FLEDS系统，FLEDS系统的结构如图4所示，是工业界一个实际应用的系统。FLEDS系统是一个根据燃油速率、油箱油量探测值和车子是否启动等信息实时估测并显示油箱油量的汽车电子应用系统。其有3个主要的功能:油箱中油量水平的估测、显示以及低油量时警报提醒。本发明可以适用于所有汽车电子电气系统、汽车可编程器件，保证及验证它们的功能安全，如轮胎阻力系统、发动机启动系统和照明系统等。

本具体实施例中，运用本发明的保证及验证汽车电子产品功能安全方法，保证及验证了FLEDS系统在概念阶段功能安全。具体步骤如下：

步骤一：为了保证FLEDS系统的功能安全，首先需要按照ISO26262标准对FLEDS系统进行设计和评估。根据图2所示可知，分别有三个阶段，概念阶段、产品系统级开发阶段和生产运行阶段。现只举概念阶段为例，对FLEDS进行概念阶段的设计或评估，需要进行4个步骤：item定义、危害分析和风险评估、产生安全目标和产生功能安全概念。

在进行item定义时，首先需要确定FLEDS系统中所有的item，然后按照item的功能和非功能的描述、item的所有元素列表、边界描述以及item相互间的影响等多个角度对item进行描述。

进行危害分析和风险评估共有两部分工作：首先是识别出item中所有的潜在危害；其次是对识别出来的危害进行分类，从危害的3个指标——危害的严重性(Severity)、操作情况暴露于危害中的概率(Probability of Exposure)和危害的可控性(Controllability)，来确定危害的ASIL等级。

然后为了减少、预防和避免危害的发生产生产品的安全目标。最后对FLEDS的安、全目标进行分析，推导出FLEDS的功能安全要求，并将得到的功能安全要求分配到系统基础架构元素中，同时赋予了一定的ASIL等级。

对FLEDS进行上面的步骤后得到FLEDS的功能安全概念如下表：

FLEDS功能安全需求

步骤二：对FLEDS进行安全论证，可采用的安全论证方法有很多，本专利发明人所使用的安全论证方法为GSN安全论证方法，进行的安全论证结构如图5所示，由安全论据通过安全论证证明安全目标。而安全论据就是通过步骤一得到的FLEDS的设计文档、测试文档和仿真文档等，安全目标就是通过步骤一在概念阶段得到的FLEDS的安全目标，安全论证就是证明FLEDS系统满足安全目标而展开的论证过程，一般需要采取一定的策略将安全目标分解多个子目标，然后再细分为多个子目标，最终被安全论据直接支持。

证明FLEDS的安全目标是否得到满足是指证明FLEDS在一定条件下可以安全运行，所以在证明过程中会指明一些补充说明和外部条件。并且FLEDS的安全目标是有一定的ASIL等级的，安全目标的分解也伴随着ASIL等级的分解。如图7所示，是对FLEDS系统进行安全论证得到的整体论证图，其主目标是FLEDS是可接受安全的——在一定条件是可安全运行。在图7中，主目标是FLEDS是可接受安全的，通过策略S_1将主目标分解为G_2和G_3两个子目标，并对G_3子目标通过策略S_2继续进行开发，得到G_4和G_5两个子目标，而G_4子目标可以被D_4、D_5和D_6三个模块来支持，G_5子目标可以被E_1和E_2两个证据来支持，这样G_4和G_5就得到了满足，进而G_3得到了满足，从而G_1得到了满足，证明了G_1的正确性。

步骤三：由于使用GSN安全论证方法对FLEDS系统进行安全论证的，得到的安全论证文件都是一些GSN安全论证图，因此在这一步骤中，需要对FLEDS系统的GSN安全论证图进行形式化建模与验证即可。

本专利发明人采用四元组＜N,L,t,→＞的形式表示GSN安全论证图，实现对其进行建模得到形式化模型，其中N为GSN安全论证图中元素节点组成的集合；L为N→{s,g,e,a,j,c,m,ud}的标签函数，表示某个节点具体是哪个元素类型；t为N→E，其中E为节点内容组成的集合，表示节点内容的函数；→为＜N,N＞，表示元素节点间的连接关系。

然后需要提出一些需要验证的性质，例如：策略节点不能直接连接论据节点或者其他策略节点、每个根节点都是目标元素节点和如果某个GSN论证图是一个已开发完整的安全案例，则对于任意一个安全目标元素节点，总可以到达安全论据元素节点等。

最后是根据提出的性质，利用所建得的模型进行验证。例如对“策略节点不能直接连接论据节点或者其他策略节点”这条性质的验证如下：

进行该性质的验证，需要遍历一遍节点关系集合→，当每遍历一个二元组元素中的第一个节点时，对其进行L函数运算，如果得到的是策略节点则对该元组的第二个节点进行L函数运算，如果第二个节点既不是策略节点也不是论据节点，则继续遍历下一个二元组元素，反之则结束遍历，说明不满足性质1。

如果在对第一个节点进行L函数运算得到的不是策略节点，则放弃该元组，接着遍历下一个二元组元素；直到遍历完关系集合→中所有的二元组元素时，才可以说明满足性质1。按照上述的方法对GSN安全论证图形式化模型的节点关系集合→进行了遍历，得到的结论是是否满足该性质，具体如图8所示。

步骤四：利用计算机对FLEDS的安全论证文件进行形式化建模与验证。本专利发明人使用的是GSN安全论证方法，所以首先需要做的就是将FLEDS的GSN安全论证图转换为可输入计算机的形式化模型。本专利发明人提出了一种GSN安全论证图形式化模型转换算法，该算法的主要功能是利用计算机将得到的GSN安全论证图进行形式化建模，最终得到可输入的GSN安全论证图形式化模型。然后就是利用得到的形式化模型进行一些性质的验证。本专利发明人利用计算机对FLEDS的GSN安全论证图中某一张图进行形式化建模得到的模型如图6所示。在图6中，N表示图中节点的集合，L表示节点属性/符号的集合，t表示节点内容的集合，r表示节点间关系的集合。

以上所述仅为本发明的实施例，并非因此限制本发明的专利范围，本发明的保护内容不局限于以上实施例。在不背离发明构思的精神和范围下，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (8)

1.一种汽车电子产品功能安全的保证及验证方法，其特征在于，包括：

按系统需求分析和安全标准设计汽车电子产品，生成设计文档；或评估所述汽车电子产品，生成评估文档，；

根据所述设计文档或所述评估文档进行安全论证，以证明所述汽车电子产品的功能安全性；成功论证功能安全性后，生成安全论证文件；

利用形式化手段对得到的安全论证文件进行形式化建模、分析和验证；

利用计算机对所述安全论证文件进行自动地建模、分析和验证，实现对论证文件建模、分析与验证的自动化。

2.如权利要求1所述的汽车电子产品功能安全的保证及验证方法，其特征在于，所述步骤一进行设计和评估汽车电子产品包括产品概念阶段、产品系统级开发阶段和生产运行阶段，依次包括如下步骤：

首先进行汽车电子产品概念阶段的设计或评估；

然后根据概念阶段设计或评估文档，进行产品系统级开发阶段的设计或评估；

最后进行汽车电子产品生产和运行阶段的设计或评估。经过这三步才属于对汽车电子产品一次完整的设计或评估。

3.如权利要求2所述的汽车电子产品功能安全的保证及验证方法，其特征在于，针对所述汽车电子产品的概念阶段的设计或评估包括以下步骤：

针对所述汽车电子产品，进行item定义，得到item定义文档；

分析和评估所述item定义文档的危害与风险，分别生成危害分析文档和风险评估文档；

根据所述危害分析和风险评估文档，得到安全目标。

4.如权利要求2所述的汽车电子产品功能安全的保证及验证方法，其特征在于，针对所述汽车电子产品的产品系统级开发阶段的设计或评估包括以下步骤：

启动所述汽车电子产品的开发；

开发所述汽车电子产品的硬件级的产品和软件级的产品；

针对所述汽车电子产品进行安全确认和生产发布。

5.如权利要求4所述的汽车电子产品功能安全的保证及验证方法，其特征在于，所述硬件级开发包括以下步骤：

硬件安全需求制定；

硬件设计和架构指标；

评估硬件随机失效违反安全目标；

硬件集成和测试。

6.如权利要求4所述的汽车电子产品功能安全的保证及验证方法，其特征在于，所述软件级开发包括以下步骤：

软件安全需求制定；

软件架构设计；

软件单元设计与应用；

软件集成与测试；

软件安全需求审核。

7.如权利要求2所述的汽车电子产品功能安全的保证及验证方法，其特征在于，针对所述汽车电子产品的安全论证包括以下步骤：

运用安全论证手段针对所述汽车电子产品的安全目标进行安全论证，获得仿真实验结果；

根据所述所述汽车电子产品的安全需求、仿真实验结果、设计文档和/或评估文档，论证所述汽车电子产品的安全需求，论证成功后获得安全论证文件。

8.如权利要求2所述的汽车电子产品功能安全的保证及验证方法，其特征在于，对安全论证文件进行形式化建模、分析与验证包括以下步骤：

利用形式化手段描述所述安全论证文件，进行安全论证文件的形式化建模，获得形式化模型；

针对所述形式化模型、所述安全论证文件、所述安全标准、所述汽车电子产品的需求分析、设计文档和评估文档进行分析，提取待验证的性质；

根据所述性质验证所述形式化模型，从而验证安全论证文件是否正确，进而验证汽车电子产品的设计或评估是否正确。