14

默默默默

更多精彩内容尽在同名公众号:AUTO世代
本篇属于汽车功能安全专题系列第14篇内容，我们聊聊功能安全外部措施相关内容。

开始阅读之前强烈建议参考之前系列文章:
01 - 汽车功能安全(ISO 26262)系列 - 开篇
02 - 汽车功能安全系列之概念阶段开发 - Item Definition & HARA
03 - 汽车功能安全(ISO 26262)系列: 概念阶段开发 - 功能安全需求及方案(FSR&FSC)
04 - 汽车功能安全(ISO 26262)系列: 系统阶段开发 - 技术安全需求(TSR)及安全机制
05 - 汽车功能安全(ISO 26262)系列: 系统阶段开发 - 技术安全方案TSC及安全分析
06 - 汽车功能安全(ISO 26262)系列: 系统阶段开发 - 系统安全架构
07 - 汽车功能安全(ISO 26262)系列: 硬件开发 - 硬件安全需求，安全设计及安全机制
08 - 汽车功能安全(ISO 26262)系列: 硬件开发 - 硬件随机失效概率化评估
09 - 汽车功能安全(ISO 26262)系列: 硬件开发 - 随机硬件失效量化FMEDA
10 - 汽车功能安全(ISO 26262)系列: 软件开发 - 软件开发模型及安全需求
11 - 汽车功能安全(ISO 26262)系列: 软件开发 - 软件架构安全设计
12 - 汽车功能安全(ISO 26262)系列: 软件开发 - 软件详细设计及安全测试
13 - 汽车功能安全(ISO 26262)系列: 功能安全管理
在功能安全分析过程中，很多朋友搞不清:

• 到底什么是外部措施？
  
• 外部措施可以降低ASIL等级吗？
  
• 外部措施为什么能够降低ASIL等级？
  

这篇我们就以问答的形式，专门聊聊外部措施，回答朋友们的疑问。

Q: 到底什么是外部措施？

所谓外部措施是指在相关项边界外减少或减轻相关项故障行为造成的潜在危害的措施。
关于外部措施定义需要注意以下几点:

• 外部措施必须存在于所定义的相关项外部，这也是"外部"一词的体现。
  

2. 外部措施可以是车内车载装置，如车辆稳定控制系统或防爆轮胎，安全气囊等，也可以是车外装置，如防撞护栏或隧道消防系统等。

3. 外部措施是相对的，会随相关项定义不同发生变化，如对于传动系统而言，ESP属于外部措施，但对制动系统则不是。

需要注意外部措施和在HARA评估过程中潜在处于风险中人员的合理假设的区别。
例如假设驾驶员处于正常的状态（例如，驾驶员不疲劳），接受了恰当的驾驶员培训（驾驶员有驾驶执照）并且遵守所有适用的法律法规，包括应有的谨慎以避免为其他交通参与者带来风险。这些都属于正常假设，非外部措施，不会因相关项定义不同而发生变化，也不会减少或减轻相关项故障行为造成的潜在危害。

Q: 外部措施可以降低ASIL等级吗？

外部措施可以在危害分析和风险评估过程中，降低危害事件的ASIL等级，进而降低安全目标的ASIL等级。
但需要注意的是，外部措施必须独立于相关项实施的功能，独立性是应用外部措施的基本要求，否则不能在HARA中考虑。
例如，车辆发生非预期移动时，相关项定义为传动系统，此时自动变速器驻车功能，或者档位和离合器的结合，可以有效防止车辆移动，但这些措施都和传动系统直接相关，属于相关项内容，不符合独立性要求，不可作为外部措施。

Q: 外部措施为什么能够降低ASIL等级？

这个问题可以从两个角度回答:

• 从ASIL等级评估过程中讲:
  

严重性(S), 暴露度(E), 可控性(C)这三个参数直接决定了ASIL等级，外部措施降低ASIL等级无非就是降低危害事件风险评估中S, E, C这三个参数中某个或某些的取值，一般来说外部措施对S和C值影响较大，E值多和运行场景相关，外部措施基本很难改变。
例如，路边防碰撞栏杆，安全气囊的的存在可以降低车辆发生碰撞时对驾驶员和乘客的伤害程度，因此降低了S值。
由于车辆稳定系统的存在，可以有效增加车辆发生非预期加速或减速时的驾驶员对车辆的可控制，因此降低了C值。

• 从外部措施应用的本质上讲:
  

外部措施降低安全目标ASIL等级的本质是ASIL等级分解，这也是应用外部措施时对其独立性要求的原因。
通过ASIL等级分解，将一个高的ASIL等级降级分配给相关项内部和独立于相关项的外部的两个安全需求。
那既然这样，外部措施应用除了独立性外，还有外部存在这个要求呢？
主要原因在于外部措施多用于降低安全目标ASIL等级的假设，只有外部存在的独立措施的不会在后续安全分析中再次被作为降低风险的措施，而内部安全措施是实现ASIL等级的必要条件，不能被重复考虑。

Q: 实施外部措施在后续功能安全开发中需要注意什么？
1. 如在危害分析和风险评估过程中的考虑了外部措施(如降低安全目标的ASIL等级)，则在后续安全分析中不能再次认为此外部措施是一个减少风险的途径。

2. 在后续功能和技术安全方案中，需要明确外部措施的功能和技术需求，包括接口，功能特性等。

3. 外部措施作为一种降低ASIL的技术假设，在安全确认活动期间需要提供证据证明外部措施的充分和可靠性。

写在最后:
功能安全外部措施小专题相关内容我们就聊完了，希望能够给朋友们更好地理解功能安全，推动功能安全落地带来帮助。

                                                                           END
                                                        【点赞】和【在看】= 原创的动力
                                                                多谢【点赞】和【在看】