車規(guī)級(jí) | ISO26262中對(duì)獨(dú)立安全要素（SEooC）的開發(fā)要求

ISO26262針對(duì)為不同應(yīng)用場景和不同客戶開發(fā)的通用安全相關(guān)要素，規(guī)定了其相應(yīng)的開發(fā)要求，稱這種要素為獨(dú)立安全要素（Safety Element out of Context-SEooC）。

顧名思義，“獨(dú)立安全要素"的存在不是為了某個(gè)特定的安全相關(guān)項(xiàng)或?yàn)榱四撤N車型而設(shè)立，而是針對(duì)

?一套系統(tǒng)

?一系列系統(tǒng)組合

?子系統(tǒng)

?軟件

?硬件

?元器件（如ECU、MCU）

?使用通訊協(xié)議的軟件

?汽車開放系統(tǒng)架構(gòu)（AUTOSAR）軟件等而設(shè)立

與ISO26262有相應(yīng)鑒定方法的復(fù)用成熟軟件或是貨架產(chǎn)品硬件不同（此類產(chǎn)品在開發(fā)之初不考慮ISO26262的相關(guān)系列標(biāo)準(zhǔn)），SEooC的開發(fā)過程是基于一系列安全要求假設(shè)基礎(chǔ)上，充分按照ISO26262的標(biāo)準(zhǔn)要求進(jìn)行的開發(fā)設(shè)計(jì)。

ISO26262給出了四種情況來描述不同的硬件或軟件的認(rèn)證狀態(tài)類型，如下表所示，設(shè)計(jì)者或用戶可以根據(jù)需要選擇要開發(fā)或者評(píng)估相應(yīng)的要素。

在開發(fā)SEooC時(shí)，設(shè)計(jì)者往往無法從用戶方得到明確的安全要求。針對(duì)這個(gè)問題，ISO26262要求在開發(fā)獨(dú)立安全要素前，要進(jìn)行適當(dāng)?shù)募僭O(shè)，假設(shè)獨(dú)立安全要素可能適用的更高層級(jí)要素分配的安全要求，或者是為了配合其他同層級(jí)別要素實(shí)現(xiàn)安全功能而分配到的安全要求。

如何保證這些假設(shè)在相關(guān)項(xiàng)層面是成立的？ISO26262中規(guī)定了，在開發(fā)SEooC時(shí)進(jìn)行假設(shè)需要在更高層級(jí)的相關(guān)項(xiàng)開發(fā)時(shí)，進(jìn)行驗(yàn)證或評(píng)估，如：

當(dāng)SEooC在與實(shí)際的相關(guān)項(xiàng)集成過程中，通過考量相關(guān)項(xiàng)對(duì)SEooC的應(yīng)用要求（環(huán)境要求，功能要求，外圍要求）等，對(duì)比SEooC的開發(fā)假設(shè)是否與這些要求吻合，進(jìn)而確認(rèn)假設(shè)是否成立，如果出現(xiàn)“差異"就需要進(jìn)行“影響分析"：

1）如果差異不會(huì)造成違背相關(guān)項(xiàng)的安全目標(biāo)，就認(rèn)為SEooC的開發(fā)假設(shè)與實(shí)際的差異是可接受的；

2）如果差異造成了違背相關(guān)項(xiàng)的安全目標(biāo)，但通過安全度量計(jì)算滿足系統(tǒng)目標(biāo)安全等級(jí)要求，差異可接受；

3）如果差異造成了違背相關(guān)項(xiàng)的安全目標(biāo)，而且無法滿足系統(tǒng)安全等級(jí)要求，可以對(duì)相關(guān)項(xiàng)的定義或功能安全概念進(jìn)行變更；

4）如果差異造成了違背相關(guān)項(xiàng)的安全目標(biāo)，而且無法滿足系統(tǒng)安全等級(jí)要求，又無法對(duì)相關(guān)項(xiàng)的定義或功能安全概念進(jìn)行變更，則需要對(duì)SEooC進(jìn)行變更，以適應(yīng)差異帶來的影響。

MCU實(shí)際集成到更高層級(jí)的系統(tǒng)或相關(guān)項(xiàng)時(shí)，MCU作為SEooC的相應(yīng)的假設(shè)要進(jìn)行逐項(xiàng)分析：

1）對(duì)內(nèi)的技術(shù)安全要求是否能夠符合系統(tǒng)或相關(guān)項(xiàng)的安全目標(biāo)的要求；

2）系統(tǒng)或相關(guān)項(xiàng)的配置是否能夠符合MCU對(duì)外的技術(shù)安全要求的假設(shè)；

如果發(fā)現(xiàn)假設(shè)與實(shí)際情況不匹配，則需要采取硬性分析和相應(yīng)的技術(shù)變更。