National Instruments
Seite 1 von 6
bersicht
Mit der industrieweiten Anwendung von standardisierten Verfahren fr das Entwerfen und
Testen von Produkten werden Sicherheitspraktiken immer mehr reguliert. ISO 26262 soll
den Bedarf nach einem automobilspezifischen internationalen Standard abdecken, der auf
sicherheitskritische Komponenten ausgerichtet ist. ISO 26262 baut auf EC 61508 auf, dem
allgemeinen funktionalen Sicherheitsstandard fr elektrische und elektronische (E/E)
Systeme. Dieses Paper deckt die Schlsselkomponenten von ISO 26262 und
Qualifizierungsanforderungen an Hardware und Software ab. Zustzlich behandelt das
Paper ISO-26262-Testprozesse und Tools, die ISO-26262-konform sind.
Inhaltsverzeichnis
1.
2.
3.
4.
5.
6.
7.
8.
Hintergrund
Schlsselkomponenten von ISO 26262
Qualifizierung von Hardwarekomponenten
Qualifizierung von Softwarekomponenten
"Proven in Use Argument" hinsichtlich der Betriebsbewhrtheit
Anwendung auf vorhandene Prozesse
Qualifizierung von Test-Tools
Nchste Schritte
1. Hintergrund
ISO 26262 verwendet ein System von Schritten zur Verwaltung von funktionaler Sicherheit
und zur Regulierung der Produktentwicklung auf Systemebene, Hardware- und
Softwareebene.
Der ISO 26262-Standard bietet Richtlinien und Empfehlungen fr den gesamten
Produktentwicklungsprozess, von der konzeptuellen Entwicklung bis hin zur
Auerbetriebnahme. Es wird dargelegt, wie ein akzeptabler Risikolevel fr ein System oder
eine Komponente bestimmt wird, und wie der Testprozess dokumentiert wird.
Zusammenfassend bietet ISO 26262:
http://www.ni.com/whitepaper/13647/de/
01.08.2016
Was beinhaltet die Norm zur funktionalen Sicherheit, ISO 26262? National Instruments
Seite 2 von 6
ISO 26262 umfasst zehn Bnde. Die Norm ist auf serienproduzierte Fahrzeuge ausgelegt
und enthlt Abschnitte speziell fr Automobile. Beispielsweise enthlt Abschnitt 7 des ISO
26262 spezifische Sicherheitsanforderungen fr Produktion, Betrieb, Service und
Auerbetriebnahme.
ASIL ist eine Schlsselkomponente der ISO- 26262-Compliance. ASIL wird zu Beginn des
Entwicklungsprozesses festgelegt. Die geplanten Funktionen des Systems werden
hinsichtlich mglicher Gefahren analysiert. Beim Anwenden des ASIL-Sicherheitsstandards
wird die Frage gestellt: "Was passiert mit dem Fahrer und betroffenen Personen in der
Umgebung, wenn ein Fehler auftritt?"
Die Einschtzung dieses Risikos, auf dem ASIL beruht, basiert auf einer Kombination von
Faktoren. Dazu gehren eine Einschtzung dazu, wie der Fahrer dem Fehler ausgesetzt ist,
die potentielle Kontrolle, die ein Fahrer beim Eintreten des Fehlers hat, und der
Schweregrad des Ausgangs, sollte ein kritisches Ereignis eintreten. ASIL beschrnkt sich
auf Schden, die der Fahrer und andere Straenbenutzer davontragen knnen, und spricht
die im System eingesetzten Technologien nicht an.
Die Hardwarequalifizierung soll aufzeigen, wie sich eine Komponente in das Gesamtsystem
einfgt, und soll darber hinaus Fehlerarten beurteilen. Fr Hardware-Grundkomponenten
kann eine Standard-Qualifizierung verwendet werden. Komplexere Teile erfordern eine
Beurteilung durch ASIL-Zerlegung und -Tests. Hardwarekomponenten werden
normalerweise durch das Testen der Komponente unter verschiedenen Umgebungs- und
Betriebsbedingungen qualifiziert. Die Testergebnisse werden dann mit verschiedenen
numerischen Methoden analysiert und in einem Qualifizierungsbericht unter Einbeziehung
der Testverfahren, Voraussetzungen und Eingangskriterien vorgestellt.
4. Qualifizierung von Softwarekomponenten
http://www.ni.com/whitepaper/13647/de/
01.08.2016
Was beinhaltet die Norm zur funktionalen Sicherheit, ISO 26262? National Instruments
Seite 3 von 6
Hardware- und Softwarekomponenten knnen die Compliance mit ISO-26262Anforderungen durch das Proven in Use-Argument nachweisen. Diese Klausel findet
Anwendung, wenn eine Komponente bereits in anderen Anwendungen ohne Aufflligkeiten
verwendet wurde. ISO 26262 findet auch auf ltere Systeme Anwendung, die schon lnger
erfolgreich im Einsatz sind. Oft macht es keinen Sinn, einen Standard auf ein System
anzuwenden, das schon in Millionen von Fahrzeugen eingesetzt wurde. Beispielsweise
wurden manche Systeme in heutigen Automobilen bereits unter Anwendung hoher
Sicherheitsstandards hergestellt, und das schon vor Inkrafttreten von ISO 26262. In RealWorld-Anwendungen haben diese sicherheitskritischen Komponenten ein verlssliches
Verhalten bewiesen. Verlssliche Systeme, die unverndert schon frher in Fahrzeugen
verwendet wurden, knnen auch spter noch ISO-26262-zertifiziert werden. Durch die
Kombination von zertifizierbaren Komponenten aus hnlichen Anwendungen und aus
lteren Anwendungen, die sich weitgehend und schon lnger im Einsatz befinden, wird die
Komplexitt des Gesamtsystems reduziert.
6. Anwendung auf vorhandene Prozesse
Eine der grten Herausforderungen beim Implementieren eines neuen Standards wie ISO
26262 ist dessen Anwendbarkeit auf bereits vorhandene Prozesse. Normalerweise wird ein
neuer Standard zunchst an Pilotprojekten getestet, um die Implementierung des Standards
und die Auswirkungen auf derzeit verwendete Prozesse zu sehen. Die Ergebnisse fr ISO
26262 haben so weit gezeigt, dass der Standard gut auf aktuelle Sicherheitskonzepte in der
Branche anwendbar ist. Unternehmen knnen schon jetzt die Vorteile der Risikoevaluierung
und des Durchfhrens einer Gefahrenanalyse zu einem frhen Zeitpunkt im
Entwicklungsprozess sowie von Tests ber den gesamten Entwicklungsprozess hinweg
erkennen.
Fr Unternehmen, die 26262 implementieren mchten, ist es wichtig, die Notwendigkeit der
folgenden Schritte zu verstehen: Durchfhren einer Risikoanalyse frh im
Entwicklungsprozess, Einrichten entsprechender Sicherheitsanforderungen und ein Erfllen
dieser Anforderungen mit Hilfe von Tests whrend des Entwicklungsprozesses.
7. Qualifizierung von Test-Tools
Das Testen ist whrend der Entwicklung unter ISO 26262 eine kritische Komponente.
Sicherheitskritische Systeme mssen in Testszenarien ordnungsgem reagieren und
innerhalb bestimmter Sicherheitsgrenzen arbeiten, whrend sie verschiedenen
Umgebungen und menschlichen Eingaben ausgesetzt sind. Qualitativ hochwertige
Testsysteme knnen dazu beitragen, die Leistung eines Produkts zu verbessern, Qualitt
http://www.ni.com/whitepaper/13647/de/
01.08.2016
Was beinhaltet die Norm zur funktionalen Sicherheit, ISO 26262? National Instruments
Seite 4 von 6
Basierend auf den Eingaben und Ausgaben des Tools werden typische oder ReferenzAnwendungsflle entwickelt. Die Analyse dieser Anwendungsflle ermglicht das
Bestimmen vom "Tool Confidence Level" (TCL). Mit Hilfe von TCL und ASIL wird der
Qualifizierungslevel festgelegt, der fr das Software-Tool bentigt wird. Zwei spezifische
Bereiche werden zum Bestimmen des Confidence-Levels geprft:
die Wahrscheinlichkeit eines fehlerhaften Software-Tools mit entsprechenden
fehlerhaften Ausgaben, welche zu einem Versto gegen die Sicherheitsanforderungen an
das Produkt oder die zu entwickelnde Komponente fhren knnen
die Wahrscheinlichkeit, dass solche Fehler in der Ausgabe gefunden oder von
vorneherein verhindert werden
Der "Tool Confidence Level" wird in TCL1, TCL2, TCL3 oder TCL4 unterteilt, wobei TCL4
das niedrigste Konfidenzniveau bezeichnet und TCL1 das hchste.
Der Tool-Qualifizierungsprozess
Bevor ein Tool die Qualifikationen nach ISO 26262 erfllt, muss es vielen Anforderungen
entsprechen. Beispielsweise muss der Sicherheits-Integrittslevel (ASIL) bereits bestimmt
worden sein. Fr das Tool muss ein Benutzerhandbuch vorhanden sein, eine eindeutige
Identifizierung und Versionsnummer, eine Beschreibung der Funktionen, des
Installationsvorgangs und der Umgebung (um nur einige Anforderungen zu nennen). ISO
26262 erfordert fr die Tool-Qualifizierung die folgenden Dokumente:
Software-Tool-Qualifizierungsplan
Software-Tool-Dokumentation
Software-Tool-Klassifizierungsanalyse
Software-Tool-Qualifizierungsbericht
Software-Tool-Qualifizierungsplan
Der Software-Tool-Qualifizierungsplan (STQP) wird frh im Entwicklungslebenszyklus der
sicherheitsrelevanten Komponente erstellt. Hierbei wird sich auf zwei Bereiche konzentriert:
die Planung fr die Qualifizierung eines Software-Tools und eine Auflistung der
Anwendungsflle, die zeigen, dass dem Tool das erforderliche Konfidenzniveau zugeordnet
wurde.
Der STQP muss Elemente wie eine einzigartige Identifizierung und Versionsnummer des
Software-Tools enthalten sowie Anwendungsflle, die Umgebung, ein Beschreibung, das
Benutzerhandbuch und eine vordefinierte ASIL.
Software-Tool-Klassifizierungsanalyse
Der Hauptzweck der Software-Tool-Klassifizierungsanalyse (STCA) ist das Bestimmen des
Konfidenzniveau. Der TCL ermittelt sich aus zwei Hauptgren. Die erste ist der Tool
Impact (TI). Die zweite ist die Tool Error Detection (TD). Basierend auf diesen zwei
Komponenten wird der entsprechende TCL gewhlt.
TI1 bzw. TI2 bezeichnen die zwei Klassen des Tool Impacts. TI0 wird gewhlt, wenn
argumentiert wird, dass das nicht funktionierende Software-Tool unter keinen Umstnden
eine Sicherheitsanforderung verletzen kann. In allen anderen Fllen wird TI2 gewhlt.
Beispielsweise verursacht eine Software einen Tippfehler in der Dokumentation fr eine
Softwarefunktion. Dies kann zwar lstig sein, verletzt jedoch die getesteten
Sicherheitsanforderungen nicht. Daraus wrde ein Tool Impact von TI1 resultieren. Wenn
das Tool einen Fehler erzeugt, durch den sich das Verhalten des Systems ndern knnte,
wird TI2 gewhlt.
Die Tool Error Detection wird unterteilt in TD1 bis TD4. TD1 wird bei einem hohen Grad
von Konfidenz in die Fhigkeit des Tools zur Feststellung eines Fehlers gewhlt, whrend
TD3 bei einem niedrigen Konfidenzgrad gewhlt wird. Oft ist dies der Fall, wenn der Fehler
nur zufllig festgestellt werden kann.
Ein Software-Tool kann beispielsweise ein Entwurfsmodell auf Fehler berprfen. In diesem
Fall wird eine statische Analyse des Modells durchgefhrt. Obwohl eine statische Analyse
ntzlich ist, findet diese nicht alle mglichen Verste im Modell. Auerdem ist es wichtig,
festzustellen, dass damit nicht impliziert wird, dass das Modell nicht korrekt ist. Es bedeutet
lediglich, dass zustzliche Tests erforderlich sind. Dieses Szenario resultiert in einem
"mittleren" Konfidenzniveau von TD2.
http://www.ni.com/whitepaper/13647/de/
01.08.2016
Was beinhaltet die Norm zur funktionalen Sicherheit, ISO 26262? National Instruments
Seite 5 von 6
Tool
Impact
TD1
TD2
TD3
TI1
TCL1
TCL1
TCL1
TI2
TCL1
TCL2
TCL3
Nachdem der "Tool Impact" (TI) und die "Tool Error Detection" (TD) bestimmt wurden, wird
ein Wert von TCL 1 bis TCL 3 vergeben, abhngig vom Konfidenzniveau. Manchmal knnen
verschiedene Anwendungsflle in mehreren TCLs resultieren. In einem solchen Fall wird der
hchste TCL verwendet. Der Benutzer muss fr jedes Software-Tool die Tool-Klassifizierung
durchfhren.
Software-Tool-Dokumentation
Zum Sicherstellen der ordnungsgemen Verwendung des Tools mssen einige
Informationen bereitgestellt werden.
Beschreibung von Funktionen
Beschreibung des Installationsvorgangs
Benutzerhandbuch
Betriebsumgebung
Erwartetes Verhalten unter auergewhnlichen Bedingungen
Software-Tool-Qualifizierungsbericht
Der Software-Tool-Qualifizierungsbericht enthlt die Ergebnisse und Belege hinsichtlich der
abgeschlossenen Tool-Qualifizierung und erfllten Anforderungen. Jegliche Fehlfunktionen
oder fehlerhaften Ausgaben whrend der Validierung sollten hier analysiert und
dokumentiert sein.
Erhhte Konfidenz resultierend aus vergangenem Einsatz
Ein wichtiger Aspekt der Tool-Qualifizierung ist das Konzept erhhter Konfidenz, die aus
vorherigem Einsatz resultiert. Wenn die Erfllung der Qualifizierungsanforderungen fr ein
Tool bereits demonstriert wurde, wird keine weitere Qualifizierung bentigt. Daraus knnen
dramatische Einsparungen von Kosten und Zeit ber den gesamten Entwicklungsprozess
hinweg resultieren. Qualifizierungsanforderungen mssen jedoch fr jedes
sicherheitsrelevante Produkt bzw. jede Komponente demonstriert werden, bevor diese in der
Entwicklung des Produkts verwendet werden kann. Fr jedes Tool muss dazu
nachgewiesen werden, dass:
es zuvor fr denselben Zweck in einem vergleichbaren Anwendungsfall eingesetzt wurde
die Spezifikationen des Tools unverndert sind
fr das zuvor entwickelte sicherheitskritische Produkt keine Verste gegen
Sicherheitsanforderungen vorliegen.
Beispielsweise wurde Test-Tool "A" fr das Validieren von Anforderungen an die ECU
(Engine Control Unit) von Fahrzeug "X" verwendet Wenn Test-Tool "A" nicht verndert
wurde und in der Vergangenheit alle Sicherheitsanforderungen erfllte, kann es zum
Validieren der ECU von Fahrzeug "Y" verwendet werden, vorausgesetzt, die ECU von
Fahrzeug "Y" wird auf eine vergleichbare Art wie die in Fahrzeug "X" verwendet.
8. Nchste Schritte
Auf der Seite Best Practices for Testing Safety Compliant Systems
(http://zone.ni.com/devzone/cda/tut/p/id/13671) erfahren Sie, wie Testwerkzeuge von
National Instruments fr das Testen von sicherheitskritischen Komponenten verwendet
werden knnen. Verfahren wie "Model-in-the-loop"-Tests und "Hardware-in-the-loop"-Tests
whrend des Entwicklungsprozesses werden hier beschrieben. Darber hinaus werden die
Vorteile der Wiederverwendung von Komponenten und die resultierende Effizienzsteigerung
behandelt.
Zustzliche Informationsquellen
PRODUKTE
SUPPORT
UNTERNEHMEN
Serviceanfrage stellen
ber National Instruments
(https://sine.ni.com/srm/app/myServiceRequests) (http://www.ni.com/company/)
Handbcher (http://www.ni.com/manuals/d/)
Treiber (http://www.ni.com/downloads/drivers/d/)
Veranstaltungen (http://germany.ni.com/events/)
Alliance Partner (http://www.ni.com/alliance/)
http://www.ni.com/whitepaper/13647/de/
(http://www.facebook.com/NationalInstrumentsDACh)
01.08.2016
Was beinhaltet die Norm zur funktionalen Sicherheit, ISO 26262? National Instruments
Produktaktivierung
(http://sine.ni.com/myproducts/app/main.xhtml?
lang=de)
Seite 6 von 6
Jobs (http://germany.ni.com/karriere/jobs)
(http://www.linkedin.com/company/nationalinstruments-germany)
(http://www.youtube.com/NIGermany/)
(http://twitter.com/niglobal)
(http://www.ni.com/rss/)
Kontakt (http://www.ni.com/contact-us/)
http://www.ni.com/whitepaper/13647/de/
01.08.2016