ASIL分解及示例
11关于asil分解
11.1asil分解的目的
asil分解的目的是通过对系统故障使用多个足够独立的要素来实现安全目标。
11.2asil分解的描述
asil分解是指将冗余的安全需求分配给相关项的足够独立的要素。在这种情况下，冗余不一定意味着经典的模块化冗余(见iso26262-1：2018的3.122)。
ecu的主处理器可以由冗余监控处理器监控，这两个处理器都独立地能够启动定义的安全状态，即使监控处理器无法满足分配给ecu的功能要求。
asil分解仅对系统性失效有意义，即用于减少这些故障可能性的方法和措施。通过asil分解，对硬件架构度量的评估和因随机硬件故障而违反安全目标的评估的要求将保持不变(见iso26262-9：2018的5.4.5)。
在asilb(d)分解的情况下，用于评估硬件架构度量的asild目标不被分解为每个硬件要素的单独的asilb目标。正如iso26262-5：2018的8.2中所描述的，目标值可以分配给硬件要素，但是这些目标是根据在相关项的整个硬件级别上开始的分析逐个分配的。根据安全目标的目标度量适用于相关项级别。
在这样的分解架构中，只有当两个要素同时违反它们因分解而得出的安全需求时，才会违反分解前的安全需求。
iso26262系列标准中的可能分解见【关于asil剪裁的需求分解】（iso26262-9：2018的第5条）。
11.3.asil分解的示例
11.3.1总则
本节中描述的相关项及其要求均为示例。安全目标及其asil和后续要求仅为说明asil分解过程而设计。这个示例没有反映iso26262系列标准在类似现实示例中的应用情况。
11.3.2相关项定义
以具有一个执行器的系统为示例,驾驶员通过使用仪表板上的开关来触发此执行器。执行器在车 速为零时提供舒适功能,但是如果在超过15km/h时激活会导致危害。
相关项的初始架构如下：
ø仪表板开关输入由专用ecu读取(本例中称为“执行器控制ecu(acecu)”)，该ecu通过专用电源线为执行器供电。
ø装有该相关项的车辆还装有ecu，该ecu能够提供车辆速度。例如，该ecu提供车辆速度大于15km/h的信息的能力被假定符合asilc要求。此ecu在本节中称为“vsecu”。
说明
1 acecu a 驾驶员的要求。
2 vsecu b 车辆速度。
3 相关项边界 c 命令执行机构。
4 执行机构
图25-相关项边界
11.3.3危害分析和风险评估
分析中考虑的危险事件是在以超过15公里/小时的速度行驶时激活执行器，无论是否有驾驶员要求。
为了本示例的目的，与此危险事件相关的asil被归类为asilc。
11.3.4相关安全目标
安全目标1：避免在车辆速度大于15km/h：时激活执行器asilc。
11.3.5系统架构设计
以下列出了初始架构要素的目的：
øvsecu以车辆速度提供执行器控制ecu(acecu)。
øacecu监控驾驶员的请求，测试车辆速度是否小于或等于15公里/小时，
ø如果是的话，命令执行器。
执行器在供电时被激活。
11.3.6.功能安全概念
11.3.6.1总则
这个功能安全概念的示例仅用于说明asil分解。它不打算是详尽的，也不包括所有的功能安全需求。
要求 a1:vsecu 发出准确的车速信息给 acecu。asilc
要求 a2:当车速超过15km/h时,acecu 不能给执行器供电。asilc
要求 a3:执行器只有在得到acecu 的供电之后才能被激活。asilc
11.3.6.2涉及该相关项的安全概念
开发者可以选择引入一个冗余要素，这里是一个冗余开关，如图26所示。通过引入这个冗余要素，根据asil分解的结果，用等于或低于asilc的asil开发acecu。
说明
1 acecu 5 多余的开关
2 vsecu a 驾驶员的要求。
3 相关项边界 b 车辆速度。
4 执行机构 c 命令执行机构。
图26-相关项设计的第二次迭代
这些要素（进化的架构）的目的：
øvsecu控制单元为acecu提供车辆速度。
øacecu监控驾驶员的请求，测试车辆速度是否小于或等于15公里/小时，如果是的话，发送命令执行器。
ø冗余开关位于acecu与执行器之间的电源线上。如果速度小于或等于15公里/小时，它就会打开，当速度大于15公里/小时时，它就会关闭。它这样做，而不管电力线的状态（它的电源是独立的）。
ø执行器只有在供电时才能工作。
功能安全需求：
ø需求b1：vsecu向acecu发送准确的车辆速度信息。→asilc
ø或者：防止车辆速度小于或等于15公里/小时的不正确传输。→asilc
ø要求b2：当车速度大于15km/h时，acecu不给执行机构供电。→asilx(c)（见表5）
ø需求b3：vsecu向冗余开关发送准确的车辆速度信息。→asilc
ø要求b4：如果车辆速度大于15公里/小时，冗余开关处于打开状态。→asily(c)（见表5）
ø要求b5：执行器只有在由acecu供电和冗余开关关闭时才能工作。→asilc
为了允许asil分解，开发者在必要时添加了独立性要求：
ø要求b6：acecu和冗余开关具有足够的独立性。→asilc
原需求a2已被冗余需求b2和b4所取代，两者都符合安全目标，因此可以应用asil分解。
表5-可能的分解
要求b2：asilx(c). 要求b4：asily(c).
可能1 asilc(c)要求 质量管理(c)要求.
可能2 asilb(c)要求 asila(c)要求
可能3 asila(c)要求 asilb(c)要求
可能4 质量管理(c)要求. asilc(c)要求
原文标题：关于asil分解iso26262:2018-10-11
文章出处：【微信公众号：汽车电子硬件设计】欢迎添加关注！文章转载请注明出处。
首款可穿戴开发套件 一站式解决开发需求
基于虚拟仪器技术的家用心电仪的设计解析
光模块内部的组成和工作原理
乐视电视涨价 暴露商业模式缺陷
光纤的基础知识
ASIL分解及示例
建筑工程师和建造师有哪些区别
戴姆勒CEO表示电动汽车补贴激励很重要
互联网医疗的特性和内在动力/基石模型/第一性原理
任正非态度相当强硬:华为不会任由华盛顿摆布
你不知道的图像增强技术 虹软牵手CEVA强强联合
工业4.0加速人机协作 智能工作单元发展看俏
硅谷天堂“新能源汽车换电网生态”项目首次落地
2021年半导体市场年销售额首超5000亿美元
硬件算力需求飙升，为什么软件生意越来越火？
丰田携手本田共同打造移动发电/电力输出系统
常见材料导热系数汇总
飞兆半导体开发了一款具有高功率转换率及系统设计可扩展性的降压开关
Qorvo® 推出首款单个模块即可支持5.1至7.1GHz频段的FEM，从而简化Wi-Fi 6E系统设计
加热式雨量计怎么供电？
11.1asil分解的目的
asil分解的目的是通过对系统故障使用多个足够独立的要素来实现安全目标。
11.2asil分解的描述
asil分解是指将冗余的安全需求分配给相关项的足够独立的要素。在这种情况下，冗余不一定意味着经典的模块化冗余(见iso26262-1：2018的3.122)。
ecu的主处理器可以由冗余监控处理器监控，这两个处理器都独立地能够启动定义的安全状态，即使监控处理器无法满足分配给ecu的功能要求。
asil分解仅对系统性失效有意义，即用于减少这些故障可能性的方法和措施。通过asil分解，对硬件架构度量的评估和因随机硬件故障而违反安全目标的评估的要求将保持不变(见iso26262-9：2018的5.4.5)。
在asilb(d)分解的情况下，用于评估硬件架构度量的asild目标不被分解为每个硬件要素的单独的asilb目标。正如iso26262-5：2018的8.2中所描述的，目标值可以分配给硬件要素，但是这些目标是根据在相关项的整个硬件级别上开始的分析逐个分配的。根据安全目标的目标度量适用于相关项级别。
在这样的分解架构中，只有当两个要素同时违反它们因分解而得出的安全需求时，才会违反分解前的安全需求。
iso26262系列标准中的可能分解见【关于asil剪裁的需求分解】（iso26262-9：2018的第5条）。
11.3.asil分解的示例
11.3.1总则
本节中描述的相关项及其要求均为示例。安全目标及其asil和后续要求仅为说明asil分解过程而设计。这个示例没有反映iso26262系列标准在类似现实示例中的应用情况。
11.3.2相关项定义
以具有一个执行器的系统为示例,驾驶员通过使用仪表板上的开关来触发此执行器。执行器在车 速为零时提供舒适功能,但是如果在超过15km/h时激活会导致危害。
相关项的初始架构如下：
ø仪表板开关输入由专用ecu读取(本例中称为“执行器控制ecu(acecu)”)，该ecu通过专用电源线为执行器供电。
ø装有该相关项的车辆还装有ecu，该ecu能够提供车辆速度。例如，该ecu提供车辆速度大于15km/h的信息的能力被假定符合asilc要求。此ecu在本节中称为“vsecu”。
说明
1 acecu a 驾驶员的要求。
2 vsecu b 车辆速度。
3 相关项边界 c 命令执行机构。
4 执行机构
图25-相关项边界
11.3.3危害分析和风险评估
分析中考虑的危险事件是在以超过15公里/小时的速度行驶时激活执行器，无论是否有驾驶员要求。
为了本示例的目的，与此危险事件相关的asil被归类为asilc。
11.3.4相关安全目标
安全目标1：避免在车辆速度大于15km/h：时激活执行器asilc。
11.3.5系统架构设计
以下列出了初始架构要素的目的：
øvsecu以车辆速度提供执行器控制ecu(acecu)。
øacecu监控驾驶员的请求，测试车辆速度是否小于或等于15公里/小时，
ø如果是的话，命令执行器。
执行器在供电时被激活。
11.3.6.功能安全概念
11.3.6.1总则
这个功能安全概念的示例仅用于说明asil分解。它不打算是详尽的，也不包括所有的功能安全需求。
要求 a1:vsecu 发出准确的车速信息给 acecu。asilc
要求 a2:当车速超过15km/h时,acecu 不能给执行器供电。asilc
要求 a3:执行器只有在得到acecu 的供电之后才能被激活。asilc
11.3.6.2涉及该相关项的安全概念
开发者可以选择引入一个冗余要素，这里是一个冗余开关，如图26所示。通过引入这个冗余要素，根据asil分解的结果，用等于或低于asilc的asil开发acecu。
说明
1 acecu 5 多余的开关
2 vsecu a 驾驶员的要求。
3 相关项边界 b 车辆速度。
4 执行机构 c 命令执行机构。
图26-相关项设计的第二次迭代
这些要素（进化的架构）的目的：
øvsecu控制单元为acecu提供车辆速度。
øacecu监控驾驶员的请求，测试车辆速度是否小于或等于15公里/小时，如果是的话，发送命令执行器。
ø冗余开关位于acecu与执行器之间的电源线上。如果速度小于或等于15公里/小时，它就会打开，当速度大于15公里/小时时，它就会关闭。它这样做，而不管电力线的状态（它的电源是独立的）。
ø执行器只有在供电时才能工作。
功能安全需求：
ø需求b1：vsecu向acecu发送准确的车辆速度信息。→asilc
ø或者：防止车辆速度小于或等于15公里/小时的不正确传输。→asilc
ø要求b2：当车速度大于15km/h时，acecu不给执行机构供电。→asilx(c)（见表5）
ø需求b3：vsecu向冗余开关发送准确的车辆速度信息。→asilc
ø要求b4：如果车辆速度大于15公里/小时，冗余开关处于打开状态。→asily(c)（见表5）
ø要求b5：执行器只有在由acecu供电和冗余开关关闭时才能工作。→asilc
为了允许asil分解，开发者在必要时添加了独立性要求：
ø要求b6：acecu和冗余开关具有足够的独立性。→asilc
原需求a2已被冗余需求b2和b4所取代，两者都符合安全目标，因此可以应用asil分解。
表5-可能的分解
要求b2：asilx(c). 要求b4：asily(c).
可能1 asilc(c)要求 质量管理(c)要求.
可能2 asilb(c)要求 asila(c)要求
可能3 asila(c)要求 asilb(c)要求
可能4 质量管理(c)要求. asilc(c)要求
原文标题：关于asil分解iso26262:2018-10-11
文章出处：【微信公众号：汽车电子硬件设计】欢迎添加关注！文章转载请注明出处。
首款可穿戴开发套件 一站式解决开发需求
基于虚拟仪器技术的家用心电仪的设计解析
光模块内部的组成和工作原理
乐视电视涨价 暴露商业模式缺陷
光纤的基础知识
ASIL分解及示例
建筑工程师和建造师有哪些区别
戴姆勒CEO表示电动汽车补贴激励很重要
互联网医疗的特性和内在动力/基石模型/第一性原理
任正非态度相当强硬:华为不会任由华盛顿摆布
你不知道的图像增强技术 虹软牵手CEVA强强联合
工业4.0加速人机协作 智能工作单元发展看俏
硅谷天堂“新能源汽车换电网生态”项目首次落地
2021年半导体市场年销售额首超5000亿美元
硬件算力需求飙升，为什么软件生意越来越火？
丰田携手本田共同打造移动发电/电力输出系统
常见材料导热系数汇总
飞兆半导体开发了一款具有高功率转换率及系统设计可扩展性的降压开关
Qorvo® 推出首款单个模块即可支持5.1至7.1GHz频段的FEM，从而简化Wi-Fi 6E系统设计
加热式雨量计怎么供电？