ISO26262认证|ISO26262功能安全认证|ISO26262认证机构|ISO26262认证费用|ISO26262流程认证|ISO26262产品认证|ISO26262体系认证

很多客户咨询ISO 26262功能安全认证 。纳兰企管有专业的团队做26262咨询认证，欢迎加微信获取方案18115506012 

本文解释了半导体工业在汽车供应链中的作用的变化，并试图提高客户对ISO 26262标准各个方面的认识。本文还讨论了该标准的适用性，不仅适用于电子产品，而且适用于制作电子产品所采用的人员和过程

1.导言

汽车半导体设备和电子系统的开发人员要注意：可能会有一些供应商声称他们的产品符合26262国际标准化组织安全标准的要求，将其集成到乘用车生产中，而不完全了解挑战的性质。如果他们没有考虑到用于制造汽车产品的人员和流程，这些说法可能是肤浅的。如果系统设计人员没有仔细评估供应商的资格，他们就很难让汽车供应链中的客户接受他们的产品。

汽车供应链的参与者负责对每个供应商的产品进行自己的功能安全评估，同时考虑到供应商的书面使用假设(AOU)，这些假设描述了供应商的产品将如何在汽车系统中使用。供应商根据特定的配置和用例定制他们自己的分析，这些配置和用例有望与他们的集成商客户的分析相匹配。元素的第三方iso 26262认证。¹在汽车系统中使用可以帮助系统集成商完成这一分析，但它并不取代集成商在自己使用的背景下分析供应商产品的义务。

本文探讨了国际标准化组织26262认证的基础，涉及到设计功能安全的汽车电子系统所涉及的人员、过程和产品。最终目标是使开发团队、管理人员和投资者更加了解遵守汽车安全标准细节所涉及的责任。这反过来将提供更多的信息，说明与遵约有关的努力和成本，还将使供应链成员之间能够进行更有效的沟通。

2.汽车工业的变化：新的电子产品和新的进入者

所有用于客车的电子系统必须满足严格的安全要求，才能集成到汽车制造商的产品中。该行业的供应商已经建立了一个复杂的供应链，以交付这些系统，并证明产品满足这些安全要求的能力。这种信息共享系统需要知识产权(Ip)供应商、半导体芯片上系统(Soc)开发人员、组件供应商、软件供应商、电子系统设计人员和许多其他人之间进行详细的交流，以确保所有关键部件都符合iso 26262的准则、程序、培训级别、审核和评估。

图1以半导体为中心的奥迪zFAS中央驱动辅助控制器关键部件的供应链。
资料来源：奥迪；IHS Markit；Arteris IP

然而，随着越来越多的机械特性向电子系统的转变，汽车工业正经历着快速的变化。因此，过去由人类司机执行的功能正在由先进的驾驶员辅助系统(ADAS)加以补充，这些系统正在演变为自动驾驶系统。这两种趋势正在推动汽车工业的经济增长和技术创新浪潮。市场快速增长的前景正在刺激新的进入者，他们的目标是参与汽车工业的电子繁荣。

新进入者可能缺乏按照ISO 26262功能安全标准开发和交付其产品的经验。虽然这些供应商可能说他们的产品已准备好遵守汽车安全标准，但供应链中的公司在将产品纳入更大的系统之前，仍然需要对开发产品所涉及的人员和程序进行广泛、仔细的审查和评估。需要注意的是，ISO 26262标准适用于生产产品和产品本身的人员和过程。

汽车电子供应链参与者主动解决这一问题的一种方法是从认证的评估机构获得ISO 26262认证。然而，大多数针对汽车使用的电子产品都不是完全独立的系统，这些系统可以通过ISO 26262标准认证，并且完全了解该产品将如何集成和在车辆中使用。因此，对于任何认真为这个市场服务的开发团队来说，探索其供应商关于功能安全的声明是非常重要的，无论是否要求认证。虽然第三方产品认证可以成为这一过程的一部分，但对任何组件的评估必须更深入，并且必须由公司使用和集成该产品。如果不对供应商的人员、流程和产品资格进行评估，则可能导致客户在供应链上进一步拒绝。

3.为什么是ISO 26262？

国际标准组织(ISO)声明如下：

Iso 26262适用于安全相关系统，包括一个或多个电气或电子(E/E)系统，并安装在串联生产乘用车中。

ISO 26262解决了E/E安全相关系统的故障行为可能造成的危害，包括这些系统之间的相互作用。

3.1.第一原则：信息共享是关键。

车辆系统的电气化继续以快速的速度进行，无论是在汽车的总含量方面还是在先进的控制能力方面。这一趋势推动了创新的快速增长，同时也吸引了更多的投资、更多的研发努力和汽车市场的新进入者。

许多新进入者可能不知道的是，遵守汽车安全标准需要通过供应链的每个部分共享信息。每个级别的有经验的开发团队都受到这些标准的挑战，因为需求在不断变化，整个行业只有少数专家可以指导项目通过这个过程。此外，半导体和软件供应链的参与者通常不知道他们的IP是如何开发的，以及它是如何工作的。

图2：以半导体为中心的ADAS和自主驱动系统价值链的视图。资料来源：Arteris IP

供应商必须提供的信息包括对具有安全目标的系统的每个元素的分析、教育和文档。这一信息必须由供应链的每一个成员提供。半导体IP供应商向SoC设备的开发人员提供这一信息。芯片设计团队利用这些信息分析他们的定制系统，并将结果传递给一级电子系统供应商。这些一级供应商然后进行自己的分析，并将结果发送给汽车制造商和他们的客户。

汽车供应链中的这些关系正变得更加复杂，因为传统的半导体厂商正在制造或设计芯片，以实现自主驾驶应用。如今，它们有时会与一级电子系统设计者和原始设备制造商竞争，他们可能正在制造自己的芯片，或向半导体供应商合作伙伴提供明确的要求。此外，优步(Uber)、Waymo和苹果(Apple)等新进入者正在设计自己的完整系统，尽管他们在汽车行业相对缺乏经验。ISO 26262要求在整个价值链中进行高水平的协作和信息共享，而新进入者可能并不熟悉这些协作和信息共享。

3.2.复杂性任务--更好的分析

整个汽车行业的复杂性日益增加，促使人们继续努力加强这些系统的安全运行。这里有一个简单的例子，说明在从机械系统到电子系统的转变过程中，安全分析是如何受到影响的：现代汽车使用“线上节气门”系统，在这种系统中，驾驶员推开油门，踏板上的传感器向电子控制单元(Ecu)发送电信号。该电子系统取代以往的机械方法，使用金属电缆连接在油门踏板和机械节气门控制板。ECU比机械方法更聪明：它分析了几个因素，如发动机速度、车辆速度和踏板位置，然后将命令传递给油门。

即使在汽车系统电气化的这个简单例子中，我们也可以看到，测试和验证线路节气门系统比测试旧的机械版本要困难得多。随着我们用电子系统取代机械系统，电气化驱动系统，以及汽车增加了ADAS和自动驾驶能力，复杂性急剧增加。国际标准化组织26262的目标是有一个统一的功能安全标准，以解决所有这些汽车电子系统。

驾驶员辅助、电力推进、车载动力学控制、主动和被动安全系统等新功能越来越多地涉及到系统安全工程领域。随着技术复杂性、软件内容和机电一体化的实现，系统硬件故障的风险越来越大，这是由于系统开发过程中人为的错误所造成的。ISO 26262提供了关于如何通过规定要求和流程来最小化风险的指导。

对于半导体SoC器件和IP的设计者来说，与完整系统的指南相比，符合ISO 26262标准的要求更为抽象。因此，ip的开发人员必须对许多假设进行额外的分析，以确定ip是否可以集成到功能安全的汽车系统中。附录A“ISO 26262故障参考图”提供了更多关于故障类别、故障分析类型以及讨论这些问题的ISO 26262标准部分的信息。通过遵循最佳实践并在整个组织中采用它们，公司可以提供所需的证据，证明其IP是汽车系统安全可靠的组件。成功的公司也强调员工培训，以证明他们致力于遵守ISO 26262的要求，并确保强大的安全文化。

4.职能安全活动

ISO 26262的目标是为所有汽车电子系统提供统一的安全标准。实现系统安全需要在各种技术，如机械、液压、气动、电气和电子系统中实施若干安全措施，并且这些安全措施应适用于发展进程的各个层次。

ISO 26262定义了各种汽车安全完整性等级(ASIL)--QM、A、B、C和D--以帮助将所需的流程、开发工作和产品内功能安全机制映射到可接受的风险水平。这五种严格程度的范围很广，从基本质量管理到故障可能导致致命事故的系统。在后一种情况下，ASILD要求汽车系统中的单点故障度量(SPFM)小于1%。下面的表1提供了更多有关ASIL级别与故障度量有关的信息。

表1要实现ASILD，系统中99%以上的单点故障必须由安全机制覆盖。ASILS B和C需要较少的覆盖范围。资料来源：ISO 26262-5：2011，表4和表5；ISO 26262-1：2011

汽车SOCS通过特定的硬件功能提供诊断服务，以确保符合ISO 26262标准。这些片上功能安全机制包括：纠错代码(Ecc)和数据链路和内部存储器的奇偶保护；通过智能互连结构智能复制处理元素；内置自测试(Bist)；以及错误报告机制。

尽管ISO 26262关注的是E/E系统的功能安全性，但它实际上提供了一个框架，该框架解决了与安全相关的系统的整个生命周期。ISO 26262提供了以下方面的指导：

• 生命周期管理、产品开发、生产、操作、服务、退役以及在这些生命周期阶段定制必要的活动。
• 根据危险的严重程度、暴露概率和可控性适用安全要求，以避免不合理的残余风险
• 确认和确认措施，以确保足够和可接受的安全水平
• 对与供应商关系的要求

所有这一切一开始似乎都很繁重，但通过集中于三个主要领域，即“3P”，可以简化对ISO 26262的要点的理解：

1. 人员
2. 加工过程
3. 产品

供应商必须向客户提供详细说明组织为使人员、流程和产品符合标准而采取的步骤的文档。对于半导体IP市场中“3Ps”的作用，SoC架构师和设计团队可以在选择合适的IP时做出明智的选择。了解IP提供商的组织和运营特点，可以获得更好的芯片、更安全的乘用车和更有效的发展。

图3：人员、工艺和产品是26262国际标准化组织功能安全活动的基础。资料来源：Arteris IP

功能安全涉及开发过程的所有部分，包括规范、设计、实现、集成、验证和验证。它还包括生产、管理和服务流程。由于安全标准的特殊要求，建立一个为汽车SoCs设计IP的组织有很高的难度。客户资格认证和第三方ISO 26262认证所需的额外培训、评估、评估、分析和文件可以为汽车市场的知识产权开发增加大量费用。

这些功能性安全活动的证明必须传达到供应链上。因此，每一个向汽车半导体市场提供产品的组织都必须能够证明开发活动符合标准。文件涵盖了所涉及的人员，用于开发解决方案的过程，以及对符合ISO 26262标准所需的产品的分析。

4.1.人员

向符合ISO 26262标准的半导体IP方向迈出的第一步是培训参与IP开发的人员。许多公司采取“捷径”培训一小群人，通常是ISO 26262要求的功能安全管理人员和少数“安全工程师”。

然而，这可能不足以满足ISO 26262的精神，因为ISO 26262第2部分“功能安全的管理”，特别是第5.4.2条“安全文化”和5.4.3“能力管理”的要求。确保一个可持续的安全文化，团队成员拥有与其职责相对应的足够水平的技能、能力和资格，这就要求在整个组织中广泛地了解功能安全知识。这需要大量的雇员培训。

4.1.1.ISO 26262个人培训和认证

虽然培训涉及工程师，但也需要包括组织中参与产品开发和支持的其他人员。这可以包括执行人员、营销人员、工程人员、文档团队、质量保证经理、应用程序工程师等。该组织指派和培训的职能安全经理(FSM)的任务是在所有参与产品开发的人员中促进强有力的安全文化，FSM通常负责为所有这些员工提供内部或第三方培训。半导体IP和第三方ISO 26262评估人员的客户--在iso 26262中称为“集成商”--经常需要员工功能安全培训的证明。

作为实际实施的一个例子，50多名Arteris IP的雇员已被ISO 26262咨询公司EXIDA培训和认证为ISO 26262功能安全从业者，他也是ISO 26262标准的ANSI认证机构。ArterisIP在员工中拥有经验丰富的FSM，它不仅通过其广泛的ISO 26262培训方案，而且通过建立功能安全流程，确保整个半导体IP开发过程中的质量，促进了安全文化。附录B“面向个人和团队的ISO 26262亲自培训和认证课程”列出了员工培训和认证的提供者。附录C“在线ISO 26262培训资源”是免费和低成本的在线入门培训资源列表。

4.2.加工过程

使用好的过程是避免系统故障的关键。系统故障以可预测的方式与特定原因联系在一起，只有通过改变系统的设计、制造、操作过程、文档或其他相关因素才能消除。简而言之，系统故障是“设计在”系统中的。质量过程有助于避免将错误设计到系统中。

由于我们是工程师，许多对ISO 26262过程的关注都集中在技术和软件工具的使用上，以解决ISO 26262第8部分中题为“支持过程”的细节。这是错误的做法。

良好的安全流程或任何产品开发过程的关键不是专家使用和集成用于需求管理、变更管理、验证和开发过程中的其他部分的工具，而是所有员工持续使用质量管理系统(QMS)。

4.2.1.质量管理体系(QMS)

任何符合ISO 26262第8部分质量管理体系要求的过程都是符合ISO 26262标准的。然而，现有的软件、硬件和汽车系统开发质量管理系统(QMS)是最先进的，可以作为供应商流程的基础。

下表2提供了一些例子：

表2：符合ISO 26262标准的质量管理系统实例.资料来源：ISO 26262 

第三方评估公司为每个质量管理系统提供认证。尽管如此，作为汽车供应链中的供应商，您的客户将对您的流程进行独立的审核，无论您是否获得了第三方流程认证。尽管伴随第三方流程认证的报告可以帮助您的客户评估您的流程，但是您的客户仍然有义务确认您是否符合iso 26262标准。

在Arteris IP的案例中，该公司开发用于汽车市场芯片内部的半导体IP，公司实施CMMI(Capability MaturityModel Integration)for Development(CMMI-DEV)质量管理系统。该QMS为软件和半导体IP开发提供了比任何其他系统更具体的指导，从而为开发提供了更相关和“严格”的指导方针，只留下了较少的未定义或不明确的过程区域。

4.2.2可追溯性

尽管选择、使用和管理相关的质量管理系统是与ISO 26262相关的最重要的过程活动，但是有一个领域的技术和工具可以极大地帮助实现ISO 26262的遵从性。这个过程区域是可追溯的。

在芯片设计领域，大多数设计团队已经拥有了最先进的系统，通过实现跟踪规格项目，然后再进行验证测试。然而，ISO 26262要求从概念阶段(ISO 26262 Part 3)到生产和操作(ISO 26262 Part 7)，对与安全相关的要求及其实现进行双向跟踪，这意味着质量保证(QA)测试结果可以通过其验证测试、实现、规范和要求追溯。此外，配置、更改和文档需要保持当前以及可跟踪信息链的一部分。

对于尚未开发为汽车市场服务的产品的半导体设计团队来说，这一级别的可追溯性通常是新的。对于这些团队来说，很难改变他们的规范、实现和验证系统，这些系统在过去工作得很好，以采用一个支持更广泛的可追溯性的新系统。一种解决方案是实现一个可跟踪系统，该系统集成并“环绕”工程中使用的现有开发系统，以提供所需的可跟踪级别。

例如，Arteris IP一直使用亚特兰西安Jira问题跟踪工具作为其产品开发规范的核心--半导体IP和相关IP配置软件的实现验证过程。过去，来自微软基于文字的市场需求文档(Mrd)、产品需求文档(PRD)和规范的项目被用作Jira系统的输入，并与工程开发任务相关联，在那里跟踪它们的状态，并自动生成和记录验证测试。

图4自动跟踪工具在帮助变更管理的同时，提供了向前和向后追溯的方法。资料来源：ISO 26262-2：2011。

今天，由于需要满足ISO 26262更完整的可追溯性要求，需求输入和跟踪由ArterisIP使用Jama软件的系统执行，该系统链接到现有Jira系统中的项目和活动。联合的Jira和Jama系统帮助Arteris IP团队维护需求、规范项、实现、验证和QA之间的链接，同时也解决变更管理可跟踪性和文档自动化问题。

ISO 26262流程的底线是，大多数以汽车市场为目标的公司必须做以下工作：

1. 选择符合ISO 26262标准的质量管理系统，使用它，并能够向第三方评估人员和客户评估人员解释您对它的使用。
2. 实现更广泛的自动化可跟踪性，以涵盖所有的需求到QA，交付和支持。

4.3.产品

在这一点上，我们可以清楚地指出，如果供应商声称其产品“符合ISO 26262的安全要求”，而不首先培训其员工并记录其流程，那么它就不符合要求。一旦培训人员和质量过程到位和使用，下一步是分析产品与国际标准化组织26262和提供分析文件的半导体集成商。对于半导体和半导体IP供应商，执行这一分析需要记录一组商定的假设，因为芯片或IP供应商将不完全了解它将参与的系统。

4.3.1。汽车芯片和IP：SEOOC、AOU和ASIL裁剪

以下是一个简单的问题：ISO 26262分析的前提是“系统”是正在开发和分析的实体，而ISO 26262的第1部分将系统定义为“至少将传感器、控制器和执行器相互关联的一组元素”。显然，用于制造它的芯片和IP并不是ISO 26262的系统。那么，他们是什么？

芯片及其IP成分通常被开发为(通常在设计时未知的)系统的“元素”。由于对它们最终将成为其中一部分的完整系统的知识还没有100%被理解，芯片和IP在ISO 26262中被归类为特殊类型的元素，特别是“脱离上下文的安全元素”或“SEOOC”。对SEOOC的分析要求IP提供者或集成商记录使用假设(AOU)，以反映IP的集成商/用户所使用的预期安全概念、安全要求和安全机制。

关于ISO 26262的哪些部分和条款与IP元素的实现和分析相关的附加假设在一个称为“裁剪”的过程中被记录下来。此外，基于对终端系统的特性和安全目标的假设以及IP的经验证的硬件度量(参见下面的FMEDA)，执行“ASIL裁剪”以确定哪些元素的配置可以满足ASIL QM、A、B、C或D的要求。

由于关于SEOOC、AOU以及为芯片和IP量身定做的假设太多，ISO 26262要求IP供应商和芯片集成商商定一项开发接口协议(DIA)，定义双方使用的假设和双方的责任。这份DIA文档将解释来自IP供应商的ASIL裁剪和这种裁剪背后的推理，以及对所有使用假设的解释。作为一个例子，Arteris IP提供了一个完整的DIA文档，解释了与FlexNoC和Ncore产品相关的ASIL裁剪以及委托给客户的预期责任，以及这些决定背后的理由。例如，由于Arteris IP是作为RTL组件在芯片内实现的，所以与工艺技术使用有关的所有ISO 26262要求都委托给客户，因为它们是为其SoC选择技术节点的人。

4.3.2.元件功能、失效模式和安全机制

产品内功能安全机制用于检测、减轻和纠正系统运行过程中由随机错误引起的故障和故障。单个事件效应(见)--由宇宙射线引起的电扰动和它们与半导体相互作用时发出的电离能--是随机误差的原因。这些随机错误可能会产生短暂的(暂时的)或永久的影响。随机、瞬态效应的例子--也称为“软错误”--包括单比特偏移(SBU)，例如存储单元或逻辑触发器中的“位翻转”(Bit Flips)，以及单个事件瞬变(Set)，这些都是可能或不可能导致错误的电压小故障。在一些情况下，这些情况可以同时发生，从而导致多个比特偏移(MBU)。导致永久性伤害的“硬错误”包括单个事件锁存(SEL)、单个事件烧毁(SEB)和单个事件门断裂(SEGR)。

图5单事件效应(见)错误层次图。资料来源：Arteris IP；ISO/FDIS 26262 Part 11；JEDEC JESD89A

由于这些误差产生的原因是自然物理现象，并且它们是随机发生的，因此检测和减轻它们的影响对于实现和维护系统安全是非常重要的。为了做到这一点，工程团队在他们的产品中开发特定安全的技术特性.以下是这些特性的例子，也称为功能安全机制：

• 在片上通信业务中添加和检查奇偶校验或ecc位
• 逻辑复制与结果比较
• 三模式冗余(TMR)或多数表决
• 通讯暂停
• 验证操作正确性的硬件检查器
• 安全控制器从整个系统收集错误信息，了解错误信息，并在系统高层进行沟通。
• 所有功能安全机制的内置自测试(Bist)

图6故障模式影响和诊断分析(FMEDA)包括使用故障注入的安全机制的分析，如BIST。资料来源：Arteris IP

既然我们已经描述了IP和芯片分析所需的假设，以及它们的失效模式和安全机制，我们现在将讨论实际的分析过程。

ISO26262认证|ISO26262功能安全认证|ISO26262认证机构|ISO26262认证费用|ISO26262流程认证|ISO26262产品认证|ISO26262体系认证

4.3.3首先是定性分析，然后是定量…

一旦设计团队了解了其元素功能、故障模式和功能安全机制，就应该执行并记录一项定性的安全分析，称为故障模式影响和分析(FMEA)。FMEA是一种一步一步的方法，用于识别设计中所有可能的失效手段(失效模式)以及这些失败的后果(影响)。设计团队往往没有足够的重视他们的项目的定性分析，更喜欢跳转到定量分析。这是个错误！正确地执行FMEA，首先是正确定义如何减轻故障的关键，也是用于验证FMEA的后一种定量分析的基础。

在完成FMEA后，设计团队必须使用定量分析(FMEDA)来进一步分析元件、失效模式和安全机制。虽然可以估计大多数功能安全机制的诊断覆盖范围(即“保护”)的假设，但大多数半导体集成商坚持要求IP供应商使用故障注入技术来验证在项目中实施的功能安全措施的诊断覆盖范围。需要详细了解IP实现，以确定必须在哪里注入故障才能触发功能安全机制，以及应该最有效地观察该机制的输出。此外，复杂的时钟方案和其他行为可以掩盖可能影响安全或出现“安全故障”的故障，这取决于用例。

虽然故障注入分析对于验证FMEA是很重要的，但它本身并不足以满足FMEDA的要求。其他技术用于验证无法使用故障注入轻松演示的诊断覆盖率。一个例子是验证一个使用假设，该假设定义了客户必须与元素一起集成的安全机制。对于驻留在IP块之外的安全机制，例如时钟和电压监视器，这种情况非常常见。除了故障注入验证FMEA之外，还可以使用其他技术来验证FMEA，包括故障树分析(FTA)、依赖故障分析(DFA)和引脚级FMEA。Arteris IP使用这些技术的组合来验证其互连IP的定性FMEA，并将此分析作为FMEDA报告的一部分提交给集成商。

由IP开发团队创建的fmeda报告允许经过充分培训的安全管理人员审查所有有关遵守iso 26262的信息。由ip供应商或半导体集成商雇佣的第三方评估公司或咨询公司也可以审查分析和开发过程，以帮助评估功能性安全法规。

5.结论

在26262国际标准化组织下，满足汽车市场功能安全零部件的标准是一个艰难而艰巨的过程，涉及到供应商的人员、过程和产品。创造满足这些需求的产品和技术需要以运营和工程为重点，健全的安全文化，管理承诺，以及在时间和金钱上的大量投资。如果供应商提供这样的产品，则由集成商来发现供应商是否已经采取了超出产品级别的所有步骤来确定索赔是否有效。如果不进行进一步的调查，集成商将面临使用组件的风险，这些组件将无法满足客户在供应链上进一步遵守ISO 26262标准所需的评估和审核要求。

依靠有关人员、过程和分析的不完整信息开发具有安全目标的物品的项目，可能会使进入新出现的客车电子系统设计，包括ADAS和自动汽车电子系统设计的努力失效。电子系统集成商必须向汽车制造商提供证据，证明系统的所有部件都经过了彻底的评估，以验证其安全性和可靠性的说法。如果不理解和遵循标准，以及交流如何遵循标准，可能会导致汽车供应商的额外工作或返工。

6.纳兰服务优势

纳兰企管咨询团队工作背景和项目案例都是基于汽车电子项目经验，积累了大量的26262功能安全的案例和模板，以及最简洁的流程落地，帮助企业不仅仅获取证书，使企业现有体系进行融合落地，例如结合16949质量体系ASPICE软件质量21434汽车网络安全形成全方位的解决方案详情可以添加微信或者电话联系18115506012 

ISO26262认证|ISO26262功能安全认证|ISO26262认证机构|ISO26262认证费用|ISO26262流程认证|ISO26262产品认证|ISO26262体系认证