Оценка, сертификация и сопровождение разработки электрических / электронных систем, аппаратных средств и программного обеспечения по ГОСТ Р ИСО 26262 / ISO 26262.

Помогаем изготовителям транспортных средств, автопроизводителям (OEM), поставщикам первого и второго уровней (Tier 1 / Tier 2) и разработчикам электронных компонентов пройти путь от определения устройства и анализа опасностей и оценки рисков (HARA) до целей безопасности, концепции функциональной безопасности, разработки аппаратных средств и программного обеспечения, верификации, валидации, обоснования безопасности и независимой оценки. Выполняем FMEDA и расчёты SPFM / LFM / PMHF, а также предварительную оценку готовности проекта к требованиям ISO 26262.

ГОСТ Р ИСО 26262 / ISO 26262 применяется к связанным с безопасностью электрическим и электронным (Э/Э) системам серийно производимых дорожных транспортных средств. Стандарт рассматривает опасности, возникающие вследствие некорректного функционирования Э/Э систем и их взаимодействия, и задаёт жизненный цикл функциональной безопасности.

Объектом оценки может быть транспортное средство, система, электронный блок управления, аппаратный или программный компонент, а также элемент безопасности, разрабатываемый вне контекста конкретного транспортного средства (SEooC).

Типовые объекты оценки

• электронные блоки управления (ECU);
• системы рулевого управления, торможения, стабилизации и управления движением;
• системы управления силовой установкой, крутящим моментом и электрическим приводом;
• системы управления аккумуляторной батареей (BMS), зарядкой и силовой электроникой;
• контроллеры, датчики и исполнительные устройства систем помощи водителю (ADAS);
• аппаратные платформы, микроконтроллеры, ASIC / SoC и другие электронные компоненты;
• встроенное программное обеспечение, AUTOSAR-компоненты, библиотеки и базовое ПО;
• программные инструменты разработки, статического анализа, тестирования и верификации.

ISO 26262 рассматривает функциональную безопасность как отсутствие неоправданного риска вследствие опасностей, вызванных отклонением от предписанного функционирования Э/Э систем. Стандарт не охватывает все виды автомобильной безопасности: например, опасности из-за недостаточности заданной функциональности без отказа Э/Э системы относятся к безопасности заданной функциональности (SOTIF) и рассматриваются по ГОСТ Р ИСО 21448-2025 / ISO 21448.

Примеры опасных отказов и функций безопасности

• непреднамеренная подача тягового момента или неконтролируемое ускорение;
• потеря требуемого тормозного воздействия или ошибочное формирование команды торможения;
• непреднамеренное рулевое воздействие или потеря функции усиления / управления рулением;
• ошибочная оценка положения педалей, скорости, угла, давления или других критичных сигналов;
• необнаруженный отказ датчика, исполнительного устройства, коммуникационного канала или ECU;
• невыполнение перехода в безопасное состояние после обнаружения отказа;
• опасное поведение системы управления батареей, приводом или силовой электроникой вследствие ошибки Э/Э системы.

УПБТС (ASIL — Automotive Safety Integrity Level) определяется при анализе опасностей и оценке рисков (HARA) для соответствующей цели безопасности на основе тяжести последствий, вероятности воздействия и управляемости опасной ситуации водителем или другими участниками движения.

ISO 26262 устанавливает уровни УПБТС (ASIL) A, B, C и D. УПБТС D соответствует наиболее строгому набору требований. Если по результатам анализа опасностей и оценки рисков требования уровня УПБТС не назначаются, используется классификация менеджмента качества (QM).

По результатам HARA УПБТС (ASIL) назначается опасному событию и соответствующей цели безопасности; далее УПБТС наследуется или распределяется по связанным требованиям безопасности в соответствии с архитектурой и правилами декомпозиции. УПБТС не является характеристикой автомобиля в целом.

Конкретный состав результатов определяется ролью организации в цепочке поставок, границами оцениваемого элемента, назначенным УПБТС (ASIL) и тем, разрабатывается ли система в контексте транспортного средства или как элемент безопасности вне контекста (SEooC).

Для каждой стадии должны быть определены входные данные, требования, ответственные лица, критерии верификации и выходные результаты работы. Менеджмент функциональной безопасности, трассируемость, управление конфигурацией и меры подтверждения сопровождают жизненный цикл проекта.

Меры подтверждения и независимая оценка

В зависимости от УПБТС (ASIL) и характера результата ГОСТ Р ИСО 26262 / ISO 26262 устанавливает требования к оценке подтверждения, аудиту функциональной безопасности и оценке функциональной безопасности с соответствующей степенью независимости. Итоговая оценка должна подтверждать не только расчётные метрики, но и корректность жизненного цикла, требований, архитектуры, реализации, верификации и валидации.

В зависимости от стадии и границ проекта результат работ может включать:

• отчёт GAP-анализа и дорожную карту соответствия ГОСТ Р ИСО 26262 / ISO 26262;
• определение устройства, отчёт об анализе опасностей и оценке рисков (HARA) и перечень целей безопасности с назначенным УПБТС (ASIL);
• план обеспечения безопасности и концепцию функциональной безопасности (FSC);
• техническую концепцию безопасности (TSC) и спецификации технических требований безопасности;
• требования безопасности к аппаратным средствам и программному обеспечению и архитектурную документацию;
• FMEA / FMEDA, расчёты SPFM, LFM и PMHF, анализ зависимых отказов;
• планы и отчёты верификации / валидации, результаты испытаний с введением неисправностей и другого тестирования;
• материалы по управлению конфигурацией и квалификации программных инструментов;
• руководство по безопасности и предположения применения для компонента или элемента безопасности вне контекста (SEooC);
• обоснование безопасности, отчёт об оценке функциональной безопасности и сертификат — при проведении сертификации.

• эксперты с международными квалификациями exida, TÜV и DNV в области функциональной безопасности, включая квалификацию exida Functional Safety Practitioner (Automotive / ISO 26262);
• практический опыт оценки аппаратных средств, программного обеспечения и процессов жизненного цикла;
• компетенции в анализе опасностей и оценке рисков (HARA), системной архитектуре, FMEDA;
• опыт оценки ПО, MISRA, статического анализа и квалификации программных инструментов по требованиям ISO 26262-8;
• возможность начать работу на стадии концепции, прототипа, готового ECU или ранее разработанного компонента;
• сопровождение от предварительного GAP-анализа и плана обеспечения безопасности до обоснования безопасности, независимой оценки и сертификации.

Примеры типовых задач

Электронный блок управления (ECU) с УПБТС В (ASIL B)

Задача: подготовить электронный блок управления к оценке по ISO 26262. Выполнено: GAP-анализ, уточнение требований безопасности, анализ архитектуры аппаратных средств и программного обеспечения, FMEDA, SPFM / LFM / PMHF и проверка верификации и валидации. Результат: сформирована доказательная база и перечень доработок до независимой оценки.

Квалификация программного инструмента

Задача: обосновать применение инструмента статического анализа в жизненном цикле функциональной безопасности. Выполнено: оценка влияния инструмента на результаты разработки (Tool Impact, TI), способности обнаружения ошибок инструментом (Tool Error Detection, TD), определение требуемого уровня доверия к инструменту (Tool Confidence Level, TCL), стратегия квалификации и валидационные испытания. Результат: подготовлен комплект доказательств для использования инструмента в проектах ISO 26262.

Что такое УПБТС (ASIL) и как он определяется?

УПБТС (ASIL) определяется при анализе опасностей и оценке рисков (HARA) на основании тяжести последствий, вероятности воздействия и управляемости для конкретного опасного события и соответствующей цели безопасности. УПБТС A–D задаёт требуемую строгость методов и доказательств функциональной безопасности.

Можно ли сертифицировать только электронный блок управления (ECU) или компонент, а не весь автомобиль?

Да. Граница оценки может быть установлена на уровне системы, электронного блока управления (ECU), аппаратного или программного компонента. Для компонента, разрабатываемого вне конкретного контекста, может применяться подход элемента безопасности вне контекста (SEooC) с явно заданными предположениями применения.

Нужно ли выполнять FMEDA для автомобильного электронного блока?

Для аппаратной оценки необходимо обосновать случайные аппаратные отказы и требуемые метрики. FMEDA является распространённым способом получить распределение отказов и исходные данные для SPFM, LFM и PMHF.

Когда требуется квалификация программного инструмента?

Когда ошибка инструмента может внести или не обнаружить ошибку, влияющую на функциональную безопасность, и требуемая уверенность в инструменте не обеспечивается иным способом. Необходимость и объём квалификации определяются по ISO 26262-8.

Чем ISO 26262 отличается от SOTIF?

ISO 26262 рассматривает опасности, вызванные неисправным поведением Э/Э систем. Безопасность заданной функциональности (SOTIF) рассматривает неоправданный риск из-за недостаточности заданной функциональности без отказа системы, что особенно важно для систем помощи и автоматизации вождения (ADAS / ADS). В РФ действует ГОСТ Р ИСО 21448-2025.

Можно ли оценить ранее разработанный автомобильный компонент?

Да. Сначала проводится GAP-анализ архитектуры, процессов, документации и испытаний. Для повторно используемых элементов могут применяться механизмы квалификации, доказательства эксплуатации и адаптация жизненного цикла — при выполнении применимых требований.

Можно ли оценивать только программное обеспечение по ISO 26262?

Да. Граница оценки может быть установлена на уровне программного компонента или программной платформы, если определены назначение, интерфейсы, требования безопасности и предположения применения. При этом необходимо учитывать системный контекст, в котором программное обеспечение участвует в реализации требований безопасности.

Заменяет ли ISO 26262 обязательное подтверждение соответствия по ТР ТС 018/2011?

Нет. ISO 26262 подтверждает специализированные требования функциональной безопасности Э/Э систем. Обязательные процедуры выпуска колесного транспортного средства или компонента в обращение по ТР ТС 018/2011 выполняются отдельно.