迈向功能安全自动驾驶的系统化架构方法——利用诊断规范支撑 FSC 设计

随着 ISO 26262 的出现，汽车工业对自顶向下设计的重视日益增强。ISO 26262 对其各组成阶段缺乏详细要求。在遗留组件与子系统的复用方面，指导的缺失尤为明显，使车辆架构师与安全工程师不得不依赖经验，而缺乏方法论支撑其决策。这在因互联、电气化与自动化等新特性而经历诸多重大变革的行业中构成了挑战。我们在此聚焦自动驾驶，其中多个新与遗留子系统需协调以实现安全关键功能。本文引入一种方法，支撑 ISO 26262 工作产品——Functional Safety Concept（FSC，功能安全概念）的一致设计。该方法应对了行业内对架构分析、原理管理以及遗留子系统复用的需求。该方法利用现有工作产品（子系统的诊断规范）来协助对子系统设计中人类驾驶员影响进行系统性评估。该方法的输出是一份抽象层级适合车辆架构师的报告，用作与 FSC 相关决策的基础，例如生成 Preliminary Architecture（PA，初步架构）并构建 FSC 验证的论证。所提方法在瑞典最大重型车辆制造商之一 Scania C.V. AB 的安全关键制动子系统上进行了测试。结果展示了该方法的益处，包括（i）复用既有工作产品，（ii）在设计 PA 与 FSC 时收集自动驾驶功能需求，（iii）基于专业知识的组织内工作并行化，以及（iv）该方法跨所有类型子系统的适用性。