ISO 26262 – Was gibt es Neues in der Funktionalen Sicherheit?

Scope

Augenfälligste Änderung in der 2nd Edition ist die Ausweitung des Scopes auf alle Straßenfahrzeuge: „ISO 26262 is intended to be applied to safety-related systems that include one or more electrical and/or electronic (E/E) systems and that are installed in series production road vehicles, excluding mopeds.“ [2].

Damit sind insbesondere die Straßenfahrzeuge im Scope der ISO 26262, die in der aktuellen Ausgabe [1] noch nicht explizit adressiert waren, auf die die ISO 26262 aber in der Vergangenheit schon angewendet wurde (z.B. Motorräder, Trucks, Busse). Die Berücksichtigung dieser Straßenfahrzeuge beschränkt sich jedoch nicht nur auf diese Erweiterung des Scopes, sondern der Umgang mit ihnen wird auch explizit im weiteren Normtext beschrieben (siehe unten).

Eine Ergänzende Bemerkung „Other dedicated application-specific safety standards exist and may complement ISO 26262 or vice versa.“ adressiert die Situation, dass es für bestimmte Applikationen bereits Standards zur funktionalen Sicherheit gibt. In diesem Fall ist es unter Umständen nicht notwendig, alle vorhandenen Normen vollständig umzusetzen, sondern sich eine sinnvolle Untermenge daraus zu definieren.

Die explizite Herausnahme der Mopeds aus dem Scope hat als Hintergrund zum einen den formalen Grund, dass das für Mopeds zuständige Normungsgremium nicht an der Erstellung der ISO 26262 beteiligt war. Zum anderen mag es der Tatsache Rechnung tragen, dass die ISO 26262 möglicherweise für Mopeds nicht oder nur schwierig anwendbar ist bzw. dass in diesem Umfeld schon andere geeignete applikationsspezifische Normen existieren.

Motorräder

Die Berücksichtigung von Motorrädern ist derzeit im ISO/PAS 19695 [4] beschrieben, dies wird als Band 12 in die 2nd Edition überführt werden (mit entsprechenden editorischen Anpassungen).

Prinzipielles Kernthema ist – neben weiteren Anpassungen unter anderem in den Bereichen „Confirmation measures“, „Vehicle integration and testing“ und „Safety validation“ – die auf der „Hazard analysis and risk assessment“ und dem MSIL (Motorcycle Safety Integrity Level) basierte Vorgehensweise:

• Durchführung einer Gefährdungsanalyse und Risikobewertung analog zu Band 3 auf Basis von S-, E-, C-Klassifikationen. Hieraus resultieren Sicherheitsziele, welche mit einem MSIL im Bereich QM, MSIL A (niedrigste MSIL-Stufe) bis MSIL D (höchste Stufe) klassifiziert sind.

• Übersetzung des MSIL in einen ASIL.

• Umsetzung der Anforderungen der übrigen Bände ISO 26262 gemäß des „übersetzen“ ASILs, sofern keine abweichenden Anforderungen in Band 12 definiert werden.

Entscheidend ist, dass hier nicht einfach eine „Reduktion des ASIL stattfindet, sondern es wird zunächst eine motorradspezifische Gefährdungsanalyse und Risikobewertung durchgeführt. Diese führt im Vergleich zu einem Personenkraftwagen prinzipiell zu einem anderen Ergebnis (andere Beherrschbarkeit oder Auswirkungsschwere). Eine Umsetzung eines mit MSIL X klassifizierten Sicherheitsziels erfolgt demnach gemäß ISO 26262 mit der PKW-Einstufung ASIL X-1.

Des Weiteren gibt es Motorradspezifische Aspekte wo [4] bzw. [2] Band 12 entsprechend dedizierte Anforderungen formuliert, die die Anforderungen der restlichen Bände explizit ersetzen.

Trucks und Busse

Für Trucks und Busse wurde kein separate Norm (ISO/PAS) erstellt, sondern die Anforderungen an die funktionale Sicherheit wurden direkt in den Normentwurf [2] eingearbeitet. Die meisten Teile der ISO 26262 [2] machen im Wesentlichen keine Unterscheidung zwischen den Trucks und Bussen (T&B) und den übrigen Straßenfahrzeugen.

In Band 1 werden T&B-spezifische Begriffe definiert, zum Beispiel base vehicle, body builder, rebuilding, etc.

In Band 3 wird darauf hingewiesen, dass bei der Gefährdungsanalyse und Risikobewertung die verschiedenen T&B-spezifischen Gegebenheiten zu berücksichtigen sind, z.B. verschiedene Fahrzeugtypen oder unterschiedliche Betriebsmodi. Im Annex B werden informativ beispielhafte Exposure-Einstufungen für verschiedene Fahrzeugtypen angegeben.

In Band 8 wird auf zwei spezielle Fragestellungen bei den T&B eingegangen. Kapitel 15 („Interfacing a base vehicle or item in an application out of scope of ISO 26262“) beschäftigt sich mit der Frage der Schnittstelle zwischen einem nach ISO 26262 entwickeltem Item (z.B. Motorsteuerung) und einem nach einem anderen Standard entwickeltem System (z.B. Betonmischer) damit ein sicheres Gesamtsystem entsteht (Bild 5).

Kapitel 16 („Integration of safety-related systems not developed according to ISO 26262“) behandelt dagegen den umgekehrten Fall, wie ein nicht nach ISO 26262 entwickeltes Teilsystem in ein ISO 26262-konformes Gesamtsystem integriert werden kann (Bild 6).

In beiden Anwendungsfällen („Interfacing“ und „Integration“) ist Voraussetzung, dass der jeweils nicht nach ISO 26262 entwickelte Anteil nach einem anderen adäquaten Safety-Standard, zum Beispiel nach der Maschinenrichtlinie, entwickelt wurde und dass ein Verständnis erzielt wird, wie die Gesamtsystemsicherheit erreicht werden kann.

Im Anwendungsfall des „Interfacing“ führt dies im Ergebnis zu einer „Manufacturing guideline“, in welcher für den Integrator die Anforderungen beschrieben sind, die er zur Sicherstellung der Gesamtsystemsicherheit zu erfüllen hat. Im Anwendungsfall der „Integration“ muss der Integrator in einem „Safety rationale“ darlegen, wie bei der Integration eines nicht nach ISO 26262 entwickelten Teilsystems die Sicherheit auf Gesamtsystemebene dargestellt wird.

(ID:44907896)