Safety-Engineering & Management
Safety ist inhärent in ein System eingearbeitet. Folglich sind alle Fachdomänen in Safety involviert.
Entsprechend komplex ist der Standard ISO 26262 - Funktionale Sicherheit geworden:
(Basiert auf ISO 26262:2018 (2nd Ed) Funktionale Sicherheit)
Safety Management für ISO 26262
Sie sollten ISO 26262 einhalten, sobald Elektronik zu Ihrem Automotive System gehört. Natürlich variiert der Umfang je nach System und nach Kritikalität. Ein Antriebsstrang mit einem ASIL D erfordert meistens den kompletten Umfang nach ISO 26262. Wussten Sie, dass Sie für eine eMaschine mit einem Resolver die ISO 26262 einhalten sollten und plötzlich Auflagen an Prozesse wie Konfigurations- und Change Request Management haben? Allerdings können wir das Gros der ISO 26262 geschickt reduzieren (Stichwort: tailoring). Oder, ist Ihnen klar, dass Sie die Aktivitäten laut ISO 26262 reduzieren können, wenn Sie Ihre Architektur geschickt gestalten?
Ich begleite Ihr Projektteam als Safety Manager. Von der initialen Impact Analyse über einen Safety Plan mit Methodenauswahl bis hin zum Safety Assessment und dem Safety Case. Die Safety-Aktivitäten webe ich in Ihren normalen Projektablauf mit ein. Wir machen möglichst viel Gebrauch von dem, was Sie eh schon tun. Während der Entwicklung unterstütze ich Ihr Team hands-on. Bei der Bewertung von Konzepten aus der Sicht der Safety oder bei Gefährdungsbeurteilungen für Musterfreigaben. Zudem berate ich Ihre Architekten, wie die Architektur aussehen müsste, um Aktivitäten nach ISO 26262 zu reduzieren.
IHR NUTZEN
- Belastbarer Safety Case für Ihr Produkt
- Bestandenes Safety Audit und Assessment
- Klarer Arbeitsplan für die Safety Aktivitäten
- Gefährdungsbeurteilungen von Auffälligkeiten
- Einsparpotentiale mit der richtigen Architektur
- ISO 26262 erfüllt
- Synergien zu Automotive SPICE gehoben
Funktionale Sicherheit (ISO 26262)
- Band 2: Safety Management im Projekt
- Band 3, 4, 5, 6, 9: Notwendige Engineering Aktivitäten für Ihr System auswählen und umsetzen.
- Band 8: Auflagen an unterstützende Prozesse im Projekt einhalten.
- Band 7: Schnittstelle zum Qualitätsmanagement der Produktion etablieren
Automotive SPICE
Synergien heben zu:
- SYS.1-SYS.5: Systems Engineering
- SWE.1-SWE.6: Software Engineering
- MAN.3, MAN.5: Management Processes
- SUP.1, SUP.8-SUP.10: Unterstützende Prozesse
- ACQ.4: Supplier Monitoring
Methodisch
- Technisches Projekt- und Risikomanagement
- Development Interface Agreement
- Verification & Confirmation Reviews
- Architekturbewertung
- Beratung des Projektteams
Sicherheitskonzepte entwickeln
Safety Engineering ist Systems Engineering mit dem Fokus auf Safety. Anders als bei Kraftwerken können wir im Auto nicht einfach ein Sicherheitssystem um das Steuergerät drumherum bauen. Automotive Embedded Systeme müssen inhärent sicher sein. Für fast jede Funktion gibt es einen Sicherheitsanteil. Die Elektronik muss in Gänze auf die Sicherheitsziele ausgelegt sein. ISO 26262 hat das Rad nicht neu erfunden. Keineswegs.
Ich nutze bewährte Architekturmuster und wende sie auf Ihr System an, z.B. das 3-Ebenen-Konzept (»EGAS«). Gleichermaßen gibt es auch Entwurfsmuster, wie End-to-End-Verschlüsselung, Locksteps oder Memory Protection Unit, die wir als Sicherheitsmechanismen ausnutzen können. Mit Ihrem Team lege ich fest, was wir für die entsprechenden Sicherheitsziele tun müssen. Außerdem suchen wir eine geschickte Dekomposition, damit Sie diese aufwändigen Mechanismen nur auf isolierte Bereiche des Systems anwenden müssen.
IHR NUTZEN
- Funktionale und technische Sicherheitskonzepte für Ihr System
- Stückkosten und Entwicklungsaufwand einsparen, da Safety-Mechanismen in sicherheitsrelevanten Systemteilen gekapselt sind
- ASIL Dekomposition und Rückwirkungsfreiheit (Freedom from Interference) ermöglichen
- ISO 26262 und Automotive SPICE sind erfüllt
Produktsicherheit erfüllen
Wussten Sie, dass Sie Sicherheitsanforderungen erfüllen müssen, obwohl Ihr System nicht in den Anwendungsbereich der ISO 26262 fällt? Die Isolation einer eMaschine ist so ein Fall oder Luft- und Kriechstrecken. Durch eine entsprechende Auslegung sollen Gefährdungen durch Hochvolt und durch Brand vermieden werden. Das und mehr fällt unter den Begriff der Produktsicherheit.
Ich erarbeite mit Ihrem Team die notwendigen Aktivitäten und einen Safety Case für Gefährdungen der Produktsicherheit:
- Hochvoltsicherheit
- Thermische Überlastung oder Brand
- Ungewollte Beschleunigung oder Verzögerung
- Fehlerhafte Informationen und Signale, z.B. wenn Sie nur Anwendungssoftware entwickeln
- Verlust der Energieversorgung
- Elektromagnetische Strahlung
- Mechanische Zugänge
- Hydraulik
- Pneumatik
- Strahlung
- Explosion
- Magnetismus
- Optik
IHR NUTZEN
- Funktionale und technische Sicherheitskonzepte für Ihr System
- Stückkosten und Entwicklungsaufwand einsparen, da Safety-Mechanismen in sicherheitsrelevanten Systemteilen gekapselt sind
- ASIL Dekomposition und Rückwirkungsfreiheit (Freedom from Interference) ermöglichen
- ISO 26262 und Automotive SPICE sind erfüllt
FÜR Ihre Entscheidung
Meine Erfahrung mit ISO 26262
Niemand kann allein die ISO 26262 vollständig abdecken. Ich auch nicht. Lesen Sie nachfolgend, auf welche Aktivitäten ich mich spezialisiert habe. Die Füllbalken zeigen meine Erfahrung.
1. Vocabulary
2. Management of Functional Safety
3. Concept Phase
4. Product Development at the System Level
12. Adaptation of ISO 26262 for Motorcycles
5. Product Development at the Hardware Level
6. Product Development at the Software Level
7. Production, operation, service and decommissioning
8. Supporting Processes
9. Automotive Safety Integrity Level (ASIL)-oriented and safety-oriented Analyses
Legende
Übersicht zur ISO 26262:2018 (2nd Ed.) Funktionale Sicherheit
FAQ - Häufig gestellte Fragen
- Ab wann muss ich ISO 26262 anwenden? ISO 26262 ist für Embedded Systeme oder elektrische Komponenten anzuwenden, die in a) Straßenfahrzeugen außer Mopeds verbaut werden und b) in Serienproduktion erzeugt werden und c) ab 2011 in Serie gegangen sind.
- Gilt die ISO 26262 nur für Fahrzeuge bis 3,5t? Nicht mehr. Mit der zweiten Edition anno 2018 wurde diese Einschränkung entfernt. So wurden neue Kapitel für LKW, Busse und Motorräder in die ISO 26262 aufgenommen.
- Ist Sicherheit mit ISO 26262 komplett abgedeckt? Nein. Einerseits müssen Sie auch andere Gefährdungen der Produktsicherheit betrachten. Andererseits müssen Sie den rapide fortschreitenden Stand der Technik umsetzen; teilweise den Stand der Wissenschaft.
- Gibt es Hilfestellungen bei der Gefahren- und Risikoanalyse (G&R)? Der VDA 702 Situationskatalog (Link) gibt Auftretenswahrscheinlichkeiten (Exposure) für typische Fahrszenarien an. Das ist eine gute Orientierung.
- Was bedeutet Funktionssicherheit? Es geht um die Sicherheit der gewünschten Funktionen. Beim Elektroantrieb sind das etwa Beschleunigen, Bremsen, Rekuperieren, Hochvoltenergiewandlung. Ein Antrieb kann auch Wärme als »Abfallprodukt« erzeugen. Das fällt unter Produktsicherheit.
- Welche Gefährdungen außer den funktionalen sind für mein Embedded System noch relevant? Typische weitere Gefährdungen (»Hazards«) sind Feuer, Explosion, irreführende Informationen, gefährliche Materialen oder Stoffe, Hydraulik, Pneumatik, Unterspannung im Fahrzeugnetz, Hochvoltkontakt.
- Bedeutet »QM«, dass mein Produkt nicht sicherheits-relevant ist?Nein. Sie müssen nur keine speziellen Auflagen erfüllen, die die ISO 26262 an Ihr Embedded System oder Projekt stellt. Nicht sicherheits-relevant im Sinne der ISO 26262 würde bedeuten, dass Sie weder einen ASIL A bis D noch QM vergeben.
- Tragen Safety Manager:innen die Verantwortung für Safety? Im Englischen unterscheiden wir »Accountability« und »Responsibility«. »Accountability« tragen die Projektleiter:innen beziehungsweise Ihr Unternehmen. Safety Manager:innen sind »responsible« für das korrekt durchgeführte Safety Management.
- Bestätigt ein Safety-Assessment die Produktsicherheit? Nein, das können keine Safety Assessoren leisten. Dafür müsste sie Ihr Produkt im Detail beurteilen können und dafür müssten sie es selbst entwickelt haben. Sie können nur prüfen, ob Ihre Safety Argumentation plausibel, konsistent und integer ist.
- Was unterscheidet ISO 26262 von IEC 61508? ISO 26262 berücksichtigt die speziellen Bedürfnisse von Automotive. Zum Beispiel sind die Sicherheitskonzepte in den Systemen integriert und nicht durch externe Zusatzsysteme abgedeckt. IEC 61508 gilt allgemein für Embedded Systeme.
- Wie hängen Safety nach ISO 26262 und Security nach SAE AWI 21434 zusammen? Zuerst prüfen wir Safety. Einige der Safety-Mechanismen müssen vor Manipulation geschützt werden: Parameter, Bus-Kommunikation bis hin zu Passwörtern, um Code zu verschlüsseln. Das soll Security absichern.
- Wie hängen ISO 26262 und Automotive SPICE® zusammen? ISO 26262 fordert die Umsetzung eines Qualitätsstandards wie ISO 9001, ISO TS 16949 oder auch Automotive SPICE®. Automotive SPICE® postuliert anerkannte Prozese; verrät uns aber nicht, wie man echte Probleme löst.
Was Sie bekommen
- Nico Litschkes unschlagbare Erfahrung aus über 20 Jahren in der Sicherheitsentwicklung aus Automotive, Luftfahrt und Forschung. Es gibt nahezu keine Situation aus den Projektalltag, die er noch nicht erlebt hätte.
- Hands-on Mentalität, das schnelle Erkennen systemischer Zusammenhänge, ein feines Gespür für Befindlichkeiten im Team, die richtigen Fragen im richtigen Augenblick sind die Facetten seiner Arbeit.
Nächste schritte
Erzählen Sie mir von Ihrem Projekt
Wir machen Ihre elektronischen, softwareintensiven Systeme sicher.