Umsetzung der ISO26262 in der Praxis Der sicherheitsgerichtete Alltag in der Automobilwelt

Transkript

1 AUTOMOTIVE INFOKOM VERKEHR & UMWELT LUFTFAHRT RAUMFAHRT VERTEIDIGUNG & SICHERHEIT Umsetzung der ISO26262 in der Praxis Der sicherheitsgerichtete Alltag in der Automobilwelt BICC Talk "Safety Engineering Umsetzung der ISO26262 in der Praxis" 1. Juli 2010, Garchinger Technologie- und Gründerzentrum, Garching Dr. Henrik J. Putzer Programm Manager "Safety & Compliance"

2 Automobile Funktionale Sicherheit Safety: Teil der Herausforderung 'Komplexitätsbeherrschung' Safety Security Fehlertoleranz Funktionalität car-to-x Funktions-Vernetzung Verfügbarkeit Kommunikation Entertainment Mensch-Maschine-Schnittstelle Autonome Systeme ältere Fahrer Fahrer-Assistenz-Systeme Selbstheilung Verkehrsdichte Gesetze Umwelt Qualifizierung Ressourcen Energie Segregation Qualität Antriebstechnologie Wiederverwendung Design-Paradigmen Globalisierung Märkte Allianzen Plattformen Zentralisierung Prozesse Time-to-Market Fahrzeugpalette Modularität Entw.-Standards Personal Schlüssel: Strukturiertes Vorgehen und fortgesetztes Lernen ISO26262 Praxis Juli 2010 Bild: by BMW

3 Automobile Funktionale Sicherheit Anforderungen moderner Fahrer-Assistenz-Systeme Steigende Funktionalität von Systemen (insbesondere Fahrerassistenz-Systeme) Zunehmende Übernahme von sicherheitsrelevanten Regelungsaufgaben Komplexität Verteilung, hoche Vernetzung Software: CHANCE (Differenzierung) RISIKO (Haftung, ) PDC Tempomat Parkassistent ACC stop&go ACC autonomes Fahren Stauassistent (+) PMA (+) steer-by-wire brake-by-wire Elektronische Hinterachslenkung SBC (elektro-hydraulische Bremse) Motor-Start-Stopp (MSA) EPS (Electric Power Steering) ESP (Electronic Stability Program) Servolenkung ABS (Anti Blockier System) Elektronische Drosselklappe (throttle-by-wire) Drosselklappe über Bowdenzug Funktionale Sicherheit Fahrer- Assistenzsysteme Innovation: Fahrwerk und Antrieb lenken bremsen beschleunigen ISO26262 Praxis Juli 2010

4 Automobile Funktionale Sicherheit Gestern bis heute <2002 Vorbild: Luft- und Raumfahrt Safety 'konservativ': - Sicherheit mit jedem Aufwand 2002 Vorbild: Anlagenbau (Erscheinen der IEC 61508) Auseinandersetzung mit FuSi-Technologie 2010 ISO/FDIS (final draft international standard) Angepasster Lebenszyklus (Musterzulassung, Produktion, ) Verteilte Entwicklung ASIL-Skala, passende Methoden (GuR, Dekomposition, ) heute Praxis: Etablierung der ISO Safety 'automotive': - Sicherheit kostengünstig durch intelligente Konzepte (lean FuSi) ISO26262 Praxis Juli 2010

5 Wie implementiert man Funktionale Sicherheit? Normerfüllung Qualitäts-Standards ISO 9000ff, ISO TR VDA Part 3.1 and 4.ff DIN EN (Reliability Management) VDI : Technical Reliability Engineering Standards ISO/IEC (SW-Process) V-Model Assessment Modelle ISO (SPICE) CMMI Branchenspezifische Entwicklungs-Vorgaben Type Approval Regulations: ECE R13(H) Annex 18(8), ECE R79 Annex 6 Safety Standards IEC (Meta-Standard) ISO TR 15497: MISRA Guidelines ECSS-E-40A (EU, Space) RTCA DO-178B (Aerospace SW, V&V) SAE APR 7461 (Aerospace, HW) NASA-GB (SW-Guidebook) Def Stan (Military) IEC (SW in Nuclear Power Plants) IEC Derivates EN 5012x (Railway) IEC (Medical) IEC (Nuclear) IEC (Process Industry) ISO (Automotive) => Anpassung an eine Branche IABG IK

6 ISO26262 Praxis Juli 2010

7 Wie implementiert man Funktionale Sicherheit? Sicherheitslebenszyklus System- Definition Beschreibung der System-Funktionen, der groben Architektur und der Einsatzumgebung Management Prozesse Planung Qualifikation Verantwortung Ressourcen etc. Unterstützende Prozesse Qualität Anforderungen Konfiguration Dokumentation etc. Gefahrenanal. & Risikobewertung Sicherheits- Anforderungen Entwicklung Assessment / Zertifizierung Beschreibung gefahrbringender Situationen; Fehlfunktion des technischen Systems; Risikobewertung >> ASIL Sicherheitsfunktionen + ASIL Sicherheitskonzept Systementwicklung, Verifikation & Validierung Besondere Sicherheitsaktivitäten z.b. Sicherheitsanalysen Begutachtung durch unabhängige Stelle Sicherheit ist eine integrale Produkteigenschaft! Safety ist nicht hineinargumentierbar Safety ist nicht hineintestbar {, } Safety Case IABG IK

8 Wie implementiert man Funktionale Sicherheit? Verzahnung von Funktionaler Sicherheit und Funktionsentwicklung Management Funktionale Sicherheit Prozessumsetzung geschieht zurzeit noch mit unterschiedlichem Niveau Aufhebung der sich daraus ergebenden Trennung der Abläufe Funktions- Entwicklung Designansätze werden zusammengeführt Funktionale Sicherheit Top-Down und eher schwergewichtig Funktionsentwicklung Bottom-Up und ergebnisorientiert IABG IK

9 Automobile Funktionale Sicherheit Gestern bis heute <2002 Vorbild: Luft- und Raumfahrt Safety 'konservativ': - Sicherheit mit jedem Aufwand 2002 Vorbild: Anlagenbau (Erscheinen der IEC 61508) Auseinandersetzung mit FuSi-Technologie 2010 ISO/FDIS (final draft international standard) Angepasster Lebenszyklus (Musterzulassung, Produktion, ) Verteilte Entwicklung ASIL-Skala, passende Methoden (GuR, Dekomposition, ) heute Praxis: Etablierung der ISO Safety 'automotive': - Sicherheit kostengünstig durch intelligente Konzepte (lean FuSi) ISO26262 Praxis Juli 2010

10 Moderne Fahrer-Assistenz-Systeme Intelligentes Sicherheitskonzept, Beispiel: steer-by-wire Steer-by-wire Anforderung verteilt fehlertolerant sicherheitsgerichtet (ASIL D) "fail operational" Lösung der Luftfahrt Mehrfache Redundanz (2oo3+) Teure Lösung, da Redundanzen in Sensoren, Steuerungen, Aktuatoren Energieversorg., Kommunikation, E/E Teilsystem sicherer Umschalter Mechanische Rückfallebene Lösung Automotive E/E-System: fail silent (nicht-redundantes, steer-by-wire Wertschöpfung) Mechanische Rückfallebene: fail operational (einfache Realisierung, sicherer Notlauf) Gesamtsystem: fail operational (mit sicherem Umschalter) Mechanik ist nicht durch die ISO abgedeckt! ISO26262 Praxis Juli 2010

11 Automobile Funktionale Sicherheit Momentaufnahme der Fähigkeitsgrade im Markt 100% Einige stehen noch am Anfang Quelle: IABG Abdeckung im Marktsegment Automobil die meisten Firmen ausgesuchte Abteilungen in ausgesuchten Firmen FuSi Fähigkeit Erste Unternehmen sehr gut (in einzelnen Abteilungen) Es gibt ausgeprägte Kompetenz-Führer im Markt FuSi-Umsetzung steigt Erste nicht-nominierungen wegen unzureichender FuSi-Prozesse Erste Eskalation bei nicht- Erfüllung von FuSi-Anforderungen (Entwickler-Camps!) Existenzgefährdende Konsequenzen für Hersteller ISO26262 Praxis Juli 2010

12 Automobile Funktionale Sicherheit Zusammenfassung / Ausblick Mit der ISO26262 setzt sich die Automobilbranche einen eigenen Standard für die Entwicklung sicherheitsrelevanter E/E-Systeme Steigende Anwendung und Etablierung in der gesamten Branche Safety wird Teil des Entwicklungsalltags (Auflösung der FuSi-Parallelwelt) FuSi-Wissensniveau und Praxiserfahrung steigen Es entstehen automobilspezifische Konzepte und Lösungen Zukunft: Kombination von Funktionaler Sicherheit und weiteren Attributen Reifegrade: z.b. ISO Automotive SPICE Dependability = Safety + Security Funktionale Sicherheit gehört in das Portfolio und Risikomanagement jeder Firma der Automobilbranche IABG IK

13 Kontakt I A B G Industrieanlagen Betriebsgesellschaft mbh Einsteinstr. 20 D Ottobrunn Germany Dr. Henrik J. Putzer, IK13 Programm Manager "Safety & Compliance" putzer@iabg.de ISO26262 Praxis Juli 2010