迎合自動(dòng)駕駛發(fā)展趨勢(shì) ISO 26262標(biāo)準(zhǔn)把關(guān)車(chē)輛安全
隨著世界各地自動(dòng)駕駛車(chē)輛上路測(cè)試的新聞，讓人們對(duì)未來(lái)運(yùn)輸充滿新的愿景，也牽引出如何確保車(chē)輛安全的議題，因此ISO 26262車(chē)輛電機(jī)/電子系統(tǒng)(簡(jiǎn)稱(chēng)車(chē)電系統(tǒng))之功能安全(Functional Safety)國(guó)際標(biāo)準(zhǔn)應(yīng)運(yùn)而生。
在自動(dòng)駕駛車(chē)上市之前，先進(jìn)駕駛輔助系統(tǒng)(ADAS)成為最新車(chē)款的標(biāo)準(zhǔn)配備，此類(lèi)車(chē)電系統(tǒng)已由高階豪華車(chē)種，普及到入門(mén)平價(jià)車(chē)款，以因應(yīng)日漸高漲的安全意識(shí)，與逐步完善的安全法規(guī)。
根據(jù)財(cái)團(tuán)法人車(chē)輛研究測(cè)試中心(ARTC)產(chǎn)業(yè)調(diào)查數(shù)據(jù)[車(chē)輛研測(cè)信息2015/8]顯示，2013年全球ADAS銷(xiāo)售為1.24億套，產(chǎn)值約為147.6億美元，預(yù)測(cè)至2018年全球銷(xiāo)售將提升至3.55億套以上，產(chǎn)值也將超過(guò)350億美元，全球ADAS市場(chǎng)成長(zhǎng)二倍，而其復(fù)合成長(zhǎng)率為19.2%。
為協(xié)助車(chē)輛產(chǎn)業(yè)與電子產(chǎn)業(yè)參與ADAS產(chǎn)值躍升的趨勢(shì)，ARTC開(kāi)發(fā)多項(xiàng)車(chē)電系統(tǒng)，如緊急煞車(chē)輔助系統(tǒng)(Advanced Emergency Braking System, AEB)，研發(fā)之雛型性能優(yōu)異，已對(duì)國(guó)內(nèi)業(yè)者技術(shù)移轉(zhuǎn)，為確保符合消費(fèi)市場(chǎng)注重之安全議題，在2015年12月通過(guò)ISO 26262功能安全流程認(rèn)證，使開(kāi)發(fā)產(chǎn)品可能的危害風(fēng)險(xiǎn)降到最低，系統(tǒng)功能安全符合國(guó)際標(biāo)準(zhǔn)。
ISO 26262功能安全標(biāo)準(zhǔn)剖析
ISO 26262是國(guó)際標(biāo)準(zhǔn)化組織(ISO)2011年公告最新車(chē)電系統(tǒng)之功能安全國(guó)際標(biāo)準(zhǔn)，與車(chē)輛安全相關(guān)的車(chē)電系統(tǒng)均被要求須實(shí)現(xiàn)之，本標(biāo)準(zhǔn)是調(diào)適自IEC 61508，將功能安全聚焦在車(chē)輛議題。ISO 26262提供車(chē)輛安全生命周期各階段重要活動(dòng)、車(chē)輛專(zhuān)屬風(fēng)險(xiǎn)基礎(chǔ)之整合水平、避免不合理風(fēng)險(xiǎn)的應(yīng)用需求、確保合適安全水平之驗(yàn)證與確認(rèn)，以及與供貨商的關(guān)系需求等。
有關(guān)功能安全，最初的國(guó)際標(biāo)準(zhǔn)是國(guó)際電工委員會(huì)(IEC)1998年公告的IEC 61508，針對(duì)一般工業(yè)領(lǐng)域的電機(jī)/電子/可程序電子(Electrical/Electronic/Programmable Electronic, E/E/PE)相關(guān)系統(tǒng)之功能安全評(píng)估與管控方法加以規(guī)范，而車(chē)電系統(tǒng)與一般工業(yè)用E/E系統(tǒng)有著一些差異，如成本考慮或可靠度要求等，因此在2011年公告專(zhuān)屬車(chē)輛領(lǐng)域之國(guó)際標(biāo)準(zhǔn)ISO 26262，其適用于3.5噸以下客車(chē)(M類(lèi))所裝載之車(chē)電系統(tǒng)，本標(biāo)準(zhǔn)使得研發(fā)項(xiàng)目清楚定義功能安全相關(guān)系統(tǒng)、硬件與軟件所應(yīng)遵循的共同目標(biāo)，并明確標(biāo)示系統(tǒng)達(dá)成的安全門(mén)坎，可作為保安設(shè)計(jì)之產(chǎn)品開(kāi)發(fā)數(shù)據(jù)。
近年來(lái)，功能安全是否適用其他車(chē)輛種類(lèi)，如貨車(chē)(N類(lèi))或是機(jī)車(chē)(L類(lèi))、如何調(diào)適車(chē)電系統(tǒng)之零組件如微控制單元(MCU)認(rèn)證需求、或是ADAS系統(tǒng)防護(hù)黑客入侵的保全(Security)議題，均將納入2016年新修的標(biāo)準(zhǔn)草案，以期滿足車(chē)輛使用之最新需求。
ISO 26262標(biāo)準(zhǔn)概述
ISO 26262涵蓋車(chē)輛整個(gè)生命周期，稱(chēng)為安全生命周期(Safety Lifecycle)，由管理、開(kāi)發(fā)、生產(chǎn)、經(jīng)營(yíng)、維修至報(bào)廢皆有相應(yīng)的要求，本標(biāo)準(zhǔn)包含十個(gè)章節(jié)，計(jì)有Part 1名詞解釋(Vocabulary)、Part 2功能安全管理(Management of Functional Safety)、Part 3概念階段(Concept Phase)、Part 4產(chǎn)品開(kāi)發(fā)在系統(tǒng)層級(jí)(Product Development at the System Level)、Part 5產(chǎn)品開(kāi)發(fā)在硬件層級(jí)(Product Development at the Hardware Level)、Part 6產(chǎn)品開(kāi)發(fā)在軟件層級(jí)(Product Development at the Software Level)、Part 7生產(chǎn)與操作(Production and Operation)、Part 8支持流程(Supporting Processes)、Part 9車(chē)輛安全完整性等級(jí)導(dǎo)向與安全導(dǎo)向分析(Automotive Safety Integrity Level-oriented and Safety-oriented Analyses)、Part 10 ISO 26262指南(Guideline on ISO 26262)。
ISO 26262實(shí)行所謂車(chē)輛安全完整性等級(jí)(ASIL)的指針來(lái)評(píng)估車(chē)電系統(tǒng)符合之功能安全程度，使得研發(fā)項(xiàng)目清楚定義功能安全相關(guān)系統(tǒng)、硬件與軟件所應(yīng)遵循之共同目標(biāo)，明確標(biāo)示ASIL可作為產(chǎn)品開(kāi)發(fā)之安全目標(biāo)。ASIL由嚴(yán)重度(Severity)、暴露機(jī)率(Probability of Exposure)與可控度(Controllability)決定，等級(jí)分為QM(Quality Management)與ASIL A至D五種，QM等級(jí)無(wú)須適用ISO 26262，比照一般車(chē)輛產(chǎn)業(yè)質(zhì)量管理系統(tǒng)ISO/TS 16949要求即可，而ASIL等級(jí)愈高，系統(tǒng)功能安全要求愈多，故ASIL D設(shè)計(jì)開(kāi)發(fā)的安全考慮最嚴(yán)密。
何謂產(chǎn)品安全生命周期
車(chē)輛產(chǎn)品的安全議題，要包含功能導(dǎo)向與質(zhì)量導(dǎo)向之開(kāi)發(fā)活動(dòng)與工作產(chǎn)品，ISO 26262正是清楚定義研發(fā)項(xiàng)目的功能安全相關(guān)系統(tǒng)、硬件與軟件所應(yīng)完成之開(kāi)發(fā)活動(dòng)與工作產(chǎn)品，形成產(chǎn)品的安全生命周期之各個(gè)階段(圖1)，完整標(biāo)準(zhǔn)架構(gòu)即成為車(chē)輛開(kāi)發(fā)模型(V-model)。
圖1 安全生命周期(Safety Lifecycle)
安全生命周期涵蓋ISO 26262 Part 2至Part 7，整個(gè)生命周期分為概念階段、產(chǎn)品開(kāi)發(fā)與生產(chǎn)交付后等三階段，由綜合說(shuō)明之功能安全管理起始，往下就是大V-model開(kāi)始之概念階段，接續(xù)是產(chǎn)品開(kāi)發(fā)在系統(tǒng)層級(jí)、產(chǎn)品開(kāi)發(fā)在硬件層級(jí)、產(chǎn)品開(kāi)發(fā)在軟件層級(jí)與結(jié)束之生產(chǎn)與操作，其間產(chǎn)品開(kāi)發(fā)在系統(tǒng)層級(jí)包含產(chǎn)品開(kāi)發(fā)在硬件層級(jí)與產(chǎn)品開(kāi)發(fā)在軟件層級(jí)兩章，形成系統(tǒng)、子系統(tǒng)的階層架構(gòu)，而軟、硬件開(kāi)發(fā)又各成一小V-model，兩者并有相互關(guān)聯(lián)，確保系統(tǒng)開(kāi)發(fā)是軟硬兼顧。
ISO 26262安全生命周期之細(xì)項(xiàng)，依章節(jié)如下：2-5 Overall safety management、2-6 Safety management during the concept phase and the product development、2-7 Safety management after the item's release for production、3-5 Item definition、3-6 Initiation of the safety lifecycle、3-7 Hazard analysis and risk assessment、3-8 Functional safety concept、4-5 Initiation of product development at the system level、4-6 Specification of the technical safety requirement、4-7 System design、4-8 Item integration and testing、4-9 Safety validation、4-10 Functional safety assessment、4-11 Release for production、5-5 Initiation of product development at the hardware level、5-6 Specification of hardware safety requirements、5-7 Hardware design、5-8 Evaluation of the hardware architectural metrics、5-9 Evaluation of safety goal violations due to random hardware failures、5-10 Hardware integration and testing、6-5 Initiation of product development at the software level、6-6 Specification of software safety requirements、6-7 Software architectural design、6-8 Software unit design and implementation、6-9 Software unit testing、6-10 Software integration and testing、6-11 Verification of software safety requirements、7-5 Production、7-6 Operation, service。
另外，Part 8與Part 9之細(xì)項(xiàng)包括：8-5 Interfaces within distributed developments、8-6 Specification and management of safety requirements、8-7 Configuration management、8-8 Change management、8-9 Verification、8-10 Documentation、8-11 Confidence in the use of software tools、8-12 Qualification of software components、8-13 Qualification of hardware components、8-14 Proven in use argument、9-5 Initiation of product development at the system level、9-6 Specification of the technical safety requirement、9-7 System design、9-8 Item integration and testing。
ISO 26262融入CMMI-DEV流程
ISO 26262只專(zhuān)注于功能安全，與適用于發(fā)展的能力成熟度整合模式(CMMI-DEV)之等級(jí)2或3(ML2/ML3)流程相當(dāng)，兩者搭形成完整的路線圖(Road Map)，才能有效導(dǎo)入組織運(yùn)作。CMMI-DEV為美國(guó)軟件工程學(xué)院(SEI)自1984年起所發(fā)展的一套組織質(zhì)量管理標(biāo)準(zhǔn)，以確保軟/硬件產(chǎn)品的研發(fā)質(zhì)量，已廣為世界各研發(fā)組織流程改善所遵循；而2004年另一套標(biāo)準(zhǔn)ISO/IEC 15504，就是俗稱(chēng)SPICE(Software Process Improvement and Capability dEtermination)，此軟件流程改善與能力檢定是與CMMI-DEV相當(dāng)?shù)南到y(tǒng)工程要求。
功能安全技術(shù)搭配系統(tǒng)工程之路線圖，形成完整的機(jī)制，為研發(fā)流程融入功能安全之可行方案，以滿足車(chē)電系統(tǒng)安全又可靠的需求，CMMI-DEV與ISO 26262的關(guān)聯(lián)匯整如表1所示，ARTC透過(guò)ML3流程與安全生命周期之相互關(guān)聯(lián)性，融合兩者建立完整的開(kāi)發(fā)機(jī)制。
表1 CMMI-DEV與ISO 26262關(guān)聯(lián)
檢視ISO 26262流程認(rèn)證的ARTC案例
ARTC研發(fā)質(zhì)量管理流程符合ISO 9001與CMMI-DEV ML3，也著手將功能安全融入ML3流程，讓研發(fā)項(xiàng)目形成由組織支持專(zhuān)業(yè)分工的系統(tǒng)工程團(tuán)隊(duì)。為因應(yīng)車(chē)輛電子產(chǎn)業(yè)最新功能安全標(biāo)準(zhǔn)(ISO 26262)，已于2015年歷經(jīng)功能安全訓(xùn)練與落差分析、功能安全文件準(zhǔn)備與融入流程、功能安全流程認(rèn)證等作業(yè)，最終在年底12月份通過(guò)ISO 26262流程認(rèn)證，進(jìn)一步呼應(yīng)車(chē)電產(chǎn)業(yè)的安全需求。
標(biāo)準(zhǔn)訓(xùn)練與落差分析
ISO 26262為車(chē)電系統(tǒng)功能安全之流程/產(chǎn)品認(rèn)證標(biāo)準(zhǔn)，ARTC為服務(wù)車(chē)電產(chǎn)業(yè)需求，基于科專(zhuān)計(jì)劃所開(kāi)發(fā)技術(shù)，均須再行移轉(zhuǎn)車(chē)輛電子產(chǎn)業(yè)商品化，確立只進(jìn)行ISO 26262流程認(rèn)證，開(kāi)始與臺(tái)灣檢驗(yàn)科技股份有限公司(SGS)合作內(nèi)訓(xùn)項(xiàng)目，從2014年起對(duì)研發(fā)同仁開(kāi)辦多場(chǎng)ISO-26262標(biāo)準(zhǔn)訓(xùn)練，也有6人通過(guò)車(chē)輛功能安全專(zhuān)業(yè)人員(Automotive Functional Safety Professional, AFSP)專(zhuān)業(yè)證照，此證照為3年效期，可用工作實(shí)績(jī)加以延長(zhǎng)。接著，2015年項(xiàng)目重點(diǎn)為安全生命周期V Model左半段(圖2)，進(jìn)行落差分析、功能安全管理、功能安全概念與技術(shù)安全概念等階段，預(yù)計(jì)年底完成ISO 26262功能安全流程認(rèn)證，以因應(yīng)后續(xù)技轉(zhuǎn)產(chǎn)品認(rèn)證需求。
圖2 ISO 26262功能安全認(rèn)證流程
因應(yīng)功能安全流程認(rèn)證項(xiàng)目，選擇AEB為試行標(biāo)的，并組成安全小組，依第三方認(rèn)證單位要求，安全經(jīng)理(Safety Manager)應(yīng)由非AEB計(jì)劃成員擔(dān)任，其主要負(fù)責(zé)項(xiàng)目為選擇計(jì)劃成員、建立并維護(hù)項(xiàng)目安全計(jì)劃(Safety Plan)、管理內(nèi)部接口(各部門(mén))與外部接口(SGS臺(tái)灣與德國(guó)專(zhuān)家，合稱(chēng)SGS-TüV)。
完整團(tuán)隊(duì)組成與分工包括：第三方(I3)負(fù)責(zé)流程認(rèn)證(含輔導(dǎo)與咨詢(xún))；工作產(chǎn)品審核(PM)項(xiàng)目計(jì)劃之部門(mén)主管負(fù)責(zé)；安全經(jīng)理(SM)負(fù)責(zé)安全計(jì)劃；計(jì)劃主持人(PL)負(fù)責(zé)計(jì)劃執(zhí)行規(guī)劃書(shū)(IPEP)；系統(tǒng)工程師(SE)負(fù)責(zé)系統(tǒng)規(guī)劃，包含項(xiàng)目定義(Item Definition)、危害分析與風(fēng)險(xiǎn)評(píng)估(HARA)、安全目標(biāo)(Safety Goals)、技術(shù)安全需求(TSR)；軟/硬件工程師(DE/SW/HW)負(fù)責(zé)硬件規(guī)劃，承接系統(tǒng)層級(jí)之功能安全需求(FSR)，轉(zhuǎn)為軟/硬件層級(jí)之設(shè)計(jì)文件；測(cè)試工程師(TE)負(fù)責(zé)測(cè)試規(guī)劃，承接系統(tǒng)層級(jí)之FSR，轉(zhuǎn)為測(cè)試文件。
SGS-TüV落差分析(Gap Analysis)作業(yè)為期兩天，由SGS-TüV稽核員(簡(jiǎn)稱(chēng)主評(píng))對(duì)ARTC研發(fā)項(xiàng)目流程、AEB計(jì)劃數(shù)據(jù)與ISO 26262功能安全標(biāo)準(zhǔn)要求之122項(xiàng)工作產(chǎn)品加以比對(duì)，將落差評(píng)比分為四類(lèi)成熟等級(jí)(Maturity Level)：符合(OK)、部分符合(Conditionally OK, COK)、尚未符合(Not OK, NOK)與無(wú)須符合(Tailored)等，提供第二階段文件準(zhǔn)備之參考，目標(biāo)完成部分符合與尚未符合之工作產(chǎn)品。
功能安全文件準(zhǔn)備與融入流程說(shuō)明
準(zhǔn)備功能安全系統(tǒng)、硬件與軟件層級(jí)之設(shè)計(jì)與測(cè)試文件，逐步進(jìn)行V Model左半段之功能安全管理、功能安全概念與技術(shù)安全概念等階段，由安全小組依專(zhuān)業(yè)分工，完成各項(xiàng)工作產(chǎn)品，并與SGS專(zhuān)家討論相關(guān)產(chǎn)出，以對(duì)應(yīng)落差分析之主評(píng)建議，也以AEB試行計(jì)劃制定功能安全融入研發(fā)流程之可行方案。
首先是V Model的功能安全管理階段，由安全經(jīng)理完成安全計(jì)劃并定期更新，故此項(xiàng)工作產(chǎn)品會(huì)在數(shù)據(jù)紀(jì)錄表各個(gè)章節(jié)重復(fù)出現(xiàn)，以表現(xiàn)安全計(jì)劃的最新進(jìn)度或內(nèi)容修訂。安全計(jì)劃主要包含項(xiàng)次、標(biāo)準(zhǔn)章節(jié)、內(nèi)容、輸入文件、輸出文件、負(fù)責(zé)人、起/迄時(shí)間與備注等，這些項(xiàng)目同樣與ISO 26262標(biāo)準(zhǔn)要求之工作產(chǎn)品一致，如此逐項(xiàng)檢討安全計(jì)劃，就可完成功能安全要求，此一安全計(jì)劃采用附件形式納入計(jì)劃執(zhí)行規(guī)劃書(shū)(Integrated Project Execution Plan, IPEP)。計(jì)劃主持人也在IPEP新增安全經(jīng)理之專(zhuān)業(yè)分工，因須由非計(jì)劃成員擔(dān)任，故列在計(jì)劃成員之上，以顯示其獨(dú)立性。
另外，為查證各項(xiàng)工作產(chǎn)品，須制定功能安全評(píng)估計(jì)劃(Functional Safety Assessment Plan)，其不同于安全計(jì)劃，研發(fā)流程已透過(guò)里程碑審查，進(jìn)行工作產(chǎn)品的查證，故功能安全評(píng)估計(jì)劃可與里程碑審查整合，又因?yàn)镮SO 26262針對(duì)工作產(chǎn)品之確認(rèn)措施，皆不可由該工作產(chǎn)品之相關(guān)人員執(zhí)行，所以規(guī)劃須依Part2車(chē)電系統(tǒng)之ASIL執(zhí)行分級(jí)查證，如表2所示。
表2 執(zhí)行確認(rèn)措施所需之獨(dú)立性
研發(fā)項(xiàng)目之IPEP包含許多流程次計(jì)劃，如文件管理、計(jì)劃監(jiān)控管理、風(fēng)險(xiǎn)管理、建構(gòu)管理、流程與產(chǎn)品質(zhì)量保證、度量與分析、供貨商協(xié)議管理、查證與確認(rèn)等，這些次計(jì)劃與Part8之供貨商、建構(gòu)管理、變更管理、文件章節(jié)要求一致。
再來(lái)是V Model的功能安全概念階段，應(yīng)在項(xiàng)目定義說(shuō)明文件目的、AEB之功能與目的、功能方塊圖、邊界條件與內(nèi)/外部接口、安全與可靠度之潛在沖擊來(lái)源、其他需求(含環(huán)境條件)、法規(guī)與標(biāo)準(zhǔn)、外部措施與最小風(fēng)險(xiǎn)，這些內(nèi)容與IPEP之計(jì)劃目標(biāo)與范圍、假設(shè)與限制，產(chǎn)品規(guī)格需求書(shū)(SRS)之產(chǎn)品介紹、產(chǎn)品用戶、產(chǎn)品范圍、客戶的期望、限制與接口、系統(tǒng)架構(gòu)等重復(fù)，由系統(tǒng)工程師整理為英文的數(shù)據(jù)，整合式計(jì)劃管理(IPM)與需求發(fā)展(RD)流程維持原訂之IPEP與SRS。
危害分析與風(fēng)險(xiǎn)評(píng)估(Hazard Analysis and Risk Assessment, HARA)是指車(chē)輛因電子電機(jī)系統(tǒng)故障所產(chǎn)生的風(fēng)險(xiǎn)，如非預(yù)期加速、非預(yù)期減速或燃燒/爆炸等，透過(guò)故障所生風(fēng)險(xiǎn)之嚴(yán)重度(S)、暴露機(jī)率(E)與可控度(C)三項(xiàng)參數(shù)，分析車(chē)輛安全完整性等級(jí)(ASIL)，共有五階段度量(QM、A、B、C、D)之整車(chē)層級(jí)安全目標(biāo)(Safety Goal)，自ASIL A開(kāi)始，必須采取額外之風(fēng)險(xiǎn)降低措施，而ASIL D表示最高之潛在風(fēng)險(xiǎn)。
以AEB計(jì)劃所得HARA為例，總計(jì)33項(xiàng)整車(chē)故障之危害，因不同的操作情境、潛在危害、可能失效與外部減輕等，依據(jù)Part3決定ASIL，如某一項(xiàng)危害是非預(yù)期加速，其嚴(yán)重性為S3、發(fā)生機(jī)率為E4與可控性為C2，所以ASIL為C，各項(xiàng)ASIL取最高階段度量也是ASIL C，代表AEB的ASIL就是C。依前列表2，HARA工作產(chǎn)品須經(jīng)第三方(I3)查證，SGS專(zhuān)家多次檢討各種AEB危害情境之S/E/C三項(xiàng)參數(shù)的想定，確認(rèn)AEB之ASIL為C。
功能安全概念(Functional Safety Concept, FSC)是依據(jù)HARA所得高層之安全目標(biāo)(安全目標(biāo)可能與數(shù)個(gè)危害相關(guān)，也可能數(shù)個(gè)安全目標(biāo)與一個(gè)危害相關(guān))，規(guī)范系統(tǒng)之功能安全需求(Functional Safety Requirements, FSR)，并推導(dǎo)功能安全參數(shù)(包含安全狀態(tài)、容許故障時(shí)間等)，加以配置至相關(guān)組件的活動(dòng)，另外，因應(yīng)車(chē)電系統(tǒng)量產(chǎn)的成本考慮，ISO 26262制定ASIL分解(Decomposition)作法，將ASIL需求分配到數(shù)個(gè)組件中，使得單一需求可以降低，這只在項(xiàng)目架構(gòu)中，被分解組件存在足夠獨(dú)立性條件下才能施行，可以透過(guò)「相依性」故障分析，確認(rèn)獨(dú)立性之存在。
以AEB計(jì)劃所得FSC為例，總計(jì)有9項(xiàng)安全目標(biāo)，建立25項(xiàng)FSR，如第1項(xiàng)安全目標(biāo)(SG1)與FSR1、FSR2、FSR3、FSR15、FSR16建立相關(guān)，而單一FSR也與多個(gè)安全目標(biāo)相關(guān)，如第1項(xiàng)功能安全需求(FSR1)與SG1、SG3、SG4與SG5相關(guān)，SG與FSR非屬直線關(guān)系，而是交互關(guān)聯(lián)。
最后是V Model之技術(shù)安全概念階段，延續(xù)系統(tǒng)之功能安全需求展開(kāi)為軟/硬件之功能安全需求規(guī)格，由系統(tǒng)工程師完成技術(shù)安全需求(Technical Safety Requirements, TSR)，再交開(kāi)發(fā)工程師制定軟/硬件技術(shù)安全需求之規(guī)格，進(jìn)而邁入V Model的設(shè)計(jì)與整合測(cè)試階段。
以AEB計(jì)劃所得TSR為例，總計(jì)有64項(xiàng)TSR，如第1項(xiàng)TSR(TSR1)與FSR 1至FSR 9相關(guān)，系統(tǒng)工程師也訂定容許故障時(shí)間、分配組件與軟/硬件單元，以利后續(xù)軟/硬件開(kāi)發(fā)工程師加以設(shè)計(jì)，再輔以測(cè)試工程師進(jìn)行整合測(cè)試，確認(rèn)AEB功能安全需求已經(jīng)實(shí)現(xiàn)。
進(jìn)行功能安全流程認(rèn)證
為確保SGS-TüV至ARTC進(jìn)行ISO 26262功能安全流程認(rèn)證順利，10月底先以電話會(huì)議進(jìn)行預(yù)評(píng)，德國(guó)主評(píng)檢討安全經(jīng)理所提報(bào)資料，包含會(huì)前詢(xún)問(wèn)中心安全文化與建構(gòu)管理機(jī)制，德國(guó)主評(píng)對(duì)安全小組執(zhí)行狀況的評(píng)價(jià)良好，只請(qǐng)小組補(bǔ)充計(jì)劃訓(xùn)練規(guī)劃與修正工具安全評(píng)價(jià)(Tool Confidence Level, TCL)檔案，并約12月初辦理流程稽核(Process Audit)。
為期一天的流程稽核作業(yè)，安全經(jīng)理以流程稽核簡(jiǎn)報(bào)，逐項(xiàng)說(shuō)明工作產(chǎn)品之執(zhí)行狀況，德國(guó)主評(píng)對(duì)ARTC研發(fā)流程表示很好，符合ISO 26262標(biāo)準(zhǔn)，對(duì)于各項(xiàng)工作產(chǎn)品，建議注意可讀性(Accountability)、可追溯(Traceability)與透明度(Transparency)等數(shù)據(jù)屬性，如同ISO 9001標(biāo)準(zhǔn)之說(shuō)寫(xiě)作一致要求，并強(qiáng)調(diào)安全文化，以期中心的研發(fā)項(xiàng)目能更完整對(duì)應(yīng)功能安全。
SGS-TüV在2015年12月中旬簽署與發(fā)行功能安全流程認(rèn)證證書(shū)(證書(shū)編號(hào)為FS/71/220/15/0112)，代表ARTC通過(guò)ISO 26262功能安全流程認(rèn)證，此證書(shū)是依稽核報(bào)告(Audit Report Process)發(fā)行。而稽核報(bào)告需德國(guó)認(rèn)證單位(Deutsche Akkreditierungss- telle GmbH, DAkkS)授權(quán)才能發(fā)行，此一關(guān)系如同臺(tái)灣各檢測(cè)實(shí)驗(yàn)室需獲全國(guó)認(rèn)證基金會(huì)(TAF)認(rèn)證，所發(fā)行之檢測(cè)報(bào)告才能追溯至國(guó)際系統(tǒng)。
獲頒認(rèn)證，不僅展顯ARTC在研發(fā)上的專(zhuān)業(yè)，更是對(duì)國(guó)內(nèi)汽車(chē)電機(jī)、電子系統(tǒng)技術(shù)水準(zhǔn)的肯定，因?yàn)锳RTC各項(xiàng)研發(fā)系統(tǒng)雛型均具備初步功能安全設(shè)計(jì)與測(cè)試數(shù)據(jù)，在技轉(zhuǎn)予廠商后可縮短開(kāi)發(fā)認(rèn)證時(shí)程，讓車(chē)電系統(tǒng)更接近世界需求，在開(kāi)發(fā)的前端協(xié)助完成了最后一哩路的規(guī)劃，將加速技術(shù)商品化進(jìn)程，符合車(chē)廠對(duì)功能安全要求，進(jìn)而快速加入供應(yīng)鏈。
編輯：admin 最后修改時(shí)間：2017-09-19
