Como projetar um sistema de diagnóstico para conformidade com ASIL - D
Como fornecedor deSegurança Funcional ASIL-Dsoluções, entendo a importância crítica de projetar um sistema de diagnóstico que atenda aos rigorosos requisitos do ASIL - D (Automotive Safety Integrity Level D). ASIL - D representa o mais alto nível de integridade de segurança na indústria automotiva, e a conformidade é essencial para sistemas onde uma falha pode levar a situações de risco de vida, comoFrenagem AutônomaeCiência e tecnologia de chassi inteligente chinês.
Compreendendo os requisitos ASIL - D
Para projetar um sistema de diagnóstico para conformidade com ASIL - D, é necessário primeiro ter um conhecimento profundo dos requisitos ASIL - D. Estes requisitos estão definidos na ISO 26262, a norma internacional para segurança funcional em veículos rodoviários. ASIL - D exige probabilidades extremamente baixas de falhas perigosas. Por exemplo, a probabilidade de uma falha de ponto único levar a um evento perigoso deve ser inferior a 10⁻⁹ por hora, e a probabilidade de uma falha latente levar a um evento perigoso deve ser inferior a 10⁻⁸ por hora.
Um dos principais aspectos do ASIL-D é a necessidade de uma cobertura diagnóstica abrangente. Isto significa que o sistema de diagnóstico deve ser capaz de detectar e isolar falhas em todos os componentes críticos do sistema. Além disso, o sistema de diagnóstico deve ser capaz de responder a falhas em tempo hábil, seja ativando um estado seguro ou fornecendo um aviso ao condutor ou a outros sistemas relevantes.
Projeto de arquitetura de sistema
A arquitetura do sistema de diagnóstico desempenha um papel crucial na obtenção da conformidade ASIL - D. Uma abordagem comum é usar uma arquitetura redundante, onde vários canais independentes são usados para executar a mesma função. Por exemplo, num sistema de travagem autónomo, dois sensores independentes poderiam ser utilizados para medir a distância até ao veículo da frente. Se um sensor falhar, o outro poderá continuar a fornecer as informações necessárias à unidade de controle.
Além da redundância de hardware, a redundância de software também pode ser implementada. Isso pode envolver o uso de diferentes algoritmos ou linguagens de programação para executar a mesma função em diferentes módulos de software. Se um módulo falhar, o outro poderá assumir o controle, garantindo a continuidade da operação do sistema.
Outro aspecto importante da arquitetura do sistema é a comunicação entre os diferentes componentes. Em um sistema ASIL-D, a rede de comunicação deve ser altamente confiável e tolerante a falhas. Isso pode ser conseguido usando links de comunicação redundantes e técnicas de correção de erros.
Detecção e isolamento de falhas
A detecção de falhas é o primeiro passo no processo de diagnóstico. Existem diversas técnicas que podem ser utilizadas para detecção de falhas em um sistema ASIL - D. Uma das técnicas mais comuns é a utilização de sensores para monitorar os parâmetros físicos do sistema, como temperatura, pressão e tensão. Se um sensor detectar um valor fora da faixa normal, isso poderá indicar uma falha.
Outra técnica é o uso de mecanismos de autoteste nos componentes. Por exemplo, um microcontrolador pode realizar um autoteste de sua memória interna e circuitos lógicos na inicialização e durante a operação. Se uma falha for detectada, o microcontrolador pode reportá-la ao sistema de diagnóstico.
Uma vez detectada uma falha, o próximo passo é isolá-la. Isto envolve determinar qual componente ou subsistema está causando a falha. O isolamento de falhas pode ser alcançado usando uma combinação de algoritmos de diagnóstico e análise de árvore de falhas. Algoritmos de diagnóstico podem analisar os dados do sensor e outras informações do sistema para identificar a origem da falha, enquanto a análise da árvore de falhas pode ajudar a identificar todas as causas possíveis de uma falha específica.
Análise de Cobertura Diagnóstica
A análise de cobertura diagnóstica é uma parte essencial do processo de design de um sistema de diagnóstico ASIL - D. Esta análise envolve determinar a porcentagem de falhas que o sistema de diagnóstico é capaz de detectar e isolar. É necessária uma alta cobertura diagnóstica para conformidade com ASIL - D, normalmente superior a 99%.
Para realizar uma análise diagnóstica da cobertura, um teste de injeção de falhas pode ser realizado. Neste teste, as falhas são deliberadamente introduzidas no sistema e o sistema de diagnóstico é avaliado para ver se consegue detectar e isolar essas falhas. Com base nos resultados do teste de injeção de falhas, o sistema de diagnóstico pode ser melhorado para aumentar sua cobertura de diagnóstico.
Mecanismos de segurança e resposta a falhas
Além de detectar e isolar falhas, o sistema de diagnóstico também deve ser capaz de responder às falhas de maneira segura. Isto envolve a ativação de mecanismos de segurança para evitar a ocorrência do evento perigoso. Por exemplo, num sistema de travagem autónomo, se for detetada uma falha no sensor que mede a distância ao veículo da frente, o sistema pode ativar uma função de travagem de emergência para parar o veículo antes que ocorra uma colisão.
Os mecanismos de segurança podem ser baseados em hardware ou software. Os mecanismos de segurança baseados em hardware incluem coisas como fontes de alimentação redundantes, interruptores de emergência e relés à prova de falhas. Mecanismos de segurança baseados em software incluem procedimentos de desligamento de emergência e algoritmos de reconfiguração.
O tempo de resposta a falhas também é um fator crítico em um sistema ASIL-D. O sistema de diagnóstico deve ser capaz de detectar e responder a falhas num período de tempo muito curto. A norma ISO 26262 define requisitos específicos para o tempo de resposta a falhas, dependendo da natureza do evento perigoso.
Validação e Verificação
Uma vez projetado o sistema de diagnóstico, ele deve ser validado e verificado para garantir que atenda aos requisitos ASIL - D. A validação envolve testar o sistema em um ambiente do mundo real para garantir que ele funcione conforme o esperado. A verificação envolve verificar se o projeto do sistema atende aos requisitos especificados.
Os testes de validação podem incluir testes de estrada, testes de bancada e testes de simulação. Os testes de estrada envolvem testar o sistema em um veículo real em uma pista de teste ou em estradas públicas. Os testes de bancada envolvem testar componentes ou subsistemas individuais em um ambiente de laboratório. Os testes de simulação envolvem o uso de modelos de computador para simular o comportamento do sistema sob diferentes condições.
A verificação pode ser realizada usando diversas técnicas, como revisões de código, análise estática e análise dinâmica. As revisões de código envolvem a verificação manual do código-fonte do software para garantir que ele esteja livre de erros e atenda aos requisitos especificados. A análise estática envolve o uso de ferramentas para analisar o código-fonte sem realmente executá-lo. A análise dinâmica envolve a execução do software e a análise de seu comportamento.
Conclusão
Projetar um sistema de diagnóstico para conformidade com ASIL-D é uma tarefa complexa e desafiadora. Requer uma compreensão profunda dos requisitos ASIL - D, uma arquitetura de sistema bem projetada, técnicas eficazes de detecção e isolamento de falhas, alta cobertura de diagnóstico, mecanismos de segurança confiáveis e validação e verificação completas.
Como umSegurança Funcional ASIL-Dfornecedor, temos o conhecimento e a experiência para ajudá-lo a projetar e implementar um sistema de diagnóstico que atenda aos mais altos padrões de segurança. Se você estiver interessado em saber mais sobre nossas soluções ou quiser discutir um projeto específico, encorajamos você a entrar em contato conosco para discussões sobre aquisições.
Referências
- ISO 26262 – Veículos rodoviários – Segurança funcional.
- Segurança Automotiva - Projeto de Sistemas Críticos: Métodos e Técnicas para Veículos Rodoviários e Fora de Estrada.
- Anais da Conferência Internacional sobre Segurança Funcional em Sistemas Automotivos.