Статья посвящена исследованию роли каталога эксплуатационных ситуаций как фундаментального элемента процесса функциональной безопасности при разработке современных автомобилей. Особое внимание уделяется применению каталога в рамках анализа опасностей и оценки рисков (HARA) согласно требованиям стандарта ISO 26262. На примере анализа функциональной безопасности пассажирских транспортных средств продемонстрировано практическое применение разработанного каталога. Представлены результаты оценки опасных событий (потеря освещения, отказ стоп-сигналов) в различных эксплуатационных контекстах.
This article explores the role of a catalog of operational situations as a fundamental element of the functional safety process in the development of modern automobiles. Particular attention is paid to the catalog's application within the framework of hazard analysis and risk assessment (HARA) in accordance with the requirements of the ISO 26262 standard. Using the example of a functional safety analysis of passenger vehicles, the practical application of the developed catalog is demonstrated. The results of the assessment of hazardous events (loss of lighting, failure of brake lights) in various operational contexts are presented.
1 Состояние вопроса исследования и актуальность работы Современные транспортные средства стремительно эволюционируют от механических устройств к сложным киберфизическим системам. Внедрение систем автоматизированного вождения (ADAS) и полностью автономных транспортных средств радикально увеличивает количество потенциальных сценариев взаимодействия автомобиля с окружающей средой. Традиционные подходы к анализу безопасности, основанные на экспертных оценках ограниченного набора ситуаций, становятся недостаточными. Комбинаторный перебор параметров окружающей среды, действий водителя и состояний самого автомобиля порождает практически бесконечное множество возможных эксплуатационных ситуаций, что требует разработки формализованных методов их систематизации.Каталог эксплуатационных ситуаций представляет собой структурированный набор условий, в которых функционирует автомобиль и его системы. Он включает описание дорожных условий (тип покрытия, разметка, интенсивность движения, наличие перекрестков), погодных факторов (осадки, температура, освещенность, время суток), режимов движения (разгон, торможение, маневрирование, парковка), взаимодействия с другими участниками дорожного движения (пешеходы, велосипедисты, транспортные средства с различным уровнем автоматизации) и технических характеристик транспортного средства (скорость, состояние тормозной системы, загрузка, режимы работы ADAS-систем). Такой каталог служит основой для проведения анализа опасностей и оценки рисков (HARA), что является обязательным этапом в процессе разработки безопасных систем по ISO 26262 [1].Каталог эксплуатационных ситуаций формируется на основе комбинаторного перебора параметров окружающей среды, действий водителя и состояний самого автомобиля. Ключевая задача разработчика – обеспечить репрезентативность набора ситуаций, избегая как избыточности, так и пропусков потенциально опасных сочетаний факторов. Для этого используются классификационные схемы (таксономии), такие как PEGASUS [2], ASAM OpenX [3] или собственные разработки автопроизводителей. Структурирование каталога позволяет унифицировать требования к системам активной безопасности и автоматизированному вождению, создавая единый язык обмена данными между подразделениями разработки, испытательными полигонами и регуляторами.В связи с развитием полностью автоматизированных транспортных средств в ближайшем будущем необходимо решать новые задачи в области безопасности. В работе [4] представлена методология функционального анализа безопасности на основе сценариев в соответствии со стандартом ISO 26262 на примере автоматизированной системы парковки автомобилей (AVP).Ожидается, что автономные транспортные средства окажут значительное влияние на сферу транспорта и принесут существенные преимущества, но они также создают новые проблемы в плане обеспечения безопасности [5]. Анализ опасностей и рисков является неотъемлемой частью процесса разработки, обеспечивающего функциональную безопасность системы [6, 7]. Основной целью функциональной безопасности является борьба с отказами электронных и электрических компонентов, ведущих к травмам и жертвам водителя, пассажиров и других участников дорожного движения – создание отказобезопасного транспортного средства [7]. В статье [8] рассматривается анализ функциональной безопасности системы управления высокоавтоматизированными транспортными средствами. Рассмотрен метод извлечения набора сценариев движения, который после анализа позволит обеспечить безопасность дорожного движения, а также справиться с растущим трафиком.Взаимодействие требований, связанных со свойствами безопасности и защищенности, на примере автомобильных тормозных систем в статье [9] начинают с оценок рисков TARA (оценка угроз и рисков, ISO 21434) и HARA (Анализ опасностей и оценка рисков, ISO 26262).Автор статьи [10] формулирует набор правил, позволяющих сократить потенциально бесконечное множество кандидатов в опасные события до ограниченного количества, которое при этом остаётся достаточным для покрытия всех целей безопасности.Автор статьи [11] утверждает, что формальное заполнение шаблонов HARA без активного, осознанного выбора аналитиком опасных событий, сценариев и классификаций ASIL (уровень целостности автомобильной безопасности) приводит к системным ошибкам: либо к пропуску реальных опасностей, либо к необоснованно завышенным требованиям безопасности.Статья [12] посвящена исследованию конфликтов между требованиями безопасности (в двух смыслах: защита от взлома и защита от аварий) при проектировании современных автомобилей. Авторы показывают, что попытка сделать автомобиль более защищённым от хакеров может непреднамеренно сделать его менее безопасным для водителя и пассажиров, и наоборот. Все описанные выше разработки направлены на создание предсказуемо безопасных автономных систем в условиях неполной информации и растущей сложности.Работы [13, 14] направлены на улучшение традиционного метода анализа опасностей и оценки рисков (HARA) в первую очередь за счет изучения возможностей интеграции технологий машинного обучения при работе со сложными и неизвестными сценариями.Растущая сложность автомобильных систем требует выхода за рамки отдельных стандартов. Исследователи [15, 16] в этой группе работают над объединением требований разных нормативных документов (например, ISO 26262 по функциональной безопасности и ISO 21448). Совокупность рассмотренных работ формирует целостную картину перехода автомобильной промышленности к предсказуемо безопасным автономным системам. Ключевыми векторами развития являются:– формализация сценариев через таксономии и стандарты обмена данными;– интеграция требований функциональной безопасности, кибербезопасности и безопасности предполагаемой функциональности;– интеллектуализация анализа за счет методов машинного обучения для работы со сложными и неизвестными сценариями;– осознанная экспертиза – переход от формального заполнения шаблонов к активному, структурированному анализу с применением формальных правил.Это создает основу для разработки систем, способных функционировать в условиях неполной информации и растущей сложности дорожной среды. 2 Материалы и методы В контексте ISO 26262 каталог эксплуатационных ситуаций выступает исходным референтным хранилищем: для каждой выявленной функции системы инженер выбирает из каталога релевантные ситуации и оценивает в них тяжесть последствий потенциального отказа (Severity), контролируемость (Controllability) и вероятность возникновения (Exposure). Без формализованного каталога процесс анализа опасностей и оценки рисков (HARA) рискует стать субъективным, зависящим от опыта конкретного эксперта. Наличие каталога обеспечивает прослеживаемость требований к безопасности: каждая сформулированная цель обеспечения безопасности (safety goal) может быть явно привязана к конкретной записи в каталоге, что критически важно при сертификации и аудите.ISO 26262 делит процесс обеспечения безопасности на этапы, начиная с определения контекста эксплуатации и заканчивая верификацией и валидацией. Каталог эксплуатационных ситуаций служит основой для оценки потенциальных опасностей, определения требований к системе безопасности и разработки мер по их устранению.Основные функции каталога включают:систематизацию условий эксплуатации;выявление возможных сценариев взаимодействия пользователя с системой;определение границ допустимых условий эксплуатации;поддержку анализа опасных событий.Рассмотрим структуру каталога эксплуатационных ситуаций, он обычно включает следующие разделы:общие сведения о транспортном средстве и его эксплуатации;описание дорожных условий (погода, качество покрытия);описание условий движения (скорость, интенсивность трафика);взаимодействие водителя с системой (маневры, реакции);влияние внешних факторов (освещение, шум);особые ситуации (аварийные ситуации, неисправности).Каждый сценарий содержит параметры: описание ситуации, вероятностные оценки, потенциальные опасности.Создание каталога осуществляется на основе: анализа данных реальных дорожных условий; моделирования сценариев эксплуатации; использования статистических данных о ДТП и аварийных случаях; экспертных оценок инженеров по безопасности.Инструменты автоматизации включают системы сбора данных с датчиков автомобиля, системы мониторинга дорожной обстановки и базы данных аварийных случаев. 3 Результаты исследований Каталог эксплуатационных ситуаций служит основой для оценки вероятности возникновения различных воздействий на систему или безопасность транспортного средства. В процессе его формирования собираются и систематизируются сценарии реальной эксплуатации, учитываются условия дорожной обстановки, внешние факторы и возможные неисправности. На основе этой информации можно количественно оценить вероятность того, что определённое воздействие действительно произойдет в реальных условиях эксплуатации.Вероятность воздействия классифицируется классами вероятности от E0 до E4 (табл. 1).Для получения вероятности эксплуатационной ситуации необходимо знать вероятность возникновения дорожных ситуаций. Например, пассажирский транспорт ежедневно эксплуатируется на городских дорогах, чему соответствует вероятность нахождения на городской дороге – Е4, а проезд ж/д переезда – это редкое событие Е1. (табл.2). Таблица 1 – Вероятность воздействияОписаниеКлассE0E1E2E3E4ВероятностьНевероятноеОчень низкая вероятностьНизкаявероятностьСредняявероятностьВысокаявероятностьПо частотеНевероятноеРеже раза в годНесколько раз в годНесколько раз в месяцКаждый деньОт времениэксплуатации, %0 %0,01…0,1 %0,1…1 %1…10 %10 % и болееПо числовому коэффициенту ситуации00,0010,010,11 Таблица 2 – Примеры дорожных ситуаций для составления эксплуатационной ситуацииМестонахожденияГородская дорога (E4), туннель (E2), ж/д переезд (E1)Дорожные условияЛюбые дорожные условия (E4), уклон вниз (до 10 градусов) (E3), уклон вверх (до 10 градусов) (E3), гололедица (E2)Окружающая средаЛюбая температура (E4), 0 градусов Цельсия (E4), температура выше5 градусов Цельсия (E4), низкая (-40…0 градусов Цельсия) (E4)Дорожноедвижение и людиНе имеет значение (E4), водитель и пассажиры в салоне (E4), полный автобус (E4), посадка/высадка пассажиров на остановке (E4)Скоростьи динамика0 км/ч (E4), любая скорость (< 80 км/ч) (E4), выполнение поворота (руление) (E4), городская скорость (< 50 км/ч) (E4), задний ход (E2), любая скорость (E4), маневр у остановки общ. транспорта (E4), рекуперация (E4), ускорение (E4)ПрименениеобъектаНачало движения (E4), номинальный (рабочий) режим (E4), общее вождение (E4), перевозка пассажиров (E4), выполнение поворота на перекрестке (E3)Другие эксплуатационные ситуацииТС остановлено (E4), смена направления движения (E3), торможение (E4), движение по прямой (E4), движение назад (E2), торможение (E4), движение по подъему (E4), движение по спуску (E3), объезд препятствия (E2), особые ситуации: буксировка ТС (E1), ДТП (E1), отъезд от остановки общ. транспорта (E4), перестроение (E4), смена направления движения (E4), снижение скорости (E4), техническая неисправность (E1), ТС остановлено (E4) Для получения вероятности возникновения эксплуатационной ситуации, необходимо рассчитать итоговой параметр E для данной ситуации. Для этого необходимо перемножить соответствующие числовые коэффициенты дорожных ситуаций, например, для ситуации: городская дорога (E4), любая температура (E4), движение и люди не имеют значение (E4), режим работы: номинальный (E4), городская скорость (< 50 км/ч) (E4), выполнение поворота на перекрестке (E3), необходимо последовательно перемножить следующие коэффициенты,1 х 1 х 1 х 1 х 1 х 0,1 = 0,1, что соответствует E3. Примеры строк из каталога эксплуатационных ситуаций для пассажирских транспортных средств представлены в табл. 3. Каталог эксплуатационных ситуаций используется на этапах: идентификация потенциальных опасностей в различных сценариях; определение требований к безопасности: установление необходимых уровней полноты безопасности автомобиля для каждого сценария; разработка мер по снижению риска: проектирование систем защиты или предупреждений. Это обеспечивает системный подход к обеспечению безопасности на всех этапах жизненного цикла продукта. Таблица 3 – Примеры строк из каталога эксплуатационных ситуаций для пассажирских транспортных средствЭксплуатационная ситуацияИтоговая вероятность воздействияКомментарий по вероятности воздействияГородская дорога, любые дорожные условия,любая температура, водитель и пассажирыв салоне, любая скорость (<80 км/ч)E4Происходит во время каждой поездкиГородская дорога, любая температура, движение и люди не имеют значение, режим работы:номинальный, городская скорость (< 50 км/ч),выполнение поворота на перекресткеE3По продолжительности менее 10 %Туннель, любые дорожные условия, любая температура, дорожное движение и люди не имеютзначение, любая скоростьE2Протяженность туннелей менее 1 % дорогЖ/д переезд, любые дорожные условия, любая температура, дорожное движение и людине имеют значение, любая скорость (< 80 км/ч)E1По продолжительности менее 0,1 % В рамках анализа функциональной безопасности для пассажирских транспортных средств был разработан каталог эксплуатационных ситуаций. В табл. 4 представлена часть данного каталога. Таблица 4 – Пример анализа опасностей и оценки рисковОпасностьЭксплуатационная ситуация (резюме)Потенциальные последствияУправляемостьSECASIL12345678Потеряближнего света(с обеих сторон)Городская дорога, любые дорожные условия, любая температура, водитель и пассажиры в салоне, любая скорость (< 80 км/ч), происходит во время почти каждой поездкиАвтомобиль выезжает за пределы полосы движения и врезается в препятствие, что приводит к смертельным травмамВодитель прибегает к снижению скорости, другие участники движения проинформированы о торможении, ситуация легко контролируемаяS3E4C1BПотеряближнего света(с обеих сторон)Городская дорога, любые дорожные условия, любая температура, дорожное движение и люди не имеют значения,режим работы: номинальный, городская скорость (< 50 км/ч),по продолжительности менее 10 %Автомобиль выезжает за пределы полосы движения и врезается в препятствие, что приводит к смертельным травмамВодитель прибегает к снижению скорости, другие участники движения проинформированы о торможении, ситуация легко контролируемаяS3E3C1A Продолжение табл. 412345678Потеря стоп-сигнала(с обеих сторон)Туннель, любыедорожные условия, любая температура, дорожное движение и люди не имеют значения, общее вождение, любая скорость, очень низкая вероятность (протяженность туннелей менее 1 % дорог)Автомобиль выезжает запределы полосы движения и врезается в препятствие, что приводит к смертельным травмамВодитель прибегает к снижению скорости, другие участники движения проинформированы о торможении, ситуация легко контролируемаяS3E2C1QMПотеряближнего света (с обеих сторон)Ж/д переезд, любые дорожные условия, любая температура, дорожное движениеи люди не имеют значения, общее вождение, любая скорость (< 80 км/ч), по продолжительностименее 0,1 %Автомобиль выезжает за пределы полосы движения и врезается в препятствие, что приводит к смертельным травмамВодитель прибегает к снижению скорости, другие участники движения проинформированы о торможении, ситуация легко контролируемаяS3E1C1QM Как видно из анализа HARA, при идентичных параметрах тяжести последствий S и управляемости C параметр E значительно влияет на уровень целостности автомобильной безопасности ASIL. Поэтому важно обеспечить качественное наполнение каталога эксплуатационных ситуаций, чтобы обеспечить полную объективность анализа функциональной безопасности. 4 Обсуждение и заключение Современные автомобили оснащены сложными электронными системами, выполнение требований безопасности которых требует тщательного анализа условий эксплуатации. Стандарт ISO 26262 определяет процессы оценки и управления рисками, связанными с функциональной безопасностью. Каталог эксплуатационных ситуаций является неотъемлемой частью процесса обеспечения безопасности согласно стандарту ISO 26262. Его правильное формирование и применение позволяют систематически выявлять потенциальные опасности и разрабатывать меры по их устранению или снижению риска. В условиях развития технологий автоматизации сбора данных и моделирования сценариев ожидается дальнейшее совершенствование методов создания каталогов эксплуатационных ситуаций, что повысит уровень безопасности автомобильных систем.Формализованный каталог эксплуатационных ситуаций обеспечивает прослеживаемость требований к безопасности, объективность анализа HARA и является необходимой основой для сертификации и аудита при разработке систем, соответствующих требованиям ISO 26262.