رمزگشایی از ASIL: چگونه استاندارد ISO 26262 خرابی‌های الکترونیکی خودروهای مدرن را ارزیابی و کاهش می‌دهد

خودروسازان و شرکت‌های فناوری اغلب سیستم‌های پیشرفته کمک‌راننده را به عنوان سپرهای دیجیتالی بی‌عیب و نقص تبلیغ می‌کنند و وعده می‌دهند که هوش مصنوعی و ترکیب حسگرها خطای انسانی در جاده را از بین خواهند برد. اما استاندارد مهندسی بنیادی که واقعاً بر این قطعات حاکم است – ISO 26262 – بر اساس فرض کاملاً متضادی عمل می‌کند: این استاندارد فرض می‌کند که سیستم‌های الکترونیکی ناگزیر دچار نقص خواهند شد.[7]

برای خریداری که یک شاسی‌بلند برقی جدید را از نمایندگی بیرون می‌آورد، کلمات اختصاری انتزاعی پنهان در اسناد مهندسی خودرو، مرز بین یک ناراحتی جزئی و از دست دادن فاجعه‌بار کنترل هستند. وقتی مصرف‌کننده به سیستم حفظ خطوط یا ترمز سیمی اعتماد می‌کند، در واقع به چارچوب طبقه‌بندی ریسکی اعتماد می‌کند که دقیقاً تعیین می‌کند سازنده ملزم به تعبیه چه میزان افزونگی در سخت‌افزار بوده است.[7]

ISO 26262 که در ابتدا در سال ۲۰۱۱ منتشر شد و با ویرایش جامع دوم در سال ۲۰۱۸ به‌روزرسانی گردید، استاندارد بین‌المللی ایمنی عملکردی در خودروهای جاده‌ای است. این استاندارد به طور خاص در مورد سیستم‌های الکتریکی و الکترونیکی اعمال می‌شود و تضمین می‌کند که حتی در صورت نقص ریزپردازنده‌ها، حسگرها یا خطوط کد، این سیستم‌ها به طور ایمن عمل کنند.[3]

در هسته ISO 26262، سطح یکپارچگی ایمنی خودرو (ASIL) قرار دارد. ASIL یک طرح طبقه‌بندی ریسک سخت‌گیرانه است که سطح دقت مورد نیاز در طول توسعه، آزمایش و اعتبارسنجی یک قطعه خاص خودرو را تعیین می‌کند.[1]

مقیاس ASIL از A تا D متغیر است. ASIL A نشان‌دهنده کمترین درجه خطر خودرویی است، در حالی که ASIL D سخت‌گیرانه‌ترین سطح ایمنی حیاتی را دیکته می‌کند. قطعاتی که در صورت خرابی، خطر غیرمنطقی برای جان انسان‌ها ایجاد نمی‌کنند – مانند رادیوی کابین یا نورپردازی محیطی – به عنوان QM یا مدیریت کیفیت (Quality Management) تعیین می‌شوند، به این معنی که شیوه‌های مهندسی استاندارد برای آن‌ها کافی است.[2]

مهندسان رتبه ASIL یک قطعه را با ارزیابی سه متغیر متمایز در طول یک تحلیل رسمی خطر و ارزیابی ریسک (HARA) تعیین می‌کنند. متغیر اول شدت (Severity یا S) است که آسیب فیزیکی بالقوه به راننده، سرنشینان یا عابران پیاده را اندازه‌گیری می‌کند و از S1 برای آسیب‌های خفیف تا S3 برای آسیب‌های تهدیدکننده حیات یا مرگبار درجه‌بندی می‌شود.[1]

متغیر دوم مواجهه (Exposure یا E) است که میزان قرار گرفتن خودرو در شرایطی که خرابی می‌تواند باعث آسیب شود را کمی‌سازی می‌کند، از E1 برای سناریوهای بسیار نادر تا E4 برای شرایط رانندگی روزمره بسیار محتمل. متغیر نهایی قابلیت کنترل (Controllability یا C) است که احتمال اینکه یک راننده معمولی بتواند کنترل خودرو را در صورت بروز خرابی دوباره به دست آورد، ارزیابی می‌کند و از C1 برای قابل کنترل ساده تا C3 برای دشوار یا غیرممکن برای کنترل امتیازدهی می‌شود.[1]

برای استانداردسازی نحوه اعمال این متغیرها در سراسر صنعت جهانی، انجمن مهندسان خودرو (SAE) در سال ۲۰۱۵ استاندارد SAE J2980 را منتشر کرد. این دستورالعمل ملاحظات صریحی را برای طبقه‌بندی خطرات تحت چارچوب ISO 26262 ارائه می‌دهد و تضمین می‌کند که خرابی فرمان توسط یک خودروساز در دیترویت دقیقاً با همان شدت توسط یک تأمین‌کننده در اشتوتگارت درجه‌بندی شود.[6]

هنگامی که یک سیستم با رتبه ASIL D ارزیابی می‌شود – به این معنی که حداکثر امتیاز را در شدت، مواجهه و عدم قابلیت کنترل کسب می‌کند – الزامات مهندسی به طور تصاعدی سخت‌تر می‌شوند. شرکت Aptiv اشاره می‌کند که ASIL D برای سیستم‌های حیاتی مانند فرمان برقی و ترمزهای ضد قفل اعمال می‌شود، جایی که نقص در سرعت ۱۱۲ کیلومتر بر ساعت (۷۰ مایل بر ساعت) راننده را بدون هیچ پشتیبان مکانیکی فیزیکی برای جلوگیری از تصادف رها می‌کند.[2]

انتقال سریع به خودروهای برقی (EV) الزامات ASIL D کاملاً جدیدی را به زنجیره تأمین خودرو معرفی کرده است. Typhoon HIL خاطرنشان می‌کند که پیشرانه‌های خودروهای برقی باید مقادیر عظیمی از انرژی الکتریکی را مدیریت کنند؛ نقصی در اینورتر کششی می‌تواند باعث شتاب‌گیری ناخواسته یا از دست دادن ناگهانی و شدید گشتاور شود. برای برآورده کردن ASIL D، این سیستم‌ها به ریزکنترل‌کننده‌های افزونه و نظارت تشخیصی مداوم نیاز دارند که بتوانند نقص را شناسایی کرده و خودرو را ظرف چند میلی‌ثانیه به حالت ایمن وادار کنند.[5]

دستیابی به این سطوح ایمنی فقط به معنای افزودن سخت‌افزار پشتیبان نیست؛ بلکه نیازمند اعتبارسنجی جامع نرم‌افزاری است. Perforce Software تأکید می‌کند که ISO 26262 دستورالعمل‌های کدنویسی سخت‌گیرانه‌ای را برای جلوگیری از رفتار نرم‌افزاری غیرقابل پیش‌بینی الزامی می‌کند. هر خط کد در یک سیستم ASIL D باید قابل ردیابی به یک الزام ایمنی خاص و مستند باشد.[3]

از آنجایی که خودروهای مدرن حاوی ده‌ها میلیون خط کد هستند، تأیید دستی از نظر ریاضی غیرممکن است. LDRA برجسته می‌کند که ابزارهای تست خودکار برای دستیابی به انطباق ضروری هستند و به مهندسان اجازه می‌دهند تا تحلیل ایستا و تست دینامیک را انجام دهند تا ثابت کنند نرم‌افزار دقیقاً همانطور که در نظر گرفته شده است، تحت تمام شرایط نقص قابل تصور رفتار می‌کند.[4]

هیچ یک از استانداردهای مهندسی یا بررسی‌های فنی ذکر شده، مهندسان یا مدیران اجرایی را مستقیماً نقل قول نمی‌کنند، اما اجماع در سراسر مستندات مطلق است: افزونگی سخت‌افزاری باید از نظر ریاضی اثبات شود. با حرکت صنعت به سمت رانندگی خودران سطح ۴ و ۵، مفهوم قابلیت کنترل (C3) اساساً تغییر می‌کند. اگر فرمان یا راننده انسانی برای کنترل وجود نداشته باشد، معماری الکترونیکی خودرو باید ۱۰۰ درصد عملیات بازگشت به حالت ایمن را انجام دهد و تقریباً تمام سیستم‌های رانندگی را به رده ASIL D سوق دهد و خودروسازان را مجبور کند تا در مورد نحوه طراحی معماری‌های عملیاتی-ایمن (fail-operational) تجدید نظر کنند.[7]