UL多安全标准融合开发及流程管理工具（安全认证UL）

引言

随着自动驾驶传感器技术、高算力芯片等技术的快速发展，以及自动驾驶算法的不断优化和改进，越来越多的智能驾驶应用开始落地，自动驾驶汽车的出现让人们的出行变得更加轻松。新的出行和物流方式将让整个社会的运转更加经济和高效。然而，当资本和消费者为这些创新所带来的投资机会和美好生活兴奋不已的时候，智能驾驶安全事故也已成为行业要共同面对的挑战和难题。监管部门和产业界也深切意识到，所有的创新都要以“安全”为底线。相信随着更多应用的落地，安全问题也将越发受到生产厂商、监管机构和消费者的重视和关注。2021年的中国汽车工程学会年会上，李骏院士就提出了“安全是自动驾驶的第一优先级”的观点。

现在，车辆安全的范畴已经从传统车辆的主被动安全衍生到电子电气系统的功能安全、自动驾驶的预期功能安全、网联汽车的网络安全、软件定义汽车的软件安全等。因此，在看似越来越简单、高效、便捷的出行方式背后，以ISO 26262道路车辆功能安全、ISO 21448道路车辆预期功能安全、ISO 21434道路车辆网络工程、Automotive SPICE（简称A-SPICE，欧洲主要汽车制造商制定的面向汽车行业的流程评估模型）汽车软件过程改进及能力评定等为核心的安全架构和监管要求却变得越来越复杂。

2021年8月，工信部发布《关于加强智能网联汽车生产企业及产品准入管理的意见》，要求进一步加强对智能网联汽车的准入管理，其中也对安全管理提出了相关要求。例如，智能网联汽车产品应满足功能安全、预期功能安全和网络安全等过程保障要求。

02

新的挑战和机遇迎来新的标准

ISO 26262道路车辆功能安全系列标准最早发布于2011年，目前已经于2018年发布第二版本。该系列标准是在汽车行业被广为人知的安全设计标准，主要关注汽车电子电气(E/E)系统功能异常所导致的危害和风险。

在自动驾驶车辆开发流程中，除了功能安全（ISO 26262）之外，预期功能安全性（ISO 21448）也已成为不可或缺的重要标准。

1. 预期功能安全性（SOTIF）ISO 21448

美国交通部（DOT）的“联邦自动化车辆政策”中使用了SAE J3016将道路机动车辆驾驶自动化划分为六级。这是一个被业内广泛接受的标准，用于定义汽车行业实施的自主等级。

自动驾驶等级

那么，SOTIF框架有什么作用呢？ISO 26262包含先进的框架和方法，用于降低E/E故障造成的危害风险。不过，ISO 26262并未涉及E/E系统的标称性能。虽然ISO 26262的实施必不可少，但并不足以确保ADAS和自动驾驶车辆的安全功能，因此需要一个框架来解决以下问题：

• 标称性能/性能限制

• 复杂的环境

• 可预见的误用和驾驶员疏忽

这就是ISO 21448的作用。所谓SOTIF是指不存在由于预期功能的功能不足而导致危险所造成的不合理风险。它解决了在没有ISO 26262中所定义故障的系统中，由于预期功能的限制而造成的危害。预期功能的安全问题可能与几方面有关：系统和零部件的性能局限性、复杂多变的交通环境以及不清晰的人机交互等。

ISO 21448中的SOTIF主要活动

2. 自动驾驶安全评估标准UL 4600 The Standard for Evaluation of Autonomous Products

ISO 26262规定了“安全相关E/E系统的故障行为可能造成的危害，包括这些系统的相互作用”。ISO 21448则指出：“由于预期行为的功能不足或可合理预见的人员误用而导致的危害，不存在不合理的风险”。而UL 4600旨在解决“自主驾驶产品评估的安全原则和流程”问题。

安全标准概览

通过UL 4600实现更安全的自主性的意图和关键原则包括：

• 使用基于目标的方法，规定创建安全案例时必须解决的主题；

• 该标准不会强制要求在创建系统时使用任何特定技术，并进一步提高设计过程的灵活性；

• 解决传统安全实践所需的变化，以适应自主性，例如缺少采取故障缓解措施的人工操作员。

标准所涉及的主题，包括：安全档案的完整性、危害和风险缓解、数据完整性、自动驾驶模块系统设计、人机交互（适用于非驾驶员）、指标和合规性评估等内容。

3. 信息安全标准ISO/SAE 21434

国际标准化组织（ISO）/美国汽车工程师学会（SAE）于2021年联合起草发布了“ISO / SAE DIS 21434道路车辆-汽车网络安全工程”国际规范。从汽车行业的角度来看，该标准就产品开发和整个供应链网络安全设计方面达成了共识。这套标准（ISO/SAE 21434）的目的主要有三个，分别是：

• 确定一个结构化的流程，以确保信息安全设计；

• 实现降低攻击成功的可能性，减少损失；

• 提供清晰的方法，以帮助车企应对全球行业共同面对的信息安全威胁。

该标准没有给出信息安全技术、解决方案或补救措施的具体内容，也没有给出对自动车辆或道路基础设施的特殊要求，但是鼓励采取以风险为导向的方法来确定行动的优先次序。

ISO/SAE 21434标准框架

03

多安全标准融合开发

那么，作为智能网联汽车生产企业，如何用一套行之有效的开发流程满足各种安全标准的要求也已成为行业的热门话题，即 —— 多安全标准融合开发。

谈到融合开发，主要有两大方面的融合可以考虑：第一是方法论的融合，如何用一个安全活动覆盖多标准的要求；第二是流程的融合，如何用一套开发流程保障所有的安全活动都能被及时正确地执行。

从方法论融合的角度看，无论是功能安全、预期功能安全还是信息安全，都是系统安全的一部分，它们也都是一种基于危险的安全工程（Hazard-based Safety Engineering）。它们都是始于风险分析，再使用系统性的方法根据识别出来的风险有针对性地制定相应的安全措施，再将安全措施转换为各层级可实现的安全需求落实到产品设计中，以降低相关风险。之后，再使用各种特定的验证与确认的方法，以验证安全措施的有效性、覆盖率，以及确认相关产品的残余风险已经低于合理可接受的水平。

从流程融合的角度看，所有的安全工程都必须依托于良好的流程去实现和执行，各个安全活动需要的输入、使用的方法、工具、相关的责任人以及活动的输出物都需要进行完整定义。同时，成熟的需求管理、变更管理、配置管理等也都是保障所有安全需求和安全活动追溯性的重要前提。所以，成熟的多标准融合开发流程是所有安全工程和安全活动能够有效执行的重要基石。

更多详情，欢迎参加文末的网络研讨会并联系我们分享讲义材料。

04

如何打破纸上谈兵？

有了标准，是不是就不需要专业知识呢？答案是否定的，因为产品开发流程越来越复杂，会多重映射到多个标准框架，需要以工作标准来驱动一致性，以解决重叠的标准框架、法规可能重叠或存在冲突，以及标准不断演进的问题。另外，为满足特定框架及其实践而建模/设计的流程可能出现隔绝（silos）问题：很难看到人们是如何工作的、创新可能会受限、不同职能部门、业务部门和地点的流程差异也会使合规管理遇到挑战。

作为专业的工程流程管理工具，UL的Stages（来自Method Park by UL）利用经过验证的流程在后台管理标准框架，有助于管理这种复杂性。

开发流程多重映射到多个标准框架

面对激烈的市场竞争，开发新产品的复杂性急剧上升，产品开发流程（PDP）的转型和创新势在必行，虽然一些公司仍然在文档中描述其产品开发流程，但先进的公司已通过基于模型的产品开发流程取得了显著改进。

要控制复杂性，简化产品开发流程，摆脱纸上谈兵，有没有一种能像乐高积木那样易于组合搭建的工程流程管理工具呢？答案就是Stages。

在流程管理工具景观中，Stages恰恰起到了承上启下的重要作用，也充分体现了UL对于汽车安全的助力。

流程管理工具

2001年到2010年，Stages的客户一直在稳定增长，首批用户有德国OEM，也有美国OEM；2010年到现在，Stages全球客户呈指数增长，涵盖欧洲、北美、中国、日本和韩国的领先OEM和Tier-1，领域包括汽车、航空航天和医疗设备，也包括电池制造商。

Stages全球客户

截至2021年，Stages全球客户数量已超过150家，Stages用户达到35万。

Stages概念

作为先进的工程流程管理工具，Stages的效益囊括了时间、成本和质量，有助于缩短产品上市时间，提高业务灵活性，加快工程师工艺验收，同时降低开发间接成本，使开发产品的质量更高。

Stages的效益

05

UL为安全世界而生

从2018年开始，UL联合相关科研机构和自动驾驶企业开始撰写UL 4600标准，2020年初正式发布。该标准是第一部专门针对自动驾驶的安全评估标准，旨在为高度自动驾驶设计提供完整的安全评估原则和安全评估体系。标准包含危害分析和风险评估、安全设计流程、测试、自动驾驶验证、数据完整性等相关内容，以解决基于机器学习（ML）和人工智能（AI）的自动驾驶的安全性问题。

全球安全科学专家

作为IEC 61508（IEC/TC 65/SC65A）和ISO26262/21448（ISO/TC22/SC32）标准委员会成员单位，UL在功能安全领域的合作伙伴来自所有行业，包括汽车、机器人、能源设施、轨道交通、家用电器等。UL至今已为500多家公司提供了功能安全服务。在汽车领域，UL致力于为客户提供功能安全和自动驾驶安全的一站式解决方案。

UL制定了十余部电动汽车电池、充电系统、信息安全和无人驾驶相关标准；同时提供培训、评估和认证服务，助力客户保护品牌声誉、提供质量和性能、确认合规性、展示安全性、增强可持续性、加强安全性。

2019年6月UL收购了专注汽车功能安全和自动驾驶安全的技术的美国管理咨询公司kVA，开启了汽车安全服务领域的新征程，也为UL赋予了汽车功能安全开发方面的项目经验。kVA在汽车行业的标准、流程和功能安全方面拥有超过60人的专家团队及数十年实践经验、资源和技术储备，覆盖自动驾驶、ADAS、动力总成、转向与底盘、车身与内饰、新能源和半导体等领域，客户资源涵盖全球知名汽车制造商、零部件供应商和新型自动驾驶汽车技术开发商。

至此，UL将自己的业务范围扩大至功能安全及自动驾驶安全领域，为广大客户提供基于ISO26262、ISO21448及UL 4600等标准的安全评估服务，涵盖认证、测试、审计和检查、验证、学习和开发、咨询、软件和数据洞察。

kVA by UL部分项目经验和服务

kVA by UL的理念是，作为安全专家不仅要有流程知识，还要具备产品知识。UL提供的功能安全并非单纯流程，而是通过丰富的咨询经验、资源和技术储备为客户提供具备工程价值的咨询。尤其是本土化咨询专家 全球专家网络，更能迅速响应客户需求，获得了自动驾驶领军企业的认可。

2021年7月，UL又收购了德国公司Method Park，其产品组合包括复杂的、基于流程的产品工程、软件解决方案、培训和咨询服务，专注于汽车、医疗和航空航天行业的安全关键方面。作为全球安全科学专家UL的一部分，Method Park by UL与客户合作，推动创新安全、业务转型及遵守监管和行业特定质量标准。通过Method Park by UL专有的Stages流程管理工具，UL帮助客户定义、实施和监控开发和业务流程，提高创新安全性、推进业务转型和监管与标准合规性。