Национальный стандарт РФ ГОСТ Р ИСО 26262-2-2020 "Дорожные транспортные средства. Функциональная безопасность. Часть 2. Менеджмент функциональной безопасности" (утв. и введен в действие приказом Федерального агентства по техническому регулированию и метрологии от 15 октября 2020 г. N 851-ст)

Национальный стандарт РФ ГОСТ Р ИСО 26262-2-2020
"Дорожные транспортные средства. Функциональная безопасность. Часть 2. Менеджмент функциональной безопасности"
(утв. и введен в действие приказом Федерального агентства по техническому регулированию и метрологии от 15 октября 2020 г. N 851-ст)

Road vehicles. Functional safety. Part 2. Management of functional safety

ОКС 43.040.10

Дата введения - 1 июня 2021 г.
Взамен ГОСТ Р ИСО 26262-2-2014

Предисловие

1 Подготовлен Федеральным государственным унитарным предприятием "Российский научно-технический центр информации по стандартизации, метрологии и оценке соответствия (ФГУП "СТАНДАРТИНФОРМ") совместно с Обществом с ограниченной ответственностью "Корпоративные электронные системы" на основе собственного перевода на русский язык англоязычной версии стандарта, указанного в пункте 4

2 Внесен Техническим комитетом по стандартизации ТК 058 "Функциональная безопасность"

3 Утвержден и введен в действие Приказом Федерального агентства по техническому регулированию и метрологии от 15 октября 2020 г. N 851-ст

4 Настоящий стандарт идентичен международному стандарту ИСО 26262-2:2018 "Дорожные транспортные средства. Функциональная безопасность. Часть 2. Менеджмент функциональной безопасности" (ISO 26262-2:2018 "Road vehicles - Functional safety - Part 2: Management of functional safety", IDT).

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты, сведения о которых приведены в дополнительном приложении ДА

5 Взамен ГОСТ Р ИСО 26262-2-2014

Введение

Комплекс стандартов ИСО 26262 является адаптацией комплекса стандартов МЭК 61508 и предназначен для применения электрических и/или электронных (далее - Э/Э) систем в дорожных транспортных средствах.

Данная адаптация распространяется на все виды деятельности в процессе жизненного цикла систем, связанных с безопасностью, включающих электрические, электронные и программные компоненты.

Безопасность является одним из приоритетов современного автомобилестроения. Расширение числа функциональных возможностей транспортных средств вызывает необходимость использования методологии функциональной безопасности и подтверждения достижения целей функциональной безопасности.

С ростом сложности технологий, программного обеспечения и мехатронных устройств увеличиваются риски, связанные с систематическими и случайными отказами аппаратных средств, рассматриваемыми в рамках функциональной безопасности. Комплекс стандартов ИСО 26262 является руководством по снижению этих рисков, в которое включены соответствующие требования и процессы.

Для достижения функциональной безопасности комплекс стандартов ИСО 26262 устанавливает:

a) жизненный цикл системы безопасности транспортного средства и включает перечень действий для стадий этого жизненного цикла (разработка, производство, эксплуатация, обслуживание, вывод из эксплуатации);

b) подход, основанный на оценке риска, разработанный специально для автотранспорта для определения уровней полноты безопасности [уровни полноты безопасности транспортного средства (УПБТС)];

c) использование значения УПБТС для спецификации требований комплекса стандартов ИСО 26262 с целью предотвращения неоправданного остаточного риска;

d) требования к мерам по выполнению менеджмента функциональной безопасности, проектирования, реализации, верификации, валидации, а также к мерам их подтверждения;

e) требования к взаимодействию между заказчиками и поставщиками.

Комплекс стандартов ИСО 26262 рассматривает функциональную безопасность Э/Э систем, которая достигается с помощью мер по обеспечению безопасности, включая механизмы обеспечения безопасности. Однако он также обеспечивает подход, в рамках которого можно использовать связанные с безопасностью системы, реализуемые на других технологиях (например, механических, гидравлических и пневматических).

На достижение функциональной безопасности влияют процессы разработки (в том числе спецификация требований, проектирование, реализация, интеграция, верификация, валидация и управление конфигурацией), процессы производства и обслуживания, а также процессы управления.

Вопросы безопасности тесно связаны с опытно-конструкторскими работами, реализующими функционал и обеспечивающими качество создаваемых изделий, а также с результатами таких работ. Настоящий стандарт рассматривает связанные с безопасностью проблемы, касающиеся опытно-конструкторских работ и их результатов.

На рисунке 1 показана общая структура комплекса стандартов ИСО 26262. В нем для различных стадий разработки изделия используется эталонная V-модель процесса. На рисунке 1:

- заштрихованная область в виде символа "V" представляет взаимосвязь между ИСО 26262-3, ИСО 26262-4, ИСО 26262-5, ИСО 26262-6 и ИСО 26262-7;

- для мотоциклов:

ИСО 26262-12:2018, раздел 8, соответствует требованиям ИСО 26262-3;

ИСО 26262-12:2018, разделы 8 и 10, соответствуют требованиям ИСО 26262-4;

- ссылки на конкретную информацию даны в виде: "m-n", где "m" представляет собой номер части настоящего стандарта, а "n" указывает на номер раздела этой части.

Пример - 2-6 ссылается на раздел 6 ИСО 26262-2.

Рисунок 1 - Общая структура ИСО 26262

1 Область применения

Настоящий стандарт применяется к системам, связанным с безопасностью, включающим в себя одну или несколько Э/Э систем, которые установлены в серийно производимые дорожные транспортные средства, исключая мопеды. Настоящий стандарт не применяется для уникальных Э/Э систем транспортных средств специального назначения, таких как Э/Э системы, предназначенные для водителей с ограниченными возможностями.

Примечание - Существуют другие стандарты по безопасности для специального применения, которые могут дополнить комплекс стандартов ИСО 26262 либо включают комплекс стандартов ИСО 26262.

Системы и их компоненты, находящиеся в производстве или на стадии разработки до даты публикации настоящего стандарта, не входят в его область применения. Настоящий стандарт распространяется на изменения к существующим системам и их компонентам, запущенным в производство до публикации настоящего документа, корректируя жизненный цикл системы безопасности в зависимости от конкретного изменения. Настоящий стандарт распространяется на интеграцию существующих систем, разработанных не в соответствии с настоящим стандартом, и систем, разработанных в соответствии с настоящим стандартом, при корректировке жизненного цикла системы безопасности.

Настоящий стандарт рассматривает возможные опасности, вызванные некорректным функционированием Э/Э систем, связанных с безопасностью, а также некорректным взаимодействием этих систем. Настоящий стандарт не рассматривает опасности, связанные с поражением электрическим током, возгоранием, задымлением, перегревом, излучением, токсичностью, воспламеняемостью, химической активностью, коррозией и подобными опасностями, если они непосредственно не вызваны некорректным функционированием Э/Э систем, связанных с безопасностью.

Настоящий стандарт описывает методологию функциональной безопасности, обеспечивающую разработку Э/Э систем, связанных с безопасностью. Эта методология предназначена для интеграции действий по функциональной безопасности в определенную для компании дисциплину разработки. Некоторые требования имеют ясную техническую направленность на обеспечение функциональной безопасности изделия; другие связаны с процессом разработки и поэтому могут рассматриваться как требования к процессу, чтобы продемонстрировать способность организации реализовать методологию функциональной безопасности.

Настоящий стандарт не рассматривает номинальные характеристики Э/Э систем.

Настоящий стандарт устанавливает требования к менеджменту функциональной безопасности для применения к автомобильным транспортным средствам, в том числе следующие:

- независимые от проекта требования к участвующим организациям (менеджмент функциональной безопасности в целом) и

- связанные с проектом требования к управлению действиями в процессе жизненного цикла системы безопасности, т.е. менеджмент на стадиях формирования концепции и разработки изделия (на уровнях системы, аппаратных средств и программного обеспечения), а также производства, эксплуатации, обслуживания и вывода из эксплуатации.

В приложении А представлен обзор целей, предпосылок и результатов работы, рассмотренных в настоящем стандарте.

2 Нормативные ссылки

В настоящем стандарте использованы нормативные ссылки на следующие международные стандарты. Для датированных ссылок применяют только указанное издание ссылочного стандарта, для недатированных - последнее издание (включая все изменения к нему):

ISO 26262-1:2018, Road vehicles - Functional safety - Part 1: Vocabulary (Дорожные транспортные средства. Функциональная безопасность. Часть 1. Словарь)

ISO 26262-3:2018, Road vehicles - Functional safety - Part 3: Concept phase (Дорожные транспортные средства. Функциональная безопасность. Часть 3. Стадия формирования концепции)

ISO 26262-4:2018, Road vehicles - Functional safety - Part 4: Product development at the system level (Дорожные транспортные средства. Функциональная безопасность. Часть 4. Разработка изделия на уровне системы)

ISO 26262-5:2018, Road vehicles - Functional safety - Part 5: Product development at the hardware level (Дорожные транспортные средства. Функциональная безопасность. Часть 5. Разработка технических средств изделия)

ISO 26262-6:2018, Road vehicles - Functional safety - Part 6: Product development at the software level (Дорожные транспортные средства. Функциональная безопасность. Часть 6. Разработка программного обеспечения изделия)

ISO 26262-7:2018, Road vehicles - Functional safety - Part 7: Production, operation, service and decommissioning (Дорожные транспортные средства. Функциональная безопасность. Часть 7. Производство, эксплуатация, обслуживание и вывод из эксплуатации)

ISO 26262-8:2018, Road vehicles - Functional safety - Part 8: Supporting processes (Дорожные транспортные средства. Функциональная безопасность. Часть 8. Вспомогательные процессы)

ISO 26262-9:2018, Road vehicles - Functional safety - Part 9: Automotive safety integrity level (ASIL)-oriented and safety-oriented analyses (Дорожные транспортные средства. Функциональная безопасность. Часть 9. Анализ уровня полноты безопасности транспортного средства и анализ безопасности транспортного средства)

3 Термины и определения

В настоящем стандарте применены термины по ИСО 26262-1.

ИСО и МЭК для применения в стандартизации поддерживают терминологические базы данных:

- IEC Electropedia: доступна по адресу: http://www.electropedia.org/;

- ИСО онлайн-платформа: доступна по адресу: https://www.iso.org/obp.

4 Требования соответствия настоящему стандарту

4.1 Цель

Настоящий раздел описывает, как:

a) достигнуть соответствия с требованиями комплекса стандартов ИСО 26262;

b) интерпретировать таблицы, используемые в комплексе стандартов ИСО 26262;

c) интерпретировать применимость каждого раздела в зависимости от соответствующего значения УПБТС.

4.2 Общие требования

Для соответствия комплексу стандартов ИСО 26262 должно быть выполнено каждое его требование, если для этого требования не выполняется одно из следующих условий:

a) в соответствии с настоящим стандартом предусмотрена корректировка действий по обеспечению безопасности, поэтому данное требование не применяется,

b) существует обоснование того, что несоблюдение данного требования допустимо, а также показано соответствие этого обоснования настоящему стандарту.

Справочная информация, включая примечания и примеры, должна использоваться только для понимания или для уточнения соответствующего требования и не должна толковаться как самостоятельное требование или быть для него полной или исчерпывающей.

Результаты действий по обеспечению безопасности представлены как результаты работы. В пунктах "Предварительные требования" перечисляется информация, которая должна быть доступна как результат работы предыдущей стадии. Так как некоторые требования разделов настоящего стандарта зависят от УПБТС или могут быть скорректированы, то некоторые результаты работы в качестве предварительных условий могут не понадобиться.

В пунктах "Дополнительная информация" содержится информация, которую можно учитывать, но в некоторых случаях настоящий стандарт не требует, чтобы она была результатом работы предыдущей стадии. Такая информация может быть доступна из внешних источников, от лиц или организаций, которые не несут ответственность за деятельность по обеспечению функциональной безопасности.

4.3 Интерпретация таблиц

В настоящем стандарте использованы нормативные или справочные таблицы в зависимости от их контекста. Перечисленные в таблице различные методы вносят вклад в уровень уверенности в достижении соответствия рассматриваемому требованию. Каждый метод в таблице включен либо:

а) в последовательный список методов (он обозначен порядковым номером в левой колонке, например 1, 2, 3), или

б) альтернативный список методов (он обозначен номером с последующей буквой в левом столбце, например 2а, 2б, 2в).

В случае последовательного списка для соответствующих значений УПБТС должны применяться все "наиболее рекомендуемые" и "рекомендуемые" методы. Допускается замена "наиболее рекомендуемого" или "рекомендуемого" метода другим, не перечисленным в таблице методом, но в этом случае должно быть дано обоснование, почему он удовлетворяет соответствующему требованию. Если может быть обосновано, что для удовлетворения соответствующему требованию не выбираются никакие методы, то в дальнейшем обоснование пропущенных методов не выполняется.

В случае альтернативного списка должна применяться подходящая комбинация методов в соответствии с указанным значением УПБТС независимо от того, перечислены в таблице эти комбинации или нет. Если перечисленные методы имеют разные степени рекомендуемости их применения для некоторого значения УПБТС, то следует отдать предпочтение методам с более высокой степенью рекомендуемости. Должно быть дано обоснование, что выбранная комбинация методов или даже отдельный выбранный метод выполняет соответствующее требование.

Примечание - Обоснование, основанное на методах, перечисленных в таблице, является достаточным. Но это не означает, что существует какое-то предубеждение за или против применения методов, не перечисленных в таблице.

Для каждого метода степень рекомендуемости его применения зависит от значения УПБТС и классифицируется следующим образом:

- "+ +" означает, что метод наиболее рекомендован для определенного значения УПБТС;

- "+" означает, что метод рекомендуется для определенного значения УПБТС;

- "О" означает, что метод не имеет рекомендации за или против его применения для определенного значения УПБТС.

4.4 Требования и рекомендации, зависимые от значения УПБТС

Требования или рекомендации каждого подраздела должны соблюдаться для значений УПБТС А, В, С и D, если не указано иное. Эти требования и рекомендации связаны со значениями УПБТС цели безопасности. Если в соответствии с требованиями раздела 5 ИСО 26262-9 декомпозиция УПБТС была выполнена на более ранней стадии разработки, то должны соблюдаться значения УПБТС, полученные в результате декомпозиции.

Если в настоящем стандарте значение УПБТС дается в круглых скобках, то соответствующий подпункт должен рассматриваться как рекомендация, а не требование для этого значения УПБТС. Это не касается скобочных записей, относящихся к декомпозиции УПБТС.

4.5 Адаптация к мотоциклам

Для устройств или элементов мотоциклов, для которых применимы требования ИСО 26262-12, эти требования могут быть использованы вместо соответствующих требований в настоящем стандарте. Требования настоящего стандарта, которые заменяются требованиями ИСО 26262-12, определены в ИСО 26262-12.

4.6 Адаптация к грузовым транспортным средствам, автобусам, прицепам и полуприцепам

На принадлежность содержания, предназначенного конкретно для грузовых транспортных средств, автобусов, прицепов и полуприцепов (Т&В), соответственно указано.

5 Менеджмент функциональной безопасности в целом

5.1 Цели

Назначение настоящего раздела состоит в том, чтобы гарантировать, что организации, участвующие в реализации жизненного цикла системы безопасности, т.е. несущие ответственность за жизненный цикл системы безопасности или выполняющие мероприятия по обеспечению безопасности на различных стадиях жизненного цикла системы безопасности, достигают следующих целей:

a) установить и поддерживать культуру безопасности, которая обеспечивает и содействует эффективному достижению функциональной безопасности и способствует эффективному взаимодействию с другими дисциплинами, связанными с функциональной безопасностью;

b) установить и поддерживать соответствующие определенные для организации правила и процессы для реализации функциональной безопасности;

c) установить и поддержать процессы, гарантирующие адекватное разрешение выявленных нарушений безопасности;

d) установить и поддерживать систему управления компетентностью, чтобы гарантировать соответствие компетентности участвующих лиц их обязанностям;

e) установить и поддерживать систему менеджмента качества для обеспечения функциональной безопасности.

Полученная в соответствии с настоящим разделом информация служит в качестве предварительных требований к действиям, выполняемым на различных стадиях жизненного цикла системы безопасности.

5.2 Общие положения

5.2.1 Краткое описание жизненного цикла системы безопасности

Представленный в комплексе стандартов ИСО 26262 жизненный цикл системы безопасности включает в себя основные мероприятия по обеспечению безопасности на стадиях формирования концепции, разработки, производства, эксплуатации, обслуживания и вывода из эксплуатации. Планирование, координация и контроль выполнения действий по обеспечению безопасности, а также ответственность за выполнение этих действий, гарантирующих, что меры подтверждения выполнены, являются ключевыми задачами менеджмента и выполняются на протяжении всего жизненного цикла. Такой жизненный цикл системы безопасности может быть скорректирован (см. раздел 6).

Примечания

1 Действия по обеспечению безопасности на стадиях формирования концепции, разработки, производства, эксплуатации, обслуживания и вывода из эксплуатации изделия подробно описаны в ИСО 26262-3, ИСО 26262-4, ИСО 26262-5, ИСО 26262-6 и ИСО 26262-7.

2 Таблица А.1 содержит обзор целей, предварительных требований и результатов работы при реализации менеджмента функциональной безопасности.

Рисунок 2 иллюстрирует действия менеджмента на протяжении жизненного цикла системы безопасности.

вне устройства;

в устройстве

Примечания

На рисунке конкретные разделы каждой части настоящего стандарта указаны следующим образом: "m-n", где "m" представляет собой номер части настоящего стандарта, а "n" указывает на номер ее раздела, например 3-6 представляет раздел 6 ИСО 26262-3:2018.

2 ¹⁾ Подстадия разработки изделия на уровне системы показана в ИСО 26262-4:2018, рисунок 2.

3 ²⁾ Подстадия разработки изделия на уровне аппаратных средств показана в ИСО 26262-5:2018, рисунок 2.

4 ³⁾ Подстадия разработки изделия на уровне программного обеспечения показана в ИСО 26262-6:2018, рисунок 2.

Рисунок 2 - Действия менеджмента на протяжении жизненного цикла системы безопасности

5.2.2 Пояснения к жизненному циклу системы безопасности

5.2.2.1 Общие положения

Настоящий стандарт устанавливает требования для конкретных стадий и подстадий жизненного цикла системы безопасности, а также включает в себя требования, которые применяются к нескольким или ко всем стадиям жизненного цикла систем безопасности, такие как требования к менеджменту функциональной безопасности.

Основными задачами менеджмента являются планирование, координация и отслеживание деятельности, связанной с функциональной безопасностью. Эти задачи менеджмента распространяются на все стадии жизненного цикла системы безопасности. В настоящем стандарте приведены требования к менеджменту функциональной безопасности, которые можно разделить на:

- общее управление безопасностью (см. настоящий раздел);

- зависящий от проекта менеджмент системы безопасности на стадии формирования концепции и на стадиях разработки изделия на уровне системы, аппаратных средств и программного обеспечения (см. раздел 6);

- менеджмент системы безопасности на стадиях производства, эксплуатации, обслуживания и вывода из эксплуатации (см. раздел 7).

Планирование мероприятий по обеспечению безопасности в процессе разработки начинается на стадии разработки концепции и при необходимости уточняется на стадиях разработки изделия (на уровнях системы, аппаратных средств и программного обеспечения) до принятия решения о выпуске устройства или элемента в производство. Планирование мероприятий по обеспечению безопасности на стадиях производства, эксплуатации, обслуживания и вывода из эксплуатации начинается в ходе разработки изделия на уровне системы.

В 5.2.2.2 даны определения различных стадий и подстадий жизненного цикла системы безопасности. Другие ключевые понятия, рассматриваемые в рамках жизненного цикла системы безопасности, объясняются в 5.2.2.3.

5.2.2.2 Стадии и подстадии жизненного цикла системы безопасности

a) Определение устройства (подстадия стадии формирования концепции)

Для формирования жизненного цикла устройства обеспечения безопасности необходимо разработать описание этого устройства, включающее его функциональность, интерфейсы, внешние условия, правовые требования, известные вредные воздействия и т.д. Кроме того, определяются основные размеры устройства и его крепление, а также характеристики, связанные с другими устройствами, элементами или внешними мерами (см. раздел 5 ГОСТ Р ИСО 26262-3).

b) Анализ опасностей и оценка риска (подстадия стадии формирования концепции)

Анализ опасностей и оценка риска выполняется в соответствии с ГОСТ Р ИСО 26262-3, раздел 6. Вначале с помощью метода анализа опасностей и оценки рисков оценивают вероятность воздействия, управляемость и тяжесть последствий опасных событий для устройства. В совокупности эти параметры определяют значения УПБТС опасных событий. Затем с помощью метода анализа опасностей и оценки рисков определяют цели безопасности для устройства, которые становятся для него требованиями безопасности верхнего уровня. Определенные для опасных событий значения УПБТС назначаются соответствующим целям безопасности. При этом допущения, связанные с поведением человека, включая управляемость и реакцию человека, обосновываются при анализе опасностей и оценке рисков при формировании концепции функциональной безопасности и концепции технической безопасности, а также обосновываются технические допущения, важные для классификации УПБТС (см. разделы 6 и 7 ГОСТ Р ИСО 26262-3 и раздел 8 ИСО 262624).

На последующих стадиях и подстадиях на основе целей безопасности получают детальные требования безопасности. Требование безопасности наследует значение УПБТС соответствующей цели безопасности или получает значение УПБТС в результате декомпозиции при выполнении декомпозиции требований с уточнением УПБТС (см. раздел 5 ИСО 26262-9).

c) Концепция функциональной безопасности (подстадия стадии формирования концепции)

На основе целей безопасности разрабатывается концепция функциональной безопасности (см. раздел 7 ГОСТ Р ИСО 26262-3) с учетом рассмотрения предварительных предположений об архитектуре. Концепция функциональной безопасности формируется при получении требований функциональной безопасности из целей безопасности и при распределении этих требований функциональной безопасности элементам устройства. Концепция функциональной безопасности может также рассматривать устройства, выполненные на основе других технологий, или основываться на внешних мерах (см. раздел 7 ГОСТ Р ИСО 26262-3). В таких случаях соответствующие допущения или ожидаемое функционирование проходят валидацию (см. раздел 8 ИСО 26262-4). Реализация устройств, выполненных на основе других технологий, не входит в область применения настоящего стандарта, а осуществление внешних мер не входит в область применения разработки устройства.

d) Стадия разработки изделия на уровне системы

Как указано в ИСО 26262-4, после появления концепции функциональной безопасности устройство разрабатывается на уровне системы. Процесс разработки системы основан на концепции V-модели, в которой спецификация требований технической безопасности, разработка архитектуры системы, разработка и реализация системы принадлежат левой ветви V-модели, а интеграция, верификация и валидация - правой ветви V-модели.

На данной стадии также специфицируется аппаратно-программный интерфейс. Интерфейсы между аппаратными средствами и программным обеспечением обновляются во время разработки аппаратных средств и программного обеспечения.

На рисунке 2 ИСО 26262-4 представлен обзор подстадий разработки системы.

Разработка системы включает в себя задачи валидации безопасности действий, выполняемых на других стадиях жизненного цикла системы безопасности, в том числе:

- технических допущений, важных для классификации УПБТС;

- валидации допущений о поведении человека, включая управляемость и реакцию человека;

- валидации аспектов концепции функциональной безопасности, которые реализуются на основе других технологий;

- валидации допущений об эффективности и производительности внешних мер.

e) Разработка изделия на уровне аппаратных средств

На основании спецификации проектирования системы разрабатываются аппаратные средства (см. ИСО 26262-5). Процесс разработки аппаратных средств основан на концепции V-модели, в которой спецификация требований к аппаратным средствам, проектирование аппаратных средств и их реализация принадлежат левой ветви V-модели, а интеграция аппаратных средств и их верификация - правой ветви V-модели.

На рисунке 2 ИСО 26262-5 представлен обзор подстадий разработки аппаратных средств.

f) Разработка изделия на уровне программного обеспечения

Программное обеспечение разрабатывается на основании спецификации проектирования системы (см. ИСО 26262-6). Процесс разработки программного обеспечения основан на концепции V-модели, в которой спецификация требований к программному обеспечению, а также проектирование и реализация архитектуры программного обеспечения принадлежат левой ветви V-модели, а интеграция программного обеспечения и его верификация - правой ветви V-модели.

На рисунке 2 ИСО 26262-6 представлен обзор подстадий разработки программного обеспечения.

g) Производство, эксплуатация, обслуживание и вывод из эксплуатации

Планирование этой стадии (см. раздел 5 ИСО 26262-7), а также спецификация соответствующих требований начинается во время разработки изделия на уровне системы (см. ИСО 26262-4) и происходит параллельно с разработкой системы, аппаратных средств и программного обеспечения. Такое планирование можно выполнить путем обмена информацией или требованиями, например специальными характеристиками, связанными с безопасностью, или требованиями, повышающими производственные возможности изделия.

Данная стадия связана с процессами, средствами и инструкциями, обеспечивающими функциональную безопасность для производства, эксплуатации, обслуживания и вывода из эксплуатации устройства или элемента. На ней рассматривают связанные с безопасностью специальные характеристики, а также разработку и менеджмент инструкций для производства, эксплуатации, обслуживания (технической поддержки и ремонта) и вывода из эксплуатации устройства или элемента (см. разделы 6 и 7 ИСО 26262-7).

5.2.2.3 Другие основные понятия

a) Меры подтверждения

Меры подтверждения (см. раздел 6) выполняются, чтобы решить вопрос о достижении функциональной безопасности устройством или о его вкладе в достижение функциональной безопасности, например при разработке элементов.

b) Управляемость

При анализе опасностей и оценке рисков (см. раздел 6 ГОСТ Р ИСО 26262-3) может быть учтена способность водителя или других лиц, подвергающихся риску (например, пешеходов, велосипедистов, пассажиров, водителей других транспортных средств), избежать указанный вред, возможно, с помощью внешних мер. Допущения, касающиеся управляемости, в анализе опасностей и оценке рисков и в концепциях функциональной и технической безопасности проходят процедуру валидации (см. разделы 6 и 7 ГОСТ Р ИСО 26262-3 и раздел 8 ИСО 26262-4).

Примечание - Воздействие и тяжесть являются факторами, которые зависят от сценария. Возможная управляемость в результате вмешательства человека зависит от конструкции устройства и, следовательно, оценивается во время валидации системы безопасности (см. раздел 8 ИСО 26262-4).

c) Внешние меры

К внешним мерам относятся меры, не связанные с устройством (см. раздел 5 ГОСТ Р ИСО 26262-3), которые снижают или смягчают возможные опасности, связанные с отклонением от предписанного функционирования устройства. К внешним мерам можно отнести не только меры, относящиеся к другим средствам на борту транспортного средства, таким как контроллеры динамической устойчивости или возможность движения в условиях потери давления в шине, но и внешние для транспортного средства, такие как оградительные барьеры и системы пожаротушения в туннелях.

Допущения о внешних мерах в определении устройства, в анализе опасностей и оценке рисков, а также в функциональной и технической безопасности проходят процедуру валидации (см. раздел 8 ИСО 26262-4).

Внешние меры могут быть рассмотрены при анализе опасностей и оценке рисков (см. раздел 6 ГОСТ Р ИСО 26262-3). Однако если потенциал внешней меры учтен при анализе опасностей и оценке рисков, например для снижения значения УПБТС цели безопасности, то такая внешняя мера не может рассматриваться для снижения риска в концепции функциональной безопасности.

Настоящий стандарт распространяется на те внешние меры, которые находятся в области его применения.

Внешняя мера может быть вне области применения настоящего комплекса стандартов (например, если внешняя мера реализована на основе другой технологии или реализована вне транспортного средства) или может быть в области применения настоящего комплекса стандартов (например, если внешняя мера реализована Э/Э системой, не относящейся к устройству).

d) Анализ влияния на уровне устройства

Анализ влияния (см. 6.4.3) выполняется на уровне устройства, чтобы определить, является ли это устройство новой разработкой, модификацией существующего устройства или существующим устройством с измененной внешней средой. Если существует одна или несколько модификаций устройства, то анализируется возможное влияние каждой из этих модификаций на функциональную безопасность.

e) Анализ влияния на уровне элемента

Анализ влияния выполняется на уровне элемента, когда существующий элемент использован повторно (см. 6.4.4), чтобы оценить, в состоянии ли повторно используемый элемент выполнить требования безопасности, распределенные этому элементу, с учетом эксплуатационного контекста, в котором этот элемент повторно используется.

f) Другие технологии

Другие технологии (например, механические и гидравлические) отличаются от электрических и электронных технологий. Их можно рассмотреть в спецификации и при распределении требований безопасности (см. раздел 7 ГОСТ Р ИСО 26262-3 и ИСО 26262-4) или как внешнюю меру. Другими словами, элемент, реализованный на основе другой технологии, может быть внутри устройства либо может быть определен как внешняя мера.

g) Запуск в производство

Запуск в производство (см. 6.4.13) придает официальный статус решению о начале производства устройства или элемента с учетом рассмотрения результатов жизненного цикла системы безопасности и применяемых мер подтверждения.

5.3 Входная информация

5.3.1 Предварительные требования

Не задаются.

5.3.2 Дополнительная информация

Может быть рассмотрена следующая информация:

- существующее подтверждение соответствия стандартам на системы менеджмента качества.

Примеры

1 Стандарт Международной целевой группы автомобильной промышленности IATF 16949 совместно с ИСО 9001, рассматривающие менеджмент качества на всех стадиях жизненного цикла системы безопасности.

2 Комплекс стандартов ИСО/МЭК 33000, Интегрированная модель зрелости процессов программного обеспечения (CMMI ) ¹⁾, или комплекс стандартов Automotive SPICE  ¹⁾, рассматривающие разработку нового изделия.

------------------------------

¹⁾_{CMMI и Automotive SPICE - примеры коммерчески доступных подходящих документов. Данные примеры представлены для удобства пользователей и не являются рекламой данной продукции.}

------------------------------

5.4 Требования и рекомендации

5.4.1 Общие положения

Организации, участвующие в реализации жизненного цикла системы безопасности, должны соответствовать требованиям 5.4.2-5.4.6.

5.4.2 Культура реализации системы безопасности

5.4.2.1 Организация должна создать, поощрять и подтверждать культуру безопасности, которая поддерживает и содействует эффективному достижению функциональной безопасности.

Пример - В приложении В предоставлена более подробная информация о том, из чего может состоять культура безопасности.

5.4.2.2 Организация должна устанавливать, выполнять и поддерживать специальные для организации правила и процессы для достижения и поддержки функциональной безопасности, а также для соответствия требованиям настоящего комплекса стандартов.

Примечание - Такие специальные для организации правила и процессы могут включать в себя создание и поддержку общих планов (например, общего плана обеспечения безопасности) или описаний общих процессов.

5.4.2.3 Организация должна устанавливать и поддерживать эффективную взаимосвязь между функциональной безопасностью, информационной безопасностью и другими дисциплинами, которые связаны с достижением функциональной безопасности.

Примеры

1 Взаимосвязь между функциональной безопасностью и кибербезопасностью для обмена соответствующей информацией (например, в конкретном случае определено, что решение проблемы кибербезопасности может привести к недостижению цели или требований безопасности, или в случае, когда требование кибербезопасности вступает в противоречие с требованием безопасности).

2 Взаимосвязь между системой функциональной безопасности и системой безопасности, реализованной на основе другой технологии, такой как система механической безопасности.

3 Взаимосвязь между функциональной безопасностью и качеством.

Примечание - Указания о возможном взаимодействии функциональной безопасности с кибербезопасностью даны в приложении Е.

5.4.2.4 Во время реализации жизненного цикла системы безопасности организация должна выполнять необходимые мероприятия по обеспечению функциональной безопасности, в том числе работы по созданию и управлению необходимой документацией в соответствии с требованиями раздела 10 ИСО 26262-8.

5.4.2.5 Организация должна предоставлять ресурсы, необходимые для достижения функциональной безопасности.

Примечание - Ресурсы включают в себя человеческие ресурсы, инструментальные средства, базы данных, руководства и рабочие инструкции.

5.4.2.6 Организация должна устанавливать, выполнять и поддерживать непрерывный процесс совершенствования, основанный на:

- изучении опыта, накопленного в ходе реализации жизненного цикла систем безопасности других устройств, в том числе практического опыта;

- применении полученных усовершенствований в последующих устройствах.

5.4.2.7 Организация должна гарантировать, чтобы лицам, ответственным за достижение и поддержку функциональной безопасности, за выполнение или поддержку деятельности по обеспечению безопасности, были предоставлены достаточные полномочия для выполнения своих обязанностей.

5.4.3 Менеджмент нарушений безопасности, связанных с функциональной безопасностью

5.4.3.1 Организация должна устанавливать, выполнять и поддерживать процессы, гарантирующие, что выявленные нарушения безопасности непосредственно доводятся до сведения лиц, ответственных за достижение и поддержку функциональной безопасности, на протяжении всего жизненного цикла системы безопасности.

Примечание - В зависимости от нарушения безопасности среди ответственных лиц могут быть соответствующий менеджер по безопасности клиента, соответствующий менеджер по безопасности поставщика, менеджер по безопасности разработки соответствующего устройства или лица, ответственные за достижение и поддержку функциональной безопасности процессов производства, эксплуатации, обслуживания и вывода из эксплуатации.

5.4.3.2 Организация должна устанавливать, выполнять и поддерживать процесс устранения нарушений безопасности, чтобы гарантировать, что выявленные нарушения проанализированы, оценены, по ним принято решение и их удалось устранить своевременно и эффективно.

Примечания

1 Процесс принятия решения по нарушению безопасности может включать в себя анализ его основной причины, что в дальнейшем приведет к корректирующему действию.

2 Если принятие решения по нарушению безопасности приводит к изменению, то это изменение включается в процесс управления изменениями в соответствии с ИСО 26262-8, раздел 8.

3 Менеджер по безопасности может назначить лицо, ответственное за принятие решения по устранению нарушения требований безопасности.

4 Процесс принятия решения по устранению нарушения безопасности может быть объединен с процессами принятия решения по устранению нарушений, выявленных системой менеджмента качества (см. также 5.4.5).

5.4.3.3 Нарушение безопасности должно считаться устраненным, если:

a) выполнены соответствующие меры по обеспечению безопасности, способствующие устранению нарушений безопасности, на основе обоснования и эффективность этих мер по обеспечению безопасности проверена.

Примечания

1 В случае принятия решения по устранению нарушения безопасности, связанного с изменением конструкции, в качестве обоснования может быть предоставлен соответствующий анализ влияния, выполненный согласно требованиям раздела 8 ИСО 26262-8.

2 Нарушения безопасности могут быть устранены мерами, реализованными на применении других технологий, или внешними мерами (например мерами, не входящими в область применения комплекса стандартов ИСО 26262);

b) нарушение безопасности оценивается как не образующее неоправданный риск и далее не рассматривается при наличии обоснования таких действий.

Примечание - При отсутствии обоснования нарушение безопасности устранению не подлежит.

5.4.3.4 Обоснование для устранения нарушения безопасности в соответствии с 5.4.3.3 должно быть документально оформлено и должно быть проверено.

Пример - Обоснование может быть проверено в процессе оценки функциональной безопасности (см. 6.4.12).

5.4.3.5 Информация о нарушениях безопасности, которые не устраняются, должна быть передана лицам, ответственным за функциональную безопасность, таким как менеджер проекта, в случае если нарушение безопасности связано с разработкой нового изделия.

Примечание - Если нарушение требований безопасности выявляется в процессе разработки, во время которой его не удалось устранить, и выполняется оценка функциональной безопасности, то одним из специалистов, которому конкретно сообщается информация о нарушении безопасности, является лицо, ответственное за оценку функциональной безопасности.

5.4.4 Управление компетентностью

5.4.4.1 Организация должна гарантировать, чтобы лица, участвующие в реализации жизненного цикла систем безопасности, имели достаточный уровень навыков, компетенции и квалификации, соответствующий их обязанностям.

Примечания

1 Одним из возможных средств для достижения достаточного уровня навыков и компетенций является программа подготовки и повышения квалификации, которая охватывает следующие области знаний:

- установившиеся практики, концепции, методы проектирования в области безопасности;

- настоящий комплекс стандартов и при необходимости дополнительные стандарты в области безопасности;

- специальные для организации правила по реализации функциональной безопасности;

- специальные для организации правила для направлений работ, которые связаны с функциональной безопасностью;

- установленные в организации процессы по функциональной безопасности.

2 Чтобы оценить навыки, компетенцию и квалификацию для осуществления деятельности в соответствии с требованиями настоящего комплекса стандартов, можно учесть опыт предыдущей профессиональной деятельности, например:

- знания об устройстве;

- опыт работы с внешней средой устройства;

- управленческий опыт;

- опыт в производстве, эксплуатации, обслуживании и выводе из эксплуатации устройства.

3 Организация может определить критерии, касающиеся достаточности соответствующих навыков, компетентности и квалификации.

Пример - Критерии, данные в документе Исполнительного комитета по вопросам охраны труда и безопасности Соединенного Королевства "Управление компетентностью для связанных с безопасностью систем".

5.4.5 Система менеджмента качества

5.4.5.1 Организации должны иметь систему менеджмента качества, которая поддерживает достижение функциональной безопасности и соответствует стандартам на менеджмент качества, таким как IATF 16949 совместно с ИСО 9001 или эквивалентным.

5.4.6 Независимая от проекта корректировка жизненного цикла системы безопасности

5.4.6.1 Организация может корректировать жизненный цикл системы безопасности для его применения при разработках устройств или элементов, т.е. применять независимую от проекта корректировку, если она ограничивается применением следующих процедур:

a) объединение или разделение подстадий, действий или задач.

Примечание - Отдельные подстадии могут быть объединены, если используемый метод не обеспечивает четкое разграничение между отдельными подстадиями (например, автоматизированные средства разработки могут поддерживать действия нескольких подстадий на одном шаге процесса);

b) выполнение действия или задачи на другой стадии или подстадии;

c) выполнение действия или задачи на дополнительной стадии или подстадии;

d) итеративное использование стадии или подстадии;

e) выполнение действий по обеспечению безопасности одновременно с действиями по обеспечению безопасности других стадий или подстадий при условии, что выполнены требования 6.4.7.1;

f) обоснованное исключение стадии или подстадии, которая неприменима в организации.

5.5 Результаты работы

5.5.1 Специальные для организации правила и процедуры для обеспечения функциональной безопасности

Результат 5.4.2-5.4.6.

5.5.2 Подтверждение управлением компетентностью

Результат 5.4.4.

5.5.3 Подтверждение реализации системы менеджмента качества

Результат 5.4.5 и 5.4.6.

5.5.4 Отчеты о выявленных нарушениях безопасности

Результат 5.4.3 при необходимости.

6 Менеджмент функциональной безопасности, зависящий от проекта

6.1 Цели

Назначение настоящего раздела состоит в том, чтобы гарантировать, что организации, выполняющие стадию разработки концепции системы безопасности или стадии разработки системы безопасности на уровнях системы, аппаратных средств или программного обеспечения, достигают следующих целей:

a) определить и назначить роли и ответственности, связанные с действиями по обеспечению безопасности;

b) выполнить анализ влияния на уровне устройства, чтобы определить, является ли это устройство новым, модификацией существующего устройства или существующим устройством в измененной внешней среде; при наличии одной или нескольких модификаций проанализировать влияние этих модификаций на функциональную безопасность;

c) выполнить анализ влияния на уровне элемента в случае, если существующий элемент используется повторно, чтобы оценить, в состоянии ли повторно используемый элемент выполнить требования безопасности, распределенные этому элементу, учитывая эксплуатационный контекст, в котором этот элемент используется повторно.

Примечание - Анализ влияния на уровне устройства или элемента может поддержать планирование действий по обеспечению безопасности (см. 6.4.6.7).

d) определить действия по корректировке системы безопасности с целью обеспечения соответствующих обоснований и выполнения анализа полученного обоснования;

e) запланировать действия по обеспечению безопасности;

f) скоординировать и отследить выполнение действий по обеспечению безопасности в соответствии с планом обеспечения безопасности;

g) запланировать распределенную разработку (см. раздел 5 ИСО 26262-8);

h) гарантировать установленную последовательность выполнения действий по обеспечению безопасности на всем жизненном цикле системы безопасности;

i) разработать декларацию безопасности производственного объекта для формирования доводов для достижения целей функциональной безопасности;

j) оценить, достигает ли устройство требуемый уровень функциональной безопасности (т.е. выполнить оценку функциональной безопасности), или оценить вклад в достижение функциональной безопасности элемента (т.е. выполнить оценку функциональной безопасности действий, выполненных поставщиком) или результат работы (например, оценку подтверждения);

k) по окончании разработки - принять решение о запуске устройства или элемента(ов) в производство на основе подтверждения, которое обеспечивает доверие достигнутой функциональной безопасности.

6.2 Общие положения

В проекте определяются и назначаются роли и ответственности, связанные с действиями по обеспечению безопасности.

Выполняется анализ влияния на уровне устройства, чтобы определить, является ли это устройство новым, модификацией существующего устройства или существующим устройством в измененной внешней среде. В случае модификации выполняется анализ ее влияния на функциональную безопасность.

Выполняется анализ влияния на уровне элемента в случае, если существующий элемент повторно используется, учитывая его эксплуатационный контекст.

Менеджмент системы безопасности включает определение ответственности за планирование и координацию действий по обеспечению безопасности, за отслеживание выполнения этих действий в соответствии с планируемыми, а также за описание и обоснование действия по корректировке системы безопасности.

Планирование безопасности оформляется документально, и этот документ ссылается на соглашения о разработке (см. ИСО 26262-8, раздел 5), которые определяют взаимодействия с планами обеспечения безопасности других сторон при распределенной разработке.

Менеджмент системы безопасности также включает в себя определение ответственности за обеспечение выполнения мер подтверждения. В зависимости от применяемого значения УПБТС некоторые меры подтверждения выполняются достаточно независимо относительно ресурсов, управления и выдачи полномочий.

Меры подтверждения включают в себя оценки подтверждения, аудит функциональной безопасности и оценку функциональной безопасности:

- оценки подтверждения предназначены для того, чтобы решить, представляют ли основные результаты работы (см. таблицу 1) достаточные свидетельства и убедительное подтверждение их вклада в достижение функциональной безопасности;

- аудит функциональной безопасности при необходимости оценивает выполнение процессов, необходимых для действий по обеспечению безопасности;

- оценка функциональной безопасности при необходимости обосновывает, достигает ли устройство требуемый уровень функциональной безопасности, или обосновывает вклад в достижение функциональной безопасности, связанный, например, с элементами.

В таблице 1 перечислены меры подтверждения.

Кроме мер подтверждения, выполняются действия по верификации. Они соответствуют требованиям других частей комплекса стандартов ИСО 26262 и предназначены для проверки того, что соответствующие результаты работ удовлетворяют требованиям конструкторской документации и техническим требованиям, в частности для вариантов их использования и видов отказов.

В таблице 1 перечислены необходимые меры подтверждения. В приложении D перечислены верификационные оценки и ссылки на соответствующие части настоящего стандарта.

Наконец, лицо, ответственное за выпуск устройства или элементов этого устройства, решает о том, что это устройство или элемент(ы) готов(ы) для серийного выпуска или эксплуатации на основе подтверждения, которое обеспечивает уверенность в достигнутой функциональной безопасности.

6.3 Входная информация

6.3.1 Предварительные требования

Необходима следующая информация:

- специальные для организации правила и процедуры для соответствия требованиям функциональной безопасности, представленные в 5.5.1;

- подтверждение управлением компетентностью в соответствии с требованиями 5.5.2;

- подтверждение реализации системы менеджмента качества в соответствии с требованиями 5.5.3.

6.3.2 Дополнительная информация

Может быть учтена следующая информация, если она доступна:

- план проекта (из внешнего источника);

- зависимости от других действий, включая другие мероприятия по обеспечению безопасности;

- другая существующая информация, полезная для проведения анализа влияния (см. 6.4.3 и 6.4.4).

Пример - Концепция изделия, запросы на модификации, планирование внедрения или обоснование проверкой в эксплуатации.

6.4 Требования и рекомендации

6.4.1 Общие положения

Пункты 6.4.2-6.4.13 применяются к организациям, участвующим в реализации стадии разработки концепции или стадий разработки (системы, аппаратных средств или программного обеспечения) устройства нового изделия или одного или более элементов устройства.

Пример - Поставщик, разрабатывающий элемент, работы по интеграции которого будет выполнять заказчик (см. раздел 5 ИСО 26262-8), реализует одно или несколько требований безопасности со значениями УПБТС, равными А, В, С или D, в соответствии с 4.4.

6.4.2 Роли и ответственности в менеджменте функциональной безопасности

6.4.2.1 Должен быть назначен менеджер проекта при запуске разработки нового изделия, включающего устройство.

Примечание - В случае распределенной разработки (см. раздел 5 ИСО 26262-8) менеджеры проектов назначаются у заказчика и у поставщиков, которые разрабатывают один или несколько элементов, предназначенных для интеграции в устройство.

6.4.2.2 На менеджера проекта должна быть возложена ответственность и даны полномочия в соответствии с требованиями 5.4.2.8 для обеспечения:

a) выполнения связанных с безопасностью мероприятий, необходимых для достижения функциональной безопасности;

b) достижения соответствия требованиям настоящего стандарта.

6.4.2.3 Менеджер проекта должен убедиться, что организация предоставила необходимые ресурсы для выполнения действий по функциональной безопасности в соответствии с требованиями 5.4.2.6.

Примечание - Оценка, определение и выделение достаточных ресурсов выполняются на стадии планирования.

6.4.2.4 Менеджер проекта должен гарантировать, что менеджер по безопасности назначен в соответствии с требованиями 5.4.3.

Примечания

1 Роль менеджера по безопасности может выполнять менеджер проекта.

2 Термин "менеджер по безопасности" определяется как роль (см. ГОСТ Р ИСО 26262-1), его функции могут быть разделены между различными лицами в организации.

3 В случае распределенной разработки (см. раздел 5 ИСО 26262-8) менеджеры по безопасности назначаются у заказчика и у поставщиков, которые разрабатывают один или несколько элементов, предназначенных для интеграции в устройство.

6.4.3 Анализ влияния на уровне устройства

6.4.3.1 В начале жизненного цикла системы безопасности должен быть выполнен анализ влияния на уровне устройства, чтобы определить, является ли это устройство новой разработкой, модификацией существующего устройства или существующим устройством в измененной внешней среде.

Примечание - При модификации может использоваться обоснование проверкой в эксплуатации (см. раздел 14 ИСО 26262-8).

6.4.3.2 В случае модификации устройства или его внешней среды анализ влияния на уровне устройства, выполняемый в соответствии с 6.4.3.1, должен определить и описать модификации, связанные с устройством, включая:

Примечание - Анализ влияния, который рассматривается в настоящем разделе, касается модификаций устройства, рассматриваемых на стадии планирования. Модификации устройства, рассматриваемые в процессе выполнения разработки, реализуются в процессе управления изменениями (см. раздел 8 ИСО 26262-8).

a) модификации проекта.

Примечания

1 Модификация проекта может произойти из-за модификации требований.

2 Модификация проекта может повлиять на функционирование устройства.

Примеры

1 Модификация проекта вызвана модификацией данных о калибровке.

2 Модификация проекта вызвана изменениями в рабочих режимах устройства;

b) модификации при реализации.

Примечания

1 Модификации при реализации не должны влиять на спецификацию или рабочую характеристику устройства.

2 Модификации при реализации устройства могут повлиять на функционирование устройства.

3 Модификации при реализации могут произойти в результате изменений в программном обеспечении;

c) модификации, связанные с внешней средой.

Пример - Температура, высота, влажность, вибрация, электромагнитные помехи ("EMI") и виды топлива.

Примечание - Модификации включают:

- установку устройства в измененной внешней среде (например, другой вариант транспортного средства);

- изменение условий эксплуатации;

- изменение расположения устройства в транспортном средстве.

6.4.3.3 Анализ влияния на уровне изделия в соответствии с 6.4.3.2 должен:

a) оценить влияние различных модификаций на функциональную безопасность;

b) определить и описать действия по обеспечению безопасности, которые будут выполнены по результатам анализа влияния модификаций.

6.4.4 Повторное использование существующего элемента

Если существующий элемент используется повторно, то необходимо выполнить анализ влияния на уровне элемента, который должен:

a) определить модификации для контекста эксплуатации, учитывая имеющиеся модификации элемента;

b) оценить, в состоянии ли повторно используемый элемент, прошедший или не прошедший модификации, удовлетворять распределенным требованиям безопасности, из которых сформированы требования для устройства или элемента, в который должен быть интегрирован рассматриваемый элемент.

Примечание - Существующие элементы могут быть повторно использованы без модификаций или с запланированными для них модификациями. Модификации элемента могут быть запланированы, например, для обеспечения интеграции с существующим элементом;

c) определить действия по обеспечению безопасности, которые будут выполнены по результатам оценки последствий модификаций, включая влияние на правомерность ранее сделанных допущений;

d) оценить, обеспечивает ли существующая связанная с безопасностью документация на повторно используемый элемент его интеграцию в устройство или элемент, в который должен быть интегрирован рассматриваемый элемент.

Примечания

1 Анализ влияния, рассматриваемый в настоящем пункте, касается модификаций эксплуатационного контекста элемента, который рассматривается на стадии планирования. Модификации проекта, которые рассматривают в процессе разработки, выполняются в рамках процесса управления изменениями (см. раздел 8 ИСО 26262-8).

2 Существующий элемент может быть повторно использован:

a) на основе оценки элементов аппаратных средств (см. раздел 13 ИСО 26262-8);

b) на основе квалификации компонентов программного обеспечения (см. раздел 12 ИСО 26262-8);

c) на основе подтверждения проверкой эксплуатацией (см. раздел 14 ИСО 26262-8);

d) как универсальный элемент безопасности (см. ИСО 26262-10).

6.4.5 Корректировка действий по обеспечению безопасности

6.4.5.1 Деятельность по обеспечению безопасности с учетом специфики разрабатываемого устройства может быть скорректирована, т.е. что-то может быть исключено или что-то может быть выполнено другим способом, в отличие от предписанного в ИСО 26262 жизненного цикла. Если деятельность по обеспечению безопасности корректируется, то:

a) корректировка должна быть определена в плане обеспечения безопасности [см. перечисление b) 6.4.6.5];

b) должно быть предоставлено обоснование адекватности и достаточности такой корректировки для достижения целей функциональной безопасности.

Примечания

1 Обоснование корректировки учитывает значения УПБТС соответствующих требований.

2 Обоснование корректировки включается в план обеспечения безопасности и рассматривается в ходе оценки подтверждения плана обеспечения безопасности (см. 6.4.9) или во время оценки функциональной безопасности (см. 6.4.12).

3 Данное требование распространяется на корректировку, которая применяется для конкретного устройства. Если выполняется корректировка жизненного цикла системы безопасности, применяемого в рамках организации для разработки устройств, то применяются только требования 5.4.6.

6.4.5.2 Если деятельность по обеспечению безопасности корректируется в соответствии с 6.4.5.1 по результатам анализа влияния, выполненного в соответствии с 6.4.3 и 6.4.4, то корректировка должна соответствовать требованиям 6.4.6.7.

6.4.5.3 Если деятельность по обеспечению безопасности корректируется в соответствии с 6.4.5.1 в результате имеющегося подтверждения проверкой эксплуатацией, то корректировка должна соответствовать требованиям раздела 14 ИСО 26262-8.

6.4.5.4 Если деятельность по обеспечению безопасности корректируется в соответствии с 6.4.5.1 из-за оценки элементов аппаратных средств, то корректировка должна соответствовать требованиям раздела 13 ИСО 26262-8.

6.4.5.5 Если деятельность по обеспечению безопасности корректируется в соответствии с 6.4.5.1 из-за квалификации компонентов программного обеспечения, то корректировка должна соответствовать требованиям раздела 12 ИСО 26262-8.

6.4.5.6 Если деятельность по обеспечению безопасности корректируется в соответствии с 6.4.5.1 на базе обоснования, которое рассматривает уверенность в использовании инструментального программного обеспечения, то корректировка должна соответствовать требованиям раздела 11 ИСО 26262-8.

6.4.5.7 Если действия по обеспечению безопасности корректируются в соответствии с 6.4.5.1 из-за того, что элемент разработан как универсальный элемент безопасности, то:

a) разработка универсального элемента безопасности должна быть основана на спецификации требований, которая выводится из допущений о целевом применении и контексте элемента, включая его внешние интерфейсы;

b) допущения о целевом применении и контексте универсального элемента безопасности должны быть проверены, если этот элемент интегрируется в целевое применение.

Примечание - Настоящий комплекс стандартов в целом не может быть применен к универсальному элементу безопасности, так как функциональная безопасность не является свойством элемента (однако элемент устройства может быть идентифицирован как связанный с безопасностью). Функциональная безопасность является свойством устройства и может быть оценена средствами оценки функциональной безопасности.

Пример - Микроконтроллер разработан как универсальный элемент безопасности.

Примечание - Более подробную информацию о разработке универсального элемента безопасности см. в ИСО 26262-10.

6.4.5.8 Настоящее требование применяется к разработкам изделий для Т&В. Если применение, которое не входит в область применения комплекса стандартов ИСО 26262, взаимодействует с основным транспортным средством или устройством, которое было разработано в соответствии с настоящим комплексом стандартов, то в соответствии с требованиями раздела 15 ИСО 26262-8 должна быть выполнена корректировка соответствующих действий по обеспечению безопасности.

6.4.5.9 Настоящее требование применяется к разработкам изделий для Т&В. Если действия по обеспечению безопасности, выполненные для достижения уверенности в том, что система или компонент, не разработанные в соответствии с комплексом стандартов ИСО 26262, удовлетворяют требуемому уровню функциональной безопасности, необходимому для интеграции в устройство, разработанное в соответствии с настоящим комплексом стандартов, то корректировка соответствующих действий по обеспечению безопасности должна быть выполнена в соответствии с требованиями раздела 16 ИСО 26262-8.

6.4.6 Планирование и координация действий по обеспечению безопасности

6.4.6.1 Менеджер по безопасности несет ответственность за планирование и координацию деятельности по безопасности, которая выполняется в организации, в соответствии с требованиями 5.4.2.7.

Примечания

1 Менеджер по безопасности может делегировать задачи лицам, которые обладают необходимыми навыками, компетенцией и квалификацией (см. 5.4.3).

2 В зависимости от того, разрабатывается ли новое устройство или оно является модификацией уже существующего устройства, или оно является устройством в измененной внешней среде (см. 6.4.3), либо является новым или повторно используемым элементом (см. 6.4.4), объем действий по обеспечению безопасности и их планирование могут соответственно меняться.

6.4.6.2 Менеджер по безопасности несет ответственность за выполнение плана обеспечения безопасности, а также за контроль деятельности по обеспечению безопасности в соответствии с планом обеспечения безопасности.

6.4.6.3 Обязанности, связанные с выполнением действий по обеспечению безопасности, должны быть возложены на конкретное лицо, и об этом должно быть известно в организации в соответствии с 5.4.2.7 и 5.4.4.

Примечание - Менеджер по безопасности несет ответственность за планирование и координацию действий по обеспечению безопасности. Другие лица могут нести ответственность за детальное планирование (см. также 6.4.6.8) или выполнять конкретные действия по обеспечению безопасности (например, планирование или выполнение интеграции и верификации, а также управление конфигурацией).

6.4.6.4 План обеспечения безопасности должен быть:

a) планом, на который имеется ссылка в плане проекта, либо

b) включен в план проекта так, чтобы мероприятия по обеспечению безопасности были представлены в проекте.

Примечание - План обеспечения безопасности может включать перекрестные ссылки на другую информацию, используемую при управлении конфигурацией (см. раздел 7 ИСО 26262-8). Перекрестные ссылки, как правило, предпочтительнее параллельному описанию действий в различных рабочих документах или в других документах, управляемых конфигурацией.

6.4.6.5 План обеспечения безопасности должен определить планирование действий и процедур достижения целей функциональной безопасности, включая:

a) реализацию независимых от проекта действий в области безопасности в соответствии с требованиями раздела 5 в конкретном для проекта менеджменте безопасности;

b) определение корректировки действий по обеспечению безопасности в соответствии с требованиями 6.4.5, если это применимо.

Примечание - Например, корректировка по результатам анализа влияния на уровне устройства (см. 6.4.3) или на уровне элемента (см. 6.4.4). См. также 6.4.6.7;

c) планирование действий по обеспечению безопасности для выполнения требований ГОСТ Р ИСО 26262-3, ИСО 26262-4, ИСО 26262-5 и ИСО 26262-6;

d) планирование вспомогательных процессов, в соответствии с требованиями ИСО 26262-8, включая, если это возможно, ссылку на соглашения о разработке ("DIAs"), которые определяют взаимодействия с планами обеспечения безопасности других сторон при распределенной разработке, в соответствии с требованиями раздела 5 ИСО 26262-8;

e) планирование действий по интеграции и верификации для выполнения требований ГОСТ Р ИСО 26262-3, ИСО 26262-4, ИСО 26262-5, ИСО 26262-6 и раздела 9 ИСО 26262-8, а также планирование мероприятий по валидации безопасности в соответствии с требованиями раздела 9 ИСО 26262-4.

Примечание - Рабочий документ "План обеспечения безопасности" включает подробное планирование интеграции, верификации и валидации безопасности, однако такое планирование может быть в других документах (см. раздел 10 ИСО 26262-8);

f) планирование оценок подтверждения, аудита функциональной безопасности и оценки функциональной безопасности выполняется в соответствии с 6.4.9-6.4.12.

Примечания

1 В плане обеспечения безопасности, согласно 6.4.9, определяется уровень независимости лица, выполняющего меру подтверждения.

2 Менеджер по безопасности несет ответственность за планирование мер подтверждения. Детали меры подтверждения планируются лицом, ответственным за эту меру подтверждения;

g) планирование анализа зависимых отказов, если это применимо, и выполнения анализов системы безопасности для выполнения требований ГОСТ Р ИСО 26262-3, ИСО 26262-4, ИСО 26262-5, ИСО 26262-6 и разделов 7 и 8 ИСО 26262-9.

Примечание - Цели и область применения каждого анализа системы безопасности определяются во время его планирования и зависят от соответствующей подстадий и контекста;

h) обеспечение подтверждений проверкой в эксплуатации кандидатов в соответствии с требованиями раздела 14 ИСО 26262-8, если это применимо;

i) обеспечение уверенности в использовании инструментальных средств программного обеспечения в соответствии с требованиями раздела 11 ИСО 26262-8, если это применимо.

6.4.6.6 Планирование деятельности по обеспечению безопасности должно включать:

a) цель;

b) зависимости от других действий или информации;

c) лицо, отвечающее за выполнение этой деятельности;

d) ресурсы, необходимые для осуществления этой деятельности;

е) дату начала или окончания и длительность;

f) идентификацию соответствующего результата работы.

6.4.6.7 В случае модификации устройства, изменения внешней среды существующего устройства в соответствии с 6.4.3 или в случае повторно используемого элемента в соответствии с 6.4.4:

a) жизненный цикл системы безопасности, рассматриваемый в комплексе стандартов ИСО 26262, должен быть скорректирован по результатам соответствующего анализа влияния.

Примечание - Корректировки действий по безопасности определяются в плане обеспечения безопасности, при рассмотрении применяемых стадий и подстадий жизненного цикла (см. 6.4.5);

b) должны быть определены затрагиваемые рабочие документы, которые должны создаваться или обновляться соответствующим образом.

Примечание - Должны быть определены затрагиваемые рабочие документы, которые должны создаваться или обновляться соответствующим образом (см. раздел 8 ИСО 26262-4);

c) если документация по системе безопасности не удовлетворяет требованиям комплекса стандартов ИСО 26262, то должны быть определены необходимые действия по обеспечению выполнения соответствующих требований этого комплекса стандартов.

Примеры

1 Элемент, разработанный в соответствии со стандартом по безопасности, отличающимся от комплекса стандартов ИСО 26262, с соответствующей документацией по безопасности, которая является неполной, не соответствует требованиям ИСО 26262.

2 Устаревший элемент, у которого документация по безопасности отсутствует или ее недостаточно, чтобы судить о соответствии требованиям ИСО 26262.

6.4.6.8 План обеспечения безопасности должен постоянно обновляться, как минимум в начале каждой стадии.

Примечание - По меньшей мере в начале каждой стадии план обеспечения безопасности обновляется для того, чтобы выполнить детальное планирование действий по обеспечению безопасности на этой стадии. План обеспечения безопасности может быть далее детализирован для подстадии.

6.4.6.9 Рабочие документы, необходимые для плана обеспечения безопасности, должны своевременно обновляться во время стадий разработки, чтобы поддерживать адекватное представление устройства или элемента до запуска в производство и во время него.

6.4.6.10 В случае распределенной разработки и клиент, и поставщик должны определить план обеспечения безопасности, рассматривающий соответствующие действия по обеспечению безопасности.

Примечание - Соответствующее соглашение о разработке определяется согласно требованиям раздела 5 ИСО 26262-8.

6.4.7 Выполнение жизненного цикла систем безопасности

6.4.7.1 Если отсутствует информация от соответствующих предыдущих подстадий, то последующая подстадия должна начаться только при условии, что отсутствие информации не вызовет неоправданный риск, связанный с невыполнением требований функциональной безопасности.

Примечание - Для случаев, при которых отсутствие информации может подвергнуть опасности проект, проблема обостряется.

6.4.7.2 Результаты работы, требуемые планом обеспечения безопасности, должны формироваться под управлением конфигурацией, управлением изменениями и должны быть документально оформлены в соответствии с требованиями разделов 7, 8 и 10 ИСО 26262-8 соответственно не позднее начала стадии "Разработка изделия на уровне системы" (см. ИСО 26262-4).

6.4.8 Обоснование безопасности

6.4.8.1 Для обеспечения доказательства достижения функциональной безопасности, в соответствии с планом обеспечения безопасности, должно быть разработано обоснование безопасности.

6.4.8.2 В обосновании безопасности должны постепенно накапливаться результаты работы, формируемые в процессе жизненного цикла системы безопасности, для обеспечения доказательства безопасности.

Примечания

1 В случае распределенной разработки обоснованием безопасности устройства может быть комбинация обоснований безопасности клиента и поставщиков, которая ссылается на подтверждение из результатов работы, полученных соответствующими сторонами. В таком случае полное доказательство безопасности устройства обеспечивается доказательствами безопасности от всех сторон. Взаимоотношения между клиентом и поставщиком определяются в соглашении о разработке (см. раздел 5 ИСО 26262-8).

2 Чтобы поддержать планирование безопасности согласно 6.4.6, намеченные доказательства безопасности могут быть определены до появления результатов работы. Чтобы поддержать текущие оценки функциональной безопасности согласно 6.4.12.3, обоснование безопасности может формироваться по мере получения результатов работы для обеспечения подтверждения доказательств безопасности.

6.4.9 Меры подтверждения

6.4.9.1 Функциональная безопасность устройства и его элементов должна быть подтверждена на основе:

a) оценок подтверждения, позволяющих решить, представляют ли основные результаты работы, т.е. включенные в таблицу 1, достаточные свидетельства и убедительное подтверждение их вклада в достижение функциональной безопасности, учитывая соответствующие цели и требования комплекса стандартов ИСО 26262, в соответствии с таблицей 1 и 6.4.10.

Примечание - Оценка подтверждения выполняется для тех результатов работ, которые указаны в таблице 1 и требуются планом обеспечения безопасности;

b) аудита функциональной безопасности, позволяющего оценить выполнение процессов, необходимых для обеспечения функциональной безопасности, в соответствии с таблицей 1 и 6.4.11.

Примечание - Основные процессы, необходимые для функциональной безопасности, определены в комплексе стандартов ИСО 26262. Процессы, имеющие отношение к устройству или элементу, определяются посредством действий, на которые делаются ссылки, или они непосредственно указываются в плане обеспечения безопасности;

c) оценки функциональной безопасности, позволяющей принять решение о достигаемой функциональной безопасности устройством или о вкладе в достижение функциональной безопасности разрабатываемыми элементами, в соответствии с таблицей 1 и 6.4.12.

Примечания

1 Цель независимости, определенной в таблице 1, состоит в том, чтобы гарантировать объективную, беспристрастную точку зрения и избегать конфликта интересов. Использование термина "независимость" в настоящем стандарте касается организационной независимости.

2 Руководство по мерам подтверждения представлено в приложении С.

3 Отчет, который формируется в результате выполнения меры подтверждения, включает в себя имя и номер версии проанализированных документов о результатах работы или процессах (см. раздел 10 ИСО 26262-8).

4 Если после завершения выполнения мер подтверждения происходят изменения в устройстве, то надлежащие меры подтверждения должны быть выполнены повторно или дополнительно (см. 8.4.5.2 ИСО 26262-8).

5 Такие меры подтверждения, как оценки подтверждения и аудиты функциональной безопасности, могут быть объединены и в сочетании с оценкой функциональной безопасности могут быть использованы при создании сопоставимых вариантов устройства.

Таблица 1 - Требуемые меры подтверждения с учетом требуемого уровня независимости

Меры подтверждения	Степень независимости a) применятся к					Область применения
	QM	УПБТС А	УПБТС В	УПБТС С	УПБТС D
Оценка подтверждения анализа влияния на уровне устройства (см. 6.5.1). Выполняется независимо от автора анализа влияния и управления проектом	I3	I3	I3	I3	I3	Обоснование, выполняемое в ходе анализа влияния в соответствии с 6.4.3, правильности определения устройства как новой разработки, как модификации существующего устройства или как существующего устройства в измененной внешней среде. Обоснование, выполняемое в ходе анализа влияния в соответствии с 6.4.3, надлежащего определения последствий для функциональной безопасности, вызванных модификацией(ями), и действий по обеспечению безопасности, которые должны быть выполнены
Оценка подтверждения анализа опасностей и оценки рисков (см. раздел 6 ГОСТ Р ИСО 26262-3). Выполняется независимо от разработчиков устройства, управления проектом и авторов результатов работы	I3	I3	I3	I3	I3	Обоснование соответствующего выбора эксплуатационных ситуаций, подходящих для опасных событий, и соответствующих определений опасных событий. Обоснование правильности определения значений УПБТС, оценок управления качеством (QM) выявленных опасных событий для устройств и параметров, для которых значение УПБТС не назначено, например C0/S0/E0. Обоснование охвата выявленных опасных событий указанными целями безопасности
Оценка подтверждения плана обеспечения безопасности (6.5.3). Выполняется независимо от разработчиков устройства, управления проектом и авторов результатов работы. Примечания 1 Оценка подтверждения плана обеспечения безопасности включает обзор анализов влияния на уровне элемента, выполняемый из-за повторного использования существующих элементов (см. 6.5.2). 2 План обеспечения безопасности включает подтверждения проверкой в эксплуатации (анализ, данные и доверие), проверенных эксплуатацией кандидатов и соответствующую корректировку, если применима (см. 6.4.6 и раздел 14 ИСО 26262-8). 3 План обеспечения безопасности включает настройку вследствие использования программных средств, если применима (см. 6.4.6 и раздел 11 ИСО 26262-8)	-	I1	I1	I2	I3	Применяется к требованиям безопасности с самым высоким значением УПБТС
Оценка подтверждения концепции технической безопасности (см. раздел 6 ИСО 26262-4), поддержанной результатами соответствующего анализа безопасности и анализом зависимых отказов (см. раздел 8 ИСО 26262-9 и раздел 7 ИСО 26262-9 соответственно). Выполняется независимо от разработчиков устройства, управления проектом и авторов результатов работы	-	I1	I1	I2	I3	Применяется к требованиям функциональной безопасности с самым высоким значением УПБТС, из которых получены требования технической безопасности. Если для концепции функциональной безопасности была применена декомпозиция УПБТС, то далее может быть рассмотрено значение УПБА, полученное в результате декомпозиции
Оценка подтверждения стратегии интеграции и тестирования (см. раздел 7 ИСО 26262-4). Выполняется независимо от разработчиков устройства, управления проектом и авторов результатов работы	-	I0	I1	I2	I2	Применяется к требованиям безопасности с самым высоким значением УПБТС
Оценка подтверждения спецификации валидации безопасности (см. раздел 8 ИСО 26262-4). Выполняется независимо от разработчиков устройства, управления проектом и авторов результатов работы	-	I0	I1	I2	I2	Применяется к требованиям безопасности с самым высоким значением УПБТС
Оценка подтверждения анализов безопасности и анализа зависимых отказов (см. раздел 8 ИСО 26262-9 и раздел 7 ИСО 26262-9 соответственно). Выполняется независимо от разработчиков устройства, управления проектом и авторов результатов работы	-	I1	I1	I2	I3	Применяется к требованиям безопасности с самым высоким значением УПБТС
Оценка подтверждения обоснования безопасности (см. 6.5.4). Выполняется независимо от авторов обоснования безопасности	-	I1	I1	I2	I3	Применяется к требованиям безопасности с самым высоким значением УПБТС
Аудит функциональной безопасности в соответствии с 6.4.11. Выполняется независимо от разработчиков устройств и управления проектом	-	-	I0	I2	I3	Применяется к требованиям безопасности с самым высоким значением УПБТС
Оценка функциональной безопасности в соответствии с 6.4.12. Выполняется независимо от разработчиков устройств и управления проектом	-	-	I0	I2	I3	Применяется к требованиям безопасности с самым высоким значением УПБТС
а) Обозначения определены следующим образом: - - требования или рекомендации за или против данной меры подтверждения отсутствуют; I0 - мера подтверждения должна быть выполнена; однако если данная мера подтверждения осуществляется, то она должна быть выполнена лицом, отличным от лиц(а), ответственных(ого) за создание рассматриваемого(ых) результата(ов) работы; I1 - мера подтверждения должна быть выполнена лицом, отличным от лиц(а), ответственных(ого) за создание рассматриваемого(ых) результата(ов) работы; I2 - мера подтверждения должна быть выполнена лицом, не входящим в авторский коллектив, ответственный за создание рассматриваемого(ых) результата(ов) работы, то есть не подчиняющимся тому же непосредственному начальнику; I3 - мера подтверждения должна быть выполнена лицом, независимым от отдела, отвечающего за рассматриваемые результаты работы, от организации их выполнения, используемых ресурсов и определения полномочий.

6.4.9.2 Лица, осуществляющие меры подтверждения, должны иметь доступ к лицам и подразделениям организации (а также должны быть поддержаны ими), которые осуществляют мероприятия по обеспечению безопасности во время разработки устройства.

6.4.9.3 Лица, осуществляющие меры подтверждения, должны иметь доступ к соответствующей информации и инструментальным средствам.

6.4.10 Оценки подтверждения

6.4.10.1 Лицо, ответственное за выполнение оценки подтверждения, должно быть назначено, в соответствии с 5.4.4 и 5.4.2.7, для каждой оценки подтверждения, которая включена в таблицу 1 и требуется планом обеспечения безопасности. Это лицо должно предоставить отчет, содержащий обоснование достигнутого вклада в функциональную безопасность конкретным результатом работы.

6.4.10.2 Оценки подтверждения должны быть завершены перед запуском в производство.

6.4.10.3 Оценка подтверждения может быть основана на выполнении обоснования того, достигнуты ли соответствующие цели комплекса стандартов ИСО 26262.

Примечание - Для повышения уверенности в достижении целей оценки выполняющий оценку специалист проверяет правильность, полноту, согласованность, соответствие и содержание определенного результата работы на соответствие требованиям комплекса стандартов ИСО 26262.

6.4.10.4 Для выполнения оценки подтверждения в соответствии с 6.4.9.2 и 5.4.4 могут быть назначены один или несколько помощников. Такие лица могут оказаться недостаточно независимыми от разработчиков соответствующего устройства, элементов или результатов работы, но их независимость должна соответствовать как минимум I1, как определено в таблице 1, а выполняющий оценку специалист должен дать оценку их привлечения, чтобы гарантировать беспристрастность результирующего мнения.

Примечание - Поскольку оценки подтверждения выполняются для оценки функциональной безопасности, то назначение помощников и их оценки могут также быть использованы при осуществлении оценки функциональной безопасности, если применимо.

6.4.10.5 Оценка подтверждения и верификационная оценка могут быть объединены, если оценка выполняется достаточно независимо в соответствии с таблицей 1.

6.4.11 Аудит функциональной безопасности

6.4.11.1 Для устройств и элементов, у которых наибольшее значение УПБТС их требований безопасности равно (В), С или D, аудит функциональной безопасности должен быть выполнен в соответствии с 6.4.9 и должен быть завершен перед запуском в производство.

6.4.11.2 Лицо, ответственное за выполнение аудита функциональной безопасности, должно быть назначено в соответствии с 5.4.4 и 5.4.2.7.

6.4.11.3 Аудит функциональной безопасности может быть основан на обосновании того, достигнуты ли связанные с процессом цели комплекса стандартов ИСО 26262.

Примечание - Достижение цели комплекса стандартов ИСО 26262 рассматривается как выполнение соответствующих требований этих стандартов.

Пример - Цели требований раздела 6 определены в 6.1.

6.4.11.4 Лицо, ответственное за выполнение аудита функциональной безопасности, должно предоставить отчет, который содержит обоснование выполнения процессов, необходимых для обеспечения функциональной безопасности, на основе:

a) оценки выполнения процессов на соответствие определений действий, на которые делаются ссылки или которые непосредственно указываются в плане обеспечения безопасности;

b) оценки положений плана обеспечения безопасности на соответствие определенным для организации правилам и процессам (см. 5.5.1);

c) оценки доказательств, при наличии того, почему связанные с процессом цели комплекса стандартов ИСО 26262 достигнуты.

Примечания

1 Лица, ответственные за действия по безопасности, могут обеспечить доказательство достижения соответствующих целей комплекса стандартов ИСО 26262 для содействия аудиту функциональной безопасности, учитывая 6.4.11.3.

2 Выполнение всех соответствующих требований ИСО 26262 является достаточным обоснованием того, что цели ИСО 26262 достигнуты;

d) оценки того, доступны ли результаты работы, требуемые планом обеспечения безопасности;

e) оценки того, удовлетворяют ли результаты работы, требуемые планом обеспечения безопасности, требованиям 10.4.3 ИСО 26262-8 и согласованы ли они между собой;

f) рекомендаций по усовершенствованию согласно 5.4.2.6, если возможно, например в случае несоответствий.

Примечания

1 Аудит функциональной безопасности может быть выполнен вместе или синхронизирован с оценкой SPICE  ¹⁾ (Software Process Improvement and Capability Determination) для транспортных средств (см. также комплекс стандартов ИСО/МЭК 33000). Однако оценки SPICE недостаточно, чтобы выполнить оценку функциональной безопасности в соответствии с 6.4.12.

------------------------------

¹⁾_{SPICE - пример коммерчески доступного продукта в автомобильной промышленности. Данный пример приведен для удобства пользователей настоящего стандарта и не является фактом одобрения ИСО данной продукции.}

------------------------------

2 Определения процессов организации можно найти сразу в нескольких стандартах, например требования к процессу управления конфигурацией можно найти в настоящем комплексе стандартов и SPICE. Эта координация процессов может помочь избежать дублирования работ или несоответствий процесса. Для таких скоординированных процессов могут быть сформированы специальные для организации перекрестные ссылки процесса к требованиям настоящего комплекса стандартов и SPICE для транспортных средств.

3 Аудит функциональной безопасности целесообразно выполнять на ранней стадии проекта, так как это позволяет определить слабые места в процессах.

6.4.12 Оценка функциональной безопасности

6.4.12.1 Для устройств и элементов, у которых наибольшее значение УПБТС их требований безопасности равно (В), С или D, оценка функциональной безопасности должна быть выполнена в соответствии с 6.4.9, чтобы оценить достигаемую устройством функциональную безопасность или вклад в достижение функциональной безопасности, осуществляющийся разрабатываемыми элементами.

6.4.12.2 Оценка функциональной безопасности может быть основана на выполнении обоснования того, достигнуты ли цели комплекса стандартов ИСО 26262.

Примечание - Достижение цели комплекса стандартов ИСО 26262 рассматривается как выполнение во время разработки соответствующих требований этих стандартов с учетом современного состояния применяемых технических решений и используемых технических знаний в рассматриваемой предметной области.

Пример - Цели требований раздела 6 определены в 6.1.

6.4.12.3 Оценка функциональной безопасности:

a) должна быть запланирована в соответствии с 6.4.6.5, перечисление f);

b) должна быть запланирована не позднее начала разработки нового изделия на уровне системы;

c) должна выполняться постепенно в процессе разработки нового изделия;

d) должна быть завершена перед запуском в производство.

Пример - Программа для оценки функциональной безопасности приведена в приложении D.

6.4.12.4 В соответствии с 5.4.2.7 и 5.4.4 для выполнения оценки функциональной безопасности должно быть назначено одно или несколько лиц. Назначенные лица должны предоставить отчет, содержащий заключение о достижении функциональной безопасности.

6.4.12.5 Лицам, ответственным за выполнение оценки функциональной безопасности, должны быть предоставлены полномочия на выполнение оценки функциональной безопасности с правом действовать по своему усмотрению, включая рассмотрение:

a) широты и глубины, с которыми оцениваются действия по безопасности и их результаты, находящиеся в области применения оценки функциональной безопасности в соответствии с 6.4.12.7;

b) информации, которая будет доступна в соответствии с 6.4.9.3;

c) признанной необходимой поддержки для выполнения оценки функциональной безопасности в соответствии с 6.4.9.2, такой как доступ к лицам, ответственным за соответствующий результат работы.

6.4.12.6 Для выполнения оценки функциональной безопасности в соответствии с 6.4.9.2 и 5.4.4 эксперт по функциональной безопасности может назначить одного или несколько помощников. Такие лица могут оказаться недостаточно независимыми от разработчиков соответствующего устройства, элементов или результатов работы, но их независимость должна быть по меньшей мере соответствовать II, как определено в таблице 1, а эксперт должен предоставить обоснование их привлечения, чтобы гарантировать беспристрастность результирующего мнения.

Примечание - Эксперт по функциональной безопасности остается ответственным за результаты оценки функциональной безопасности.

6.4.12.7 Область применения оценки функциональной безопасности должна включать:

a) план обеспечения безопасности и результаты работы, которые будут получены в соответствии с этим планом.

Примечания

1 Эксперт по функциональный безопасности может установить уровень детализации, с которым рассматривается конкретный результат работы. Однако результаты работы, которые требуются планом обеспечения безопасности и перечислены в таблице 1, заслуживают особого внимания.

2 Эксперт по функциональной безопасности рассматривает, адекватно ли реализовано управление требованиями (см. раздел 6 ИСО 26262-8), включая прямую и обратную прослеживаемость.

3 Экспертиза соответствующих результатов работы включает подтверждение достижения цели ИСО 26262 (см. 6.4.12.2);

b) процессы, необходимые для обеспечения функциональной безопасности.

Примечание - Оценка выполняемых процессов может быть основана на результатах аудита функциональной безопасности и, если таковые имеются, необходимых корректирующих действиях;

c) рассмотрение целесообразности и эффективности выполненных или реализованных мер безопасности, которые могут быть оценены в ходе разработки устройства или элемента.

Примечание - Оценка функциональной безопасности проверяет пригодность требований, связанных с производством, эксплуатацией, обслуживанием и выводом из эксплуатации. Для производства корректное применение таких требований проверяется во время анализа возможностей производственного процесса (см. 5.4.2.2 ИСО 26262-7 и 6.4.1.3 ИСО 26262-7);

d) доказательства, при наличии того, почему достигается функциональная безопасность при достижении соответствующих целей комплекса стандартов ИСО 26262.

Примечания

1 Лица, ответственные за создание результатов работы, могут обеспечить доказательство того, почему соответствующие цели комплекса стандартов ИСО 26262 достигнуты, чтобы содействовать оценке функциональный безопасности, учитывая 6.4.12.2.

2 Выполнение всех соответствующих требований ИСО 26262 является достаточным обоснованием того, что цели ИСО 26262 достигнуты;

e) доказательство, приведенное в обосновании безопасности;

f) обоснование для устранения нарушения безопасности в соответствии с 5.4.3.

Примечание - В случае распределенной разработки действия по оценке функциональной безопасности выполняются заказчиком и его поставщиками (см. раздел 5 ИСО 26262-8). Оценка функциональной безопасности поставщика обосновывает, выполнены ли требования безопасности у поставщика и вклад в достижение функциональной безопасности разрабатываемыми элементами или результатами работы. Поставщик предоставляет отчеты об оценке функциональной безопасности заказчику для основных этапов в форме, определенной в соглашении о разработке (см. 5.4.5 ИСО 26262-8). Оценка функциональной безопасности у заказчика выполняется рассмотрением его отчетов об оценке безопасности (см. 6.4.12.8). Наконец, если заказчик является производителем транспортных средств, то оценка функциональной безопасности включает доказательство о достигнутой функциональной безопасности устройства, интегрированного в целевое транспортное средство.

6.4.12.8 Оценка функциональной безопасности должна рассматривать:

a) планирование других мер подтверждения [см. 6.4.6.5, перечисление f)];

b) результаты оценок подтверждения и аудита функциональной безопасности;

c) рекомендации, полученные в результате предыдущих оценок функциональной безопасности и выполненных корректирующих действий, если необходимо (см. 6.4.12.9, 6.4.12.13 и 8.4.5.2 ИСО 26262-8);

d) результаты действий по оценке функциональной безопасности для элементов или результатов работы, разрабатываемых поставщиками, на основе соглашения о разработке в соответствии с требованиями раздела 5 ИСО 26262-8, при необходимости.

6.4.12.9 Отчет об оценке функциональной безопасности должен включать в себя рекомендации по принятию, условному принятию или отказу в достижении функциональной безопасности устройством или вкладу в функциональную безопасность устройства разрабатываемых элементов или результатов работы.

6.4.12.10 Отчет об оценке функциональной безопасности в соответствии с 6.4.12.9 может включать в себя рекомендацию по условному принятию в том случае, если достигается функциональная безопасность устройства или достигается необходимый вклад в функциональную безопасность разрабатываемыми элементами или результатами работы, а также требование по обязательному выполнению определенных условий для принятия.

Примечание - В случае распределенной разработки (см. раздел 5 ИСО 26262-8) отчет об оценке функциональной безопасности поставщика включает в себя такую рекомендацию для принятия, условного принятия или отказа для разрабатываемых элементов или результатов работы.

6.4.12.11 В случае рекомендации для условного принятия в соответствии с 6.4.12.10 отчет об оценке функциональной безопасности должен включать в себя условия для принятия.

6.4.12.12 Если рекомендацией, содержащейся в отчете об оценке функциональной безопасности согласно 6.4.12.10, является условное принятие достигнутой функциональной безопасности, то должны быть выполнены корректирующие действия, необходимые для решения проблем, связанных с условиями для принятия, которые были документально оформлены в отчете об оценке функциональной безопасности.

6.4.12.13 Если рекомендацией, содержащейся в отчете об оценке функциональной безопасности в соответствии с 6.4.12.9, является отказ в достижении функциональной безопасности, то:

a) должны быть выполнены адекватные корректирующие действия и

b) оценка функциональной безопасности должна быть выполнена повторно.

6.4.13 Запуск в производство

6.4.13.1 Обоснование безопасности в соответствии с 6.4.8 должно быть выполнено до запуска в производство.

6.4.13.2 Необходимые отчеты о мерах подтверждения в соответствии с 6.4.9-6.4.12 должны быть доступны до запуска в производство.

6.4.13.3 Запуск в производство устройства или элементов должен быть одобрен только при наличии подтвержденной уверенности в достижении функциональной безопасности.

Примечание - Подтверждение уверенности в достижении функциональной безопасности может быть представлено:

- результатами мер подтверждения, в частности рекомендацией, включенной в отчет об оценке функциональный безопасности, при наличии оснований в соответствии с 6.4.12.9; и

- обоснованием безопасности.

6.4.13.4 Документация по функциональной безопасности для запуска в производство должна включать следующую информацию:

a) имя и подпись лица, ответственного за запуск;

b) версии запускаемого устройства или элементов;

c) конфигурация запускаемого устройства или элементов;

d) дата запуска.

6.4.13.5 При запуске в производство должны быть разработаны и документально оформлены базовая версия встроенного программного обеспечения, включая данные о калибровке, и базовая конфигурация аппаратных средств в соответствии с требованиями раздела 10 ИСО 26262-8.

6.5 Результаты работы

6.5.1 Анализ влияния на уровне устройства

Результат 6.4.3.

6.5.2 Анализ влияния на уровне элемента, если необходимо

Результат 6.4.4.

6.5.3 План обеспечения безопасности

Результат 6.4.5-6.4.13.

6.5.4 Обоснование безопасности

Результат 6.4.8.

6.5.5 Отчеты о мерах подтверждения

Результат 6.4.9-6.4.12.

6.5.6 Отчет о запуске в производство

Результат 6.4.13.

7 Менеджмент функциональной безопасности на стадиях производства, эксплуатации, обслуживания и вывода из эксплуатации

7.1 Цель

Целью настоящего раздела является определение ответственности организаций и лиц, отвечающих за достижение и поддержку функциональной безопасности на стадиях производства, эксплуатации, обслуживания и вывода из эксплуатации.

7.2 Общие положения

См. 5.2.

7.3 Входная информация

7.3.1 Предварительные требования

Должна быть доступна следующая информация:

- определенные для организации правила и процессы для реализации функциональной безопасности в соответствии с 5.5.1;

- подтверждение управления компетентностью в соответствии с 5.5.2;

- подтверждение системы менеджмента качества в соответствии с требованиями 5.5.3;

- отчет о запуске в производство в соответствии с 6.5.6.

7.3.2 Дополнительная информация

Не задается.

7.4 Требования и рекомендации

7.4.1 Общие положения

Требования 7.4.2 применяются к организациям, участвующим в производстве, эксплуатации, обслуживании и выводе из эксплуатации устройств или элементов устройств.

7.4.2 Обязанности, планирование и необходимые процессы

7.4.2.1 Организация должна назначить лиц, возлагая на них обязанности и предоставляя им соответствующие полномочия в соответствии с требованиями 5.4.2.8, для достижения и поддержки функциональной безопасности устройства в процессе его производства, эксплуатации, обслуживания и вывода из эксплуатации.

7.4.2.2 Мероприятия по обеспечению функциональной безопасности устройства и его элементов на стадиях производства, эксплуатации, обслуживания и вывода из эксплуатации необходимо:

a) запланировать в соответствии с требованиями раздела 5 ИСО 26262-7;

b) инициировать во время разработки изделия на уровне системы в соответствии с ИСО 26262-4;

c) выполнить в соответствии с требованиями разделов 6 и 7 ИСО 26262-7.

7.4.2.3 Организация должна устанавливать, выполнять и поддерживать соответствующие процессы в целях достижения и поддержки функциональной безопасности устройства на стадиях его производства, эксплуатации, обслуживания и вывода из эксплуатации.

Примечание - Эти процессы включают процесс полевого мониторинга функциональной безопасности устройства. См. ИСО 26262-7.

7.4.2.4 Если в устройстве произошли изменения во время производства, эксплуатации, обслуживания и вывода из эксплуатации, то в соответствии с 6.4.13 его запуск в производство должен быть соответственно обновлен.

Примечание - Эти изменения выполняются процедурой управления изменениями (см. раздел 8 ИСО 26262-8).

7.5 Результаты работы

7.5.1 Подтверждение менеджмента функциональной безопасности на стадиях производства, эксплуатации, обслуживания и вывода из эксплуатации

Результат 7.4.2.

Библиография

[1]	ISO 26262-10	Guidelines on ISO 26262
[2]	ISO 26262-12	Adaptation of ISO 26262 for motorcycles
[3]	ISO 9001	Quality management systems - Requirements
[4]	IATF 16949	Quality management system requirements for automotive production and relevant service parts organizations
[5]	ISO/IEC 33000 (all parts)	Information technology - Process assessment
[6]	IEC 61508 (all parts)	Functional safety of electrical/electronic/programmable electronic safety-related systems
[7]	ISO/IEC 27001	Information technology - Security techniques - Information security management systems - Requirements
[8]	ISO/IEC 15408 (all parts)	Information technology - Security techniques - Evaluation criteria for IT security
[9]	SAE J3061	Cybersecurity Guidebook for Cyber-Physical vehicle Systems
[10]	No S.S. 75-INSAG-4 International Atomic Energy Agency, Vienna, 1991
[11]	United Kingdom Health and Safety Executive. Managing competence for safety-related systems, 2007
[12]	Automotive SPICE [viewed 2017-10-11]. Доступно на: http://www.automotivespice.com
[13]	CMMI for Development [viewed 2017-10-11]. Доступно на: http://www.cmmiinstitute.com/resources