Seguridad en la movilidad eléctrica: ¿Qué es ASIL-D?

Seguridad en la movilidad eléctrica: ¿Qué es ASIL-D?

En el desarrollo riguroso de  las técnicas de diseño avanzadas para plasmar de manera eficiente la arquitectura de sistemas integrados y los requisitos obligatorios asociados a los vehículos eléctricos, se deben implementar varios componentes de software críticos para la seguridad.

Entonces detrás de cada componente complejo de un sistema electrificado hay una necesidad de un controlador de software inteligente y seguro que gestione el rendimiento y la seguridad del sistema durante la vida útil del componente y del sistema. Las soluciones para la electrificación de trenes motrices deben  proporcionar un flujo de desarrollo completo desde el nivel del sistema hasta el nivel del software, incluida la simulación, el desarrollo basado en modelos, el análisis de seguridad funcional y el desarrollo de software integrado. Para garantizar que el tren motriz se comporte como se espera de acuerdo con las normas más estrictas, se deben cumplir los niveles de normas de seguridad como ISO 26262 hasta ASIL D.

 

ASIL D

Es una clasificación de riesgo automotriz que forma parte del  estándar ISO  26262, que analiza los requisitos de seguridad funcional para todos los diferentes sistemas eléctricos y electrónicos de un vehículo. Representa el nivel más alto de gestión de riesgos, por lo que los componentes o sistemas que se desarrollan para ASIL-D se hacen con los requisitos de seguridad más estrictos.

ISO 26262, establecida originalmente en 2011 y actualizada en 2018, propone recomendaciones de integridad de proceso y diseño que cubren el ciclo de vida completo del producto para vehículos de carretera. Adapta las recomendaciones basadas en varios niveles de clasificación de riesgos, conocido como Nivel de Integridad de Seguridad Automotriz o ASIL, por sus siglas en inglés, (Automotive Safety Integrity Level). Hay cuatro niveles, que van desde ASIL-A (bajo riesgo) hasta ASIL-D (alto riesgo). También hay una clasificación llamada Gestión de calidad (QM), que indica que no es necesario implementar medidas adicionales de reducción de riesgos más allá del sistema de calidad aceptable de la industria.

Tres factores determinan el requisito de ASIL para un sistema en particular. El primero es la gravedad, es decir, si un sistema fallara, ¿qué tan graves podrían ser las consecuencias de seguridad para el conductor, los pasajeros o los peatones y vehículos cercanos? El segundo es la probabilidad de exposición: la probabilidad de una situación operativa que puede ser peligrosa si coincide con el modo de falla bajo análisis. Y el tercero es la capacidad de control: si el sistema fallara, ¿cuál es la capacidad de evitar un daño a través de las reacciones oportunas de las personas involucradas en la situación operativa (conductor, pasajeros o personas cercanas al vehículo).

En otras palabras, ASIL es un esquema de clasificación de riesgos según lo definido por la Norma de seguridad funcional automotriz ISO 26262 (seguridad de los vehículos de carretera). El estándar ISO 26262 es el estado del arte  en la industria automotriz y el mundo de la electrónica automotriz para el diseño de sistemas electrónicos en aplicaciones críticas para la seguridad. El mundo de la automoción se está moviendo hacia que los vehículos se conviertan en dispositivos críticos para la seguridad, especialmente porque se está moviendo hacia los mercados de vehículos eléctricos, así como hacia la conducción autónoma.

Esto se suma a la complejidad en el diseño eléctrico y electrónico, lo que agrega desafíos para integrar y probar de manera eficiente sistemas tan complejos que presentan riesgos potenciales para la seguridad humana. ISO 26262 es la adaptación de la serie de normas IEC 61508 para abordar las necesidades específicas del sector de los sistemas eléctricos o electrónicos (E/E) dentro de los vehículos de carretera. Todos los sistemas o subsistemas dentro de un vehículo pueden clasificarse usando una letra "A", "B", "C" o "D", y eso da una visión de más alto nivel de cuán crítico es un subsistema. Por ejemplo, un sistema de control de dirección (SCS) presenta un riesgo muy alto en caso de falla en situaciones en las que el vehículo está en movimiento. Si ocurre tal falla, tiene un alto potencial de causar daño a los humanos (incluido el conductor, los pasajeros, los peatones y otras personas en los vehículos circundantes). Por lo tanto, se clasifica con ASIL D ( alta seguridad).

Por el contrario, es probable que la falla de una radio no cause daño al conductor. Por lo tanto, se clasifica como ASIL A o gestión de la calidad (QM). QM se refiere a la consideración del estándar de que está por debajo de ASIL A en el que no hay relevancia de seguridad, y solo se requieren procesos QM estándar para cumplir con los requisitos relevantes. La norma ISO 26262 en realidad recomienda el análisis a nivel de sistema desde un nivel de vehículo para definir estos subsistemas y clasificarlos en consecuencia según su criticidad. La letra (ASIL A, B, C o D) que se asigna a un sistema depende de tres cosas principales: la probabilidad de exposición, la gravedad y la capacidad de control del sistema real. La definición  ASIL  es el resultado del estudio de un análisis de peligros y evaluación de riesgos, que se define en la Parte 3 (Fase de concepto) de la norma ISO 26262.

En resumen, ASIL se refiere tanto al riesgo como a los requisitos dependientes de  los mismos (tratamiento estándar de riesgo mínimo para una situación determinada).

 

ISO 26262

La ISO 26262 define un marco y un modelo de aplicación, así como las actividades, los métodos y los resultados. La aplicación de esta norma tiene como objetivo garantizar la seguridad funcional de un sistema eléctrico/electrónico en un vehículo. Este estándar se deriva de la norma IEC 61508 para su uso específico en el sector del automóvil.

Está compuesta por doce capítulos, que cubren los siguientes contenidos: Glosario,

Gestión de la seguridad funcional,  Fase de concepto, Desarrollo del producto a nivel de sistema, Desarrollo del producto a nivel de hardware, Desarrollo del producto a nivel de software, Producción, operación, mantenimiento y retiro del servicio, Procesos de apoyo, Análisis del ASIL y de aspectos de seguridad, Pautas de utilización de la norma.    Guía para semiconductores, Adaptación para motocicletas

 

La tercera sección contiene requisitos relacionados con la realización de un análisis de peligros y valoración de riesgos. Para la realización de este análisis se identifican las situaciones que representan un riesgo potencial sobre la base de sus probabilidades de ocurrencia, controlabilidad por parte del conductor. Se consideran todos los modos de funcionamiento y los posibles fallos del sistema, y en función de los valores de ocurrencia, control  y riesgo se determina el valor de ASIL para cada uno de las situaciones de peligro. Dicho valor estará comprendido entre A y D, salvo que se identifique como irrelevante para la seguridad (quality management - QM).

Conforme aumenta el nivel ASIL, aumenta la seguridad exigida, cuyas especificaciones se detallan en los capítulos siguientes. Para los riesgos de clase QM no se necesitan requisitos particulares, aparte de los ya contemplados por el sistema de gestión de calidad de los fabricantes del sistema, y que deben ser tratados en alguna norma de gestión de calidad como la ISO 9001 o la ISO/TS 16949.

 

Recopilación:

Ing. Ricardo Berizzo

Cátedra Movilidad Eléctrica

U.T.N. Regional Rosario                                                                                                 2021.-