對于我們這些從事嵌入式軟件汽車領(lǐng)域的人來說，我們公司的成敗在很大程度上取決于滿足安全要求。如果我們不使用經(jīng)過驗證的開發(fā)方法來開發(fā)代碼來確保安全，我們充其量只會倒閉;在最壞的情況下，我們可能導(dǎo)致財產(chǎn)破壞，傷害甚至死亡。隨著汽車向自動駕駛車輛發(fā)展，硬件和軟件的功能安全性是軟件開發(fā)人員、工程師、經(jīng)理和高管最關(guān)心的問題。沒有不折不扣的安全性，就沒有自動駕駛汽車。

功能安全是系統(tǒng)或設(shè)備響應(yīng)其輸入的正確操作。當(dāng)功能安全得到滿足時，該系統(tǒng)消除了所有不可接受的風(fēng)險，并且不會對乘員造成傷害的威脅。不幸的是，由于嵌入式軟件通常非常復(fù)雜，因此很難減輕所有風(fēng)險。

汽車行業(yè)的安全標(biāo)準(zhǔn)ISO 26262定義了開發(fā)軟件以降低風(fēng)險和生產(chǎn)更安全軟件的方法。ISO 26262中定義的功能安全是為車輛中的每個電氣或電子系統(tǒng)設(shè)置安全目標(biāo)的方法。這些目標(biāo)使用汽車安全完整性等級（ASIL）分類按嚴重程度進行分類。這些級別由風(fēng)險級別確定，其中 ASIL A 是最低嚴重性，ASIL D 是最大。例如，ASIL A 風(fēng)險可能是 DVD 播放機出現(xiàn)故障（沒有受傷的機會），而意外的安全氣囊展開是 ASIL D 風(fēng)險。想象一下，在高速公路上以55英里/小時的速度進行部署：嚴重傷害和無法控制的可能性非常大。

ASIL是在開發(fā)過程開始時確定的。ASIL 用于定義系統(tǒng)必須滿足的安全目標(biāo)。每個ASIL都是通過檢查事故的可能嚴重程度，暴露時間以及車輛在這種情況下的可控性來確定的。ASIL迫使設(shè)計人員提出這樣一個問題：“如果出現(xiàn)功能故障，操作員、相關(guān)道路使用者和周圍環(huán)境會發(fā)生什么變化？

該標(biāo)準(zhǔn)定義了開發(fā)軟件的方法，使其滿足功能安全要求。這些要求包括軟件開發(fā)過程的管理、可追溯性、風(fēng)險管理和質(zhì)量保證。公司必須實施嚴格的過程控制。

那么，如何開發(fā)具有這些嚴格要求的產(chǎn)品呢？

確保功能安全的工具

大多數(shù)軟件錯誤和問題都是由于需求不足和流程管理不善造成的。不良的需求會導(dǎo)致功能實現(xiàn)不正確或不可靠，從而導(dǎo)致功能安全失敗。當(dāng)一個功能被錯誤地實現(xiàn)時，它可能會干擾其他軟件功能，違反ISO 26262的“主要指令”，即不受干擾。

靜態(tài)分析可用于在軟件引起干擾時查找錯誤。使用靜態(tài)分析的主要優(yōu)點之一是，您可以在完成模塊準(zhǔn)備就緒后立即開始分析。分析可以繼續(xù)，直到整個產(chǎn)品代碼集完成。

可以對源代碼或目標(biāo)代碼執(zhí)行靜態(tài)分析。分析二進制文件有一些優(yōu)點。例如，它不依賴于所使用的編譯器或匯編程序。它還可以揭示編譯器或匯編程序在沒有源代碼的情況下引入的錯誤。

但是，由于缺乏有關(guān)編譯器以及它如何優(yōu)化代碼的信息，因此無法進行某些分析。此外，您無法將錯誤追溯到源代碼中的違規(guī)點，因此糾正錯誤幾乎沒有用處。

因此，使用源代碼時，分析質(zhì)量會大大提高。使用源代碼，您確實可以將故障追溯到故障發(fā)生的點。當(dāng)然，您必須具有可用的源代碼才能運行靜態(tài)分析。

靜態(tài)分析顯示，ASIL 函數(shù)在未經(jīng)許可的情況下非法嘗試訪問受保護內(nèi)存會受到干擾。您可以想象在自動駕駛車輛甚至當(dāng)前車輛中損壞受保護內(nèi)存的后果。如果您點擊DVD播放按鈕而不是更改巡航控制設(shè)置，可能會導(dǎo)致不好的事情！

靜態(tài)分析確保不受干擾

靜態(tài)分析不能取代硬件和軟件驗證，但對于防止應(yīng)用中的干擾非常有價值。它可以在源代碼中找到違反ISO 26262要求的錯誤。通過在開發(fā)代碼時發(fā)現(xiàn)問題，驗證通?？梢愿斓剡M行。具有 SIL 感知功能的靜態(tài)分析涵蓋了完整的代碼庫。您可以在編寫完第一個軟件元素后立即開始分析，然后繼續(xù)分析，直到所有軟件都集成到系統(tǒng)中。

審核編輯：郭婷