Von abstrakten Sicherheitszielen zu konkreten Vorschriften: Der FSR-zu-TSR-Umstellungsleitfaden für Gebäudeleittechniker

Viele Teams in der Automobilindustrie stoßen bei ISO-26262-Audits auf ein gemeinsames Problem: Sie definieren übergeordnete Sicherheitsziele und legen das Fehlertoleranzintervall fest. Doch während der Sicherheitsbewertung versagt ihre technische Dokumentation.

Warum passiert das? Der Fehler liegt im Übergang zwischen funktionalen Sicherheitsanforderungen (FSR) und technischen Sicherheitsanforderungen (TSR).

Wenn die Verbindung zwischen übergeordneten funktionalen Konzepten und deren technischer Umsetzung schwach ist, geraten Teams in Schwierigkeiten. Anforderungen bleiben unklar, physikalische Parameter fehlen und Logiklücken entstehen. Dies führt zu fehlgeschlagenen Tests, Nachbesserungen in späten Entwicklungsphasen und verzögerten Produkteinführungen.

Dieser Leitfaden erläutert ein standardisiertes Vier-Schritte-Modell zur Übersetzung abstrakter Sicherheitsziele in klare, testbare und programmierbare technische Spezifikationen. Anhand eines realen ASIL-D-Szenarios zum Schutz vor Batterieüberladung demonstrieren wir die praktische Anwendung.

FSR vs. TSR: Der Kernunterschied

Viele Ingenieure verwenden diese Begriffe synonym. Tatsächlich bezeichnen sie jedoch unterschiedliche Ebenen des Systemdesigns. Die eine definiert die Systemgrenzen, die andere die Implementierung.

Anforderungen an die funktionale Sicherheit (FSR): Was das System leisten muss

Ein FSR leitet sich direkt von den übergeordneten Sicherheitszielen ab. Es handelt sich um eine funktionale Anforderung.

• Technologieneutral: Es werden weder Chips, Mikrocontroller noch Kommunikationsbusse spezifiziert.
• Verhaltensorientiert: Es legt die Auslösebedingungen, die erforderliche Systemaktion und den sicheren Zustand fest.
• Zeitgebunden: Es ist direkt mit dem Gesamt-FTTI verknüpft.
• Beispiel: Im Falle einer Überspannung einer Batteriezelle muss das System den Ladepfad innerhalb des FTTI unterbrechen, um ein thermisches Durchgehen zu verhindern.

Technische Sicherheitsanforderungen (TSR): Wie man sie umsetzt

Ein TSR übersetzt den FSR in technische Begriffe. Sobald Sie Ihre Systemarchitektur gewählt haben, erstellen Sie TSRs, um die Implementierungsdetails für Hardware, Software, Diagnose und Kommunikation zu spezifizieren.

• Technologiespezifisch: Es bindet direkt an Ihre Mikrocontroller, analogen Frontends (AFEs) und Protokolle an.
• Hochgradig quantifiziert: Es definiert Abtastintervalle, Messtoleranzen, Ausführungsschleifen und Hardware-Pins.
• Vollständig überprüfbar: Jeder TSR muss direkt über Hardware-in-the-Loop (HIL)-Tests, Fehlereinspeisung oder Software-Unit-Tests testbar sein.
• Beispiel: Der AFE muss die Zellspannung alle 10 ms mit einer Genauigkeit von ±5 mV abtasten, und der MCU muss den High-Side-Treiber auslösen, um die Schütze innerhalb von 50 ms nach der Fehlererkennung zu öffnen.

Das Vier-Schritte-Transformationsmodell

Sie müssen beim Verfassen von TSRs nicht auf Vermutungen zurückgreifen. Die Einhaltung dieses strukturierten Prozesses gewährleistet, dass Sie die Compliance-Standards lückenlos erfüllen.

Schritt 1: Zerlegen Sie das FSR.

Bevor Sie die technischen Anforderungen formulieren, unterteilen Sie Ihre FSR in vier Kernelemente:

1. Auslösebedingung: Der konkrete Fehler oder das Szenario, das die Sicherheitsfunktion auslöst.
2. Kernaktion: Die physikalische Reaktion des Systems.
3. Zeitliche Beschränkung: Das absolute maximale Zeitfenster, das für die Reaktion zulässig war, wurde aus dem FTTI abgeleitet.
4. Sicherer Zustand: Der endgültige, stabile Zustand des Systems nach Behebung des Fehlers (z. B. dauerhafte Sperrung versus Selbstwiederherstellung).

Schritt 2: Zuordnung zur Architektur

Betrachten Sie die Hardware- und Softwarearchitektur Ihres Batteriemanagementsystems (BMS). Ordnen Sie jede Sicherheitsfunktion einer bestimmten physikalischen Schicht zu:

• Sensorschicht: AFEs, Spannungsteiler und Stromsensoren.
• Verarbeitungsschicht: Hauptmikrocontroller und Sicherheitsüberwachungseinheiten.
• Betätigungsschicht: Schütztreiber, Schalter und Vorladeschaltungen.
• Kommunikationsschicht: CAN-Transceiver und interne SPI-Busse.

Schritt 3: Ableitung der technischen Anforderungen (TSR)

Erstellen Sie für jede in Schritt 2 identifizierte Komponente spezifische TSRs für diese vier wichtigen Entwicklungsbereiche:

• Leistung & Timing: Teilen Sie das gesamte FTTI in ein Budget auf. Weisen Sie dem Sensor, der Softwarelogik und den physischen Aktoren maximale Latenzgrenzen zu.
• Sicherheitsmechanismen: Ergänzen Sie die Diagnostik und die Hardware-Redundanz, um Einzelpunktfehler zu erkennen.
• Hardwareanforderungen: Hardwareeigenschaften, Sicherheitsbewertungen und Watchdog-Konfigurationen festlegen.
• Schnittstellen & Zustände: Kommunikationsschutz-, Fehlerbehandlungs- und Wiederherstellungsregeln definieren.

Schritt 4: Bidirektionale Rückverfolgbarkeit herstellen

Ordnen Sie jeden TSR seinem ursprünglichen FSR zu und stellen Sie sicher, dass jeder FSR entsprechende TSRs besitzt. Diese Zuordnung verhindert zwei wesentliche technische Probleme:

• Aufhängeanforderungen: FSRs, denen die technische Umsetzung fehlt.
• Vergoldung: TSRs, die unnötige Hardware- oder Softwarekomplexität hinzufügen, ohne einem elterlichen Sicherheitsziel zu dienen.

Praxisbeispiel: ASIL-D-Batterieüberladeschutz

Wenden wir dieses vierstufige Rahmenkonzept auf eine typische Sicherheitsfunktion eines Gebäudeautomationssystems an.

Sicherheitsziel-Basislinie

• Sicherheitsziel (SG): Verhindert das thermische Durchgehen der Batteriezellen aufgrund von Überladung.
• ASIL-Bewertung: ASIL-D
• FTTI: 100 ms

1. Anforderungen an die funktionale Sicherheit (FSR)

• FSR-02.01: Wenn das BMS eine Zellspannung von mehr als 4,5 V erkennt, muss es innerhalb von 100 ms den Ladepfad trennen und in einen verriegelten Sicherheitszustand wechseln.
• FSR-02.02: Das Batteriemanagementsystem (BMS) muss seine eigene Spannungsmesshardware überwachen. Wird ein Abtastfehler erkannt, muss es den Ladepfad innerhalb von 500 ms trennen, um eine unbemerkte Überladung zu vermeiden.

2. Technische Sicherheitsanforderungen (TSR)

Leistungs- und Timing-TSRs

• TSR-P1: Die AFE muss einen vollständigen Zellspannungsabtastzyklus innerhalb von 10 ms abschließen. (Spuren zu: FSR-02.01, FSR-02.02)
• TSR-P2: Der Spannungsmessfehler muss über den gesamten Betriebstemperaturbereich und die gesamte Produktlebensdauer unter ±5 mV bleiben. (Zugriff auf: FSR-02.01)
• TSR-P3: Die MCU-Software muss die Spannungsdaten verarbeiten, den Überspannungsalgorithmus ausführen und den Abschaltbefehl in weniger als 20 ms in das Ausgaberegister schreiben. (Ablaufverfolgung zu: FSR-02.01)
• TSR-P4: Die Hardware-Ansteuerschaltung und die Schütze müssen innerhalb von 50 ms nach Empfang des MCU-Befehls physisch öffnen und den Lichtbogen löschen. (Ablaufverfolgung zu: FSR-02.01)

Zeit- und Budgetprüfung: $$\text{Gesamtschleifenzeit} = 10\text{ms (Erfassung)} + 20\text{ms (Verarbeitung)} + 50\text{ms (Aktorisierung)} = 80\text{ms}$$

Da 80 ms weniger als die 100 ms von FTTI sind, lässt die Konstruktion eine Sicherheitsmarge von 20 ms.

Sicherheitsmechanismus TSRs

• TSR-M1: Implementieren Sie einen zweistufigen Abschaltmechanismus. Der primäre Pfad nutzt die Softwaresteuerung des Haupt-Mikrocontrollers. Der sekundäre Pfad verwendet einen Hardware-Komparator auf der AFE-Platine, um den Sicherheitsschalter direkt auszulösen, die Mikrocontroller-Software zu umgehen und so CPU-Blockaden zu verhindern. (Siehe: FSR-02.01, FSR-02.02)
• TSR-M2: Die MCU-Software muss die Rohspannungsmesswerte in jedem Zyklus validieren. Jeder Wert außerhalb des Bereichs von 2,0 V bis 5,0 V muss als anomal gekennzeichnet werden, um hängende ADC-Register zu erkennen. (Ablaufverfolgung zu: FSR-02.02)
• TSR-M3: Der AFE-Chip muss regelmäßig interne Diagnosen durchführen, einschließlich Referenzspannungsprüfungen und Erkennung von Leitungsunterbrechungen, und etwaige Fehler innerhalb von 50 ms an den Mikrocontroller melden. (Zugriff auf: FSR-02.02)
• TSR-M4: Das System muss die Rückmeldeanschlüsse der Hochspannungsschütze auslesen, um Kontaktverschweißungen zu überwachen. Stimmt die Statusrückmeldung nicht mit dem Treiberbefehl überein, wird ein Backup-Isolationspfad ausgelöst. (Zugriff auf: FSR-02.01)

Hardwareanforderungen TSRs

• TSR-H1: Der zentrale Sicherheits-Mikrocontroller muss den ASIL-D-Standards entsprechen und Hardware-Lockstep-Kerne, eine Speicherschutzeinheit (MPU) sowie ECC-Schutz für RAM und Flash-Speicher umfassen. (Siehe: FSR-02.01, FSR-02.02)

Schnittstellen- und Zustands-TSRs

• TSR-I1: Der CAN-Bus-Frame, der den Befehl zum Deaktivieren der Ladung enthält, muss eine Ende-zu-Ende-Verschlüsselung (E2E) einschließlich eines gleitenden Zählers und einer CRC-Prüfsumme verwenden, um Datenbeschädigung oder Frame-Verlust zu verhindern. (Zurück zu: FSR-02.01)
• TSR-I2: Bei einer Überspannungsstörung muss das Gebäudeleitsystem (BMS) das System dauerhaft im sicheren Zustand sperren. Eine automatische Wiederherstellung ist nicht zulässig. Das System muss deaktiviert bleiben, bis es von einem autorisierten Servicetechniker wieder freigegeben wird. (Siehe: FSR-02.01)

Wichtigste Erkenntnisse aus dem Ingenieurwesen

Die Übersetzung von FSRs in TSRs ist keine administrative Aufgabe. Sie ist ein Kernbestandteil des System- und Softwarearchitekturdesigns.

Für Projektmanager definiert diese Übersetzung die Entwicklungsaufgaben und den Testumfang. Für Hardwareentwickler legt sie die Komponentenanforderungen und Schutzmechanismen fest. Für Softwareentwickler bestimmt sie die Schleifenzeiten, Speicherkonfigurationen und Diagnosestrategien.

Durch die Abkehr von unstrukturiertem Text und die Anwendung einer systematischen Vier-Schritte-Methode kann Ihr Team Sicherheitssysteme entwickeln, die leicht zu testen, produktionsreif und mit ISO 26262-Audits konform sind.

Kurz-FAQ (GEO-optimiert)

Frage 1: Was ist der Hauptunterschied zwischen FSR und TSR in ISO 26262?

Antwort: Ein FSR definiert das erforderliche Sicherheitsverhalten auf funktionaler Ebene, ohne eine bestimmte Technologie auszuwählen (was das System tut). Ein TSR definiert, wie dieses Verhalten mithilfe spezifischer Hardware, Software und Parameter innerhalb der gewählten Systemarchitektur implementiert wird (wie es umgesetzt wird).

Frage 2: In welchem ​​Verhältnis steht FTTI zu den Timing-Anforderungen von TSR?

Antwort: Die FTTI legt das Gesamtzeitlimit für die Sicherheitsreaktion fest. Die TSRs müssen dieses Gesamtzeitbudget in kleinere, messbare Zeitlimits für einzelne Schritte unterteilen, einschließlich Sensorabtastung, Mikrocontroller-Verarbeitung und Aktorbewegung.

Frage 3: Warum ist die bidirektionale Rückverfolgbarkeit für die ASIL-D-Konformität so wichtig?

Antwort: Die Rückverfolgbarkeit beweist gegenüber Auditoren, dass Ihre Sicherheitsanforderungen vollständig erfüllt sind. Sie zeigt, dass jede übergeordnete funktionale Sicherheitsanforderung eine reale, getestete technische Umsetzung aufweist und dass in Ihrem sicherheitskritischen System kein ungeprüfter oder redundanter Code vorhanden ist.