"Vẫn chạy tốt" là chưa đủ. Rủi ro phải được quản lý có chủ đích
Hệ thống pin chứa năng lượng lớn. Đây không phải một chi tiết kỹ thuật nhỏ, mà là thực tế kỹ thuật liên quan trực tiếp đến sức khỏe và tính mạng con người.
Thế nhưng ở nhiều doanh nghiệp vừa và nhỏ, an toàn chức năng trong hệ thống pin vẫn bị xem là chuyện phụ. Đáng lẽ phải là một phần tự nhiên của quá trình phát triển sản phẩm, nó lại thường bị gác lại, làm nửa vời, hoặc chẳng bộ phận nào trong công ty thực sự chịu trách nhiệm.
Vấn đề không nằm ở kỹ thuật, mà ở cách nghĩ
Cách làm thường gặp là thế này:
- Sản phẩm đang chạy, đừng động vào
- Quy định không bắt buộc rõ ràng
- Khách hàng không đòi chứng nhận
Thoạt nghe thì có vẻ thực tế. Nhưng sự thật quan trọng lại rất đơn giản:
Hệ thống chạy được không có nghĩa là rủi ro của nó đã được kiểm soát.
Cách nghĩ này thường giải quyết được chuyện trước mắt. Gặp may thì nó còn giúp doanh nghiệp đi thêm được một đoạn. Nhưng đó không phải là cách làm kỹ thuật có chủ đích, đủ cơ sở để bảo vệ trước người khác. Điều này càng quan trọng với những hệ thống có:
- BMS và hệ thống pin
- Mật độ năng lượng cao
- Phần cứng và phần mềm tương tác phức tạp
- Nhiều kịch bản lỗi khác nhau
Khi chưa hiểu rõ rủi ro xuất hiện ở đâu, lúc nào và theo cách nào, việc phát triển sản phẩm vẫn còn rất mong manh.
An toàn chức năng là gì, và không phải là gì
An toàn chức năng không phải là:
- Một mục tiêu để lấy chứng nhận
- Việc bắt buộc mọi sản phẩm phải tuân thủ đầy đủ
- Chỉ là chuyện giấy tờ
An toàn chức năng là:
- Làm cho rủi ro hiện ra rõ ràng
- Trả lời được hệ thống trở nên nguy hiểm ở đâu, lúc nào và theo cách nào
- Ra quyết định dựa trên lập luận kỹ thuật, không dựa trên cảm tính
- Giữ kiến thức kỹ thuật lại trong công ty, không để nó nằm trong đầu từng cá nhân
Nói gọn lại, an toàn chức năng là một văn hóa kỹ thuật.
Một sự thật cần nói thẳng: ISO 26262 không dễ
Áp dụng ISO 26262 trọn vẹn từ đầu đến cuối:
- Mất nhiều thời gian
- Cần khối lượng hồ sơ lớn
- Đòi hỏi làm kỹ thuật có kỷ luật
- Càng lên cấp ASIL cao, chi phí càng tăng
Vì vậy nhiều nhóm kỹ thuật bị kẹt giữa hai thái cực: "thôi chưa làm" hoặc "làm đầy đủ thì quá phức tạp và quá tốn kém". Nhưng thực tế không chỉ có hai lựa chọn đó.
Vì sao eMOBINO xây dựng gói khởi đầu an toàn chức năng
Khoảng trống chúng tôi gặp nhiều nhất rất rõ: nhiều nhóm không biết bắt đầu từ đâu. An toàn chức năng hoặc bị hoãn mãi, hoặc được làm rời rạc, thiếu kiểm soát. Điều cần có là một điểm khởi đầu:
- Vừa sức để quản lý
- Phù hợp với chính doanh nghiệp đó
- Có giá trị lâu dài
- Không phụ thuộc vào một vài cá nhân
Đó chính là lý do gói khởi đầu an toàn chức năng ra đời.
Gói này là gì, và không phải là gì
Gói này không phải phần mềm, cũng không phải phần cứng. Đây là một phương pháp được may đo cho sản phẩm và doanh nghiệp, một hướng dẫn thiết kế dùng lâu dài và một bộ tài liệu tham chiếu kỹ thuật dùng lại được trong nội bộ.
Mục tiêu không phải là gói an toàn chức năng trong một dự án, mà là đưa nó vào cách tư duy kỹ thuật của cả công ty.
Phạm vi: bộ tài liệu khởi đầu theo ISO 26262
Gói này bao quát các mục 3.5, 3.6, 3.7, 4.5 và 4.6 của ISO 26262, gồm:
- Xác định kiến trúc hệ thống
- Xác định kiến trúc BMS
- Rà soát kiến trúc
- Định nghĩa đối tượng (item definition)
- Cây chức năng và cây lỗi
- Phân tích mối nguy và đánh giá rủi ro (HARA)
- Xác định mục tiêu an toàn, kèm cấp ASIL
- Kiến trúc an toàn kỹ thuật của BMS
- FMEA cấp hệ thống cho BMS
- Rà soát khái niệm an toàn chức năng
- Yêu cầu an toàn chức năng cấp hệ thống cho BMS
- Rà soát yêu cầu an toàn chức năng của BMS
Mục tiêu
Mục tiêu không phải là có chứng nhận ASIL-D ngay từ ngày đầu. Mục tiêu là nâng mức độ trưởng thành kỹ thuật trong hệ thống pin, và xây dựng cách phát triển sản phẩm trong đó rủi ro được suy nghĩ thấu đáo và có thể chuyển giao cho những người đi sau.
Khi đã có nền móng này, các nhóm có thể đi từng bước tới an toàn chức năng đầy đủ từ đầu đến cuối, nếu và khi nào cần.
mustafa.simsek@emobino.com
www.emobino.com
