Tre considerazioni per la sicurezza e la protezione dei powertrain nel settore automobilistico

Autore: Bharat Rajaram, Director, Functional Safety, Texas Instruments
Coautore: Jürgen Belz, consulente senior per sicurezza funzionale e sicurezza informatica presso PROMETO

Le problematiche relative alla sicurezza funzionale ed alla protezione nell’elettronica automobilistica attirano sempre più attenzione, anche da parte degli enti di normazione: pertanto è importante che i progettisti nel settore automotive creino powertrain elettrici per autoveicoli con sicurezza funzionale e protetti. La sicurezza funzionale, la sicurezza informatica e la sicurezza in alta tensione svolgono un ruolo importante nella progettazione, nello sviluppo e nella produzione in serie dei moderni veicoli elettrici.

Sicurezza funzionale

In generale si stima che la quantità di software all’interno di un veicolo moderno si aggiri fra 100 e 200 milioni di righe di codice. Questo software gira su una gran varietà di centraline elettroniche programmabili e fornisce funzioni per sistemi avanzati di assistenza alla guida e caratteristiche di sicurezza nel veicolo. Esempi di tali sistemi includono il monitoraggio degli angoli ciechi, i freni di emergenza automatici e il cruise control adattivo. I veicoli con caratteristiche autonome ed elettriche richiedono la sicurezza funzionale per un funzionamento sicuro.

Sicurezza informatica

La crescente sofisticazione in termini di tipologia ed entità della connettività disponibile rende i veicoli sempre più vulnerabili agli attacchi digitali. Ciò che un tempo si considerava come standard aureo nella prevenzione degli attacchi informatici, oggi non è più valido. Data l’implementazione di protocolli di comunicazione come Controller Area Network e Bluetooth® e, ora, con il Global System for Mobile (GSM) e le reti Wi-Fi® per la comunicazione da veicolo a veicolo, le automobili non sono più protette dal «vuoto d’aria» tra esse e le reti che gli hacker possono sfruttare. Immaginiamo uno scenario in cui un hacker immobilizza un veicolo e lo sblocca solo dopo aver ricevuto un riscatto in bitcoin.

Alta tensione

Inoltre, tutti gli aspetti delle trasmissioni elettriche, come il caricabatterie di bordo, il convertitore CC/CC da alta tensione ad alta tensione o da alta tensione a bassa tensione e l’inverter di trazione per veicoli elettrici, utilizzano microcontroller programmabili (MCU) come MCU in tempo reale C2000™. Inoltre, con le tensioni delle batterie dei veicoli elettrici che si avvicinano a 600-800 V, è altrettanto importante comprendere e applicare i requisiti per i sistemi di sicurezza ad alta tensione.

Sicurezza automobilistica e norme di protezione

Queste norme internazionali affrontano aspetti di sicurezza e protezione:

La norma dell’Organizzazione Internazionale per la Normazione (ISO) 26262:2018 delinea i requisiti di sicurezza funzionale dei veicoli stradali.
La ISO 6469:2018 specifica i requisiti di sicurezza elettrica ad alta tensione per i veicoli stradali a propulsione elettrica.
La norma della United Nations Economic Commission for Europe (UNECE) WP29:2020 descrive in dettaglio i requisiti di sicurezza informatica per le case automobilistiche di tutto il mondo.

Inoltre, i produttori di sottosistemi automotive Tier 1 si attengono a:

ISO DIS 21434:2020, che è ancora una bozza di norma internazionale e un superinsieme della Society of Automotive Engineers (SAE) J3061. La ISO DIS 21434:2020 delinea un framework di gestione della sicurezza informatica e attività in merito al ciclo di vita dello sviluppo del prodotto sulla base del modello V conforme alla sicurezza funzionale ISO 26262.
SAE J3061:2016, l’originale «Guida sulla sicurezza informatica per sistemi di veicoli cyber-fisici» su cui si basa la ISO/SAE DIS 21434.

I progettisti di sistemi per veicoli elettrici devono considerare gli aspetti di tutte e tre le misure di sicurezza e protezione.

ISO 26262 definisce quattro livelli ASIL (automotive safety integrity level), come elencato nella Tabella 1.

[boris]

Tabella 1

ASIL class	Single-point fault metric	Latent fault metric	Probabilistic metric for hardware random fails
ASIL A	n/a	n/a	n/a
ASIL B	≥90%	≥60%	≤100 failure in time (FIT)
ASIL C	≥97%	≥80%	≤100 FIT
ASIL D	≥99%	≥90%	≤10 FIT

Tabella 1: Metriche di copertura diagnostica hardware casuale quantitativa da ISO 26262 per ciascuna classe ASIL

La ISO/SAE 21434 definisce quattro livelli di garanzia della sicurezza informatica (CAL, cybersecurity assurance level) in base al vettore di attacco e all’impatto, come mostrato nella Tabella 2.

		Attack vector
		Physical	Local	Adjacent	Network
Impact	Negligible	n/a	n/a	n/a	n/a
	Moderate	CAL 1	CAL 1	CAL 2	CAL 3
	Major	CAL 1	CAL 2	CAL 3	CAL 4
	Severe	CAL2	CAL 3	CAL 4	CAL 4

Tabella 2: Livelli di garanzia della sicurezza informatica ISO/SAE 21434

SAE J3061 definisce quattro livelli di integrità della sicurezza informatica (CSIL, cybersecurity integrity level) e raccomanda l’applicazione di un processo di sicurezza informatica per tutti i sistemi automobilistici responsabili di funzioni classificate ASIL per ISO 26262 o per funzioni associate a sottosistemi come propulsione, frenata e sterzo. I livelli sono CSIL A, CSIL B, CSIL C e CSIL D.

La ISO 6469 descrive quattro classi che dipendono dall’intervallo massimo di tensione di lavoro «U» di un circuito elettrico, come elencato nella Tabella 3.

Voltage class	Highest (maximum) working voltage
Voltage class	DC voltage (in V)	AC voltage (in root-mean-square value)
A	0 < U ≤ 60	0 < U ≤ 30
B	60 < U ≤ 1,500	30 < U ≤ 1,000
B1	60 < U ≤ 75	30 < U ≤ 50
B2	75 < U ≤ 1,500	50 < U ≤ 1,000

Tabella 3: Livelli di tensione massimi consentiti da ISO 6469 per ciascuna classe di tensione

Esiste una notevole sinergia tra ISO 21434 e ISO 26262 sulle modalità di implementazione delle rispettive raccomandazioni in fase di progettazione, sviluppo e produzione in serie di un sistema elettrico/elettronico/elettronico programmabile.

Conclusione

Con la crescente complessità dei sottosistemi automobilistici in veicoli elettrici ibridi e nei veicoli elettrici e con l’elettrificazione del powertrain, la sicurezza e la protezione stanno acquisendo priorità più elevate. Fortunatamente, gli standard normativi internazionali comunemente accettati affrontano questi aspetti di sicurezza e protezione.

TI può contribuire a svolgere valutazioni di sicurezza e protezione ed a raggiungere obiettivi di sicurezza e protezione nei vostri progetti automotive. Ad esempio, per lo sviluppo di una soluzione powertrain con una MCU C2000™ in tempo reale, il materiale di sicurezza online costituisce un ottimo punto di partenza.