https://arolstar52-zhtest.hf.space/index.php?action=history&feed=atom&title=ISO_26262
ISO 26262 - 版本历史
2026-07-16T17:28:30Z
在这个wiki上该页的修订历史
MediaWiki 1.43.9
https://arolstar52-zhtest.hf.space/index.php?title=ISO_26262&diff=2193655&oldid=prev
imported>SchlurcherBot：Bot: http → https
2025-12-11T12:14:43Z
<p>Bot: http → https</p>
<p><b>新页面</b></p><div>{{Multiple issues|<br />
{{更新|其中part 2到part 9的部份|time=2021-05-05}}<br />
{{Copy edit|time=2022-02-15T02:04:57+00:00}}<br />
}}<br />
'''ISO 26262'''國際標準，名为《'''道路車輛功能安全'''》，是[[功能安全]]的國際標準，是針對裝設在量產道路車輛（[[非机动车]]除外）的電子電氣系統，由[[國際標準化組織]]（ISO）在2011年發佈第一版，在2018年更版。<br />
<br />
==標準簡介==<br />
[[功能安全]]特性是每個[[汽車產業]]產品開發階段中不可缺少的一部份。包括規格訂定、設計、實現、整合、驗證、確認以及產品上市等階段。ISO 26262是功能安全標準[[IEC 61508]]針對汽車電子電氣系統所修訂的標準，其中定義車用設備的機能安全，包括所有汽車電子電氣[[安全相關系統]]的完整生命週期。<br />
<br />
第一版（ISO 26262:2011）在2011年11月11日發佈，是針對安裝在總重不超過3.5噸量產汽車上的電子電氣系統。第二版（ISO 26262:2018）在2018年12月發佈，將範圍延伸到[[非机动车]]以外的所有路上[[载具]]<ref name="ISO26262Vocab">{{cite book | title =ISO 26262-1:2018(en) Road vehicles — Functional safety — Part 1: Vocabulary | publisher =International Standardization Organization | url =https://www.iso.org/obp/ui/#iso:std:iso:26262:-1:ed-2:v1:en | access-date =2015-02-05 | archive-date =2016-06-17 | archive-url =https://web.archive.org/web/20160617031837/https://www.iso.org/obp/ui/#iso:std:iso:26262:-1:ed-2:v1:en }}</ref>。<br />
<br />
此標準的目是在解決車輛內電子電氣系統誤動作所造成的可能危害。雖然標準的標題是《道路車輛功能安全》，但此標準是和電子電氣系統的功能安全有關，包括整個系統，也包括系統中的各部份。<br />
<br />
此標準和其母標準[[IEC 61508]]類似，都是以風險為基礎的安全標準，會針對有危害操作情形的風險進行定性評估，並且定義安全對策來避免或控制系統性失效，偵測或控制隨機性的硬體失效，並減少其影響。<br />
<br />
ISO 26262的目的：<br />
*提供車用產品安全生命周期（管理、開發、生產、運行、維修、退役），並在各個階段可以訂制需要的活動。<br />
*包括整個開發過程的機能安全層面（包括需求規格、設計、實現、整合、驗證、確認及組態等活動）<br />
*提供針對車用，以風險為基礎的風險確認方式（[[車輛安全完整性等級]]，ASIL）<br />
*用ASIL來確認，若要達到可接受的[[殘餘風險]]，應該要滿足哪些安全需求。<br />
*提供驗證和確認方式的需求，以確保已達到足夠，且可以接受的安全性<ref>[https://www.parasoft.com/jsp/products/article.jsp?articleId=3161 "ISO 26262 Software Compliance: Achieving Functional Safety in the Automotive Industry"] {{Wayback|url=https://www.parasoft.com/jsp/products/article.jsp?articleId=3161 |date=20131117124438 }} white paper by Parasoft</ref><br />
<br />
==ISO 26262的章節==<br />
ISO 26262:2018分為12個章節，其中10個章節是規範（Part 1-9以及Part 12），Part 10和Part 11是指南：<br />
# 名詞解釋（Vocabulary）<br />
# 功能安全管理（Management of functional safety）<br />
# 概念階段（Concept phase）<br />
# 產品開發：系統層級（Product development at the system level）<br />
# 產品開發：硬體層級（Product development at the hardware level）<br />
# 產品開發：軟體層級（Product development at the software level）<br />
# 生產、運行、維護和除役（Production, operation, service and decommissioning）<br />
# 支援過程（Supporting processes）<br />
# 車輛安全完整性等級導向與安全導向分析（Automotive Safety Integrity Level-oriented and safety-oriented analyses）<br />
# ISO 26262 指南（Guideline on ISO 26262）<br />
# 將 ISO 26262 應用在半導體上的指南（Guidelines on application of ISO 26262 to semiconductors）<br />
# 摩托車應用（Adaptation of ISO 26262 for motorcycles）<br />
<br />
上一版ISO 26262:2011-{只}-有10個章節，沒有ISO 26262:2018的11, 12章節，第7章節名稱只有「生產和運行」（Production and operation）<br />
<br />
=== Part 1：名詞解釋===<br />
此章節列出了在應用標準中的詞語、定義和縮寫（專案詞彙表）<ref name="ISO26262Vocab" /><br />
特別重要的是對於「故障」（fault）、「錯誤」（error）及「失效」（failure）的定義，因為這些詞語是此標準定義功能安全流程的關鍵<ref>{{cite book | title =ISO 26262-1:2018(en) Road vehicles — Functional safety — Part 10: Guidelines on ISO 26262 | publisher =International Standardization Organization | url =https://www.iso.org/obp/ui/#iso:std:iso:26262:-1:ed-2:v1:en | access-date =2015-02-05 | archive-date =2016-06-17 | archive-url =https://web.archive.org/web/20160617031837/https://www.iso.org/obp/ui/#iso:std:iso:26262:-1:ed-2:v1:en }}</ref>，特別是故障可能會放大，成為錯誤，而錯誤最終可能會導致失效<ref name="ISO26262Vocab" />。所產生「誤動作」（malfunction）會造成「危害」，也就表示失去安全功能。 <br />
{{glossary}}<br />
{{term|項目（item）}}<br />
{{defn|此標準中，「項目」是關鍵的詞語。項目是指可以適用ISO 26262{{le|安全生命週期|Safety Life Cycle}}，在車輛層級實現某機能（或某機能的部份）的特定系統（或系統組合）。「項目」是在此流程中最高的識別對象，也是此標準下，特定產品安全開發的起點}}<br />
{{term|單元（element）}}<br />
{{defn|一個系統、一個元件（其中包括硬體零件，也可能包括軟體單元）、單一的硬體零件或單一的軟體單元（software unit），也就是系統中可以獨立識別以及使用的部份}}<br />
{{term|故障（Fault）}}<br />
{{defn|會讓單元或是項目無法使用的異常條件}}<br />
{{term|錯誤（Error）}}<br />
{{defn|有關計算到、觀察到或量測到的值或是條件，和真實的、規範的或理論正確的值或是條件之間的差異}}<br />
{{term|失效（Failure）}}<br />
{{defn|說明一個單元或是項目因為故障影響而沒有預期行為的情形}}<br />
{{term|容錯（Fault Tolerance）}}<br />
{{defn|在有一個故障或是多個故障的情形下，可以實現所規範機能的能力}}<br />
{{term|誤動作行為（Malfunctioning Behaviour）}}<br />
{{defn|相對於項目的設計預期，項目的失效或是非預期行為}}<br />
{{term|危害（Hazard）}}<br />
{{defn|因為項目誤動作行為，可能會造成損害（harm，身體受傷或健康受損）的潛在來源}}<br />
{{term|機能安全（Functional Safety）}}<br />
{{defn|沒有因為電機／電子系統的誤動作行為，而造成不合理危害的風險}}<br />
{{glossary end}}<br />
<br />
ISO 26262:2011版和其他的機能安全標準不同，也和2018年改版後的內容不同。ISO 26262:2011沒有明確定到容錯，因為其中假定不可能理解系統內的所有故障<ref>{{cite conference|last1=Greb |first1=Karl |last2=Seely |first2=Anthony |title=Design of Microcontrollers for Safety Critical Operation (ISO 26262 Key Differences from IEC 61508) |year=2009 |conference=ARMtechcon |url=http://www.ti.com/ww/en/mcu/tms570/downloads/Design_of_Microcontrollers_for_Safety.pdf |url-status=dead |archive-url=https://web.archive.org/web/20150906100246/http://www.ti.com/ww/en/mcu/tms570/downloads/Design_of_Microcontrollers_for_Safety.pdf |archive-date=2015-09-06}}</ref><br />
<br />
ISO 26262沒有使用[[IEC 61508]]中的「安全失效分數」（Safe failure fraction），改用「單點故障度量」（single point faults metric）和「潛在故障度量」（latent faults metric）<ref>{{cite conference |title=High-Availability Controller Concept for Steering Systems: The Degradable Safety Controller |first1=J. |last1=Boercsoek |first2=M. |last2=Schwarz |first3=E. |last3=Ugljesa |first4=P. |last4=Holub |first5=A. |last5=Hayek |url=http://www.wseas.us/e-library/conferences/2011/Tenerife/CSCC/CSCC-34.pdf |series=Recent Researches in Circuits, Systems, Communications and Computers |year=2011 |pages=222–228 |publisher=WSEAS |access-date=2016-04-17 |archive-date=2016-03-04 |archive-url=https://web.archive.org/web/20160304103710/http://www.wseas.us/e-library/conferences/2011/Tenerife/CSCC/CSCC-34.pdf }}</ref>。<br />
=== Part 2：功能安全管理 ===<br />
ISO 26262提供汽車應用的[[功能安全]]標準，定義整個組織的安全管理標準，以及針對車用產品開發和生產安全生命週期的標準<ref>ISO 26262-2:2011, "Management of functional safety" (Abstract)</ref><ref>{{cite conference |first=Karl |last=Greb |title=Functional Safety and ISO 26262 |url=http://www.apec-conf.org/2013/images/PDF/2012/Industry_Sessions/is2.1.6.pdf |series=The Applied Power Electronics Conference and Exposition, Industry Sessions |year=2012 |page=9 |publisher=APEC}}{{dead link|date=April 2016}}</ref><ref>{{cite conference|title=Criticality categories across safety standards in different domains |url=http://web1.see.asso.fr/erts2012/Site/0P2RUC89/1A-1.pdf |first1=Jean-Paul |last1=Blanquart |first2=Jean-Marc |last2=Astruc |first3=Philippe |last3=Baufreton |first4=Jean-Louis |last4=Boulanger |first5=Hervé |last5=Delseny |first6=Jean |last6=Gassino |first7=Gérard |last7=Ladier |first8=Emmanuel |last8=Ledinot |first9=Michel |last9=Leeman |first10=Joseph |last10=Machrouh |first11=Philippe |last11=Quéré |first12=Bertrand |last12=Ricque |series=ERTS2 Congress |year=2012 |pages=3–4 |publisher=Embedded Real Time Software and Systems |url-status=dead |archive-url=https://web.archive.org/web/20160417083732/http://web1.see.asso.fr/erts2012/Site/0P2RUC89/1A-1.pdf |archive-date=2016-04-17}}</ref><ref>ISO 26262-10:2012(E), "Guideline on ISO 26262", pp. 2-3.</ref>。下一章敘述的ISO 26262安全生命週期是以此處列出的安全管理概念來運作<ref name="ISO26262Vocab" />：{{glossary}}<br />
{{term|危害事件（Hazardous Event）}}<br />
{{defn|危害事件是指車輛層級的危害以及車輛運作條件的組合，而且若駕駛沒有及時採取行動，可能會造成事故的事件}}<br />
{{term|安全目標（Safety Goal）}}<br />
{{defn|安全目標是指指定為系統的最上層安全需求，目的是要降低一個或多個危害事件的風險，到可以容許的程度}}<br />
{{term|車輛安全完整性等級（Automotive Safety Integrity Level）}}<br />
{{defn|車輛安全完整性等級（ASIL）代表特定車輛針對某一安全目標，以風險為基礎的分類，也包括標準中為了達到此一目標，需要有的驗證和確認}}<br />
{{term|安全需求（Safety Requirement）}}<br />
{{defn|安全需求包括了所有的安全目標，也包括從安全目標分解的所有需求，以及分配給硬體或軟體元件的所有最低級別機能以及技術安全需求}}<br />
{{glossary end}}<br />
<br />
=== Parts 3-7：從概念設計到設計製造的安全生命週期 ===<br />
ISO 26262安全生命週期中的程序會識別及評估危害（安全風險）、為了降低風險到可允許的程度，建立對應的安全需求、針對安全需求進行管理和追蹤，產出合理的保證資料，說明在產品中已實現這些安全需求。安全相關的流程可能會整合到傳統的[[品質系統]]需求生命週期，也可能會和此系統並行<ref>{{cite journal|author=Min Koo Lee |author2=Sung-Hoon Hong |author3=Dong-Chun Kim |author4=Hyuck Moo Kwon |title=Incorporating ISO 26262 Development Process in DFSS |journal=Proceedings of the Asia Pacific Industrial Engineering & Management Systems Conference |pages=1128 ( Figure 2) |year=2012 |url=http://www.apiems.net/conf2012/T2B2.pdf |archive-url=https://web.archive.org/web/20130915130627/http://apiems.net/conf2012/T2B2.pdf |url-status=dead |archive-date=2013-09-15 |access-date=2013-08-01 }}</ref><ref>{{cite AV media|people=Juergen Belz |title=The ISO 26262 Safety Lifecycle |date=2011-07-28 |url=http://www.mks.com/resources/data/multimedia/videos/video-clip-the-iso-26262-safety-lifecycle |url-status=dead |archive-url=https://web.archive.org/web/20140223054819/http://www.mks.com/resources/data/multimedia/videos/video-clip-the-iso-26262-safety-lifecycle |archive-date=2014-02-23}}</ref>：<br />
# 識別項目（item，特定的車用系統產品），以及定義其最上層的系統功能需求。<br />
# 識別項目的全面風險事件（hazardous events） <br />
# 針對一個風險事件，定義其ASIL（可參考Part 9）<br />
# 針對風險事件決定其安全目標（safety goal），其中也包括風險事件的ASIL。<br />
# 針對汽車層級的功能安全概念（functional safety concept），定義可以確保安全目標的系統架構。<br />
# 將安全目標再拆解為細部的安全需求（safety requirements）<br/>（一般而言，每一個安全需求都會使用上層安全需求或安全目標的ASIL。不過因為實際情形的限制，可能會將一個安全需求拆解為數個ASIL較低，但有冗餘機能的安全需求，由獨立的冗餘元件來實現）。<br />
# 安全需求會分配到各架構組件（architectural components），可能是子系統、硬體組件、軟體組件<br/>（一般而言，每一個組件都需要考慮分配到安全需求的ASIL等級，依其標準和程序進行，若有多個等級，以最高的為準）<br />
# 依分配的安全需求以及機能需求開發架構組件，並且確認符合對應需求。<br />
=== Part 8：支持流程 ===<br />
ISO 26262中有定義一些在安全生命週期中在各階段都持續進行的支持性流程，這個是整合性的流程，也提供了為了支持通用流程目標需額外考慮的事項。<br />
* 受控制的企業介面，可以下達目標、需求和控制方式給{{le|分散式開發|distributed development}}中的所有供應商。<br />
* 明確的標示安全需求以及在生命週期中的相關管理方式。<br />
* 工作文檔的[[配置管理]]，有正式唯一的識別方式，可以重現配置，可以建立各工作文檔和配置變更之間的可追蹤性<br />
* 正式的[[變更控制]]，包括變更影響的管理，目的是要確保識別到的缺陷已移除，在產品變更時不會導入危害。<br />
* 工作文檔驗證的規劃、控制以及報告，驗證可以是評審、分析及測試，也包括各來源識別到缺陷的回歸分析。<br />
* 計劃性的識別及管理在安全生命週期中，所有有助於機能安全以及安全評估持續管理的工程文檔（文件）<br />
* 軟體工具（計劃使用以及實際使用的工具）的合格性審查 <br />
* 以往開發的軟體及硬體模組，要整合到目前開發ASIL等級的合格性審查<br />
* 用服務歷史證據來證實某項目若要用在指定的ASIL等級，已有足夠的安全性。<br />
<br />
=== Part 9: 車輛安全完整性等級（ASIL）導向以及安全導向的分析 ===<br />
{{main|車輛安全完整性等級}}<br />
<br />
[[車輛安全完整性等級]]（ASIL）是指針對車輛系統或是系統中元件，以其固有安全風險所作的抽象分級方式。ASIL分級會配合ISO 26262一起使用，來表示要預防某特定風險，需要降低風險的程度，ASIL D對應最高等級的風險，ASIL A則對應最輕微的風險。針對特定風險評估的ASIL等級也會指定給對應的安全目標，從這個安全目標衍生的安全需求也需要依此ASIL為準<ref>{{cite book | title =Glossary, V2.5.0 | publisher =AUTOSAR | pages =19 | url =http://www.autosar.org/download/R4.1/AUTOSAR_TR_Glossary.pdf | access-date =2014-02-16 | archive-url =https://web.archive.org/web/20140222050633/http://www.autosar.org/download/R4.1/AUTOSAR_TR_Glossary.pdf | archive-date =2014-02-22 | url-status =dead }}</ref>。<br />
====ASIL評估簡介====<br />
要評定ASIL，需進行危害分析及風險評估，依其結果評定ASIL<ref name="ISO26262Part3">{{cite book| title =ISO 26262-3:2011(en) Road vehicles — Functional safety — Part 3: Concept phase| publisher =International Standardization Organization| url =https://www.iso.org/obp/ui/#iso:std:iso:26262:-3:ed-1:v1:en| access-date =2015-02-05| archive-date =2016-06-17| archive-url =https://web.archive.org/web/20160617031837/https://www.iso.org/obp/ui/#iso:std:iso:26262:-3:ed-1:v1:en}}</ref>。在ISO 26262中，危害是以對系統有害影響的相對影響程度為準，再考慮造成這些影響的危害是否容易出現。每一個危害事件都是以可能造成傷亡的嚴重程度，也考慮車輛暴露在此危害的相對時間長度，以及駕駛可以反應，以避免此傷亡的相對可能性來考慮<ref name="Hobbs">{{cite book | last1 =Hobbs | first1 =Chris | last2 =Lee | first2 =Patrick | title =Understanding ISO 26262 ASILs | publisher =Penton Electronics Group | series =Embedded Technologies | date =2013-07-09 | url =https://electronicdesign.com/embedded/understanding-iso-26262-asils | magazine =Electronic Design | access-date =2021-05-04 | archive-date =2021-05-06 | archive-url =https://web.archive.org/web/20210506040042/https://www.electronicdesign.com/embedded/understanding-iso-26262-asils }}</ref>。<br />
<br />
====ASIL評估流程====<br />
在安全生命週期的開始，會進行危害分析及風險評估，針對所有識別到的危害事件以及安全目標來評估其ASIL。<br />
<br />
危害事件會依其可能造成的傷亡來評定其嚴重度（severity，簡稱S）：<br />
{{glossary}}<br />
{{term|嚴重度分類（S）}}<br />
{{defn|'''S0''' 無人受傷}}<br />
{{defn|'''S1''' 輕度到中度傷害}}<br />
{{defn|'''S2''' 嚴重到生命危險（可能存活）的傷害}}<br />
{{defn|'''S3''' 危及生命到致命的傷害}}<br />
{{glossary end}}<br />
[[风险管理]]除了考慮可能傷害的嚴重性外，也會考慮傷害發生的可能程度。針對特定危害，危害事件若不太容易發生，可視為有較低的風險。在ISO 26262的危害分析及風險評估程序中，發生傷害性危害的可能性是由以下這二項的組合而成： <br />
:暴露機率（exposure，簡稱E）：可能會發生此傷害的運作條件，其相對的發生率<br />
:可控度（control，簡稱C）：駕駛可以反應，避免此傷害的可能性<br />
{{glossary}}<br />
{{term|暴露機率分類（E）}}<br />
{{defn|'''E0''' 幾乎不可能}}<br />
{{defn|'''E1''' 可能性非常低（只會在罕見的運作條件下會出現）}}<br />
{{defn|'''E2''' 可能性低}}<br />
{{defn|'''E3''' 可能性中等}}<br />
{{defn|'''E4''' 可能性高（大部份的運作條件下都會造成傷害）}}<br />
{{term|可控度分類（C）}}<br />
{{defn|'''C0''' 一般而言可控}}<br />
{{defn|'''C1''' 可以簡單控制}}<br />
{{defn|'''C2''' 正常而言可以控制（大部份的駕駛可以反應，以避免傷害）}}<br />
{{defn|'''C3''' 難以控制或不可控}}<br />
{{glossary end}}<br />
<br />
在上述的分類中，ASIL D的危害事故定義為可能會危及生命到致命的傷害，在大部份的運作條件下都會造成傷害，而且駕駛難以避免傷害。ASIL D結合了上述S3, E4和C3的分類。上述分類若有任何一個從其最嚴重分類往下降<!--(excluding reduction of C1 to C0)-->，都會讓ASIL等級離開ASIL D<ref>Martínez LH, Khursheed S, Reddy SM. LFSR generation for high test coverage and low hardware overhead. IET Computers & Digital Techniques. 2019 Aug 21.[https://livrepository.liverpool.ac.uk/3052312/ UoL repository] {{Wayback|url=https://livrepository.liverpool.ac.uk/3052312/ |date=20210506021607 }}</ref>（例如，假定不可控（C3），會造成重傷（S3）的危害，若發生機率非常低（E1），需分類為ASIL A）。ASIL等級中比ASIL A更低的是ASIL QM，意思是沒有安全的相關性，只需要依品管系統的要求進行即可。<ref name="ISO26262Part3" /><br />
<br />
嚴重度、暴露機率、可控度的分類都是資訊性的，不是說明性的，因此有一些各車廠和供應商解讀的空間，也可能會造成歧義<ref name="Hobbs"/><ref>{{cite conference |first=Dr. Qi |last=Van Eikema Hommes |title=Assessment of the ISO 26262 Standard, "Road Vehicles – Functional Safety" |url=http://www.sae.org/events/gim/presentations/2012/qi_volpe.pdf |series=SAE 2012 Government/Industry Meeting |place=John A. Volpe National Transportation System Center |publisher=SAE |page=9 |year=2012 |access-date=2021-05-04 |archive-date=2017-08-29 |archive-url=https://web.archive.org/web/20170829190814/http://www.sae.org/events/gim/presentations/2012/qi_volpe.pdf }}</ref>。因此[[国际汽车工程师学会]]（SAE）提出了J2980 – Considerations for ISO26262 ASIL Hazard Classification，提供了特定危害下，較明確可以評估嚴重度、暴露機率、可控度的指南<ref>{{cite book | title =J2980 - Considerations for ISO 26262 ASIL Hazard Classification | url=https://www.sae.org/standards/content/j2980_201804/| archive-url=https://web.archive.org/web/20181026183232/https://www.sae.org/standards/content/j2980_201804/| url-status=live| archive-date=2018-10-26| publisher =SAE International}}</ref><br />
。<br />
<br />
==相關條目==<br />
{{colbegin}}<br />
*[[危害分析]]<br />
*[[風險評估]]<br />
*[[V模型]]<br />
*[[驗證及確認]]<br />
*[[Automotive SPICE]]<br />
*{{le|ARP4754|ARP4754}}（民用飛機及系統的指南）<br />
*{{le|DO-178C|DO-178C}}（航空相關標準）<br />
*[[IEC 61508]]（通用的工業機能安全標準）<br />
* [[ISO/SAE 21434]]（車用的網路安全標準）<br />
*[[FMEDA]]<br />
*[[E-Gas]]<br />
{{colend}}<br />
<br />
==參考資料==<br />
{{reflist|30em}}<br />
* [https://www.iso.org/obp/ui/#iso:std:iso:26262:-1:ed-1:v1:en ISO 26262-1:2011(en) (Road vehicles — Functional safety — Part 1: Vocabulary)]{{Wayback|url=https://www.iso.org/obp/ui/#iso:std:iso:26262:-1:ed-1:v1:en |date=20160617031837 }}<br />
<br />
==延伸閱讀== <br />
* ISO 26262系統功能安全設計標準介紹 [https://www.artc.org.tw/chinese/03_service/03_02detail.aspx?pid=1946]{{Wayback|url=https://www.artc.org.tw/chinese/03_service/03_02detail.aspx?pid=1946 |date=20150205085956 }}<br />
* ISO 26262功能安全與CMMI-DEV流程整合 [https://www.artc.org.tw/chinese/03_service/03_02detail.aspx?pid=2538]{{Wayback|url=https://www.artc.org.tw/chinese/03_service/03_02detail.aspx?pid=2538 |date=20150205095455 }}<br />
<br />
{{ISO}}<br />
[[Category:ISO標準|#26262]]<br />
[[Category:汽車安全]]</div>
imported>SchlurcherBot