一文讀懂汽車功能安全

然而在現(xiàn)實(shí)場(chǎng)景中，由于L3及以下的輔助駕駛系統(tǒng)技術(shù)尚未成熟，行業(yè)一直在比拼更低的價(jià)格成本和更短的開發(fā)周期，而這與貫徹功能安全的“昂貴”和“慢工出細(xì)活”相矛盾。由此造成在市場(chǎng)激烈的競(jìng)爭(zhēng)中，功能安全往往要進(jìn)行必要的妥協(xié)，但過多的妥協(xié)將失去安全保障的意義，功能安全從業(yè)者正在思考如何守住功能安全的底線。

何為汽車功能安全？

隨著汽車智能化和電氣化技術(shù)的快速普及，車內(nèi)控制器和各種電子部件越來越多，而各類電子部件都存在系統(tǒng)性失效和隨機(jī)硬件失效的風(fēng)險(xiǎn)，因此相應(yīng)的汽車功能安全變得越來越重要。在汽車電子行業(yè)，功能安全國際標(biāo)準(zhǔn)ISO26262（是基于IEC61508 (Generic standard for Functional Safety of electrical/electronic systems）并適用于汽車行業(yè)的標(biāo)準(zhǔn)）和對(duì)應(yīng)國標(biāo)GB/T34590將功能安全定義為：避免因電子電氣系統(tǒng)故障而導(dǎo)致不合理的風(fēng)險(xiǎn)。即隨機(jī)硬件失效和系統(tǒng)性失效不會(huì)導(dǎo)致安全系統(tǒng)的錯(cuò)誤功能，從而導(dǎo)致人的傷害死亡。ISO 26262是史上第一個(gè)適用于道路車輛的功能安全標(biāo)準(zhǔn)。

在ISO26262國際標(biāo)準(zhǔn)中，汽車功能安全主要包含了以下幾類指導(dǎo)：

1. 指導(dǎo)你如何量化產(chǎn)品的安全等級(jí)；

2. 指導(dǎo)你如何根據(jù)不同安全等級(jí)設(shè)計(jì)對(duì)應(yīng)的安全措施；

3. 指導(dǎo)你如何控制系統(tǒng)性故障和隨機(jī)硬件故障；

4. 指導(dǎo)你如何管理功能安全（包括流程，安全管理制度、安全流程、安全審核等）。

功能安全等級(jí)的定義是為了對(duì)失效后帶來的風(fēng)險(xiǎn)進(jìn)行評(píng)估并指導(dǎo)風(fēng)險(xiǎn)降低到可接受的程度所需要遵循的要求。一般簡稱ASIL(Automotive Safety Integration Level-汽車安全完整性等級(jí)) ，ISO26262根據(jù)汽車的特點(diǎn)，在產(chǎn)品概念設(shè)計(jì)階段對(duì)系統(tǒng)進(jìn)行危害分析和風(fēng)險(xiǎn)評(píng)估，識(shí)別出系統(tǒng)的危害，如果系統(tǒng)安全風(fēng)險(xiǎn)越大，對(duì)應(yīng)的安全要求級(jí)別就越高，其具有的ASIL的等級(jí)也越高。

ASIL按照嚴(yán)重性（Severity ）、可能性（Exposure ）和可控性（Controllability）評(píng)估危害事件的風(fēng)險(xiǎn)級(jí)別等級(jí)，共分為QM、A、B、C、D五個(gè)等級(jí)，ASIL D是最高的汽車安全完整性等級(jí)，對(duì)功能安全的要求也最高。

按照以上的劃分并進(jìn)行組合相加得到的5個(gè)ASIL等級(jí),原則是：

（1）基本可控的C0組合和無傷害S0的組合不考慮；

（2）其余組合相加等于7分為ASIL A，等于8分為ASIL B，等于9分為 ASIL C，等于10分為 ASIL D；

（3）其余得分安全評(píng)定為QM，只要遵循標(biāo)準(zhǔn)的質(zhì)量管理流程(IATF16949)，與功能安全無關(guān)。

ASIL汽車安全完整度等級(jí)矩陣

從產(chǎn)品安全的角度說，可以把安全分傳統(tǒng)安全和E/E功能安全，傳統(tǒng)安全包括：與觸電、火災(zāi)、煙霧、熱、輻射、腐蝕性、能量釋放等相關(guān)的危害，此類傳統(tǒng)安全問題均不屬于功能安全考慮范圍之內(nèi)。功能安全只考慮E/E系統(tǒng)安全，例如汽車架構(gòu)、系統(tǒng)、軟件、硬件等方面的失效所導(dǎo)致的整車安全行為，強(qiáng)調(diào)在汽車產(chǎn)品的開發(fā)過程中如何避免預(yù)防、探測(cè)、降低或消除風(fēng)險(xiǎn)。它關(guān)注的是系統(tǒng)發(fā)生故障之后的行為，而不是系統(tǒng)的原有功能或性能。因此功能安全的目的就是系統(tǒng)發(fā)生故障后，將系統(tǒng)進(jìn)入安全可控的模式，避免對(duì)人身造成傷害。

目前，歐洲所有OEM整車廠要求必須配備功能安全；美國的OEM整車廠已經(jīng)在研究如何實(shí)施功能安全；亞洲的OEM（豐田，現(xiàn)代，吉利等）也已經(jīng)明確要求功能安全。功能安全和ASPICE基本成為了目前汽車行業(yè)的通識(shí)和標(biāo)準(zhǔn)。

只有經(jīng)過充分的設(shè)計(jì)討論，嚴(yán)格的測(cè)試驗(yàn)收后的汽車功能安全，才能發(fā)揮其最大作用，將車輛的安全性及穩(wěn)定性保障在一個(gè)可以接受的范圍內(nèi)。

汽車功能安全的必要性

縱使希望將所有的缺陷與故障在汽車售賣前全部發(fā)現(xiàn)并修復(fù)完畢，但對(duì)當(dāng)前汽車上的電子電氣系統(tǒng)來說，完全消除風(fēng)險(xiǎn)是不現(xiàn)實(shí)的?，F(xiàn)在的車上有幾十甚至上百個(gè)ECU系統(tǒng)，其中的代碼有幾億行，隨著使用時(shí)間的增長，電子元器件發(fā)生故障的可能性也越來越高，更不用說由上億行代碼構(gòu)成的復(fù)雜系統(tǒng)帶來的不可預(yù)知的風(fēng)險(xiǎn)。因此功能安全的目的并不是為了徹底消除風(fēng)險(xiǎn)，而是把風(fēng)險(xiǎn)降低到一個(gè)可接受的范圍。

功能安全分析方法

宏景智駕——功能安全“緩解”理念的執(zhí)行者

一個(gè)好的功能安全系統(tǒng)，能夠在事故發(fā)生時(shí)，快速檢測(cè)出問題出現(xiàn)的來源，并根據(jù)定位到問題發(fā)生的原因來行之有效地做出緩解的解決措施，讓事故發(fā)生的時(shí)機(jī)延緩一些，從而留出更多的時(shí)間并將更明顯的信號(hào)給到駕駛員以接管，從而避免事故的發(fā)生或降低事故的傷害。