一文读懂汽车功能安全

然而在现实场景中，由于L3及以下的辅助驾驶系统技术尚未成熟，行业一直在比拼更低的价格成本和更短的开发周期，而这与贯彻功能安全的“昂贵”和“慢工出细活”相矛盾。由此造成在市场激烈的竞争中，功能安全往往要进行必要的妥协，但过多的妥协将失去安全保障的意义，功能安全从业者正在思考如何守住功能安全的底线。

何为汽车功能安全？

随着汽车智能化和电气化技术的快速普及，车内控制器和各种电子部件越来越多，而各类电子部件都存在系统性失效和随机硬件失效的风险，因此相应的汽车功能安全变得越来越重要。在汽车电子行业，功能安全国际标准ISO26262（是基于IEC61508 (Generic standard for Functional Safety of electrical/electronic systems）并适用于汽车行业的标准）和对应国标GB/T34590将功能安全定义为：避免因电子电气系统故障而导致不合理的风险。即随机硬件失效和系统性失效不会导致安全系统的错误功能，从而导致人的伤害死亡。ISO 26262是史上第一个适用于道路车辆的功能安全标准。

在ISO26262国际标准中，汽车功能安全主要包含了以下几类指导：

1. 指导你如何量化产品的安全等级；

2. 指导你如何根据不同安全等级设计对应的安全措施；

3. 指导你如何控制系统性故障和随机硬件故障；

4. 指导你如何管理功能安全（包括流程，安全管理制度、安全流程、安全审核等）。

功能安全等级的定义是为了对失效后带来的风险进行评估并指导风险降低到可接受的程度所需要遵循的要求。一般简称ASIL(Automotive Safety Integration Level-汽车安全完整性等级) ，ISO26262根据汽车的特点，在产品概念设计阶段对系统进行危害分析和风险评估，识别出系统的危害，如果系统安全风险越大，对应的安全要求级别就越高，其具有的ASIL的等级也越高。

ASIL按照严重性（Severity ）、可能性（Exposure ）和可控性（Controllability）评估危害事件的风险级别等级，共分为QM、A、B、C、D五个等级，ASIL D是最高的汽车安全完整性等级，对功能安全的要求也最高。

按照以上的划分并进行组合相加得到的5个ASIL等级,原则是：

（1）基本可控的C0组合和无伤害S0的组合不考虑；

（2）其余组合相加等于7分为ASIL A，等于8分为ASIL B，等于9分为 ASIL C，等于10分为 ASIL D；

（3）其余得分安全评定为QM，只要遵循标准的质量管理流程(IATF16949)，与功能安全无关。

ASIL汽车安全完整度等级矩阵

从产品安全的角度说，可以把安全分传统安全和E/E功能安全，传统安全包括：与触电、火灾、烟雾、热、辐射、腐蚀性、能量释放等相关的危害，此类传统安全问题均不属于功能安全考虑范围之内。功能安全只考虑E/E系统安全，例如汽车架构、系统、软件、硬件等方面的失效所导致的整车安全行为，强调在汽车产品的开发过程中如何避免预防、探测、降低或消除风险。它关注的是系统发生故障之后的行为，而不是系统的原有功能或性能。因此功能安全的目的就是系统发生故障后，将系统进入安全可控的模式，避免对人身造成伤害。

目前，欧洲所有OEM整车厂要求必须配备功能安全；美国的OEM整车厂已经在研究如何实施功能安全；亚洲的OEM（丰田，现代，吉利等）也已经明确要求功能安全。功能安全和ASPICE基本成为了目前汽车行业的通识和标准。

只有经过充分的设计讨论，严格的测试验收后的汽车功能安全，才能发挥其最大作用，将车辆的安全性及稳定性保障在一个可以接受的范围内。

纵使希望将所有的缺陷与故障在汽车售卖前全部发现并修复完毕，但对当前汽车上的电子电气系统来说，完全消除风险是不现实的。现在的车上有几十甚至上百个ECU系统，其中的代码有几亿行，随着使用时间的增长，电子元器件发生故障的可能性也越来越高，更不用说由上亿行代码构成的复杂系统带来的不可预知的风险。因此功能安全的目的并不是为了彻底消除风险，而是把风险降低到一个可接受的范围。

功能安全分析方法

一个好的功能安全系统，能够在事故发生时，快速检测出问题出现的来源，并根据定位到问题发生的原因来行之有效地做出缓解的解决措施，让事故发生的时机延缓一些，从而留出更多的时间并将更明显的信号给到驾驶员以接管，从而避免事故的发生或降低事故的伤害。