汽車電子功能安全設計方法的研究

吳丹丹

摘要：隨著當前社會經濟的發展，汽車制造速度在不斷的加快，汽車安全成為汽車在設計中需要解決的首要問題，本文就汽車電子功能安全設計與方法進行闡述。

關鍵詞：汽車；電子功能；安全設計

電子控制系統是汽車的重要組成部分，在設計的過程中要充分考慮其安全性。

一、汽車電控系統功能安全設計要求

（一）功能安全危害分析與風險評估

提出了確定功能安全等級（ASIL）的方法，安全等級范圍是A、B、C、D，其中ASILA安全等級最低，ASILD安全等級最高。在整車和系統電子設計時，需要確定所設計項目的范圍。基于項目定義，確定項目的安全目標，避免不合理的風險。ASIL使用3個參數進行評估，分別是：危險對駕駛員或其他交通參與人員造成傷害的嚴重程度S，危險所在工況的發生概率E，危險涉及的駕駛員和其他交通參與人員及時采取控制行動避免特定傷害的能力C。S分為0～3級，如表1所示，S0代表無傷害，S3代表危及生命的重傷或致命傷；E分為0～4級，E0代表工況不可能發生，E4代表工況是常見的；C分0～3級，C0代表完全可控，C3代表非常難于控制。對于每一個識別到的危險，按評估風險等級（即汽車安全完整性等級），其中QM表示與安全無關。

（二）功能安全系統設計

系統級產品功能安全設計要求包括產品開發的啟動、技術安全要求中的規范、系統設計、項目集成、安全驗證、功能安全評估、生產發布。在啟動產品開發和定義技術安全要求后，進行系統設計。在系統計過程中建立系統架構，將技術安全要求分配給硬件和軟件，并且，如果適用，也可應用其它技術。同時，細化技術安全要求，并添加來自系統架構的要求，包括軟硬件接口的要求。根據架構的復雜性，可以逐步得出子系統的需求。開發后，集成硬件和軟件要素并測試以形成一個相關項，然后，將該相關項集成在整車上。一旦在整車層面完成了系統集成，進行安全確認以提供與安全目標相關的功能安全證據。

（三）功能安全軟硬件設計

在系統功能安全設計時，需要制定軟硬件接口HIS要求，分析確定的不同功能安全等級，在進行具體軟件和硬件設計時也要有具體要求。總體來說，硬件功能安全設計體現了不同安全等級的定量要求，硬件功能安全要求包括硬件產品開發的啟動、硬件安全規格的要求、硬件設計、硬件架構指標、對由于硬件隨機失效引起的違反安全目標進行評估、硬件集成和測試。軟件功能安全要求包括軟件級產品開發的啟動、軟件安全要求的規格、軟件架構設計、軟件單元設計與執行、軟件單元測試、軟件集成和測試、軟件安全要求的驗證。（見表1、表2）

二、汽車電子電氣系統的功能安全

（一）功能安全

功能安全是相對于本質安全的一個概念。利用設計手段移除系統的危險源，使得系統或其部件即使發生故障也不會造成危險的安全事故，就是本質安全。與本質安全不同，功能安全不追求系統絕對無危險源，而是通過其功能來抑制事故的風險。如果在設計交叉路口時，采用立交橋的方案，就是本質安全，因為移除了火車與汽車碰撞事故的危險源。如果設計時采用阻攔器和信號燈的方案，就是功能安全，因為該設計并未移除碰撞事故的危險源，而是通過添加別的功能來減少甚至完全杜絕事故的發生。

如果所有系統都能移除危險源，做到本質安全，自然是非常理想的。但是實際開發過程中，有些系統是非常復雜性的，例如汽車電子電氣系統，想要完全剔除危險源是很難實現的，因此就要借助功能安全的設計思想，對系統添加安全功能，來降低由于系統失效導致安全事故的可能性。因此，功能安全近年來受到越來越多的重視。功能安全關注系統故障后的行為，而不是系統的原有功能或性能。以EPS系統為例，扭矩傳感器信號是決定電機助力大小的主要因素，如果扭矩傳感器發生故障，扭矩信號偏離實際值較大，則可能導致助力力矩異常，車輛發生違背駕駛員意愿的自主轉向現象，這是EPS系統的一個功能安全風險。

（二）功能安全標準

從20世紀70年代起，歐美國家已開始利用系統工程的理論解決安全相關問題，并制定法規和標準來控制由于技術缺陷和人為錯誤導致的安全風險。

在IEC61508的基礎上，國際標準化組織（ISO）針對汽車應用的特殊性制定了ISO26262（RoadvehicleFunctionalsafety，道路車輛功能安全標準），并于2011年11月正式頒布。ISO26262涵蓋功能安全相關整體開發的各個過程（包括規劃、設計、驗證和確認等），該標準根據危險分析和風險評估將系統或其組成部分劃分A、B、C、D四個汽車安全完整性等級，安全等級依此升高。

三、結束語

綜上所述，在當前汽車發展的過程中，要不斷提升電子功能的安全設計，保證汽車的運行安全。

參考文獻：

[1]楊國，青厲蔣.基于ISO26262功能安全標準的汽車電子系統測試方法[J].電子產品世界，2013（4）.