當(dāng)今汽車電子工程師所面臨的嚴(yán)峻挑戰(zhàn)就是構(gòu)建低成本、無(wú)故障(fail-silent)甚至在發(fā)生故障時(shí)也能正常工作的汽車系統(tǒng)。制動(dòng)、轉(zhuǎn)向以及其他車輛穩(wěn)定控制功能都屬于任務(wù)關(guān)鍵型特征，對(duì)安全有著極高的要求，即使電子底盤控制技術(shù)日益受到大眾的青睞，也不能輕易應(yīng)對(duì)上述挑戰(zhàn)。

　　對(duì)于主要的汽車系統(tǒng)功能而言，電子底盤管理技術(shù)都具有極大的吸引力，但由于種種原因，該技術(shù)還很難實(shí)現(xiàn)，在安全與可靠性方面還面臨眾多難題。為應(yīng)對(duì)當(dāng)前面臨的安全規(guī)定挑戰(zhàn)，國(guó)際電工委員會(huì)(IEC)已針對(duì)電氣/電子/可編程電子安全相關(guān)系統(tǒng)的功能安全性定義了相關(guān)標(biāo)準(zhǔn)。目前，IEC 61508被視為安全關(guān)鍵型系統(tǒng)開發(fā)領(lǐng)域的最高級(jí)標(biāo)準(zhǔn)。盡管該標(biāo)準(zhǔn)尚未以法律的形式全面強(qiáng)制實(shí)施，但還是希望汽車系統(tǒng)設(shè)計(jì)人員能夠滿足這一實(shí)際的技術(shù)標(biāo)準(zhǔn)要求。汽車系統(tǒng)設(shè)計(jì)人員在構(gòu)建應(yīng)用功能安全性時(shí)必須考慮到從輸入傳感器到數(shù)字處理和傳動(dòng)裝置等整個(gè)信號(hào)鏈的要求。

　　IEC 61508將“危險(xiǎn)”與“風(fēng)險(xiǎn)分析”作為系統(tǒng)設(shè)計(jì)的一部分，并將電子控制單元(Electronic Control Unit)的“功能安全性”定義為“整體安全性的一部分—取決于系統(tǒng)或設(shè)備能否對(duì)其輸入進(jìn)行正確響應(yīng)”。如圖1所示。系統(tǒng)的每項(xiàng)安全功能均根據(jù)“要求”(該功能需要完成什么工作)和“完整性”(圓滿執(zhí)行該功能的可能性)進(jìn)行評(píng)估。此外，該標(biāo)準(zhǔn)還進(jìn)一步將高強(qiáng)度工作模式或持續(xù)工作模式下安全功能發(fā)生危險(xiǎn)故障的概率分為四種不同的“安全完整性等級(jí)”(SIL)。每種等級(jí)涵蓋一定范圍的可接受故障率，也就是“平均故障間隔時(shí)間”(MTTF)，而SIL4是其中最嚴(yán)格的標(biāo)準(zhǔn)。SIL評(píng)級(jí)適用于包括汽車業(yè)在內(nèi)的許多行業(yè)，每種SIL分級(jí)的定義均適用于各自行業(yè)領(lǐng)域。安全完整性等級(jí)中的SIL2和SIL3是非道路應(yīng)用中最常見的安全級(jí)別。

?

　　圖1 總體系統(tǒng)的功能安全性依靠設(shè)備響應(yīng)輸入進(jìn)行正常工作

　　根據(jù)安全功能和重要性的不同，汽車系統(tǒng)可遵從IEC 61508標(biāo)準(zhǔn)下的SIL2或SIL3規(guī)定。自檢測(cè)系統(tǒng)的可靠性要求多級(jí)統(tǒng)計(jì)獲得的“安全故障系數(shù)”(SFF)達(dá)到99 %，可靠性參數(shù)的具體計(jì)算方式為檢測(cè)到的危險(xiǎn)故障(包括非危險(xiǎn)故障)與所有故障之比。“診斷覆蓋率”(DC)是指檢測(cè)到的危險(xiǎn)故障相對(duì)于所有危險(xiǎn)故障之比。此外，對(duì)于安全關(guān)鍵型汽車系統(tǒng)來(lái)說(shuō)，DC應(yīng)達(dá)到99%。

　　能否通過(guò)汽車系統(tǒng)的SIL3認(rèn)證，通常取決于啟動(dòng)并控制機(jī)械系統(tǒng)的電子控制單元(ECU)的性能。諸如德國(guó)萊茵集團(tuán)(TUV Rheinland)等獨(dú)立安全評(píng)估機(jī)構(gòu)負(fù)責(zé)汽車系統(tǒng)的 ECU評(píng)估和SIL3認(rèn)證工作。TUV是一家國(guó)際化的服務(wù)集團(tuán)，可頒發(fā)產(chǎn)品、系統(tǒng)及服務(wù)的安全和質(zhì)量證書。

　　任務(wù)關(guān)鍵型集成機(jī)械系統(tǒng)(如制動(dòng))還不能完全被電子產(chǎn)品取代。但任何SIL3認(rèn)證要求的高級(jí)機(jī)械或電子安全性均需通過(guò)利用冗余系統(tǒng)來(lái)實(shí)現(xiàn)，電子系統(tǒng)有助于廣泛實(shí)施冗余。

　　電子子系統(tǒng)的SIL3認(rèn)證

　　用電子系統(tǒng)取代液壓或機(jī)械系統(tǒng)，必然使OEM、汽車制造商及消費(fèi)者各方充分受益。電子系統(tǒng)可消除內(nèi)燃機(jī)的皮帶傳動(dòng)負(fù)擔(dān)，從而有助于降低成本、重量與燃油消耗。

　　汽車制造商可用機(jī)械解決方案取代液壓制動(dòng)助力器，并最終完全取消液壓傳動(dòng)系統(tǒng)，實(shí)現(xiàn)完全電控的線控制動(dòng)系統(tǒng)，如圖2所示。不過(guò)，這一革命性轉(zhuǎn)變需要實(shí)施冗余系統(tǒng)或后備系統(tǒng)(類似于航空電子系統(tǒng))，才能避免在危險(xiǎn)時(shí)刻車輛會(huì)完全喪失制動(dòng)能力的風(fēng)險(xiǎn)。期間的過(guò)度性步驟包括“混合制動(dòng)”模式，也就是只在車輛的一個(gè)而不是兩個(gè)車軸上安裝液壓后備系統(tǒng)即可。

?

　　圖2 用電氣解決方案取代液壓助力器有助于大幅降低燃油消耗、成本及噪聲

　　微處理器(MCU)是ECU中的關(guān)鍵組件。使用傳統(tǒng)的汽車MCU不可能達(dá)到SIL3認(rèn)證要求。需要采用全新的芯片架構(gòu)，以確保處理結(jié)果、總線流量的數(shù)據(jù)完整性以及存儲(chǔ)器中數(shù)據(jù)的安全性與可靠性，同時(shí)滿足嚴(yán)格的響應(yīng)時(shí)間要求。

　　根據(jù)IEC 61508標(biāo)準(zhǔn)，危險(xiǎn)故障的成因包括以下因素：

　　(1)軟件或硬件系統(tǒng)規(guī)范不正確;

　　(2)安全要求規(guī)范缺失;

　　(3)硬件隨機(jī)故障;

　　(4)系統(tǒng)原因故障;

　　(5)人為錯(cuò)誤;

　　(6)環(huán)境影響(EMI、溫度以及機(jī)械等)。

　　從完整系統(tǒng)的角度來(lái)說(shuō)，危險(xiǎn)評(píng)估和安全完整性要求包括以下因素：

　　在電壓下降、假信號(hào)等情況下確保穩(wěn)定的電源供給和時(shí)鐘信號(hào)完整性; 用于處理與通信的冗余性或真實(shí)性檢查，其中包括往返于傳感器和執(zhí)行器的信號(hào); 提供故障檢驗(yàn)功能; 提供故障管理策略，其中包括在故障容錯(cuò)架構(gòu)、緊急操作模式及可控系統(tǒng)關(guān)斷等情況下定義安全狀態(tài)和故障防護(hù); 增強(qiáng)型軟件開發(fā)進(jìn)程包括使用正式規(guī)范、編程語(yǔ)言子集以及代碼驗(yàn)證工具等。