「功能安全」对智能驾驶意味着什么？

艾普凌科有限公司 2021-01-13

近年来，在物联网、人工智能等新兴技术快速发展的背景下，汽车产业发生了前所未有的变革。随着算法复杂度的增加，以及自动驾驶等级的提高，安全问题成为了人们最为关心的热点之一。

据统计，随着汽车智能化程度的不断提高，「影音系统故障」、「车载互联故障」以及「行车安全辅助系统故障」的投诉在2017-2019年呈现出阶梯式增长趋势。汽车故障率的逐年提升，让我们不得不对智能化时代下的汽车安全问题进行重新审视。眼下，提高汽车功能安全便显得格外重要。

或许大家对「功能安全」这个概念还不太了解，下面先给大家科普一下什么是「功能安全」与「本质安全」？

一、功能安全与本质安全

功能安全

「功能安全性」是为了确保可接受的安全水平而进行的功能调整（确保安全的机能：以下称为安全功能）。

本质安全

「本质安全」是指为减少/消除设备或结构变化对人或环境造成的危害而采取的措施。

例如，道路交通横穿铁轨的交道口。

● 「功能安全」的概念

「交道口」的位置通常配备有警报器，以通知列车驶近，并以断路器，促使车辆停车。这些安全措施将事故风险降低到可接受的水平。

● 「本质安全」的概念

在「三维交叉口」中，火车和车辆都不相交，因此事故发生的机会很少，能有效确保安全。

‼注意：三维交叉口将铁路置于道路之上，反之亦然。但是，事故仍然可能造成各种各样的伤害。例如，由于自然灾害或其他灾难，可能会发生物体坠落，围栏构造问题或立交桥完全倒塌的情况。因此，三维交叉口并不意味着绝对的安全。但是，就铁路道口安全而言，维交叉口是本质安全的一个示例，因为它通过消除交叉路口（根本问题）本身来确保安全。

安全观念的背景

● 欧洲和北美

安全是要追求的目标，但却是无法完全实现的想法。即使制造业以零缺陷为目标，但仍不能百分百避免故障及损坏，因当中可能涉及设计或人为错误。随着系统越来越复杂，很难通过本质安全来实现完全安全。标准化「功能安全」的理念应运而生，以弥补本质安全的欠缺。在最大程度上，防止由于产品故障或错误而对人造成的伤害。

● 日本

制造业基于设计质量改进和持续制造改进的理念，力求通过提高可靠性和零缺陷来完全实现「本质安全」。结果，「日本制造」以高品质而享誉国际。要在世界市场上推出产品，它必须满足每个特定国家/地区的标准，并且随着功能安全标准的日益普及，让这一想法在日本也广为人知并接受。

制定 ISO 26262汽车功能安全标准的背景

单一汽车零件的误差*，可能导致无法控制发动机/操作方向盘/停车或其他故障，导致对人（驾驶员，乘客或车外的人）构成伤害。

由于汽车设备的电子化，ECU（电子控制单元）之间的协同操作以及多家供货商开发的设计，衍生设计复杂化，可能会引起个别功能混乱，而导致误差*/错误*。在发生事故时，有必要确定谁要对造成的人身或财产损失负责。

以「功能安全」的概念，揭示为迈向汽车故障零事故的整个开发过程，來履行安全负责，并在发生诉讼时提供证据。

为此，在 IEC 61508的基础上制定了 ISO26262 安全标准，以专门降低由电气和电子（E / E）系统的故障行为引起的危险事件的可能性。

*误差：可能导致系统或车辆故障的异常情况。

*错误：计算值，观察值或测量值或条件与真实值，指定值或条件之间的差异。

*故障：由于系统或车辆执行所需功能的能力故障而导致的终止。

引用自 ISO 26262-10:2018

功能安全的安全机制

「功能安全性」是为了确保可接受的安全水平而进行的功能性调整。

汽车系统，组件，电子电路和软件可以通过添加安全机制来实现「功能安全」。

安全机制包括功能停止（故障安全）和功能继续（故障操作），并且必须具有符合 ASIL 的安全机制。

二、什么是 ASIL？

ASIL 指汽车安全完整性等级，这是由 ISO 26262标准定义的风险分类系统。

ASIL 根据伤害的可能性和可接受性来确定安全要求，以使汽车零部件符合 ISO 26262。

ISO 26262标识了 ASIL 的四个等级 - A，B，C和 D。ASIL-A 代表最低的汽车危险等级，而 ASIL-D 代表最高的汽车危险等级。

安全气囊，防抱死制动器或动力转向系统之类的系统要求 ASIL-D 级（对安全性的要求最为严格），因为与故障相关的风险最高。此外，所有电气和电子系统都必须经过安全分析，例如，尾灯和其他组件归类为 ASIL-A，前大灯和刹车灯归类为 ASIL-B，而自适应巡航控制归类为 ASIL-C或 D。

安全机制应用示例

● 冗余设计

在这种设计方法中，如果主要功能发生故障，备用功能将接管工作，以防止发生事故或问题，以减少伤害。