简单分析汽车电子系统故障是否会导致车辆失控

2018-01-17 13:59:40· 来源：厚势

目前，随着自动驾驶（ADAS）的功能越来越普及，汽车的电子系统功能越来越强大，控制系统架构越来越复杂，同时我们也越来越依赖各种车载电子系统。但这些电子控制系统在给人带来方便的同时，也带来了很大的风险。

如果电子控制系统出现故障，会导致什么样的后果？

目前转向系统一般是电子辅助转向（Electric Powered Steering，简称 EPS），如果高速行驶过程中 EPS 发生故障，驾驶员没有输入转向信号，系统故障自己发生助力，急打方向，会是什么样的后果？

很多车辆的制动系统系统配置有电子稳定系统（Electronic Stability Control，简称 ESC)，如果在 120 km/h 的速度在高速公路上行驶，驾驶员没有踩刹车踏板，系统故障突然实施紧急制动，后续车辆来不及反应，会发生什么后果？

据《产品安全与召回》杂志统计数据，仅 2015 年上半年，42 家汽车制造商共实施召回 124 次，共召回缺陷汽车产品 293.14 万辆。其中，

涉及电子电器 42 次，共 1828019 辆；

发动机 30 次，共 697304 辆；

车身部分 19 次，共 31472 辆；

转向/悬架 14 次，共 206922 辆；

制动/车轮 12 次，共 62030 辆；

动力传动系统 6 次，共 105102 辆；

其他部分 1 次，涉及车辆 561 辆。

以上数据显示，电子电器系统已取代动力总成成为了最容易出现缺陷的汽车系统。

背景

随着机械结构越来越成熟，电子控制越来越普遍，有些高端豪华轿车上有几十上百个电子控制单元（ECU），其中安全气囊、底盘控制系统（制动/转向）、发动机控制系统等都是安全相关的系统。一旦这些电子系统出现功能性故障，将会极大的影响整车功能安全。

怎么去控制这种风险，约束这种行为呢？

从上世纪 60/70 年代开始，欧美各国就陆陆续续出台了一些法规来定义功能安全。

图 1 汽车功能安全法规发展历程

之前发布的法规只是泛泛的要求，没有细化，也没有针对汽车行业去做强制要求。

直到 2011 年发布了针对汽车行业的 ISO 26262。

汽车安全完整性等级的定义

首先，从功能安全和成本平衡角度来考虑，不可能所有的系统都是同等对待的，肯定是越是与安全相关的系统，越要重点关注，比如说发动机控制系统和收音机系统相比，肯定是发动机控制系统要重要的多。

所以 ISO26262 定义了汽车安全完整性等级（以下简称 ASIL）这个概念，根据子系统失效风险的 ASIL 的等级高低来区分对待。

工程上任何一个概念都是可以用数据量化的，那 ASIL 是如何量化的？

首先，从失效后果造成的伤害的严重程度来说，ASIL 定义了严重度 S。严重度 S 分 4 个等级，S0 到 S3，其中 S0 为无危害，S3 为致命危害。
其次，从该失效发生的概率来说，ASIL 定义了暴露率E。暴露率 E 分为 4 个等级，E1 到 E4，其中 E1 指很低的概率，E4 指高概率（>10%）。
再次，从该失效发生后能够避免事故或伤害的可能性来说，ASIL 定义了可控性 C。可控性 C 分为 4 个等级，其中 C0 为完全可控，C3 为很难控制（<90% 驾驶员）。

根据实际情况确认好 S、E、C 这三个参数后，ASIL 就可以确定了。具体参考下图。

表 1 ASIL 等级确认