01

功能安全與本質(zhì)安全

功能安全

「功能安全性」是為了確保可接受的安全水平而進(jìn)行的功能調(diào)整（確保安全的機能：以下稱為安全功能）。

本質(zhì)安全

「本質(zhì)安全」是指為減少/消除設(shè)備或結(jié)構(gòu)變化對人或環(huán)境造成的危害而采取的措施。

例如，道路交通橫穿鐵軌的交道口。

●「功能安全」的概念

「交道口」的位置通常配備有警報器，以通知列車駛近，并以斷路器，促使車輛停車。這些安全措施將事故風(fēng)險降低到可接受的水平。

●「本質(zhì)安全」的概念

在「三維交叉口」中，火車和車輛都不相交，因此事故發(fā)生的機會很少，能有效確保安全。

注意：三維交叉口將鐵路置于道路之上，反之亦然。但是，事故仍然可能造成各種各樣的傷害。例如，由于自然災(zāi)害或其他災(zāi)難，可能會發(fā)生物體墜落，圍欄構(gòu)造問題或立交橋完全倒塌的情況。因此，三維交叉口并不意味著絕對的安全。但是，就鐵路道口安全而言，三維交叉口是本質(zhì)安全的一個示例，因為它通過消除交叉路口（根本問題）本身來確保安全。

安全觀念的背景

●歐洲和北美

安全是要追求的目標(biāo)，但卻是無法完全實現(xiàn)的想法。即使制造業(yè)以零缺陷為目標(biāo)，但仍不能百分百避免故障及損壞，因當(dāng)中可能涉及設(shè)計或人為錯誤。隨著系統(tǒng)越來越復(fù)雜，很難通過本質(zhì)安全來實現(xiàn)完全安全。標(biāo)準(zhǔn)化「功能安全」的理念應(yīng)運而生，以彌補本質(zhì)安全的欠缺。在最大程度上，防止由于產(chǎn)品故障或錯誤而對人造成的傷害。

●日本

制造業(yè)基于設(shè)計質(zhì)量改進(jìn)和持續(xù)制造改進(jìn)的理念，力求通過提高可靠性和零缺陷來完全實現(xiàn)「本質(zhì)安全」。結(jié)果，「日本制造」以高品質(zhì)而享譽國際。要在世界市場上推出產(chǎn)品，它必須滿足每個特定國家/地區(qū)的標(biāo)準(zhǔn)，并且隨著功能安全標(biāo)準(zhǔn)的日益普及，讓這一想法在日本也廣為人知并接受。

制定 ISO 26262汽車功能安全標(biāo)準(zhǔn)的背景

單一汽車零件的誤差*，可能導(dǎo)致無法控制發(fā)動機/操作方向盤/停車或其他故障，導(dǎo)致對人（駕駛員，乘客或車外的人）構(gòu)成傷害。

由于汽車設(shè)備的電子化，ECU（電子控制單元）之間的協(xié)同操作以及多家供貨商開發(fā)的設(shè)計，衍生設(shè)計復(fù)雜化，可能會引起個別功能混亂，而導(dǎo)致誤差*/錯誤*。在發(fā)生事故時，有必要確定誰要對造成的人身或財產(chǎn)損失負(fù)責(zé)。

以「功能安全」的概念，揭示為邁向汽車故障零事故的整個開發(fā)過程，來履行安全負(fù)責(zé)，并在發(fā)生訴訟時提供證據(jù)。

為此，在 IEC 61508的基礎(chǔ)上制定了 ISO26262 安全標(biāo)準(zhǔn)，以專門降低由電氣和電子（E / E）系統(tǒng)的故障行為引起的危險事件的可能性。

*誤差：可能導(dǎo)致系統(tǒng)或車輛故障的異常情況。

*錯誤：計算值，觀察值或測量值或條件與真實值，指定值或條件之間的差異。

*故障：由于系統(tǒng)或車輛執(zhí)行所需功能的能力故障而導(dǎo)致的終止。

引用自 ISO 26262-10:2018

功能安全的安全機制

「功能安全性」是為了確保可接受的安全水平而進(jìn)行的功能性調(diào)整。

汽車系統(tǒng)，組件，電子電路和軟件可以通過添加安全機制來實現(xiàn)「功能安全」。

安全機制包括功能停止（故障安全）和功能繼續(xù)（故障操作），并且必須具有符合 ASIL 的安全機制。

02

什么是 ASIL？

ASIL 指汽車安全完整性等級，這是由 ISO 26262標(biāo)準(zhǔn)定義的風(fēng)險分類系統(tǒng)。

ASIL 根據(jù)傷害的可能性和可接受性來確定安全要求，以使汽車零部件符合 ISO 26262。

ISO 26262標(biāo)識了 ASIL 的四個等級 - A，B，C和 D。ASIL-A 代表最低的汽車危險等級，而 ASIL-D 代表最高的汽車危險等級。

安全氣囊，防抱死制動器或動力轉(zhuǎn)向系統(tǒng)之類的系統(tǒng)要求 ASIL-D 級（對安全性的要求最為嚴(yán)格），因為與故障相關(guān)的風(fēng)險最高。此外，所有電氣和電子系統(tǒng)都必須經(jīng)過安全分析，例如，尾燈和其他組件歸類為 ASIL-A，前大燈和剎車燈歸類為 ASIL-B，而自適應(yīng)巡航控制歸類為 ASIL-C或 D。

安全機制應(yīng)用示例

●冗余設(shè)計

在這種設(shè)計方法中，如果主要功能發(fā)生故障，備用功能將接管工作，以防止發(fā)生事故或問題，以減少傷害。

●故障檢測

這是一種使用其他部件來添加功能的措施，以監(jiān)視主要功能中的異常，或者在發(fā)生危害之前將其告知以防止受到傷害。

ABLIC IC 有助構(gòu)建功能安全產(chǎn)品設(shè)計

一般情況，汽車會使用多個 MCU。

假定 MCU 出現(xiàn)異常，

添加一個電壓檢測器(VD)，以監(jiān)視并通知由于電源的過壓或低壓引起的 MCU 異常。

添加看門狗計時器(WDT)，以監(jiān)視并通知由于軟件錯誤而導(dǎo)致 MCU 程序失控，甚至停止運行。

假設(shè)電動汽車（HEV，EV 等）的鋰離子電池出現(xiàn)異常，

添加鋰離子電池保護(hù) IC 來監(jiān)視并通知過電壓，過放電。

以下 IC 還有助于在產(chǎn)品設(shè)計中構(gòu)建功能安全性。

磁傳感器 IC（霍爾效應(yīng) IC）：監(jiān)視滑門和座椅位置等

定時器 IC：定期監(jiān)視傳感器等

EEPROM：保存各種校準(zhǔn)數(shù)據(jù)，日志等

※本公司可提供根據(jù)用戶的使用條件而計算的 FIT 值，以支持用戶設(shè)計應(yīng)對功能安全標(biāo)準(zhǔn)的產(chǎn)品。

責(zé)任編輯：YYX