新能源汽车的功能安全概述

新能源汽车的功能安全概述前言：消费者买了一辆车，也就购买了汽车带给我们的舒适与愉悦，更重要的是购买了汽车带给我们的安全感，这是汽车制造商最基本的责任与义务

消费者买了一辆车，也就购买了汽车带给我们的舒适与愉悦，更重要的是购买了汽车带给我们的安全感，这是汽车制造商最基本的责任与义务。

一．汽车功能安全标准诞生的背景

汽车作为交通工具，始终和驾驶者、乘客以及车外的行人的安全息息相关。作为一种工业产品，并且是大批量工业产品，必须要保证各种复杂路况环境下汽车的安全性。尤其随着科技的进步，在汽车上使用的电子器件，电气电路，可编程逻辑器件越来越多，汽车系统也随之越来越复杂。有鉴于此，国际标准化组织参考已经实施多年的电子、电气及可编程器件功能安全基本标准IEC61508，制定了专门针对汽车电子电气系统的功能安全国际标准

ISO26262。这个标准是一个道路车辆功能安全标准，适用于道路车辆上所有提供安全相关功能的电力、电子和可编程电子器件等组成的安全相关系统。

由于欧美很多国家将汽车安全写入法规中，所以国外汽车行业各大OEM和部件供应商对汽车功能安全非常重视，在企业内部推行ISO26262标准，组建了自己的功能安全团队，制订了符合功能安全标准要求的开发和验证过程，并使开发流程和产品符合ISO26262标准，从而满足汽车产品运行中的安全需要。尤其是国外整车企业，将功能安全作为零部件供应商的准入门槛，特别是目标客户在海外市场的我国零部件企业，这个门槛是必须跨越的。

我国对汽车功能安全也特别重视，在ISO26262标准出现后，国家标准化管理委员会要求中国汽车技术研究中心负责推荐性国家标准GB/T《道路车辆功能安全》的制定工作。中国汽车技术研究中心组织成立了由整车企业、零部件企业、检测科研机构、科研院所及相关机构等多家单位组成的标准制定工作组。并且在2015年制订出了GB/T《道路车辆功能安全》的征求意见稿。其实对比我国的征求意见稿和ISO26262标准，你会发现绝大部分内容时完全一致的，所以，英文不好的同学可以拿我国的GB征求意见稿对比ISO26262，从而加快对标准的理解。英文好的同学对于GB/T《道路车辆功能安全》征求

意见稿中比较拗口的表达，也可以通过查看英文标准从而能够更好理解标准想表达的含义。

我国在2015年发布了征求意见稿后，预计将在2017年发布正式对应ISO26262的车辆功能安全的国家标准。虽然此标准估计是以推荐性标准发布尚未变成强制性标准，但当推荐标准被行业成员大部分认同和实施后，功能安全也会成为进入市场领域的事实准入要求。换句话说，如果你的同行竞争对手都开发出符合功能安全的产品并以此为卖点，那么你的客户肯定优先选择他而不是选择你。同时，加入了功能安全概念，势必会增加产品的附加值，你只能眼睁睁看着别人在蓝海畅游，自己的产品继续在红海中搏杀。这逼着大家都开始把符合功能安全作为产品新的技术要求。

在新能源汽车领域，常见的实施功能安全项目的产品部件从我们熟悉的三电（电机、电控和电池）变成了VCU（整车控制器）、MCU（电机控制器）和BMS（电池管理系统），同时驾车行驶过程中的和安全息息相关的电子助力转向EPS，发生碰撞时保护乘客安全的气囊系统（AGS）, 远程信息处理系统（t-box），先进驾驶辅助系统（ADAS）等各类车用系统都开启了功能安全标准实施之门。

二．新能源汽车功能安全的实现

ISO26262对关键的安全级别进行了四层划分，通过汽车安全完整性等级（ASIL）来衡量。ASIL A是最低等级，要求数目约100个左右，而ASIL D是最高等级，要求数目近200个。等级越高，安全系统就需要提供越多的安全和验证措施，需要增加更多的测试和集成工作，也就意味着供应商需要承担更多的开发成本和时间。

为了实现新能源汽车的整车功能安全，需要OEM和各级供应商有着明确的职责划分和合作模式，国外主机厂在与供应商合作中，如博世、电装等，都有着明确的功能安全标准和验证要求。国内不少企业都借鉴了国外的技术或模式，如联合电子借助博世技术，已经实现功能安全电控的本地化研发和生产；不同的汽车部件对功能安全的要求是不同的，越核心的部件需要越高等级的功能安全。

近两年，新能源汽车的安全事故频发，其中电池相关的安全事故占六成左右，究其原因，一方面，行业对电池设计、研发、验证等环节的相应安全标准不完善，另一方面大多电池企业在功能安全理念、开发经验、管理能力等方面存在较大差异。为避免更多安全事故，需要在动力电池的设计开发源头，就引入功能安全流程体系和技术要求，这也有利于提升整车安全。

举个简单的例子，纯电动汽车在发生碰撞后之所以极易发生起火，原因就在于电池组未及时断电，碰撞产生的挤压变形造成电池短路，进而引发火灾。针对这种情况，符合ISO2626标准的动力电池需要进行冗余设计，通常是同时使用两个独立执行模块，尽量缩短响应时间，也就是碰撞信号的采集、确认以及执行器执行整车切断高压电指令的时间，只有响应时间越短，系统安全性才能越高。在充放电过程的管理、故障诊断等方面都需要有严格的分析、预防、保护等一系列安全管理策略。

电控：安全和性能结合

电机控制器作为新能源汽车的动力控制系统，掌握着整车的加速、刹车等关键性能，电控失效带来的安全风险不容忽视，所以，符合功能安全的电控设计正逐渐成为业内的普遍需求，当前对电控的功能安全需求多为ASIL C等级，但在未来，电控的功能安全需求或将提升为ASIL D级，这需要供应商具备复杂度更高、冗余性更强、可靠性指标更高的电控产品设计能力和水平。

目前，国内OEM和Tier1厂家都在加大对电机控制器的功能安全流程建设和产品开发的投入，也取得了不少成果，ISO26262标准中对流程建设有着清晰的指标，但并不涉及具体的产品设计，所以在摸索过程中，符合功能安全的电控产品开发面临的挑战更多，如何在过设计和欠设计中寻找平衡，如何在保证安全的同时实现性能最优化等等。阳光电源在其功能安全的产品技术方案中，采用多层程序监控、双软解码等技术，通过软硬件结合的方式来简化所需安全层级的任务，同时采用单管并联技术、低载波比控制技术等有效提高功率密度，确保产品性能，同时兼顾了产品的安全与性能。

三．新能源汽车功能安全项目实施的形式

要提到实施汽车功能安全ISO26262标准，就离不开一个重要的角色—咨询公司。实施过ISO9001，16949等标准的企业一定都很熟悉，在一个对体系标准不太了解甚至一无所知的情况下，要进入这个领域，必须寻找到合适的引