智能汽車“軟肋”：被忽視的電控安全

　　近期，“特斯拉潮州連撞數人事故”迎來廣泛關注。

　　截至目前，事故原因正在調查之中。不過可以確定的是，在該事故中，駕駛員出于未知原因對車輛失去了控制。在這里我們不談事故情況，而是重點關注一下長期以來被忽視的智能汽車電子電控安全問題。

　　在傳統(tǒng)燃油車時代，汽車的安全性主要分為主動安全和被動安全。這兩個概念非常簡單，主動安全指的是汽車在沒有發(fā)生事故或發(fā)生事故前能夠預防和避免發(fā)生事故的一些安全配置，而被動安全則是指汽車發(fā)生事故時能夠*限度保護車內成員以及車外行人的安全系統(tǒng)。

　　舉例來說，主動安全系統(tǒng)指的是ABS防抱死系統(tǒng)以及ESP車身電子穩(wěn)定系統(tǒng)等電子設備、主動剎車等功能，而被動安全系統(tǒng)則設計車體吸能結構、安全帶、安全氣囊等。

　　如近期問界M7參加的中保研碰撞測試，在正副駕駛25%偏置碰撞中A柱變形，但車內安全氣囊保護非常到位，依然通過測試。這即是典型的被動安全。

　　實際上，從燃油車時代開始，碰撞測試就成了檢驗汽車安全性的一個關鍵手段。中保研、美國NHTSA、歐洲NCAP等碰撞測試成績，均主要針對車輛被動安全領域以及輔助安全上。

　　到了新能源車時代，這種傳統(tǒng)依然沿襲了下來。不過，新能源汽車有著自身獨特的技術架構和核心特色，也正因此，新能源汽車也增加了電池安全和輔助駕駛安全兩大測試。

　　在過去幾年間，電池起火、輔助駕駛失誤導致的事故層出不窮。也正因此，在電池領域，曾經針刺試驗一度成為電池安全的核心標準，但很顯然，這種實驗也很難解決電池安全問題。截至目前，各個廠商分別推出了自身的電池安全技術和BMS電池管理方案，新能源汽車電池起火事故相對減少。

　　而在輔助駕駛上，此前各車企將自動駕駛當作自身賣點，但在當前自動駕駛算法的局限下，當前車輛很難突破L3自動駕駛級別。當L2級輔助駕駛成為車輛上限時，各個廠商也逐漸變得低調，開始主打自身輔助駕駛功能。

　　但是，無論是傳統(tǒng)燃油車時代的主動安全和被動安全，還是新能源時代新增的電池安全和輔助駕駛安全，其根本完全窮盡現階段所謂智能汽車的安全隱患問題。在這些領域之外，最被忽視的正是智能汽車的電控安全問題。

　　01

　　汽車電子控制的黃金時代

　　電池、電機、電控被合稱為新能源汽車的三大關鍵技術。但是，電控早在燃油車時代就已經在汽車上得到了廣泛普及。

　　汽車電控即是汽車電子控制系統(tǒng)，基本由傳感器、電子控制器(ECU)、驅動器和控制程序軟件等部分組成，以電信號來傳輸汽車的控制指令。

　　但是，從燃油車向新能源汽車再向智能汽車的過渡，卻帶來了汽車電控系統(tǒng)的全面變革。

　　汽車發(fā)展初期，汽車控制完全是機械式的。而隨著汽車電子發(fā)展，ECU替代機械，逐漸成為汽車諸多功能的電子控制單元。

　　早期，ECU應用完全以功能為導向，單個元件基本負責單個功能，如玻璃升降控制、引擎控制、安全氣囊、防抱死系統(tǒng)、助力轉向，再到智能儀表、影音娛樂系統(tǒng)，再到電動汽車上的電驅控制、電池管理系統(tǒng)等均需要單獨ECU來進行控制。這帶來的結果正是，隨著汽車功能越來越復雜，ECU也越來越多。

　　如1994年*代奧迪A8僅使用5個ECU，來控制發(fā)動機工作。但到2010年，奧迪A8已經使用了超過100個ECU，用于動力系統(tǒng)、底盤控制、智能駕駛等功能上。

　　但是，隨著ECU越來越多，汽車電子電氣架構越來越復雜。為解決這一問題，2017年汽車零部件供應商博世提出了EEA的戰(zhàn)略發(fā)展圖，分為模塊化、集成化、集中化、域融合、車載電腦、車-云計算六個小階段，整體來說即是電子電氣架構越來越集中、汽車電子軟硬件解耦且軟件、算法影響力越來越大。

　　在這種趨勢下，以往汽車上分布式電子電氣架構逐步向域集中架構轉變。而特斯拉的出現，帶來了EEA的集中化變革，在量產車上帶來了電控架構的新布局。

　　具體來看，特斯拉Model 3將數百個ECU控制的功能整合成了左域控制器、前域控制器、右域控制器和中央計算單元。比如左域控制器就能控制車輛左邊的一些電氣系統(tǒng)，左邊車窗、車門、部分底盤、部分動力系統(tǒng)等。

　　在這種集成式架構下，原本通過分離ECU實現的功能現在可以放到域主控處理器上實現，帶來了域控的平臺化和標準化，也實現了OTA等功能。

　　但是，這種集中式架構也帶來了新的安全挑戰(zhàn)。

　　02

　　域控制電子電氣架構的安全挑戰(zhàn)

　　在分布式電子電氣架構中，車輛不同功能由不同ECU來控制。而不同汽車功能的汽車電控元件，都有著不同的功能安全等級以及處理優(yōu)先級，其軟件和算法甚至必須運行在不同的底層實時系統(tǒng)上。

　　而集成式電子電氣架構，原本由多個ECU完成的功能，現在需要依靠單一的域主控處理器來完成，還需要管理和控制所連接的各種傳感器與執(zhí)行器等。這就對硬件和軟件均提出了高度要求。

　　具體來看，以往ECU軟硬件結合負責單一功能，但在集中式架構中，軟件和算法被“收歸中央”，整合到域控制器上，這必然會導致域控制器的軟件體系更為復雜，也會導致整個軟件系統(tǒng)的出錯概率增加、可靠性下降。這一問題雖然能夠通過硬件虛擬化技術進行分區(qū)處理，但復雜軟件系統(tǒng)本身的不可靠性依然未能完全解決。

　　更重要的是，在汽車電子系統(tǒng)中，不同應用對其實時性和功能安全等級要求差異巨大。如根據ISO 26262標準，汽車儀表系統(tǒng)與娛樂信息系統(tǒng)屬于不同的安全等級，具有不同的處理優(yōu)先級。這也很好理解，在汽車行駛中，娛樂信息系統(tǒng)死機或重啟并不影響駕駛安全性，但汽車儀表系統(tǒng)出錯卻會在一定程度上對司機駕駛安全造成巨大威脅。事實上，汽車儀表系統(tǒng)突然失靈事件，在當前新能源汽車上并不算罕見。

　　又如特斯拉電動汽車備受爭議的“單踏板”模式，一個加速踏板控制車輛的加速和減速，由同一傳感器和處理器控制，但是在理論上，加速功能的安全等級應該遠低于剎車功能，至于動能回收，則處理優(yōu)先級更是遠低于加速功能。

　　這也是集成式電子電氣架構的關鍵問題，即如何保障軟件系統(tǒng)的可靠性。但截止于目前，關于汽車電子電氣架構軟件系統(tǒng)魯棒性的第三方測試卻完全缺席。

　　汽車，畢竟不是手機。無論技術多么先進，汽車作為一種出行工具，其*要義即在于安全性。時至今日，手機系統(tǒng)失靈、死機現象仍然屢見不鮮，各種小BUG更是層出不窮，我們已經司空見慣。但是，對于汽車來說，一個BUG出現，或許就是嚴重的安全事故。

　　03

　　軟件和算法的“車規(guī)級”迫在眉睫

　　在汽車制造領域，有一個重要名詞叫做“車規(guī)級”，用來形容汽車零部件的專用標準。

　　如車規(guī)級芯片，對溫度要求需要達到-40~125°C，而消費級芯片僅需滿足0-70°C要求即可。前者出錯率必須為0，而后者出錯率僅需滿足<3%即可。在使用上，車規(guī)級芯片需要滿足15年使用要求，而消費級芯片僅需使用1-3年時間。

　　可以看到，車規(guī)級產品有著遠高于消費類產品的標準要求，這也是基于汽車使用環(huán)境帶來的高安全標準。

　　實際上，車規(guī)級本身即是一批汽車廠商聯(lián)合制定的行業(yè)標準。但是，在智能汽車方興未艾的新階段，行業(yè)內對于智能汽車的新形態(tài)上卻缺乏嚴格的標準制定。

　　例如在智能座艙芯片上，部分車企并沒有采用車規(guī)級解決方案，而是采用消費級芯片改裝轉換而來。但這畢竟是智能座艙芯片，其安全等級并不算高。

　　不過整體而言，汽車硬件上問題并不突出，而軟件和算法目前尚處于標準缺失的空白地帶。

　　隨著汽車電子電氣架構變革時代來臨，車企們紛紛開啟了自研軟件和算法。在這一領域，雖然有著ISO 26262功能安全標準約束，但在汽車企業(yè)激進的架構設計上，軟件算法的功能安全卻始終缺乏有效的保障。在汽車上，一旦算法出現問題，汽車很容易就會出現違背駕駛員意志的失靈，導致不可挽回的結果。

　　更為重要的是，某些軟件或算法的BUG出現相當隨機，在仿真測試或者真車實驗中或許根本難以顯露出來。

　　這正是目前集成式電控系統(tǒng)面臨的關鍵挑戰(zhàn)。事實上，這一問題也并不復雜。對于車企來說，優(yōu)先級更高、安全等級更高的功能，至少應該保持更為獨立的系統(tǒng)。在關鍵功能上，至少將最高權限還給駕駛員自身，而非由程序算法閉環(huán)控制。

　　此外，行業(yè)對于汽車軟件系統(tǒng)和算法的測試必須提上日程。作為車輛的一部分，軟件和算法必須在經歷千錘百煉的檢測之后，才能展現出其穩(wěn)定性和魯棒性，進而保障汽車整體系統(tǒng)的安全性。

　　畢竟，代碼是不可信任的，尤其是汽車。