智能汽車“軟肋”：被忽視的電控安全

　　近期，“特斯拉潮州連撞數人事故”迎來廣泛關注。

　　截至目前，事故原因正在調查之中。不過可以確定的是，在該事故中，駕駛員出于未知原因對車輛失去了控制。在這里我們不談事故情況，而是重點關注一下長期以來被忽視的智能汽車電子電控安全問題。

　　在傳統燃油車時代，汽車的安全性主要分為主動安全和被動安全。這兩個概念非常簡單，主動安全指的是汽車在沒有發生事故或發生事故前能夠預防和避免發生事故的一些安全配置，而被動安全則是指汽車發生事故時能夠*限度保護車內成員以及車外行人的安全系統。

　　舉例來說，主動安全系統指的是ABS防抱死系統以及ESP車身電子穩定系統等電子設備、主動剎車等功能，而被動安全系統則設計車體吸能結構、安全帶、安全氣囊等。

　　如近期問界M7參加的中保研碰撞測試，在正副駕駛25%偏置碰撞中A柱變形，但車內安全氣囊保護非常到位，依然通過測試。這即是典型的被動安全。

　　實際上，從燃油車時代開始，碰撞測試就成了檢驗汽車安全性的一個關鍵手段。中保研、美國NHTSA、歐洲NCAP等碰撞測試成績，均主要針對車輛被動安全領域以及輔助安全上。

　　到了新能源車時代，這種傳統依然沿襲了下來。不過，新能源汽車有著自身獨特的技術架構和核心特色，也正因此，新能源汽車也增加了電池安全和輔助駕駛安全兩大測試。

　　在過去幾年間，電池起火、輔助駕駛失誤導致的事故層出不窮。也正因此，在電池領域，曾經針刺試驗一度成為電池安全的核心標準，但很顯然，這種實驗也很難解決電池安全問題。截至目前，各個廠商分別推出了自身的電池安全技術和BMS電池管理方案，新能源汽車電池起火事故相對減少。

　　而在輔助駕駛上，此前各車企將自動駕駛當作自身賣點，但在當前自動駕駛算法的局限下，當前車輛很難突破L3自動駕駛級別。當L2級輔助駕駛成為車輛上限時，各個廠商也逐漸變得低調，開始主打自身輔助駕駛功能。

　　但是，無論是傳統燃油車時代的主動安全和被動安全，還是新能源時代新增的電池安全和輔助駕駛安全，其根本完全窮盡現階段所謂智能汽車的安全隱患問題。在這些領域之外，最被忽視的正是智能汽車的電控安全問題。

　　01

　　汽車電子控制的黃金時代

　　電池、電機、電控被合稱為新能源汽車的三大關鍵技術。但是，電控早在燃油車時代就已經在汽車上得到了廣泛普及。

　　汽車電控即是汽車電子控制系統，基本由傳感器、電子控制器(ECU)、驅動器和控制程序軟件等部分組成，以電信號來傳輸汽車的控制指令。

　　但是，從燃油車向新能源汽車再向智能汽車的過渡，卻帶來了汽車電控系統的全面變革。

　　汽車發展初期，汽車控制完全是機械式的。而隨著汽車電子發展，ECU替代機械，逐漸成為汽車諸多功能的電子控制單元。

　　早期，ECU應用完全以功能為導向，單個元件基本負責單個功能，如玻璃升降控制、引擎控制、安全氣囊、防抱死系統、助力轉向，再到智能儀表、影音娛樂系統，再到電動汽車上的電驅控制、電池管理系統等均需要單獨ECU來進行控制。這帶來的結果正是，隨著汽車功能越來越復雜，ECU也越來越多。

　　如1994年*代奧迪A8僅使用5個ECU，來控制發動機工作。但到2010年，奧迪A8已經使用了超過100個ECU，用于動力系統、底盤控制、智能駕駛等功能上。

　　但是，隨著ECU越來越多，汽車電子電氣架構越來越復雜。為解決這一問題，2017年汽車零部件供應商博世提出了EEA的戰略發展圖，分為模塊化、集成化、集中化、域融合、車載電腦、車-云計算六個小階段，整體來說即是電子電氣架構越來越集中、汽車電子軟硬件解耦且軟件、算法影響力越來越大。

　　在這種趨勢下，以往汽車上分布式電子電氣架構逐步向域集中架構轉變。而特斯拉的出現，帶來了EEA的集中化變革，在量產車上帶來了電控架構的新布局。

　　具體來看，特斯拉Model 3將數百個ECU控制的功能整合成了左域控制器、前域控制器、右域控制器和中央計算單元。比如左域控制器就能控制車輛左邊的一些電氣系統，左邊車窗、車門、部分底盤、部分動力系統等。

　　在這種集成式架構下，原本通過分離ECU實現的功能現在可以放到域主控處理器上實現，帶來了域控的平臺化和標準化，也實現了OTA等功能。

　　但是，這種集中式架構也帶來了新的安全挑戰。

　　02

　　域控制電子電氣架構的安全挑戰

　　在分布式電子電氣架構中，車輛不同功能由不同ECU來控制。而不同汽車功能的汽車電控元件，都有著不同的功能安全等級以及處理優先級，其軟件和算法甚至必須運行在不同的底層實時系統上。

　　而集成式電子電氣架構，原本由多個ECU完成的功能，現在需要依靠單一的域主控處理器來完成，還需要管理和控制所連接的各種傳感器與執行器等。這就對硬件和軟件均提出了高度要求。

　　具體來看，以往ECU軟硬件結合負責單一功能，但在集中式架構中，軟件和算法被“收歸中央”，整合到域控制器上，這必然會導致域控制器的軟件體系更為復雜，也會導致整個軟件系統的出錯概率增加、可靠性下降。這一問題雖然能夠通過硬件虛擬化技術進行分區處理，但復雜軟件系統本身的不可靠性依然未能完全解決。

　　更重要的是，在汽車電子系統中，不同應用對其實時性和功能安全等級要求差異巨大。如根據ISO 26262標準，汽車儀表系統與娛樂信息系統屬于不同的安全等級，具有不同的處理優先級。這也很好理解，在汽車行駛中，娛樂信息系統死機或重啟并不影響駕駛安全性，但汽車儀表系統出錯卻會在一定程度上對司機駕駛安全造成巨大威脅。事實上，汽車儀表系統突然失靈事件，在當前新能源汽車上并不算罕見。

　　又如特斯拉電動汽車備受爭議的“單踏板”模式，一個加速踏板控制車輛的加速和減速，由同一傳感器和處理器控制，但是在理論上，加速功能的安全等級應該遠低于剎車功能，至于動能回收，則處理優先級更是遠低于加速功能。

　　這也是集成式電子電氣架構的關鍵問題，即如何保障軟件系統的可靠性。但截止于目前，關于汽車電子電氣架構軟件系統魯棒性的第三方測試卻完全缺席。

　　汽車，畢竟不是手機。無論技術多么先進，汽車作為一種出行工具，其*要義即在于安全性。時至今日，手機系統失靈、死機現象仍然屢見不鮮，各種小BUG更是層出不窮，我們已經司空見慣。但是，對于汽車來說，一個BUG出現，或許就是嚴重的安全事故。

　　03

　　軟件和算法的“車規級”迫在眉睫

　　在汽車制造領域，有一個重要名詞叫做“車規級”，用來形容汽車零部件的專用標準。

　　如車規級芯片，對溫度要求需要達到-40~125°C，而消費級芯片僅需滿足0-70°C要求即可。前者出錯率必須為0，而后者出錯率僅需滿足<3%即可。在使用上，車規級芯片需要滿足15年使用要求，而消費級芯片僅需使用1-3年時間。

　　可以看到，車規級產品有著遠高于消費類產品的標準要求，這也是基于汽車使用環境帶來的高安全標準。

　　實際上，車規級本身即是一批汽車廠商聯合制定的行業標準。但是，在智能汽車方興未艾的新階段，行業內對于智能汽車的新形態上卻缺乏嚴格的標準制定。

　　例如在智能座艙芯片上，部分車企并沒有采用車規級解決方案，而是采用消費級芯片改裝轉換而來。但這畢竟是智能座艙芯片，其安全等級并不算高。

　　不過整體而言，汽車硬件上問題并不突出，而軟件和算法目前尚處于標準缺失的空白地帶。

　　隨著汽車電子電氣架構變革時代來臨，車企們紛紛開啟了自研軟件和算法。在這一領域，雖然有著ISO 26262功能安全標準約束，但在汽車企業激進的架構設計上，軟件算法的功能安全卻始終缺乏有效的保障。在汽車上，一旦算法出現問題，汽車很容易就會出現違背駕駛員意志的失靈，導致不可挽回的結果。

　　更為重要的是，某些軟件或算法的BUG出現相當隨機，在仿真測試或者真車實驗中或許根本難以顯露出來。

　　這正是目前集成式電控系統面臨的關鍵挑戰。事實上，這一問題也并不復雜。對于車企來說，優先級更高、安全等級更高的功能，至少應該保持更為獨立的系統。在關鍵功能上，至少將最高權限還給駕駛員自身，而非由程序算法閉環控制。

　　此外，行業對于汽車軟件系統和算法的測試必須提上日程。作為車輛的一部分，軟件和算法必須在經歷千錘百煉的檢測之后，才能展現出其穩定性和魯棒性，進而保障汽車整體系統的安全性。

　　畢竟，代碼是不可信任的，尤其是汽車。