支持汽車(chē)安全的最新汽車(chē)功能安全標(biāo)準(zhǔn)“ISO 26262”

~在構(gòu)筑安全方面半導(dǎo)體發(fā)揮的作用以及羅姆的行動(dòng)~

近年來(lái)，在汽車(chē)領(lǐng)域，隨著自動(dòng)駕駛技術(shù)的持續(xù)創(chuàng)新并迅速發(fā)展，越來(lái)越需要有助于在緊急情況下防患于未然的功能（功能安全）、以及將功能安全標(biāo)準(zhǔn)化的ISO 26262等標(biāo)準(zhǔn)。特別是在技術(shù)創(chuàng)新卓著的中國(guó)，ISO 26262（功能安全）已被確立為以“GB/T”開(kāi)頭的推薦性國(guó)家標(biāo)準(zhǔn)，ISO 26262的第一版中文譯本“GB/T 34590”已于2017年10月發(fā)布，并且已于2018年5月起開(kāi)始施行。

在這種背景下，不僅汽車(chē)制造商（OEM），越來(lái)越多的汽車(chē)電子產(chǎn)品制造商（Tier1）也紛紛加速了功能安全支持，從全球范圍來(lái)看，實(shí)現(xiàn)功能安全已經(jīng)是必經(jīng)之路。

羅姆自2017年在業(yè)界率先開(kāi)發(fā)由液晶驅(qū)動(dòng)電源IC等構(gòu)成的、支持功能安全的液晶面板芯片組，并在2018年取得ISO26262開(kāi)發(fā)工藝認(rèn)證等，不斷推進(jìn)支持汽車(chē)功能安全的產(chǎn)品開(kāi)發(fā)。

本文將從半導(dǎo)體制造商的角度，在對(duì)功能安全和ISO 26262的關(guān)注度日益增加，并需要采取行動(dòng)積極應(yīng)對(duì)的背景下，向您介紹羅姆官方網(wǎng)站上公布的白皮書(shū)摘要。另外，白皮書(shū)有包括案例等具體的介紹，歡迎登錄羅姆官方網(wǎng)站了解詳情。

關(guān)于ISO 26262的白皮書(shū)鏈接：

https://rohmfs-rohm-com-cn.oss-cn-shanghai.aliyuncs.com/cn/products/databook/white_paper/iso26262_wp-c.pdf

《功能安全的思路》

在介紹“功能安全”時(shí)，經(jīng)常引用的術(shù)語(yǔ)是“本質(zhì)安全”。在此希望通過(guò)與“本質(zhì)安全”的比較來(lái)介紹“功能安全”。“本質(zhì)安全”是一種通過(guò)消除危險(xiǎn)原因來(lái)確保安全的方法。而“功能安全”是通過(guò)功能方面的努力將風(fēng)險(xiǎn)降低到可接受水平來(lái)確保安全的方法。

例如，以道路和鐵路交叉口為例，讓我們來(lái)思考一下應(yīng)該采取什么措施來(lái)避免汽車(chē)和火車(chē)之間發(fā)生碰撞。

為了消除道路和鐵路交叉的危險(xiǎn)原因，將道路和鐵路分開(kāi)，建立交橋來(lái)避免碰撞的做法就是基于“本質(zhì)安全”的思路。按照“本質(zhì)安全”的思路，采用立交橋的做法，可以從物理上消除汽車(chē)與火車(chē)之間的碰撞。

而“功能安全”的方法則可能是通過(guò)設(shè)置鐵路道口來(lái)避免碰撞。在道路與鐵路的交叉處設(shè)置警報(bào)器和欄桿，在鐵路上安裝傳感器，當(dāng)傳感器檢測(cè)到火車(chē)接近時(shí)，警報(bào)器響起，并降下欄桿。當(dāng)另外的傳感器檢測(cè)到火車(chē)已經(jīng)通過(guò)時(shí)，警報(bào)器停止，并升起欄木機(jī)。雖然道路與鐵路在物理上仍然交叉，但可通過(guò)設(shè)置鐵路道口的方法將把汽車(chē)和火車(chē)相撞的風(fēng)險(xiǎn)降低到可接受的水平。這就是“功能安全”的思路。

在羅姆官方網(wǎng)站上公布的白皮書(shū)詳細(xì)記載了實(shí)現(xiàn)功能安全的具體手法，歡迎登錄官網(wǎng)了解詳情。

《什么是ISO 26262》

“ISO”是指InternaTIonal OrganizaTIon for StandardizaTIon（國(guó)際標(biāo)準(zhǔn)化組織），是總部位于瑞士日內(nèi)瓦的非政府機(jī)構(gòu)，旨在制定并推廣國(guó)際標(biāo)準(zhǔn)（IS：InternaTIonal Standard）。其中ISO 9001（質(zhì)量管理體系）和ISO 14001（環(huán)境管理體系）是非常有名的標(biāo)準(zhǔn)。

ISO 26262是汽車(chē)電氣／電子系統(tǒng)相關(guān)的“功能安全”國(guó)際標(biāo)準(zhǔn)。作為功能安全的母標(biāo)準(zhǔn)，存在著IEC 61508（International Electrotechnical Commission：國(guó)際電工委員會(huì)），ISO 26262是基于此并根據(jù)汽車(chē)的電氣／電子系統(tǒng)進(jìn)行修改而成的。

ISO 26262于2011年11月發(fā)布第一版，于2018年12月發(fā)布修訂后的第二版。在第一版中，涉及的對(duì)象是3，500kg以下的量產(chǎn)乘用車(chē)；在第二版中，對(duì)象范圍擴(kuò)大至卡車(chē)、公共汽車(chē)及兩輪機(jī)動(dòng)車(chē)。關(guān)于半導(dǎo)體方面的指南，是在第二版的Part11新規(guī)定的。

雖然ISO 26262旨在實(shí)現(xiàn)功能安全，但它并不是法律。因此，不遵守ISO 26262標(biāo)準(zhǔn)并不違法。但是，汽車(chē)制造商不會(huì)購(gòu)買(mǎi)不符合標(biāo)準(zhǔn)的產(chǎn)品。汽車(chē)制造商通過(guò)根據(jù)ISO 26262設(shè)計(jì)電氣／電子系統(tǒng)來(lái)證明能夠確保汽車(chē)的安全。而且，設(shè)計(jì)應(yīng)確保即使發(fā)生了電氣／電子系統(tǒng)故障，也不會(huì)造成人身（不僅包括駕駛員和乘客，還包括行人等）傷害。

《獲得ISO 26262認(rèn)證的方法》

要取得上述ISO 26262的認(rèn)證，通常的做法是接受以TüV Rheinland、TüV SUD、SGS TüV、DNV-GL、TüV Saarland等為代表的第三方認(rèn)證機(jī)構(gòu)的審查，并取得認(rèn)證。

羅姆從2015年開(kāi)始構(gòu)建ISO 26262的流程，約在2年半后的2018年3月，通過(guò)德國(guó)第三方認(rèn)證機(jī)構(gòu)TüV Rheinland獲得了ISO 26262的流程認(rèn)證。換句話說(shuō)，羅姆的ISO 26262流程已經(jīng)被認(rèn)定為是符合ISO 26262標(biāo)準(zhǔn)的流程。一般通常的做法是根據(jù)顧問(wèn)等外援的建議來(lái)構(gòu)建流程，但羅姆不止于此，還舉辦了多場(chǎng)研討會(huì)來(lái)學(xué)些和了解該標(biāo)準(zhǔn)，以調(diào)整方向，建立符合標(biāo)準(zhǔn)的流程。

羅姆官方網(wǎng)站上公布的白皮書(shū)記載了其他安全標(biāo)準(zhǔn)以及符合ISO26262的手段、獲得認(rèn)證的方法，以及羅姆的ISO 26262體制等，歡迎登錄官網(wǎng)查看詳情。

《支持功能安全的車(chē)載應(yīng)用和羅姆的半導(dǎo)體產(chǎn)品例》

在最近的車(chē)載應(yīng)用中，半導(dǎo)體是如何為構(gòu)建功能安全作貢獻(xiàn)的，在此介紹一下羅姆的行動(dòng)和解決方案。

1.針對(duì)液晶面板的解決方案

在使用儀表盤(pán)和電子鏡的液晶面板應(yīng)用中，如果時(shí)序控制器控制兩個(gè)驅(qū)動(dòng)器，把來(lái)自GPU的圖像數(shù)據(jù)直接顯示在液晶面板上的話，一旦發(fā)生顯示異常，將無(wú)法做任何操作，會(huì)直接導(dǎo)致事故發(fā)生。

針對(duì)這種問(wèn)題，羅姆的車(chē)載用時(shí)序控制器，能夠監(jiān)測(cè)來(lái)自GPU的圖像數(shù)據(jù)，當(dāng)發(fā)生數(shù)據(jù)異?；蜉斎胄盘?hào)異常時(shí)，使之顯示黑屏，或通知微控制器使之顯示錯(cuò)誤警告畫(huà)面等，從而讓駕駛員注意到異常，成功地解決了該問(wèn)題。

而且，羅姆的液晶面板用芯片組，擁有控制各液晶驅(qū)動(dòng)器的時(shí)序控制器：BU90AL210 / BU90AL211 / BU90AD410、驅(qū)動(dòng)液晶面板的源極驅(qū)動(dòng)器和柵極驅(qū)動(dòng)器：ML9882 / ML9873 / ML9872、多功能電源IC：BM81810MUV、進(jìn)行圖像視頻校正的伽瑪校正IC：BD81849MUV，可從整體上確保液晶面板的功能安全。

2．針對(duì)ECU電源電路的解決方案

在汽車(chē)ECU（Electronic Control Unit）中，通常需要多個(gè)電源。該電源發(fā)生異常時(shí)可能會(huì)引發(fā)事故。因此，需要能夠監(jiān)控ECU內(nèi)的多個(gè)電源、并在發(fā)生異常時(shí)根據(jù)所異常進(jìn)行避免事故的處理，電源監(jiān)控IC就發(fā)揮著這個(gè)作用。電源監(jiān)控IC會(huì)監(jiān)控這些電壓，并在發(fā)生異常時(shí)通知MCU，提示其進(jìn)行處理。

如上所述，車(chē)載應(yīng)用要實(shí)現(xiàn)“功能安全”，不僅需要主功能，還需要“安全機(jī)制”，即能夠監(jiān)控主功能是否正常，當(dāng)發(fā)生異常時(shí)，能夠根據(jù)每種功能進(jìn)行處理，保護(hù)人員（包括駕駛員、乘客以及行人）安全的功能。此外，還需要能夠確認(rèn)這些“安全機(jī)制”是否在正常運(yùn)行的“自我診斷功能”。

針對(duì)這一問(wèn)題，羅姆通過(guò)在獨(dú)立的電源監(jiān)控IC中內(nèi)置各種監(jiān)控功能和自我診斷功能，實(shí)現(xiàn)了可以輕松為現(xiàn)有電源增加功能安全性，并且已經(jīng)實(shí)現(xiàn)量產(chǎn)的一款電源監(jiān)控IC，即可以監(jiān)控多個(gè)電源的電源監(jiān)控IC“BD39040MUF”。另外，具有更高檢測(cè)精度的“BD39042MUF”也正在開(kāi)發(fā)中。

僅需在現(xiàn)有系統(tǒng)中添加電源監(jiān)控IC，既可以利用很小的空間實(shí)現(xiàn)功能安全所要求的電源監(jiān)控功能。羅姆的電源監(jiān)控IC，非常有助于簡(jiǎn)化功能安全系統(tǒng)設(shè)計(jì)。

在羅姆官方網(wǎng)站上公布的白皮書(shū)中，有更加詳細(xì)的車(chē)載應(yīng)用和半導(dǎo)體產(chǎn)品信息。