在汽車(chē)中采用電子系統(tǒng)已經(jīng)有幾十年的歷史，它們使汽車(chē)安全、節(jié)能與環(huán)保方面的性能有大幅度的提高。隨著研究的深入，許多系統(tǒng)需要共享和交換信息，為了節(jié)省線纜，就形成了依賴(lài)于通信的分布式嵌入系統(tǒng)。目前，世界上90%的都采用基于CAN總線的系統(tǒng)。FlexRay是下一代通信協(xié)議事實(shí)上的標(biāo)準(zhǔn)，它的功能安全性如何是至關(guān)重要的。
1 IEC61508功能安全的要求
目前車(chē)控系統(tǒng)正在向線控技術(shù)(xbywire)過(guò)渡，例如線控轉(zhuǎn)向與線控剎車(chē)。線控系統(tǒng)最終目標(biāo)是取消機(jī)械后備，因?yàn)槿∠@些后備可以降低成本，增強(qiáng)設(shè)計(jì)的靈活性，擴(kuò)大適用范圍，為以后新添功能創(chuàng)造條件。但是取消機(jī)械后備就對(duì)電子系統(tǒng)的可信賴(lài)性(dependability)要求大為提高。車(chē)是一個(gè)運(yùn)動(dòng)的物體，處于運(yùn)動(dòng)的環(huán)境之中，它因故障可能傷及自身及別人。取消機(jī)械后備，就將電子系統(tǒng)由今天的故障靜默(failsilent)要求提升到故障仍工作(failoperational)的要求[1]。
國(guó)際上對(duì)工業(yè)應(yīng)用的功能安全要求已制定了標(biāo)準(zhǔn)IEC61508，它主要關(guān)心被控設(shè)備及其控制系統(tǒng)的安全。雖然它也適用于汽車(chē)，但汽車(chē)不僅有上述功能安全問(wèn)題，而且要關(guān)心由于功能變化造成的整車(chē)系統(tǒng)安全，所以汽車(chē)業(yè)內(nèi)正在制定相應(yīng)的標(biāo)準(zhǔn)ISO26262。汽車(chē)的功能安全等級(jí)分為4級(jí)，要求最高的是ASILD，相應(yīng)的失效概率<10-8/h，它相當(dāng)于IEC61508的SIL3。根據(jù)實(shí)踐經(jīng)驗(yàn)，分配給通信的失效概率<10-10/h。有關(guān)這方面的介紹可參見(jiàn)參考文獻(xiàn)[1]。
現(xiàn)在安全攸關(guān)的應(yīng)用系統(tǒng)的范圍有所擴(kuò)大[1]，以前不算在內(nèi)的一些系統(tǒng)現(xiàn)在都要算了。例如安全預(yù)先動(dòng)作系統(tǒng)(presafe)中座椅調(diào)整子系統(tǒng)、剎車(chē)輔助系統(tǒng)中的燈光控制子系統(tǒng)、碰撞后telematic自動(dòng)呼叫求援的子系統(tǒng)，都將視為安全攸關(guān)系統(tǒng)。
1.1 引起系統(tǒng)安全風(fēng)險(xiǎn)的通信故障
通信故障[11]有5種表現(xiàn)形式，第1種是造成值域的錯(cuò)誤。第2種是造成時(shí)域的錯(cuò)誤，這是工業(yè)不同于民用的部分。一條消息不能在預(yù)定的時(shí)限前送達(dá)就失去了實(shí)用意義，例如與安全氣囊引爆有關(guān)的傳感器消息不能在數(shù)ms內(nèi)送達(dá)就引起安全問(wèn)題。在多播或廣播通信中還有第3種錯(cuò)誤：數(shù)據(jù)完整性錯(cuò)(拜占庭錯(cuò))，即各節(jié)點(diǎn)收到的結(jié)果不一致。它會(huì)引起系統(tǒng)性的失效，應(yīng)對(duì)的策略必須將所有有關(guān)節(jié)點(diǎn)同時(shí)考慮。第4種是系統(tǒng)崩潰，除硬件失效外，也有干擾或軟件引起的，例如饒舌錯(cuò)(babbling idiot)阻止通信。第5種是丟幀，短時(shí)間失效，例如可恢復(fù)的離線或bug引起的等效離線狀態(tài)，又如小集團(tuán)錯(cuò)。
1.2 通信的容許失效率
在通信故障對(duì)系統(tǒng)安全影響的分析上，參考文獻(xiàn)[2]提供了一種方法，根據(jù)瞬態(tài)干擾出現(xiàn)的可能長(zhǎng)度，計(jì)算通信失效的時(shí)段長(zhǎng)，在假定的通信失效率下，推出系統(tǒng)的失效率。在該實(shí)例中，路段上電場(chǎng)超100 V/m的區(qū)間有可能引起通信失效，失效率近似5×10-3，車(chē)速為90 km/h，識(shí)別出的可能失效時(shí)間約74 s。通信以6 ms為周期，連續(xù)7個(gè)周期丟幀視為系統(tǒng)失效，在此條件下系統(tǒng)失效率為1.640 9×10-10，認(rèn)為可以達(dá)到SIL4的安全要求。這種分析方法是有效的，但是假設(shè)的條件太多，例如：誤碼率有很大的變化區(qū)間;幀長(zhǎng)的變化影響一次傳送的失效率;干擾持續(xù)時(shí)間的假定;連續(xù)丟7幀也與應(yīng)用的場(chǎng)合有關(guān)，對(duì)90 km/h的車(chē)42 ms的失控對(duì)剎車(chē)系統(tǒng)而言有約1 m的距離，恐怕對(duì)撞擊的后果有完全不同的評(píng)估;還假設(shè)SIL4完全分配給通信，將CPU與軟件有關(guān)的部分失效率忽略不計(jì)，在軟件規(guī)模越來(lái)越大的今天，這個(gè)假設(shè)是不合理的。另一方面，決定系統(tǒng)失效率時(shí)還應(yīng)考慮其他的通信故障形式，例如出現(xiàn)小集團(tuán)錯(cuò)[5]到發(fā)生沖突的時(shí)間取決于相對(duì)的時(shí)鐘漂移，越精確，其間時(shí)間越長(zhǎng)，失效的時(shí)間就越長(zhǎng)，參考文獻(xiàn)中在人為制造出小集團(tuán)后需300 ms才發(fā)現(xiàn)沖突，遠(yuǎn)遠(yuǎn)超出上述的42 ms。所以一般討論系統(tǒng)安全的文章中(如參考文獻(xiàn)[1]和[12])都單獨(dú)規(guī)定通信的失效率是相應(yīng)安全等級(jí)失效率的1/100。
