智能座舱火了！人机交互系统的功能安全怎么设计？

来源 | 牛喀网

当今汽车应用中的大量处理器及部件终将能够降低驾乘危险系数，但前提是它们必须可靠运行且可预测。本文将对功能安全的作用进行探讨。功能安全的概念不仅涉及到汽车HMI系统，还适用于范围更加广泛的应用与行业。如今我们愈发依赖于通过系统来执行日常任务，反过来，这些系统也需要通过交付安全性及可靠性来赢得我们的信任。

当今汽车应用中的大量处理器及部件终将能够降低驾乘危险系数，但前提是它们必须可靠运行且可预测。

如今，汽车行业正飞速发展，汽车的先进性、自动化程度及舒适度日益提升。汽车应用中的处理器、传感器、存储器及其它电子器件的数量与日俱增，驾乘危险系数不断下降。纵然这些汽车子系统可以利用连接性和自动驾驶技术来提高驾驶员的安全性，但这必须以其可靠性及可预测性为前提。

汽车座舱内的人机交互（HMI）随着新功能和信息娱乐系统的日益发展而不断改善。电容式感应按钮和触摸屏已非常普遍，例如，播放/暂停歌曲或选择AM/FM频道收听广播。此外，它们也越来越多地被应用于安全关键型功能，如发动机启动/停止按钮和巡航控制。

除汽车行业以外，还有许多应用领域都无法承受任何可能导致人身伤害和/或财产损失的故障的发生。核电站、某些工业机械和飞机的关键系统都是非常典型的例子。即便是像微波炉或洗衣机这样的日常家用电器，在发生故障时也可能对人造成伤害。有可能对人造成伤害的系统都需要伤害缓解措施，且任何功能安全设计的目的，都是将人身伤害、财产损失及责任因素的风险降至最低。

本文将对功能安全的作用进行探讨。功能安全的概念不仅涉及到汽车HMI系统，还适用于范围更加广泛的应用与行业。如今我们愈发依赖于通过系统来执行日常任务，反过来，这些系统也需要通过交付安全性及可靠性来赢得我们的信任。

· 功能安全

当我们对系统的正常运行存在依赖时，就需要对功能安全格外关注，并将故障对人员造成的风险降至最低。而为了保证功能安全，就必须着手解决两个方面的问题：

预防：预防措施能够避免或至少能够减少系统开发阶段的系统故障。如果规定、设计或执行出错，那么系统就可能会出现故障。预防措施落实得越到位，系统发生故障的风险就越低。

检测：第二类故障是随机硬件故障。这类故障发生于系统运行期间，且只有在生产及质检之后才能被察觉到。例如，随机硬件故障的源头可能是温度、压力、振动、辐射、污染或老化等环境因素。这类故障可能是永久性的，只能通过维修或更换设备来解决；也可能是暂时性的，像“存储器位反转”（bit flip）这类故障，过一段时间后就会消失。任何系统都可能在某一时刻发生故障，我们需要采取措施来检测或控制此类故障，以防止系统危及人身安全。

· 标准

功能安全的标准因领域而异。这些标准提供了指南，可对不同系统予以比较。

IEC 61508标准于1998年首次发布，是电气、电子和可编程电子安全相关系统（E/E/PE）的核心标准。该标准可以被看作是基本标准，其它用于大量特定应用的标准均由其衍生而来。这些标准已经发布，并提供了特定应用领域功能安全问题的解决指南。

ISO 26262标准/FSE培训/是专为道路车辆电气和/或电子系统（E/E）应用领域而设计的国际功能安全标准，适用于最大毛重不超过3,500 kg的量产型乘用车上的安全相关的电气和电子系统。ISO 26262标准于2011年首次发布，第二版于2018年发布，是适用于汽车HMI系统的标准。

系统需要达到“何种安全程度”取决于汽车安全完整性等级（ASIL）。该ASIL等级通过危险分析和风险评估来确定，并需要考虑危险状况的严重性、常见性及可控性。

ISO 26262给出了三个关键指标：

1.单点故障指标：单个故障直接导致违反安全目标。例如：喷油线圈故障可能会直接阻塞发动机并致使汽车熄火，从而对驾驶员造成严重伤害。

2.潜在故障指标：由独立故障组合引起的多点故障，这类故障安全机制检测不到，驾驶员在多点故障检测间隔内也察觉不到。例如：单个近光灯/远光灯不亮，不会对驾驶员造成危险情况，因为作为安全机制，失效灯可以由正常工作灯替换。但是，如果近光灯/远光灯都停止工作，则可能会导致重大事故。

3.随机硬件失效指标：以给定时间内的故障次数（FIT）表示硬件故障概率。FIT是每运行十亿小时内的故障次数。

下表为不同ASIL级别的ISO 26262指标：

图1: ASIL和残余风险

· 汽车HMI系统和安全

随着电容式HMI系统与关键功能的集成度日益提高，可靠的功能性（或安全操作）已成为必需，且不能对驾驶员/乘客的健康造成影响。因此，汽车制造商们开始纷纷对电容式HMI系统提出功能安全要求。

对于大多数HMI系统而言，安全完整性等级将达到ASIL B，在某些情况下甚至达到ASIL C。最严格的ASIL D等级主要适用于与汽车行为直接相关的系统，如转向、发动机控制和变速箱。

图2:典型HMI应用

需要功能安全的典型HMI应用（图2），其安全相关故障模式包括：

• 方向盘触摸按钮——一些用于巡航控制的按钮或小触摸板：需达到ASIL B/C级别

o 故障模式：检测到意外的提高巡航控制速度的触摸

• 方向盘握力检测——自动驾驶功能，须可靠地检测手的存在/不存在：通常需达到ASIL B级别

o 故障模式：禁用驾驶辅助功能时未检测到触摸

• 天窗控制/车窗控制模块按钮/滑块

o 故障模式：检测到意外的关闭车窗的触摸

• 发动机启动/停止按钮：通常需要达到ASIL B级别

o 故障模式：检测到意外的启动发动机的触摸

• 变速器挡位盖板按钮

o 故障模式：检测到意外的换档触摸

图3:采用了HMI控制器的典型HMI系统框图

图3为此类系统的详细示意图。就配备了电容式触摸按钮的HMI应用而言，我们可以将功能性概括为两大安全功能：

1.确保触摸事件确实由手指触摸而引发

2.确保检测系统能够识别触摸事件

第一项功能，要求必须对所有潜在触摸事件进行评估，以确定其究竟是属于主动性触摸，还是由故障或环境条件而引发。事件的触发原因有多种，例如：

• 传感器上的水滴

• 电磁干扰噪声

• 温度骤变

• 传感器/电容器/电线/焊接损坏

• 高能粒子导致存储单元发生位反转

这里进一步说明一下噪声源对性能所产生的影响。电容式感应技术可通过将传感器（按钮）电容转换为数字或原始计数值来检测触摸事件。原始计数值可理解为传感器的“触摸”或“非触摸”两种状态。电容式HMI系统可能有多个噪声源（如前所述），这些噪声源可能会因此类故障而导致触摸性能不可靠。基于大量有关电容式传感应用的实验与专业知识，赛普拉斯建议最小的信噪比（SNR）为5:1，确保噪声和信号之间存在足够的裕度，以便进行可靠的开/关操作，并确保触摸事件确实是由手指触摸而引发（图4）。

图4:“触摸”与“非触摸”状态下的原始计数值

· 功能安全根据FMEA来设计可满足功能安全需求的汽车HMI系统

设计具备功能安全的电容式感应HMI系统时，我们建议遵循FMEA（故障模式失效分析）流程，以确定特定安全级别所需的故障模式与安全机制。以电容式HMI系统为例，典型FMEA流程中应遵循的步骤如下：

• 定义HMI系统的安全目标

• 为实现安全目标，则需要确定并归档系统与芯片的所有安全关键型组件（SCE）。图5为电容式传感应用（赛普拉斯PSoC 4）的芯片架构示意图，所有安全关键型组件均已标记为蓝色。

o 就电容式感应触摸控制器而言，安全关键型元件包括：

• 电容式感应硬件核心、IDAC、Analog Mux 总线路由和GPIO

• 存储器：闪存（代码存储）和SRAM（配置寄存器、数据结构、变量）

• 系统资源：电源控制、睡眠控制、时钟发生器、参考电压发生器

• CPU

o 以下是控制器的外部组件，对系统安全至关重要：

• 将传感器及其他外部电容器路由至控制器的布线