消费者买了一辆车，也就购买了汽车带给我们的舒适与愉悦，同时也购买了汽车带给我们的安全感，这是汽车制造商最基本的责任与义务。

功能安全是什么？

随着电动化、智能化的发展，越来越多的汽车配备了电子电气系统，如电传动系统、助力转向系统、自动驾驶系统等，原有的机械部件被电子器件取代。而引入如此复杂的电子电气系统对整车安全带来了极大的风险，简单的一个元器件老化、失效，都有可能引发系统故障，进而导致事故发生。

因此，对汽车及其相关零部件安全的要求也是越来越高。

为了达到更高程度的安全要求，在针对其他行业安全的通用IEC 61508标准的基础上，衍生出针对汽车行业特定的ISO 26262功能安全标准。ISO 26262要求车载电子电气系统在检测到潜在的危险情况，启动保护或纠正装置，以防止发生危险事件或提供缓解措施以减少危险事件的后果。简而言之，功能安全的最终目的是确保产品安全运行，即便出现问题也能够最大程度减少伤害。

所以，在电动化及智能化程度最高的新能源汽车行业，引入和深入实施ISO 26262功能安全标准，指导相关的产品开发，是十分必要的。

如何实现？

ISO 26262对关键的安全级别进行了四层划分，通过汽车安全完整性等级（ASIL）来衡量。ASIL A是最低等级，要求数目约100个左右，而ASIL D是最高等级，要求数目近200个。等级越高，安全系统就需要提供越多的安全和验证措施，需要增加更多的测试和集成工作，也就意味着供应商需要承担更多的开发成本和时间。

为了实现新能源汽车的整车功能安全，需要OEM和各级供应商有着明确的职责划分和合作模式，国外主机厂在与供应商合作中，如博世、电装等，都有着明确的功能安全标准和验证要求。国内不少企业都借鉴了国外的技术或模式，如联合电子借助博世技术，已经实现功能安全电控的本地化研发和生产；阳光电源在完成符合ISO26262标准的电控产品开发的基础上，辅导国内某一线主机厂完成了功能安全理念下的产品开发及流程体系认证。

不同的汽车部件对功能安全的要求是不同的，越核心的部件需要越高等级的功能安全。就新能源汽车车辆自身安全而言，最核心的就是整车动力源及动力控制系统——电池和电机控制器。

动力电池：多重冗余设计

近两年，新能源汽车的安全事故频发，其中电池相关的安全事故占六成左右，究其原因，一方面，行业对电池设计、研发、验证等环节的相应安全标准不完善，另一方面大多电池企业在功能安全理念、开发经验、管理能力等方面存在较大差异。为避免更多安全事故，需要在动力电池的设计开发源头，就引入功能安全流程体系和技术要求，这也有利于提升整车安全。

举个简单的例子，纯电动汽车在发生碰撞后之所以极易发生起火，原因就在于电池组未及时断电，碰撞产生的挤压变形造成电池短路，进而引发火灾。针对这种情况，符合ISO2626标准的动力电池需要进行冗余设计，通常是同时使用两个独立执行模块，尽量缩短响应时间，也就是碰撞信号的采集、确认以及执行器执行整车切断高压电指令的时间，只有响应时间越短，系统安全性才能越高。在充放电过程的管理、故障诊断等方面都需要有严格的分析、预防、保护等一系列安全管理策略。

电控：安全和性能结合

电机控制器作为新能源汽车的动力控制系统，掌握着整车的加速、刹车等关键性能，电控失效带来的安全风险不容忽视，所以，符合功能安全的电控设计正逐渐成为业内的普遍需求，当前对电控的功能安全需求多为ASIL C等级，但在未来，电控的功能安全需求或将提升为ASIL D级，这需要供应商具备复杂度更高、冗余性更强、可靠性指标更高的电控产品设计能力和水平。

目前，国内OEM和Tier1厂家都在加大对电机控制器的功能安全流程建设和产品开发的投入，也取得了不少成果，北汽新能源已获得流程和产品双认证，阳光电源和某主机厂合作完成产品开发和流程认证，联合电子完成产品研发和生产。

ISO26262标准中对流程建设有着清晰的指标，但并不涉及具体的产品设计，所以在摸索过程中，符合功能安全的电控产品开发面临的挑战更多，如何在过设计和欠设计中寻找平衡，如何在保证安全的同时实现性能最优化等等。阳光电源在其功能安全的产品技术方案中，采用多层程序监控、双软解码等技术，通过软硬件结合的方式来简化所需安全层级的任务，同时采用单管并联技术、低载波比控制技术等有效提高功率密度，确保产品性能，同时兼顾了产品的安全与性能。

结语

无论是国家政策导向还是汽车市场大环境所迫，新能源汽车都成了大势所趋。随着时间的推移，我们也看到市场上有着越来越多优秀的新能源汽车涌现，尤其是在关乎行车安全的“三电”系统的安全方面，国家标准、行业规范和创新技术都在不断完善和丰富起来，上文分享的功能安全ISO26262标准内容只是冰山一角，但是只有各个车企和供应商不断推出扎实可靠的产品，才能赢得更多消费者的认可和选择。

（文中图片均来源网络，如有侵权请联系删除）