自動駕駛

高級別自動駕駛量產(chǎn)在即，汽車的安全誰來負(fù)責(zé)？

第一電動大牛作者汽車之心 2022-02-21 11:23

邁過 2021 年，汽車的智能化已經(jīng)成為行業(yè)內(nèi)無可爭議的事實，而「量產(chǎn)」也成為了自動駕駛?cè)δ甓茸顭彡P(guān)鍵詞。

過去的一年里，不管是在 Robotaxi（無人出租）、Robotruck（無人卡車）還是其他賽道，包括百度 Apollo、小馬智行、文遠(yuǎn)知行、毫末智行、友道智途、主線科技、嬴徹科技等自動駕駛公司均紛紛劍指無人車量產(chǎn)。

而乘用車領(lǐng)域，蔚來、小鵬、理想、威馬、高合、路特斯、集度等汽車 OEM 也早已將高級別智能駕駛的量產(chǎn)車型提上了日程，已開始或即將批量化交付。

高合 HiPhi Z

就在最近，特斯拉在 2021 年第四季度車輛安全報告中表示：Autopilot 讓行車安全達(dá)到美國平均水平的 8.9 倍，再次引發(fā)圈內(nèi)熱議。

隨著高級別自動駕駛量產(chǎn)在即，汽車安全的確成為了越來越多人關(guān)注的話題。

但是，自動駕駛汽車真的安全嗎？

如今，智能駕駛、智能座艙在新車中的滲透率不斷提升，智能汽車越來越像四個輪子的大號「手機」。

然而汽車消費電子化的過程，本身也給車輛引入了更多的電子電氣部件。相比于傳統(tǒng)的燃油車，電動汽車中電子元器件的數(shù)量大約翻了 15 倍。

這些新部件和傳統(tǒng)車輛上以機械為主的部件有著巨大的不同：無論多么精密的電子電氣部件，都存在著一定隨機失效概率（隨機失效指：發(fā)生的時間無法確定、服從概率分布而發(fā)生的硬件失效，例如電阻開路、短路、阻值的漂移等）。

傳統(tǒng)的燃油車受人所控制，而未來當(dāng)機器代替人駕駛，一旦出現(xiàn)失效，人卻不能控制，其帶來的后果將十分嚴(yán)重。

隨著電子電氣部件增加而帶來的隨機失效概率的升高，車輛的整體安全特性將會受到越來越多的影響。

首先，智駕系統(tǒng)越來越復(fù)雜。無論是制動還是轉(zhuǎn)向助力等系統(tǒng)，智能駕駛車輛具有更多的電控、線控部件。

其次，智能傳感器數(shù)量越來越多。車輛的智能駕駛能力越強，其智駕系統(tǒng)的軟硬件也越復(fù)雜。

從傳統(tǒng)的 L1 演變到 L4 級自動駕駛，傳感器數(shù)量從一兩個，演化到數(shù)十個，同時對算力也提出了更高要求。

高級別自動駕駛功能使電子電氣系統(tǒng)在更多時間段和更多場景下介入對車輛的控制，但它們的隨機失效又威脅到生命安全，傳統(tǒng)汽車的安全體系在面對新的失效方式時遇到了挑戰(zhàn)。

如要保障智能汽車的安全，其整車的安全要求、安全設(shè)計和測試驗證流程都需要發(fā)生變化，而其中能夠解決電子電氣部件隨機失效問題的重要一環(huán)，就是功能安全。

01、汽車功能安全的血淚教訓(xùn)：豐田剎車門

總體來說，整車安全包括被動安全、機械安全、化學(xué)安全、駕駛行為安全等，而大量電子電氣系統(tǒng)加入后，又增加了主動安全、電氣安全、功能安全、預(yù)期功能安全、駕駛行為安全、網(wǎng)絡(luò)安全等要素，并且這些要素之間還存在并行或交叉，使整車安全變得錯綜復(fù)雜。

在智能網(wǎng)聯(lián)汽車引入新技術(shù)的同時，也相當(dāng)于引入了功能安全、預(yù)期功能安全和網(wǎng)絡(luò)安全，其中功能安全的問題可能是最早凸顯的。

以汽車發(fā)動機中的節(jié)氣門為例，節(jié)氣門是發(fā)動機的咽喉。節(jié)氣門的開度越大，發(fā)動機進(jìn)氣量越大，動力越強，車輛加速越快。最早的節(jié)氣門是通過機械結(jié)構(gòu)與油門踏板直連。

大約 1988 年前后，電子節(jié)氣門出現(xiàn)，它取消了油門踏板和節(jié)氣門之間的機械連接，改用傳感器來檢測油門踏板的踩踏深度，再經(jīng)車機系統(tǒng)來控制節(jié)氣門開度。

由于取消了油門踏板與節(jié)氣門之間的直連，電子節(jié)氣門使得汽車具備經(jīng)濟(jì)、運動等多種豐富的駕駛模式，提高了駕駛體驗和車輛的可玩性。

但新問題也隨之產(chǎn)生。大約在 2000 – 2010 年期間，正是因為針對電子節(jié)氣門的安全設(shè)計不足，豐田汽車吃到了慘痛的教訓(xùn)——最終召回 70 萬臺汽車，支付十幾億美元的和解費用，并先后導(dǎo)致了 89 人在豐田旗下車型相關(guān)的事故中喪生。

這一案例就是當(dāng)時著名的「豐田剎車門」。雖然調(diào)查過程中事件一度「反轉(zhuǎn)」，但最終美國 NHSTA 的調(diào)查顯示，導(dǎo)致豐田剎車門的主要原因，正是當(dāng)時豐田在控制電子節(jié)氣門的軟件中對關(guān)鍵的變量保護(hù)不足，或者說缺乏冗余。

一位汽車功能安全工程師向我們解釋：例如部分變量在受到外界干擾（如伽馬射線）時，會變成錯誤值，就會導(dǎo)致車輛不可控的加速。

豐田為「剎車門」付出了慘痛的代價，在整個行業(yè)范圍內(nèi)，這個案例也推動了汽車功能安全的建設(shè)，尤其是軟件安全性的發(fā)展。

02、不重視功能安全的智能汽車就是裸奔

汽車功能安全的本質(zhì)，就是通過一套體系來識別及分析安全風(fēng)險，推動產(chǎn)品開發(fā)過程在設(shè)計、生產(chǎn)、售后環(huán)節(jié)避免系統(tǒng)失效引發(fā)人身傷害——通俗來講，就是把導(dǎo)致危險的概率降到足夠低。

車輛的非預(yù)期加速減速、無法進(jìn)行轉(zhuǎn)向、汽車的安全氣囊在不該彈出時彈出……這些都是汽車功能安全沒有做好可能會引發(fā)的嚴(yán)重后果。

一位資深汽車業(yè)內(nèi)人士形象地將功能安全工作之于智能網(wǎng)聯(lián)汽車企業(yè)比喻為「打地基」：如果地基沒打穩(wěn)，上面蓋的樓越高，大廈坍塌時帶來的后果就越嚴(yán)重。

首先，開展功能安全工作需要在產(chǎn)品架構(gòu)設(shè)計、器件選型階段就開始，否則未來即使發(fā)現(xiàn)了安全設(shè)計缺陷，想徹底整改的機會都沒有。因為企業(yè)將會受制于設(shè)計變更可行性、供應(yīng)鏈穩(wěn)定性、生產(chǎn)一致性，以及可驗證性等各種全方位的挑戰(zhàn)。

其次，就算企業(yè)幸運，沒有出現(xiàn)類似于「豐田剎車門」的嚴(yán)重事故，但在汽車領(lǐng)域安全事故就是零容忍。一旦離開功能安全，智能網(wǎng)聯(lián)汽車就像脫韁的野馬，銷量越高，也許反而會越讓管理層睡不著覺。

因為誰都知道存在風(fēng)險，隨著時間推移，賣的越好也就越擔(dān)心，而且「亡羊補牢」付出的代價也越大。誰知道下一個事故何時發(fā)生呢？

也就是說，不重視功能安全的智能汽車，安全無從保障，與「裸奔」無異。

那么如何通過功能安全設(shè)計來降低風(fēng)險概率呢？目前的主要做法是通過各種分析手段來進(jìn)行風(fēng)險因素拆解。

找到車輛電子電氣系統(tǒng)中可能引發(fā)安全問題的點位（比如傳感器、感知算法、執(zhí)行器等），并對該點位進(jìn)行連續(xù)不斷的檢測和監(jiān)控，一旦發(fā)現(xiàn)點位失效，則使系統(tǒng)進(jìn)入「安全模式」，比如向用戶發(fā)出提醒，不要使用車輛或靠邊停車。

對不合理風(fēng)險的分析評估，是功能安全的設(shè)計與開發(fā)過程中的第一個環(huán)節(jié)，被稱為 HARA（危害分析和風(fēng)險評估 Hazard Analysis and Risk Assessment），而風(fēng)險的危害程度、暴露程度和可控程度將共同決定風(fēng)險的等級，這個我們稍后展開再表。

這種故障檢測-故障響應(yīng)-安全狀態(tài)的一套邏輯，就是功能安全的基本原理。

正是由于近年來在汽車行業(yè)內(nèi)，功能安全越來越受到車企的重視，因而誕生了專門的業(yè)內(nèi)權(quán)威標(biāo)準(zhǔn)——ISO 26262。

汽車行業(yè)內(nèi)大家一般提到「做好功能安全」，就是指對應(yīng)系統(tǒng)的開發(fā)無論是從流程層面還是技術(shù)層面都要符合 ISO 26262 的標(biāo)準(zhǔn)要求。

03、做好關(guān)鍵零部件的功能安全，是汽車安全行駛的第一環(huán)

在自動駕駛鏈條中，感知是整個技術(shù)棧的第一環(huán)。感知傳感器扮演了自動駕駛汽車「眼睛」的角色，一旦傳感器出現(xiàn)問題，自動駕駛汽車系統(tǒng)后續(xù)的決策、執(zhí)行都將受到極大影響。

面向高級別自動駕駛，功能安全要求其核心傳感器要具備自檢、故障診斷、報警等功能。

我們以激光雷達(dá)為例進(jìn)行風(fēng)險分析。作為一種發(fā)射激光與接收回波的裝置，以下列舉了幾種激光雷達(dá)可能出現(xiàn)的問題：

瞎線：前方存在物體，但沒有檢測到物體，這種情況可能導(dǎo)致自動駕駛車輛與漏檢目標(biāo)發(fā)生碰撞；
鬼影：前方不存在物體，但檢測到了物體，這種情況可能導(dǎo)致自動駕駛車輛發(fā)生「非預(yù)期的制動」；
數(shù)據(jù)偏差：檢測到的數(shù)據(jù)與真實物體的 (x, y, z) 坐標(biāo)存在偏差。

進(jìn)一步分析，針對其中一種出現(xiàn)「瞎線」的情況，激光雷達(dá)的組件部分可能存在：發(fā)射器端部分沒有正常工作；接收器端部分沒有正常工作；或者通信部分沒有正常工作等情況。

再進(jìn)一步，發(fā)射器端失效又可能是發(fā)射觸發(fā)電路上某些短路、開路等導(dǎo)致。

上圖點云可見實際存在車輛，但下圖點云由于缺少了幾線，車輛不可見了，這種情況就是「瞎線」

按照這樣的風(fēng)險分析（故障樹分析）方式，激光雷達(dá)的失效將可被分解出上萬種元器件的失效。

而功能安全的設(shè)計，則會對發(fā)射器、接收器以及通信電路等整條鏈路上的組件進(jìn)行監(jiān)測，如果發(fā)現(xiàn)激光雷達(dá)傳感器的組件存在失效的情況，傳感器則會向自動駕駛系統(tǒng)發(fā)出報警，系統(tǒng)可能降低激光雷達(dá)輸入信息的置信度或者選擇從自動駕駛狀態(tài)退出，或者進(jìn)入最小風(fēng)險狀態(tài)，降低車速并停車。

在這個過程中，功能安全開發(fā)要覆蓋包括整車級、系統(tǒng)級、軟件系統(tǒng)級、軟件架構(gòu)級、軟件單元級、軟件接口級、硬件系統(tǒng)級、硬件架構(gòu)級、硬件單元級、硬件接口級等 10 多個不同級別的需求。

從產(chǎn)業(yè)分工來講，通常 OEM 主機廠會覆蓋整車級與零部件概念級的功能安全需求開發(fā)與測試驗證，Tier 1 與 Tier 2 們則各自負(fù)責(zé)其對應(yīng)的系統(tǒng)以及軟硬件層級的功能安全開發(fā)和驗證。

前面我們提到了風(fēng)險的危害程度（Severity）、暴露程度（Exposure）和可控程度（Controllability）將共同決定風(fēng)險的等級，功能安全設(shè)計要求覆蓋對應(yīng)的風(fēng)險等級，分別為 QM、ASIL A、ASIL B、ASIL C 和 ASIL D。

功能安全等級的高低，代表對應(yīng)電子電氣系統(tǒng)在汽車行駛安全中的重要程度的高低，同時也對應(yīng)了這款產(chǎn)品在開發(fā)過程中的安全活動復(fù)雜程度的高低。

比如一款用于倒車輔助的攝像頭，相應(yīng)的 ASIL 等級最高也就 ASIL A；

激光雷達(dá)作為自動駕駛系統(tǒng)的重要環(huán)境感知傳感器之一，一般車企都要求其達(dá)到 ASIL B 級別；

像電機控制器這種在汽車安全行駛過程中直接決定車速的部件，就必須達(dá)到 ASIL D 級別。

而一款高階智能駕駛汽車的自動駕駛系統(tǒng)，整體也要符合 ASIL D 級別。

盡管不少車企已經(jīng)在 2021 年將高階智能駕駛量產(chǎn)提上日程，甚至 2022 年一部分旗艦車型將正式發(fā)布 L3 及 L4 自動駕駛系統(tǒng)，但整體上目前市面上的攝像頭、毫米波雷達(dá)、激光雷達(dá)等傳感器中的一大部分仍非常缺乏完善的功能安全設(shè)計，能夠通過權(quán)威機構(gòu)的 ASIL 安全認(rèn)證的此類產(chǎn)品更是鳳毛麟角。

從公開信息上，我們可以看到一小部分的國內(nèi)外廠商已經(jīng)在功能安全領(lǐng)域有所行動：

在攝像頭領(lǐng)域，安森美在內(nèi)部開發(fā)了針對功能安全的整套工藝流程。根據(jù)其公開的信息，目前其 CMOS 傳感器、汽車多輸出電源管理 IC、紅外 LED 照明控制器等產(chǎn)品都是符合功能安全標(biāo)準(zhǔn)。
毫米波雷達(dá)領(lǐng)域，國內(nèi)的加特蘭微電子 Alps 系列毫米波雷達(dá) SoC 在去年獲得了 ISO 26262 功能安全產(chǎn)品認(rèn)證證書。據(jù)加特蘭方面介紹：這是國內(nèi)首個完全符合 ISO 26262 標(biāo)準(zhǔn)并獲得第三方認(rèn)證的芯片產(chǎn)品，達(dá)到 ASIL B 級別。
在激光雷達(dá)領(lǐng)域，禾賽科技的 Pandar128 在 2021 年 9 月獲得德國 SGS-TüV ISO 26262 ASIL B 功能安全產(chǎn)品認(rèn)證，成為全球第一款獲 ASIL B 認(rèn)證的激光雷達(dá)。
在計算平臺領(lǐng)域，華為 MDC 在 2020 年 12 月拿到了 TüV 南德意志集團(tuán)頒發(fā)的針對 MDC 610 的 ASIL D 功能安全認(rèn)證。地平線也在 2021 年 7 月宣布，其征程 5 芯片的功能安全架構(gòu)和具體設(shè)計通過 ISO 26262 ASIL B 產(chǎn)品認(rèn)證。

華為 MDC 610

04、國內(nèi)外車企愈發(fā)重視，功能安全成必打的硬仗

實際上不管是自動駕駛公司還是 OEM 主機廠，都越來越重視功能安全。在國內(nèi)外市場，功能安全成為自動駕駛落地量產(chǎn)前必打的一場硬仗。

大型國際車企通過三電等技術(shù)的開發(fā)，已經(jīng)積累了比較深厚的技術(shù)訣竅（know-how）。其針對零部件的功能安全，往往也有非常深入、系統(tǒng)性的要求。

例如通用汽車在考察零部件供應(yīng)商時，就會將是否擁有「獨立安全團(tuán)隊」作為供應(yīng)商選拔的一個重要基礎(chǔ)標(biāo)準(zhǔn)。

一位前通用汽車的工程師告訴我們，通用汽車對于供應(yīng)商在零部件功能安全上的要求實際要高于 ISO 26262。

與此同時，國內(nèi)車企近幾年也對功能安全加大了重視與投入。

國際知名認(rèn)證機構(gòu) SGS 的工程師趙益宏告訴汽車之心，以國內(nèi)吉利、上汽、廣汽、長城等頭部自主品牌和頭部新勢力車企為代表，目前車企對功能安全的理解已經(jīng)非常深刻，當(dāng)前國內(nèi)汽車行業(yè)正迎來智能駕駛產(chǎn)品/零部件功能安全需求的高速增長期。

智能汽車開辟的新賽道，一定程度上加劇了車企之間的產(chǎn)品競爭，眾多車企都希望在更短周期內(nèi)開發(fā)出功能更強、體驗更好的汽車產(chǎn)品。背靠百度與吉利的集度汽車就是其中的代表。

集度汽車的首款概念車設(shè)計，車前左右兩側(cè)的跳燈設(shè)計為激光雷達(dá)

集度汽車方面告訴汽車之心，集度通過將軟硬件解耦，以并行開發(fā)的方式來縮短開發(fā)周期，提高開發(fā)效率。

在智能駕駛上，集度將在 2023 年交付時，即提供領(lǐng)先、安全可靠的自動駕駛體驗，而不是靠后續(xù)的 OTA 實現(xiàn)。因此，其智能駕駛軟件的開發(fā)已經(jīng)做了大量的前置工作。

針對智能駕駛、智能座艙的零部件，集度要求智艙相關(guān)的芯片、傳感器至少達(dá)到 ASIL B 功能安全等級，智駕相關(guān)硬件至少達(dá)到 ASIL D 功能安全等級。

線控底盤作為智能駕駛的執(zhí)行器，對于安全冗余設(shè)計、執(zhí)行器本身的安全等級都有 ASIL D 最高等級的要求。另外，還需要考慮智能駕駛系統(tǒng)和線控底盤執(zhí)行器之間的交互的安全可靠。

零部件供應(yīng)商在零部件研發(fā)和量產(chǎn)方面要有非常深的技術(shù)積累和實戰(zhàn)經(jīng)驗。特別是硬件載體上，通過更新迭代，使產(chǎn)品更加穩(wěn)定可靠。

我們也從激光雷達(dá)技術(shù)公司禾賽科技方面了解到，其對功能安全的高度重視源于客戶的切實需求。

比如此前某新勢力車企就對禾賽的車規(guī)級半固態(tài)激光雷達(dá)提出了 40 余個大項的功能安全要求，包括要避免感知距離大于實際距離、避免丟點、避免鬼影、避免不正常的數(shù)據(jù)延遲等等，以及在出現(xiàn)各類異常時要具備監(jiān)測能力并及時向車輛上報。

目前車企的智能駕駛系統(tǒng)設(shè)計目標(biāo)普遍為 L2+級別，更有不少頭部自動駕駛公司以開發(fā) L4 級自動駕駛系統(tǒng)為目標(biāo)，對零部件提出了更高要求。

Waymo、Nuro、百度 Apollo 等公司已經(jīng)先后發(fā)布自動駕駛安全白皮書，其在系統(tǒng)設(shè)計中對功能安全均有明確要求。

不難看出，未來汽車零部件需要對功能安全投入更大精力，實現(xiàn)相應(yīng)的功能安全 ASIL 等級，才能持續(xù)獲得車企的認(rèn)可。

05、近萬條失效分析、28 個月迭代，才造就一個「持證上崗」

既然功能安全如此重要，為什么至今獲得權(quán)威認(rèn)證的零部件產(chǎn)品仍是少數(shù)呢？簡單來說，功能安全開發(fā)需要投入的成本是巨大的。

業(yè)內(nèi)通常認(rèn)為，達(dá)到 ASIL B 要增加項目 30% 的成本，而達(dá)到 ASIL D 要增加項目的 60% 的成本。顯然，這個過程費時費力費錢，必須要得到公司高層的重視才能順利開展。

粗算了一下，這其中的成本包括且不限于：

硬件成本。ASIL 等級的功能安全常常需要增加冗余和檢測部件，也就是增加硬件組件，核心芯片也都需要經(jīng)過功能安全認(rèn)證，而且往往不止一個芯片；隨機硬件失效概率度量不達(dá)標(biāo)，需要更換可靠性更高/失效率更低/已有功能安全設(shè)計的芯片或者電子元器件等等。
軟件成本。需要開發(fā)新的承擔(dān)功能安全的軟件；軟件分區(qū)等措施的引入可能對原有軟件架構(gòu)影響很大；白盒測試（一種測試用例設(shè)計方法）的覆蓋率指標(biāo)要求很高，達(dá)不到的話需要返工；增加安全機制有可能造成軟件不穩(wěn)定，需要大量時間來調(diào)試、修改、驗證，在保證安全性的同時盡可能少地影響可用性。
工具鏈成本。需求管理工具；安全分析工具；軟件開發(fā)工具；軟件測試工具等
管理成本。流程體系建立需要投入人力；項目安全管理需要投入人力；功能安全審計需要投入人力；功能安全評估需要投入人力。

一位功能安全工程師評估，「（對一家車企而言，從零開始投入）開發(fā)一套完整的功能安全體系，保守估計也要上億人民幣?！?/p>

此外，新型電子電氣零部件也給汽車功能安全建設(shè)引入了未知和挑戰(zhàn)。

以激光雷達(dá)為例，禾賽科技系統(tǒng)安全負(fù)責(zé)人告訴汽車之心，由于激光雷達(dá)是高精度、高實時性的傳感器，其功能安全設(shè)計與認(rèn)證，要比過去汽車上大部分零部件的功能安全認(rèn)證更復(fù)雜。粗略估計，激光雷達(dá)的認(rèn)證要比毫米波雷達(dá)、攝像頭復(fù)雜 1.5 倍以上。

禾賽 Pandar128 高性能激光雷達(dá)

據(jù)了解，Pandar128 內(nèi)有 6095 個元器件，大致相當(dāng)于一臺中檔燃油車上的電子元器件數(shù)量。其安全需求不僅分配到了系統(tǒng)的軟件和硬件層面，很大部分還分配到了 FPGA 來實現(xiàn)對激光雷達(dá)安全相關(guān)故障的監(jiān)控和反饋。

另外，為了功能安全的合規(guī)，實現(xiàn)程序正義，禾賽還引入第三方權(quán)威認(rèn)證公司對產(chǎn)品進(jìn)行全流程深度考察，經(jīng)過近萬條失效分析、300 多份工作成果、28 個月的數(shù)輪迭代后 Pandar128 成為了全球第一款獲得 ASIL B 產(chǎn)品認(rèn)證的激光雷達(dá)。

即便成本巨大，功能安全這件事仍是一項必要的工作。

集度汽車表示，在選擇零部件供應(yīng)商時，首先要考察的就是供應(yīng)商是否能夠提供滿足相應(yīng) ASIL 功能安全等級的檔案，以證明相關(guān)的安全要求有落地并驗證通過。

同時，來自車企與認(rèn)證機構(gòu)的信息都顯示，2021 年大量的零部件企業(yè)，尤其是智能駕駛零部件公司，都在進(jìn)行對應(yīng)產(chǎn)品功能安全的開發(fā)與認(rèn)證。

由于當(dāng)下智能駕駛系統(tǒng)仍處于開發(fā)和快速迭代的階段，這意味著智能駕駛零部件也在快速迭代，從而進(jìn)一步影響產(chǎn)品的功能安全設(shè)計。

對于車企而言，在選擇智能駕駛電氣部件時，具備功能安全經(jīng)驗豐富的第三方權(quán)威機構(gòu)的認(rèn)證，相當(dāng)于雙重保險，同時降低了考察供應(yīng)商的時間成本。

06、未來的汽車是智能的競爭更是安全的競爭

隨著新勢力的入場、互聯(lián)網(wǎng)巨頭開始造車，汽車行業(yè)也越來越內(nèi)卷。而未來行業(yè)的競爭不僅僅是智能的競爭，更是安全的競爭。

除了功能安全之外，預(yù)期功能安全與網(wǎng)絡(luò)安全也是與汽車電子電氣部件強相關(guān)的安全要求。有時，這三類安全要求也被稱為「智能汽車安全三劍客」，缺一不可。

例如傳感器性能限制引發(fā)的預(yù)期功能安全問題，可能引發(fā)如特斯拉一樣的汽車事故。

而開源/第三方軟件、OTA 技術(shù)、網(wǎng)聯(lián)技術(shù)等新技術(shù)的引用而導(dǎo)致的網(wǎng)絡(luò)安全問題，可能引發(fā)通用汽車安吉星被攻破、黑客直接開車走人這樣的事故。

這意味著，未來的智能網(wǎng)聯(lián)汽車需要解決功能安全、網(wǎng)絡(luò)安全、預(yù)期功能安全相關(guān)的全部風(fēng)險，才能大批量化交付使用。三種安全體系融合開發(fā)，比單單做好功能安全，又上了一個維度。

這三類安全相互獨立又相互依存，但又同時會對產(chǎn)品設(shè)計產(chǎn)生影響。因此，最理想的方式，是企業(yè)在進(jìn)行產(chǎn)品開發(fā)時，就要對多重的安全體系進(jìn)行系統(tǒng)建設(shè)，否則各類安全體系的建設(shè)會相互干擾，反倒降低了效率。

比如為了信息傳遞中的網(wǎng)絡(luò)安全，而引入一個新的加密芯片，新的加密芯片也需要滿足功能安全設(shè)計。

事實上，為了最大程度實現(xiàn)三類安全的體系融合、架構(gòu)設(shè)計融合，標(biāo)準(zhǔn) ISO 21434 和 ISO 21448 本身就是基于 ISO 26262 框架設(shè)計的，三者有著較高的相似度。

如此一來，只要產(chǎn)品研發(fā)之初就能同時考慮到多種安全設(shè)計，設(shè)計人員完全可以依據(jù)互相融通的安全標(biāo)準(zhǔn)高效地并行開展這三類安全工作。

以激光雷達(dá)來說，作為智能網(wǎng)聯(lián)汽車必不可少的感知傳感器，自然也要解決由激光雷達(dá)引發(fā)的三方面安全風(fēng)險：

例如激光器損壞引發(fā)的功能安全問題、點云數(shù)據(jù)被篡改引發(fā)的網(wǎng)絡(luò)安全問題及光罩贓污引發(fā)的預(yù)期功能安全問題等。

網(wǎng)絡(luò)安全攻擊示例：雷達(dá)和整車之間的通信被黑客進(jìn)行重放攻擊，將有人的點云（左圖）替換成提前錄好的無人的點云（右圖），可能導(dǎo)致與行人發(fā)生碰撞

作為激光雷達(dá)的龍頭廠商，禾賽科技也是傳感器安全領(lǐng)域的先行者。

在有些企業(yè)可能連功能安全都沒有達(dá)到的當(dāng)下，禾賽科技已經(jīng)先一步進(jìn)入了功能安全、預(yù)期功能安全、網(wǎng)絡(luò)安全「三合一」的階段。

據(jù)禾賽科技系統(tǒng)安全負(fù)責(zé)人透露，禾賽的系統(tǒng)安全戰(zhàn)略是從解決激光雷達(dá)電子電氣失效引發(fā)的功能安全出發(fā)，同時開展網(wǎng)絡(luò)安全、預(yù)期功能安全的技術(shù)預(yù)研；在體系建設(shè)和架構(gòu)設(shè)計上，已經(jīng)完成了「三合一」的融合，以及同傳統(tǒng)產(chǎn)品開發(fā)流程的融合。

在產(chǎn)品安全技術(shù)方面，隨著 Pandar128 獲得全球首個 ASIL B 的激光雷達(dá)產(chǎn)品認(rèn)證，網(wǎng)絡(luò)安全、預(yù)期功能安全的技術(shù)開發(fā)及認(rèn)證也會陸續(xù)完成。

目前，禾賽在上海的超級工廠「麥克斯韋」智造中心將在今年投入使用，設(shè)計年產(chǎn)能為百萬臺級別。安全體系建設(shè)完備，也是百萬銷量背后有力的支撐。