汽車電子元件的功能安全與網路安全越來越受到關注，伴隨著標準化組織的出現，如何實現具備功能安全與網路安全的汽車電子動力系統，對於汽車設計工程師來說就更為重要。在現代電動車設計、開發與大量生產的過程中，功能安全、網路安全與高電壓安全都扮演著非常重要的角色。
功能安全
現代車輛中常見軟體估計量為1到2億行程式碼。此軟體會在各種可程式編輯的電子控制單元上執行，可提供先進駕駛輔助系統功能及車內安全功能。此類系統範例包括盲點監控、自動緊急煞車與智慧主動車距控制巡航系統。具自動與電力功能的車輛必須具備功能安全才能安全運作。
網路安全
由於類型複雜程度與可用連線量逐漸增加，使車輛更容易受到數位攻擊。過去認為可防止網路攻擊的黃金標準已不再適用。由於執行控制器區域網路與Bluetooth等通訊協定，加上透過行動通訊全球系統與Wi-Fi網路進行車輛間通訊，汽車無法再以車輛間「氣隙」及駭客可能使用的網路進行保護?？梢韵胂耨斂褪管囕v無法移動，必須在以比特幣支付贖金後才進行解鎖的情境。
高電壓
此外，不管是車載充電器、高電壓至高電壓或高電壓至低電壓DC/DC轉換器，還是電動車牽引轉換器，電力動力傳動在各方面都採用C2000即時MCU等可程式編輯的微控制器 （MCU）。隨著電動車電池電壓以達600至800 V，了解高電壓安全系統並加以套用也變得同等重要。
汽車安全與網路安全標準
以下國際標準有觸及安全與網路安全層面：
* 國際標準化組織（ISO）26262:2018列出道路車輛的功能安全要求。
* ISO 6469:2018 中指定電力推動道路車輛的高電壓電力安全要求。
* 聯合國歐洲經濟委員會 WP29:2020 中詳細說明了對全球汽車製造商的汽車網路安全要求。
此外，汽車 Tier 1（子系統製造商）應遵循：
* ISO DIS 21434:2020，目前仍為國際標準草案，並為國際汽車工程師協會（SAE）J3061的超級組合。ISO DIS 21434:2020簡要說明遵照ISO 26262功能安全相容V模型產品開發生命週期的網路安全管理架構與活動。
* SAE J3061:2016則是ISO/SAE DIS 21434依據的原始「網路實體車輛系統網路安全手冊」。
電動車系統設計人員必須同時考慮這三個安全與網路安全方法面向。ISO 26262 定義四個汽車安全完整性等級（ASIL），如表1所列。
表1：ISO 26262依每個ASIL等級對隨機硬體診斷範圍進行量化
ISO/SAE 21434 根據攻擊向量與影響定義四個網路安全評估等級，如表 2 所示。
ASIL等級 |
單點故障指標 |
潛在故障指標 |
硬體隨機失效機率指標 |
ASIL A |
不適用 |
不適用 |
不適用 |
ASIL B |
90% |
60% |
100 功能安全失效率 (FIT) |
ASIL C |
97% |
80% |
100 FIT |
ASIL D |
99% |
90% |
10 FIT |
表2：ISO/SAE 21434網路安全評估等級
SAE J3061 定義了四個網路安全評估等級（CSIL），並針對依ISO 26262判定ASIL等級的功能或與子系統相關的功能（如推進、煞車與轉向），為負責這些功能的所有汽車系統建議網路安全程序應用。這些等級可分為CSIL A、CSIL B、CSIL C與CSIL D。
ISO 6469 說明依電路最大工作電壓範圍「U」而定之四個等級，如表3所列。
電壓等級 |
最高 (最大) 工作電壓 |
直流電壓 (單位為V) |
AC電壓 (單位為均方根值) |
A |
0 < U 60 |
0 < U 30 |
B |
60 < U 1,500 |
30 < U 1,000 |
B1 |
60 < U 75 |
30 < U 50 |
B2 |
75 < U 1,500 |
50 < U 1,000 |
表3：ISO 6469每個電壓等級的允許最大電壓等級
在設計、開發與大量生產電氣/電子/可程式編輯電子系統時，ISO 21434和ISO 26262在建議執行方式上有顯著的綜合效果。
結論
隨著混和動力汽車與電動車的汽車子系統複雜程度及動力系統電氣化程度上升，功能安全與網路安全也變得越來重要。幸好，廣為接受的規範國際標準有提到這些功能安全與網路安全層面。
TI可協助進行功能安全與網路安全評估，並為汽車設計實現功能與網路安全目標。舉例來說，在以C2000即時MCU開發動力系統解決方案時，線上安全內容便是很好的起始點。
（本文作者Bharat Rajaram任職於德州儀器，Jurgen Belz為PROMETO功能安全與網路安全資深顧問）
