豐田汽車召回事件給我們的啟示

　　最近一段時間豐田汽車油門踏板故障使數(shù)百萬輛豐田汽車召回。表面看是因為踏板問題引發(fā)油門加速，豐田通過增加一個金屬片可以解決(也就是說是機械故障)，但是讓人擔心的是，美國眾議院能源和商務委員會開始要求豐田提供電子控制系統(tǒng)相關數(shù)據(jù)，即坊間流傳的汽車突然加速可能是豐田汽車電子控制系統(tǒng)的缺陷所致的說法公開化了。在國外各大電子設計網(wǎng)站，關于豐田電控系統(tǒng)設計問題的討論很多，無論最后結果如何，汽車電控系統(tǒng)事關汽車和人身安全，我們應充分重視。

　　汽車業(yè)應該向航空業(yè)學習

　　原福特公司工程師、現(xiàn)美國END雜志技術編輯Paul Rako 認為，在汽車中有上百塊微控制器，它們通過CAN總線傳感和控制汽車功能。不過，CAN總線通信干擾問題一直不斷，他擔心包括雨刷器、ABS還有引擎控制等控制裝置都有可能通過CAN總線帶來問題。Paul設計過速度控制系統(tǒng)，他還認為這次的問題是系統(tǒng)設計的錯誤(許多人持有此類觀點，或者說是設計理念的問題)。對于豐田的工程師講，應該會想到有時你可能同時踩下油門和剎車。

　　Dean Psiropoulos是霍尼韋爾宇航公司的嵌入式軟件工程師，他回憶自己5輛不同年代汽車的電子系統(tǒng)后，對現(xiàn)在使用大量的嵌入式處理器(和微控制器)控制汽車里許多本身是模擬的裝置持反對意見，比如儀表盤、空調(diào)系統(tǒng)和車窗裝置等。他認為油門、轉向和剎車一定不能完全由計算機控制。印度的MidTree公司硬件工程師Swapnil Sapre認為現(xiàn)在軟件的標準不完善，他建議測試過程一定要像硬件設計的驗證過程一樣的堅固。

　　網(wǎng)友約翰在評論Paul的博文時總結豐田汽車事件原因有：缺乏對車制動器的軟件、傳感器故障檢測的硬件和質(zhì)量保證測試，缺少測試行業(yè)標準等問題。

　　筆者和在美國底特律通用汽車的朋友做了溝通，他認為設計理念很重要，豐田在汽車電子系統(tǒng)和軟件算法設計上沒有花足夠的精力，以保證系統(tǒng)的完整性(比如單點故障的健壯性保證、電磁干擾問題等)。其實召回并不可怕，可怕的是不能發(fā)現(xiàn)真正的問題所在，然后改正問題。在這點上，筆者認為汽車業(yè)應該向航空業(yè)學習——航空的事故調(diào)查是非常嚴謹?shù)?，歷時幾年時間把一個事故分析清楚。

　　對我國汽車電控業(yè)的啟示

　　中國汽車已進入年銷售一千萬輛的時代。目前國內(nèi)多數(shù)汽車電控部件是國外生產(chǎn)，自主知識產(chǎn)權的汽車電控系統(tǒng)也越來越多，中國汽車電子系統(tǒng)設計正漸入佳境。但是，在關于國內(nèi)汽車電子的報道中，筆者發(fā)現(xiàn)有關電控系統(tǒng)設計的討論非常少，多數(shù)是在以器件為中心的單元部件的設計方案討論。2006年清華大學邵貝貝教授的“安全第一的C語言規(guī)范”中討論MISRA(汽車工業(yè)軟件可靠性聯(lián)合會)C問題，2009年他又發(fā)表MISRAC++的系列文章。重慶自動化所楊福宇的“CAN隱患的爭辯”系列文章雖得到了博世回復，但遺憾的是沒有引起業(yè)內(nèi)的反響。國家核高基項目中，雖有汽車電子操作系統(tǒng)平臺和產(chǎn)業(yè)題目，但是沒有特別涉及汽車電子系統(tǒng)和軟件的系統(tǒng)設計問題(我們知道，多數(shù)汽車電子系統(tǒng)并沒有使用操作系統(tǒng))。

　　汽車電子的系統(tǒng)設計涵蓋的范圍很寬，系統(tǒng)級的設計和仿真、系統(tǒng)安全性設計、軟件(包括芯片固件)認證和測試、通信系統(tǒng)設計等是國內(nèi)目前汽車電子研發(fā)的軟肋，由半導體公司主導，整車廠商議論一番的聚會式論壇是不能夠解決這些問題，比如大眾和德爾福愿意來講，但未必涉及這些技術，看家的本事是不能外泄的。專業(yè)學會的會議多是學校的論文，并無工程化實踐經(jīng)驗，企業(yè)照樣我行我素。看來，解決豐田這樣的問題，提高國產(chǎn)汽車的質(zhì)量還是要靠我們自己的整車、零部件、研究機構和嵌入式電子設計行業(yè)，從設計思想、理念和實踐上重視系統(tǒng)設計和安全問題，我們正在成長中的汽車企業(yè)才不會重蹈覆轍。