ISO 26262对汽车电子产品EMC的影响

郭远东，王春霞

（工业和信息化部电子第五研究所，广东 广州 510610）

0 引言

电磁干扰可以对产品的功能安全造成严重的后果，在某些情况下，甚至当该产品已经完全满足某项适用的电磁兼容法规或标准时，一些非预期的外界电磁干扰仍然可以引发功能安全事件。随着科技的日益进步，以及电气/电子/可编程电子的大规模使用，这种情况令人愈发担忧。

IEC 61508[1]系列标准，是功能安全领域的基础标准。它针对由电气/电子/可编程电子部件构成的、起安全作用的电气/电子/可编程电子系统（E/E/PE）的整体安全生命周期，建立了一个基础的评价方法。ISO 26262[2]系列标准，是从IEC61508中派生出来的，主要定位在汽车行业中特定的、由电气/电子/可编程电子（E/E/PE）组成的、执行安全相关功能的部件和系统，旨在提高汽车的功能安全。

目前，所有的功能安全标准都要求在整个风险管理过程中将EMC纳入其中。ISO 26262作为汽车电子领域的功能安全标准，其对汽车零部件和系统的EMC提出了明确而具体的新要求。

1 ISO 26262系列标准介绍

1.1 基本概念

a）全生命周期

安全相关系统执行过程中的必要活动，发生始于概念阶段，并终于安全相关系统不再能使用时的一段时间内。对于汽车电子产品而言，全生命周期包括了从产品研发到投入使用，一直到完全报废的整个过程。

b）汽车安全完整性等级（ASIL）

在规定的条件下和规定的时间内，安全相关系统成功地实现所要求的安全功能的概率，被称之为安全完整性。为了评价E/E/PE系统的安全完整性，人们发明了一种离散的等级，用于规定分配给E/E/PE安全相关系统的安全功能的安全完整性要求。在系列标准ISO 26262中，根据风险对系统或系统某组成部分的影响，人们划分了由A到D共4个安全完整性等级，称作汽车安全完整性等级（ASIL：Automotive Safety Integrity Level）。

c）风险评估

风险评估是指，在风险事件发生之前或之后（但还没有结束），对该事件给人们的生活、生命、财产等各个方面造成的影响和损失的可能性，进行量化评估的工作。即，风险评估就是量化测评某一事件或事物带来的影响或损失的可能程度。

1.2 标准组成与框架结构

ISO 26262系列标准分为10个部分，从ISO 26262-1到ISO26262-10，分别从功能安全管理、概念、系统级研发、软硬件的研发、生产和操作等多个方面，对产品的全生命周期进行了规范和要求。ISO 26262系列标准为汽车功能安全提供了一个全生命周期（管理、开发、生产、经营、服务和报废）理念，并在这些生命周期阶段中提供必要的支持。该标准涵盖了功能安全方面的整体开发过程（包括需求规划、设计、实施、集成、验证、确认和配置）。

ISO 26262系列标准的组成如图1所示。

图1 ISO 26262系列标准的组成图

2 ISO 26262系列标准对EMC的要求

在ISO 26262-5中，7.4.4.1章节中规定了进行“硬件设计确认”时的几种方法，如表1所示。

表1 硬件设计确认

由表1可以看出，对于整车或汽车电子产品开发过程中的 “硬件设计检查”，ISO 26262标准规定至少为 “推荐”级。当要求的安全完整性等级较高时（例如：要求ASIL达到C或D），硬件设计检查就成为了一项必不可少的工作。

电磁兼容性作为汽车电子产品的一个重要技术指标，在功能安全领域也引起了人们的高度重视。汽车电子产品的电磁兼容性，与硬件设计的关系密不可分。当一个产品或系统需要达到较高的安全完整性等级时，ISO 26262标准要求相关产品的设计单位在设计过程中开展硬件设计的检查工作，以确保产品符合安全相关要求。对于EMC而言，产品的研制单位需要在开发设计流程中设置评审节点，以开展EMC硬件的设计评审。每一次的评审都需要保存会议记录，并对持续改进情况进行跟踪。当产品硬件的设计工作全部完毕，研发团队需要将所有的设计评审记录和相关的研发文件保存，以作为产品EMC硬件设计确认的证据。

在ISO 26262-5中，10.4.7章节给出了硬件系统集成测试的几个方法，如表2所示。

由表2可以看出，电磁兼容测试在硬件测试中的重要地位，所有的ASIL等级都强烈推荐企业或用户进行电磁兼容测试。ISO 26262中明确地规定了一些必须要满足的EMC测试标准，它们是：ISO 11452-2、 ISO 11452-4、 ISO 7637-2、 ISO 10605和ISO 16750。

此外，在系统级健壮性水平测试和整车级健壮性水平测试中，ISO 26262标准都明确了EMC的相关要求。系统级健壮性水平测试要求如表3所示，整车级健壮性水平测试如表4所示。

表2 硬件集成测试方法

表3 系统级健壮性水平测试

表4 整车级健壮性水平测试

在表3、4中，ISO 26262标准对于EMC的要求体现在 “在特定环境条件下的抗干扰性和健壮性测试”。并且，在系统级健壮性水平测试中，产品的抗干扰性测试是标准强烈推荐的；在整车级健壮性水平测试中，抗干扰性对于ASIL等级为C和D的产品是强烈推荐的。

由表2、3和4中可以看出，汽车电子产品的EMC测试在功能安全领域显得尤为重要。

3 EMC与ASIL的关系

在产品的全生命周期中，当EMC防护器件或电路的可靠性不高时，外界的电磁干扰很容易地对产品产生影响。这种影响可能会导致产品出现安全问题。所以，必要的电磁兼容防护设计，是保证电气/电子/可编程电子安全完整性的重要措施。

相比于使用单级防护，采用多级防护电路的产品，通常被认为其能满足较高等级的电磁兼容抗扰度的测试要求。但是在功能安全领域，采用多级防护设计的产品，其安全完整性等级受到所使用的防护器件可靠性的制约。在进行诊断覆盖率和平均失效概率的计算时，防护器件的随机失效是考虑在内的。只有在设计时，设计人员选用了高可靠的器件，才能够提高产品的诊断覆盖率，产品才能真正地满足高ASIL等级的要求。

虽然ISO 26262标准中规定，产品在不同的阶段都需要进行电磁兼容抗扰度测试，但该标准却并未明确抗扰度测试的等级，也没有明确抗扰度测试等级和ASIL之间的关系。这就要求设计人员在产品研发过程中，充分考虑产品可能所处的电磁环境，以及其中所有潜在的电磁骚扰。只有当对所处的电磁环境进行了评价和分析后，才能确定产品需要满足的电磁兼容抗扰度测试等级。并且，需要保证在产品的全生命周期中，特定电磁环境中的电磁骚扰不会超过确定的抗扰度测试等级。

但是，在实践中，保证周围环境中的电磁骚扰不超过规定的抗扰度测试等级，这一点很难做到。因为在实际的操作中，对电磁骚扰水平的评估工作在客观上存在一定的不确定性。通常，人们只能认为：规定的抗扰度测试水平越高，周围电磁噪声超过该水平的可能性越小，产品的电磁防护等级也越高。这就要求人们，当汽车电子产品需要满足较高的ASIL等级时，需要为产品制定较高的抗扰度测试等级。这样一来，产品的EMC设计工作就变得愈发重要。

就电磁兼容性而言，解决汽车电子功能安全问题的首要工作，是建立EMC安全规划。EMC安全规划，就是为了达到系统的电磁兼容性，统筹考虑并研究所有涉及电磁兼容性部分的工程方法。在制定EMC安全规划时，应确保产品功能不因其电磁环境（包括自身的电磁骚扰）中的电磁骚扰而变差；同时，应确保整车内部任一系统或者系统某一部分的电磁发射不会干扰整车任一功能的正常运行；另外，还应确保任何潜在的电磁骚扰都不会导致安全风险。因此，需要在汽车电子产品的全生命周期中，采取适当的电磁措施，以确保产品的安全完整性符合要求。

4 结束语

ISO 26262系列标准从功能安全角度，对汽车电子产品的EMC提出了更新和更高的要求。这些要求包括：

1）随着ASIL等级的不断提高，EMC抗扰度测试的等级也大幅地提高；

2）当进行电磁兼容设计时，除需要考虑电磁兼容指标外，还需要考虑器件的可靠性，兼顾产品功能安全的要求；

3）在进行EMC设计检查时，除需要考虑产品的电磁兼容性之外，还需要借助安全分析方法，考量EMC设计是否满足安全要求；

4）EMC测试报告除包含测试标准、试验等级和测试结果外，还需要包含测试目标、测试方法，以及得到测试用例的方法。

目前，电子技术在汽车领域得到了大规模的应用，比重高达70%。随着混合动力车和电动汽车的面世，汽车电子领域的功能安全问题将变得更加突出，EMC作为影响整车和系统功能安全的重要因素，如果处理不好，就将会成为制约整体安全完整性的短板。

[1]IEC 61508-2010，Functional safety of electrical/electronic/programmable electronic safety-related systems[S].

[2]ISO 26262-2011，Road vehicles-functional safety[S].

[3]刘建侯.功能安全技术基础 [M].北京：机械工业出版社，2008.

[4]刘佳熙，郭辉，李君.汽车电子电气系统的功能安全标准ISO 26262[J].上海汽车，2011（10）：57-61.

[5]方来华，吴宗之，魏利军，等.安全仪表系统的功能安全测试研究 [J].化工自动化及仪表，2010，37（3）：1-6.