豐田汽車召回事件給我們的啟示

最近一段時間豐田汽車油門踏板故障使數百萬輛豐田汽車召回。表面看是因為踏板問題引發油門加速，豐田通過增加一個金屬片可以解決(也就是說是機械故障)，但是讓人擔心的是，美國眾議院能源和商務委員會開始要求豐田提供電子控制系統相關數據，即坊間流傳的汽車突然加速可能是豐田汽車電子控制系統的缺陷所致的說法公開化了。在國外各大電子設計網站，關于豐田電控系統設計問題的討論很多，無論最后結果如何，汽車電控系統事關汽車和人身安全，我們應充分重視。

汽車業應該向航空業學習

原福特公司工程師、現美國END雜志技術編輯Paul Rako認為，在汽車中有上百塊微控制器，它們通過CAN總線傳感和控制汽車功能。不過，CAN總線通信干擾問題一直不斷，他擔心包括雨刷器、ABs還有引擎控制等控制裝置都有可能通過CAN總線帶來問題。Paul設計過速度控制系統，他還認為這次的問題是系統設計的錯誤(許多人持有此類觀點，或者說是設計理念的問題)。對于豐田的工程師講，應該會想到有時你可能同時睬下油門和剎車。

Dean Psiropoulos是霍尼韋爾宇航公司的嵌入式軟件工程師，他回憶自己5輛不同年代汽車的電子系統后，對現在使用大量的嵌入式處理器(和微控制器)控制汽車里許多本身是模擬的裝置持反對意見，比如儀表盤、空調系統和車窗裝置等。他認為油門、轉向和剎車一定不能完全由計算機控制。印度的MidTree公司硬件工程師Swapnil Sapre認為現在軟件的標準不完善，他建議測試過程一定要像硬件設計的驗證過程一樣的堅固。

網友約翰在評論Paul的博文時總結豐田汽車事件原因有：缺乏對車制動器的軟件、傳感器故障檢測的硬件和質量保證測試，缺少測試行業標準等問題。

筆者和在美國底特律通用汽車的朋友做了溝通，他認為設計理念很重要，豐田在汽車電子系統和軟件算法設計上沒有花足夠的精力，以保證系統的完整性(比如單點故障的健壯性保證、電磁干擾問題等)。其實召回并不可怕，可怕的是不能發現真正的問題所在，然后改正問題。在這點上，筆者認為汽車業應該向航空業學習一一航空的事故調查是非常嚴謹的，歷時幾年時間把一個事故分析清楚。

對我國汽車電控業的啟示

中國汽車已進入年銷售一千萬輛的時代。目前國內多數汽車電控部件是國外生產，自主知識產權的汽車電控系統也越來越多，中國汽車電子系統設計正漸入佳境。但是，在關于國內汽車電子的報道中，筆者發現有關電控系統設計的討論非常少，多數是在以器件為中心的單元部件的設計方案討論。2006年清華大學邵貝貝教授的“安全第一的c語言規范”中討論MISRA(汽車工業軟件可靠性聯合會)c問題，2009年他又發表MISRAC++的系列文章。重慶自動化所楊福宇的“CAN隱患的爭辯”系列文章雖得到了博世回復，但遺憾的是沒有引起業內的反響。國家核高基項目中，雖有汽車電子操作系統平臺和產業題目，但是沒有特別涉及汽車電子系統和軟件的系統設計問題(我們知道，多數汽車電子系統并沒有使用操作系統)。

汽車電子的系統設計涵蓋的范圍很寬，系統級的設計和仿真、系統安全性設計、軟件(包括芯片固件)認證和測試、通信系統設計等是國內目前汽車電子研發的軟肋，由半導體公司主導，整車廠商議論一番的聚會式論壇是不能夠解決這些問題，比如大眾和德爾福愿意來講，但未必涉及這些技術，看家的本事是不能外泄的。專業學會的會議多是學校的論文，并無工程化實踐經驗，企業照樣我行我素?？磥?，解決豐田這樣的問題，提高國產汽車的質量還是要靠我們自己的整車、零部件、研究機構和嵌入式電子設計行業，從設計思想、理念和實踐上重視系統設計安全問題，我們正在成長中的汽車企業才不會熏蹈覆轍。