新能源市場的“游戲規(guī)則”仍將被合資品牌定義？

實際上，合資品牌一直都沒閑著，雖然自主品牌在傳統(tǒng)燃油車三大件和新能源三電基礎上迎頭趕上，但是合資品牌仍將在未來很長的一段時間，至少是5-10年，繼續(xù)大幅領先在「流程和規(guī)范/法規(guī)的制定和執(zhí)行」上。

早在8年前，當國內(nèi)外還沒有一份完整可用的汽車高壓安全標準的時候，德國汽車行業(yè)就已經(jīng)通用了一本未出版的小冊子，用來在德國汽車行業(yè)內(nèi)部規(guī)范高壓安全設計標準。

最近這幾年比較火的幾個標準和規(guī)范，從ASPICE（Automotive Software Process Improvement and Capability Determination），功能安全ISO 26262，到AUTOSAR (AUTomotive Open System ARchitecture)，都是從歐美幾個大廠的技術合作框架規(guī)范開始，逐步拓展為整個行業(yè)的通行標準，甚至成為政府的行業(yè)法規(guī)。而標準的制定，更新，以及詮釋也都是由這幾個大廠來主導進行。

說到電動汽車，合資品牌并不是不在意純電動汽車的發(fā)展，只不過以前時機不到而已，畢竟之前除了依靠補貼的純電動之外依舊是個賠錢的買賣。這兩年市場逐漸成熟，排放法規(guī)日趨嚴格，合資品牌開始進入純電市場之后將會帶來的最大變更就是讓市場更加規(guī)范，尤其是在技術成熟度和研發(fā)流程標準上。

一個最直接的例子就是功能安全，這一直是最近這幾年最熱的話題。功能安全的本質是保證任何軟件和電子控制系統(tǒng)不會因為功能bug而導致用車危險。

最近頻頻出現(xiàn)的電動車因為電池熱失控而導致的自燃，如果是因為EE系統(tǒng)失效或者軟件bug而導致的，包括BMS（電池控制系統(tǒng)），VCU（電動汽車中央控制系統(tǒng)），或者OBC（車載充電控制系統(tǒng)），都屬于功能安全的范疇。

在進行功能安全分析的時候，最先要確定的是每一個系統(tǒng)的功能安全ASIL等級，這個等級由三個因素來決定：

1. 這個系統(tǒng)出錯可能導致的傷害嚴重度

2.出錯的概率

3.出錯后駕駛員對風險的可控程度

三個因素交叉查表就可以定義出整體系統(tǒng)的ASIL等級QM，A，B，C，D。從QM到D，整體系統(tǒng)安全風險越來越高，對安全的要求也越來越高。

而ASIL D是功能安全中最為嚴格的一級，在上面表格中只出現(xiàn)在右下角唯一一個排列組合中。那么在這種情況下就要求車企在研發(fā)階段從硬件軟件設計，到測試驗證，甚至到所有設計工具的使用，都必須耗費比其他ASIL A，B，C高幾個指數(shù)級的時間、金錢和人力物力資源。

舉兩個具體的例子就可以看出ASIL D的要求之嚴：

1.ASIL D的硬件要求隨機出錯的概率是ASIL C的1/10，具體的概率如下表顯示，可以用FIT （failure in time）來表示，1 FIT所表示的是運行10億小時出錯一次，ASIL D的要求是 10 FIT，也就是運行100億小時出錯一次——這等同于136,892輛車運行一年只有一輛出錯一次。

2.一般汽車控制軟件只有在集成的時候才會做fault injection（主動錯誤注入）和Resource（CPU資源占用）的測試，來驗證整體系統(tǒng)的糾錯邏輯。而ASIL D等級的軟件則要求從軟件組件開始就必須獨立進行上面這些驗證（如下圖所示）。

一般軟件系統(tǒng)可能由十幾個甚至幾十個軟件組件構成，于是ASIL D等級的軟件只是從測試驗證這一部分來說需要花費的時間、金錢和人力物力就會是ASIL C這個第二嚴苛等級的10倍。

很多人說功能安全是個玄學，因為其實整體功能安全分析是個相當主觀的過程。比如在駕駛員可控度的評價上，如何判定可控還是不可控就相當主觀。

于是在ASIL等級的確定上，很多關鍵系統(tǒng)，比如電動汽車動力的電池、電機、車載充電，還有底盤相關的ESP/ABS，雖然都是對安全需求極為嚴苛的系統(tǒng)，但是主機廠都在極力避免將這些定義為ASIL D，就是因為開發(fā)一套ASIL D的系統(tǒng)需要花費10倍于ASIL C系統(tǒng)的財力物力和時間才能宣稱整車設計滿足功能安全的要求。

回歸到具體合資品牌會在這兩年趨近成熟的電動汽車市場帶來什么？就是這些更加規(guī)范嚴格，尤其是更加安全的電動汽車車型以及標準規(guī)范。

去年曾經(jīng)寫過一篇關于長城P8混動的文章，這輛車在功能安全上算是自主品牌新能源產(chǎn)品中最為成熟的一款。關鍵的ESP系統(tǒng)達到了ASIL D的等級，而其他動力總成相關的變速箱、中央控制器HCU，還有主驅動電機，電池包都達到了國際主流的ASIL C。

相對于此，很多自主品牌這些關鍵系統(tǒng)的功能安全都有待提升。至少我見過的多個品牌大部分自主系統(tǒng)屬于有部分功能安全內(nèi)容、卻完全無法從硬件和軟件層面得到認證。更不用提功能安全研發(fā)部門的組織構架還屬于基本空白的狀態(tài)。

今年開始電動汽車市場占有率大幅提升，很多剛上市的新車才經(jīng)歷了第一個年頭。像熱失控這樣的安全問題會在這兩年才逐漸凸顯出來，而功能安全的重要性也會在合資電動車的主導下越來越受到自主電動車的重視。這其中尤其是中端車型，大眾和通用開始全面鋪開純電動平臺車型將直接驅動自主車企的技術革新，尤其是功能安全革新，否則自主品牌新能源車型必然會被另外一輪合資車型淘汰，從而“彎道超車”失敗。

今年上汽通用上市的別克VELITE 6純電動MAV，BMS已經(jīng)滿足了ASIL D最高等級的安全要求，尤其是考慮到這輛車的中端定位，不用說在國內(nèi)，在目前歐美市場也很少見。

ASIL D等級的BMS對電池電壓、電流和溫度的狀態(tài)監(jiān)控以及糾錯都要滿足ASIL D的軟件設計和測試要求。而對于電池系統(tǒng)可能出現(xiàn)的常見傳感器，繼電器和控制器硬件的系統(tǒng)失效率官方公布的結果是1 FIT，也就是在10億小時使用中出現(xiàn)一次錯誤。

而正是為了達到ASIL D的要求，VELITE 6整體電池包硬件進行了冗余設計。功能安全進行冗余設計的原因就是大部分硬件供應商，比如傳感器或者執(zhí)行器供應商難以提供符合ASIL D失效率的產(chǎn)品（成本過高），只能通過冗余設計來實現(xiàn)等價的ASIL D要求。

比如，當一個傳感器無法滿足ASIL D要求的時候，可以通過冗余使用兩個ASIL B等級的傳感器來實現(xiàn)ASIL B + ASIL B = ASIL D的效果。

這也是為什么VELITE 6在電池相關的功能上擁有超過一般電池包的硬件和軟件安全配置：

-充電口新增對兩個充電槍連接狀態(tài)信號的錯誤診斷，其中任意一個狀態(tài)錯誤時，BMS電控系統(tǒng)在1秒內(nèi)斷開高壓，進一步降低用戶的觸電風險；

-實現(xiàn)了在車輛行駛狀態(tài)模式及熄火狀態(tài)下對電池的全天候溫度監(jiān)控，并可通過車端和后臺（CAC電話）協(xié)同報警；

-高壓線束連接部分采用二次鎖機構，避免高壓線的松脫及誤觸碰。高壓線連接的零部件外殼都采用雙路接地設計的冗余設計，杜絕因內(nèi)部絕緣破壞而引起的觸電事故；

-雙重冗余的主動放電功能。國家對于電壓安全C-NCAP要求碰撞后60s內(nèi)實現(xiàn)高壓電下電，VELITE 6的高壓系統(tǒng)做到碰撞后1秒內(nèi)斷開繼電器，5秒內(nèi)完成主動放電。

以我個人了解的歐洲行業(yè)內(nèi)部情況是，2020年前后會有一大波純電動合資/外資車型在中國上市，歐洲的純電車型主要是為了滿足整體品牌排放法規(guī)要求，真正期望走量和賺錢的是在中國市場。

而這一大波純電車型，就和上面舉例的別克VELITE 6一樣會在兩個方面吊打目前的自主純電車型：

-一個是對客戶需求的準確拿捏。不再一味追求大功率、加速快，而是類似以往燃油車會針對車型定位搭載不同動力水平的動力總成和功能。

-另外一個就是在前面著重強調的標準規(guī)范上，尤其是安全相關的標準規(guī)范，歐美車企會帶來一批積累了10年技術而厚積薄發(fā)的產(chǎn)品。

因此在純電領域，希望自主車企和互聯(lián)網(wǎng)車企已經(jīng)做好準備面對這場硬仗，尤其是在行業(yè)最新技術規(guī)范和標準實施上，希望不要被拉開太大差距。