An toàn chức năng ô tô
An toàn chức năng ô tô (Functional Safety) là yếu tố then chốt để đảm bảo các hệ thống điện tử trong xe hoạt động an toàn. Hệ thống trong xe phải có khả năng chuyển sang chế độ hoạt động an toàn (Safe Operation Mode) khi xảy ra lỗi, giúp người lái duy trì khả năng điều khiển xe.
Hãy tưởng tượng khi một lỗi xảy ra trong bộ điều khiển ECU và bạn đang cố rẽ trái bằng cách xoay tay lái trợ lực điện. Nếu toàn bộ hệ thống bị khởi động lại hoặc vô hiệu hóa, người lái sẽ không thể phản ứng kịp trong tình huống khẩn cấp, gây ra nguy hiểm. Do đó, xe cần cung cấp khả năng điều khiển lái xe an toàn để đưa xe đến vị trí an toàn thông qua an toàn chức năng và dự phòng (Redundancy) đủ.
Xe ô tô ngày càng trở nên phức tạp hơn bao giờ hết do sự gia tăng của các thiết bị điện tử và mã chương trình. Hơn nữa, theo xu hướng xe tự lái và điện hóa, dự kiến sự phức tạp của xe sẽ tiếp tục tăng. Vì vậy, tầm quan trọng của an toàn chức năng trong xe đang ngày càng được chú trọng.
Ngày nay, hầu hết các phương tiện đều áp dụng hệ thống kiến trúc Fail-Safe như một chế độ hoạt động an toàn. Hệ thống Fail-Safe sẽ chuyển sang trạng thái an toàn (Safe State) bằng cách khởi tạo lại hoặc vô hiệu hóa phần bị lỗi khi phát hiện lỗi. Qua đó, người lái có thể duy trì khả năng điều khiển trong phạm vi chức năng giới hạn của xe.
Tuy nhiên, khi hệ thống tự lái tiến tới các cấp độ 4 và 5, hệ thống xe được yêu cầu tiếp tục duy trì hoạt động bình thường ngay cả khi phát hiện lỗi. Để đáp ứng yêu cầu này, xe bắt đầu áp dụng hệ thống Fail-Operational cùng với dự phòng và nhiều thiết bị hỗ trợ khác từ góc độ an toàn chức năng.
Chế độ Hoạt động An toàn
Chế độ hoạt động an toàn có thể được phân loại thành 4 loại sau:
1. Hệ thống Không An toàn (Fail-Passive System): Hệ thống này không có cơ chế đảm bảo an toàn khi xảy ra lỗi.
2. Hệ thống Fail-Safe (Fail-Active System): Khi phát hiện lỗi, hệ thống sẽ chuyển sang trạng thái an toàn bằng cách khởi tạo lại hoặc vô hiệu hóa phần bị lỗi.
3. Hệ thống Chịu lỗi (Fault-Tolerant System): Hệ thống có khả năng tiếp tục hoạt động bình thường hoặc gần bình thường khi xảy ra lỗi, thông qua việc sử dụng dự phòng và các biện pháp khác.
4. Hệ thống Fail-Operational: Hệ thống này được thiết kế để duy trì hoạt động bình thường ngay cả khi phát hiện lỗi, đảm bảo an toàn trong mọi tình huống.
Hệ thống Not-Safe (Fail-Passive System)
Khi hệ thống gặp sự cố, toàn bộ hệ thống sẽ dừng hoạt động. Do đó, người lái xe có thể mất khả năng kiểm soát phương tiện, dẫn đến các tình huống nguy hiểm. Hệ thống này còn được gọi là Fail-Passive System (hệ thống bị động khi lỗi).
Hệ thống Fail-Safe (Fail-Active System)
Khi hệ thống Fail-Safe gặp sự cố, nó sẽ chuyển sang trạng thái an toàn và phát hiện lỗi của phần cứng hoặc phần mềm trong khoảng thời gian cho phép đã được định trước. Hệ thống sẽ thực hiện các hành động đã được xác định trước dựa trên lỗi đã phát hiện. Người lái xe có thể duy trì trạng thái kiểm soát phương tiện trong phạm vi chức năng hệ thống hạn chế của xe. Ví dụ, khi hệ thống phanh trong xe bị hỏng, hệ thống sẽ được thiết kế để dừng xe nhằm đảm bảo an toàn. Hệ thống này còn được gọi là Fail-Active System (hệ thống chủ động khi lỗi).
Thêm vào đó, Fail-Silent System (hệ thống im lặng khi lỗi) là hệ thống vô hiệu hóa (deactivation) hoặc đặt lại (reset) chức năng đã gặp sự cố. Đây là một loại của hệ thống Fail-Safe.
Hệ thống Fault-Tolerant
Trong hệ thống Fail-Tolerant, một lỗi đơn lẻ xảy ra sẽ không ảnh hưởng đến toàn bộ hệ thống. Thông thường, hệ thống này áp dụng tính dư thừa (redundancy) hoặc nhiều rào cản an toàn (Safety Barrier). Ví dụ, máy bay có nhiều động cơ có thể tiếp tục bay ngay cả khi một trong các động cơ gặp sự cố.
Hệ thống Fail-Operational
Trong một số trường hợp, không thể chấp nhận bất kỳ lỗi nào dẫn đến việc hệ thống dừng hoạt động. Ngoài ra, theo xu hướng công nghệ ô tô như tự lái, cần có chế độ an toàn chức năng ở cấp độ cao hơn. Do đó, hệ thống Fail-Operational System đã được tạo ra. Hệ thống Fail-Operational System vẫn hoạt động bình thường và duy trì chức năng an toàn ngay cả khi gặp sự cố.
Fail-Operational System được cấu thành từ ít nhất 2 thiết bị Fail-Silent với phần cứng độc lập. Để phát hiện và ứng phó với sự cố một cách độc lập, mỗi thiết bị Fail-Silent đều được cung cấp nguồn từ pin riêng biệt (VBAT1 và VBAT2).
Fail-Operational
Phân loại lỗi
Trong Fail-Operational System, lỗi được phân loại thành 2 loại. Những lỗi nghiêm trọng yêu cầu thay thế hoặc sửa chữa phần cứng được gọi là “Permanent Fault” (lỗi vĩnh viễn). Trong khi đó, những lỗi tạm thời như lỗi phần mềm được phân loại là “Transient Fault” (lỗi tạm thời). Dựa vào từng loại lỗi này, hệ thống sẽ có cách xử lý khác nhau.
Khi xảy ra Permanent Fault (lỗi vĩnh viễn), hệ thống sẽ sử dụng thiết bị dự phòng (redundancy) hoặc thiết bị bổ trợ để thay thế và thực hiện chức năng của hệ thống. Thiết bị thay thế này sẽ đảm bảo thực hiện các chức năng như bình thường hoặc ít nhất cung cấp chức năng bị giảm.
Trong trường hợp Transient Fault (lỗi tạm thời), hệ thống cũng sử dụng thiết bị dự phòng hoặc thiết bị bổ trợ để thay thế và thực hiện chức năng của hệ thống. Tuy nhiên, sau khi xử lý lỗi, thiết bị ban đầu sẽ trở lại hoạt động bình thường. Phương pháp thường được sử dụng để xử lý lỗi này là khởi động lại phần mềm (SW Reset).
