根據(jù)ISO26262規(guī)范開發(fā)ASIL-D等級(jí)的EPS演示系統(tǒng)

 1. 概述

汽車電子助力轉(zhuǎn)向系統(tǒng)(EPS)可以降低能耗，提高駕控智能水平，且更容易與其它高級(jí)安全系統(tǒng)集成，因而近年來在汽車中得到了大力的推廣和發(fā)展。在這個(gè)領(lǐng)域，國(guó)內(nèi)EPS供應(yīng)商與國(guó)外供應(yīng)商的主要差距體現(xiàn)在EPS控制技術(shù)和系統(tǒng)安全設(shè)計(jì)兩方面。

飛思卡爾半導(dǎo)體公司在2011年推出了“采用永磁同步電機(jī)的汽車電子助力轉(zhuǎn)向電控單元解決方案”，旨在幫助國(guó)內(nèi)EPS供應(yīng)商掌握永磁同步電機(jī)的控制技術(shù)。這一方案獲得了《世界電子元器件》期刊 “2012年全國(guó)優(yōu)秀IC和電子產(chǎn)品解決方案”最佳方案獎(jiǎng)。

在2012年的飛思卡爾中國(guó)技術(shù)論壇上，飛思卡爾又推出了針對(duì)道路車輛-功能安全國(guó)際標(biāo)準(zhǔn)ISO26262 ASIL-D等級(jí)的EPS演示系統(tǒng)方案。該方案不僅演示了采用飛思卡爾功能安全品牌SafeAssure的軟硬件產(chǎn)品，如何方便快捷地實(shí)現(xiàn)ASIL-D級(jí)別的EPS系統(tǒng)，同時(shí)也提供了整個(gè)開發(fā)階段所涉及的安全設(shè)計(jì)文檔，包括：

· 項(xiàng)目定義

· 危險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)估

· 功能安全概念

· 系統(tǒng)開發(fā)

· 安全確認(rèn)。

本文將根據(jù)圖1所示的ISO26262安全生命周期模型來闡述飛思卡爾如何根據(jù)ISO26262規(guī)范來開發(fā)ASIL-D等級(jí)的EPS演示系統(tǒng)。

圖1：ISO26262安全生命周期模型

2. 功能安全概念設(shè)計(jì)

在概念階段設(shè)計(jì)項(xiàng)目(或產(chǎn)品)定義、危險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)估和功能安全概念。

2.1 項(xiàng)目定義

項(xiàng)目定義描述了EPS系統(tǒng)的主要功能，如下所述：

· 根據(jù)司機(jī)意圖，提供轉(zhuǎn)向支持

· 主動(dòng)回正

· 向車內(nèi)其它系統(tǒng)提供轉(zhuǎn)向角度(通過CAN網(wǎng)絡(luò))

2.2 危險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)估

危險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)估需要考慮的要素有：安全功能、失效模式、駕駛場(chǎng)景、嚴(yán)重性、暴露的可能性、可控性以及安全目標(biāo)、ASIL等級(jí)、安全時(shí)間和安全狀態(tài)。

根據(jù)分析，EPS系統(tǒng)有如下危險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)估結(jié)果：

· 安全目標(biāo)1：防止電機(jī)產(chǎn)生自主扭矩

確保電機(jī)不能自主產(chǎn)生扭矩，這樣會(huì)使車輛轉(zhuǎn)向偏離司機(jī)意圖。尤其在高速時(shí)，這種扭矩會(huì)產(chǎn)生意外的轉(zhuǎn)向，給司機(jī)乘客和行人帶來危險(xiǎn)。這種危險(xiǎn)可能源于傳感器或電控單元ECU的故障。

ASIL等級(jí)：ASIL-D

· 安全目標(biāo)2：防止電機(jī)產(chǎn)生死鎖扭矩

確保電機(jī)不能鎖死，以至司機(jī)不能正常轉(zhuǎn)向。電機(jī)死鎖可能由電氣失效或機(jī)械失效導(dǎo)致。尤其在高速時(shí)，這種意外的扭矩會(huì)給司機(jī)，乘客和行人帶來危險(xiǎn)。這種危險(xiǎn)可能源于電控單元ECU的故障，或電機(jī)及轉(zhuǎn)向系統(tǒng)的機(jī)械故障。

ASIL等級(jí)：ASIL-D

· 安全目標(biāo)3：防止系統(tǒng)從“安全狀態(tài)”錯(cuò)誤退出，電機(jī)產(chǎn)生突發(fā)扭矩

這種工況是指當(dāng)EPS系統(tǒng)由于故障，如電機(jī)異常等原因，已經(jīng)進(jìn)入了所謂的“安全狀態(tài)”。但是由于電氣故障，EPS系統(tǒng)錯(cuò)誤地從“安全狀態(tài)”退出，在沒有任何告警的情況下，電機(jī)重新對(duì)轉(zhuǎn)向系統(tǒng)施加意外的扭矩，從而使司機(jī)不能按意圖控制轉(zhuǎn)向。

ASIL等級(jí)：ASIL-A

· 安全目標(biāo)4：防止電機(jī)不提供助力

確保系統(tǒng)運(yùn)行正常，助力施加正確。助力缺失不會(huì)導(dǎo)致車輛失控，因?yàn)橛袡C(jī)械轉(zhuǎn)向系統(tǒng)存在。一種合理的假設(shè)是：當(dāng)這種故障被檢測(cè)到后，顯示告警信息;司機(jī)察覺后，啟用“跛行回家”的行車模式,，比如降低車速等。

ASIL等級(jí)：QM

經(jīng)過危險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)估后，以上四個(gè)安全目標(biāo)的最高ASIL等級(jí)是ASIL-D。所以EPS系統(tǒng)的最高ASIL 等級(jí)是ASIL-D。

2.3 功能安全概念

為了實(shí)現(xiàn)系統(tǒng)的安全目標(biāo)，對(duì)系統(tǒng)架構(gòu)中的各個(gè)要素(Element)，如傳感器、控制單元和執(zhí)行單元(電機(jī))，都有功能安全需求。功能安全需求主要考慮各要素的ASIL等級(jí)、工作模式、安全時(shí)間、安全狀態(tài)、功能冗余即容錯(cuò)性能和各要素的初步架構(gòu)等。它不涉及具體的硬件和軟件實(shí)現(xiàn)細(xì)節(jié)。在EPS系統(tǒng)中，采用了如圖2的初步系統(tǒng)架構(gòu)，可能的功能安全需求示例如下：

· 整個(gè)EPS系統(tǒng)要求達(dá)到ASIL-D的要求。(系統(tǒng))

· 安全狀態(tài)的定義必須確保當(dāng)系統(tǒng)出現(xiàn)致命故障時(shí)，電機(jī)的行為不會(huì)對(duì)轉(zhuǎn)向系統(tǒng)不利影響。(系統(tǒng))

· 系統(tǒng)必須在安全時(shí)間內(nèi)進(jìn)入安全狀態(tài)。(控制單元)

· 控制單元必須包括電機(jī)控制通道和電機(jī)監(jiān)控通道。(控制單元)

· 控制通道和監(jiān)控通道都能獲得集成于車輛接口的傳感器信號(hào)。(傳感器和控制單元)

· 控制通道和監(jiān)控通道都能獲得集成于執(zhí)行單元的傳感器信號(hào)。(傳感器和控制單元)

· 控制通道和監(jiān)控通道所用的傳感器信號(hào)必須獨(dú)立。(傳感器)

· 控制通道根據(jù)扭矩傳感器輸入和其它來自車身網(wǎng)絡(luò)的相關(guān)輸入計(jì)算助力需求。(控制單元)

· 控制通道控制執(zhí)行單元，產(chǎn)生所需助力。(控制單元)

· 監(jiān)控通道根據(jù)獨(dú)立的扭矩傳感器輸入和其它來自車身網(wǎng)絡(luò)的相關(guān)輸入，校驗(yàn)控制通道是否正確計(jì)算了助力需求。(控制單元)

· 監(jiān)控通道根據(jù)獨(dú)立的傳感器輸入，校驗(yàn)控制通道是否正確控制了執(zhí)行單元。(控制單元)

· 監(jiān)控通道能夠獨(dú)立的使系統(tǒng)進(jìn)入安全狀態(tài)。(控制單元)

· 系統(tǒng)電源監(jiān)控的實(shí)現(xiàn)必須獨(dú)立于電機(jī)控制通道和電機(jī)監(jiān)控通道。(控制單元)

· 系統(tǒng)時(shí)鐘監(jiān)控的實(shí)現(xiàn)必須獨(dú)立于電機(jī)控制通道和電機(jī)監(jiān)控通道。(控制單元)

· 其它需求可參考圖2的EPS功能安全概念。

圖2：EPS功能安全概念

3. 產(chǎn)品開發(fā)

產(chǎn)品開發(fā)階段包括系統(tǒng)設(shè)計(jì)、硬件設(shè)計(jì)和軟件設(shè)計(jì)、安全確認(rèn)、功能安全評(píng)估和生產(chǎn)準(zhǔn)備。下文主要介紹控制單元的設(shè)計(jì)。

3.1 硬件設(shè)計(jì)

硬件系統(tǒng)由飛思卡爾針對(duì)功能安全的SafeAssure品牌的芯片產(chǎn)品構(gòu)成。MPC5643L為業(yè)內(nèi)首款通過ISO26262論證的微控制器，MC33907為飛思卡爾新一代的系統(tǒng)基礎(chǔ)芯片(SBC)，這兩款芯片均符合ISO26262開發(fā)流程。MPC5643L、MC33907和預(yù)驅(qū)動(dòng)芯片MC33937A構(gòu)成了飛思卡爾針對(duì)ISO26262 ASIL-D電機(jī)控制應(yīng)用的硬件設(shè)計(jì)方案。[!--empirenews.page--]

圖3：硬件設(shè)計(jì)： 技術(shù)安全概念，EPS安全狀態(tài)控制

圖3為技術(shù)安全概念中的安全狀態(tài)控制。MPC5643L通過預(yù)驅(qū)動(dòng)芯片MC33937A和功率橋控制電機(jī)。MC33907提供系統(tǒng)電源管理和系統(tǒng)監(jiān)控。當(dāng)出現(xiàn)故障時(shí)，系統(tǒng)必須在規(guī)定時(shí)間內(nèi)到達(dá)安全狀態(tài)，即電源繼電器和電機(jī)隔離繼電器必須及時(shí)斷開。MPC5643L和MC33907的各自獨(dú)立輸出控制信號(hào)，再經(jīng)過邏輯“或”后，控制這兩種繼電器。

3.2 軟件設(shè)計(jì)

系統(tǒng)軟件可分為底層驅(qū)動(dòng)、操作系統(tǒng)和應(yīng)用層任務(wù)。應(yīng)用層任務(wù)有包括控制任務(wù)和監(jiān)控任務(wù)。這些軟件同時(shí)運(yùn)行于MPC5643L的處于鎖步模式的雙PowerPC核上。圖4為系統(tǒng)的軟件安全概念。

從功能安全的角度，系統(tǒng)軟件必須考慮避免、檢測(cè)或處理隨機(jī)硬件故障和軟件系統(tǒng)故障。因此，系統(tǒng)軟件實(shí)現(xiàn)了多種安全機(jī)制，并且遵循ISO26262軟件開發(fā)流程。EPS系統(tǒng)軟件在系統(tǒng)整合層面上需要滿足ISO26262 ASIL-D 的需求。圖4所示的軟件安全概念通過組件冗余實(shí)現(xiàn)了ASIL分解，即控制通道(任務(wù))ASIL-B(D)和監(jiān)控通道(任務(wù))ASIL-B(D)。

圖4：軟件設(shè)計(jì)： 軟件安全概念

3.3安全確認(rèn)

在產(chǎn)品概念階段和產(chǎn)品開發(fā)階段都需要進(jìn)行安全分析，其目的：

· 檢查故障和失效對(duì)系統(tǒng)造成的影響

· 列出可能導(dǎo)致安全目標(biāo)偏離的條件和原因

· 發(fā)現(xiàn)原先設(shè)計(jì)沒考慮到新危險(xiǎn)

對(duì)于ASIL-D應(yīng)用來說，需要進(jìn)行歸納和演繹式的安全量化。在系統(tǒng)層面，采用基于故障樹(FTA)的系統(tǒng)安全分析方法，自上而下的演繹出可能導(dǎo)致安全目標(biāo)偏離的條件和原因，如圖5列出了可能導(dǎo)致電機(jī)產(chǎn)生自主扭矩的條件和原因。而系統(tǒng)FMEDA則為故障樹的末端節(jié)點(diǎn)(事件)提供了具體的失效率。

圖5：EPS故障樹：電機(jī)自主扭矩

結(jié)論

ISO26262功能安全標(biāo)準(zhǔn)將近年來汽車電子安全模塊設(shè)計(jì)者的經(jīng)驗(yàn)和先進(jìn)的頂層設(shè)計(jì)理念結(jié)合起來，提供了一整套魯棒性設(shè)計(jì)和過程管理的方法，對(duì)國(guó)內(nèi)EPS系統(tǒng)供應(yīng)商來說既是挑戰(zhàn)又是機(jī)遇。飛思卡爾長(zhǎng)期關(guān)注和積極投資這一汽車安全應(yīng)用，及時(shí)推出了SafeAssure的軟硬件產(chǎn)品和面向ASIL-D的EPS演示系統(tǒng)，并且殷切希望和國(guó)內(nèi)客戶緊密合作，來提升國(guó)內(nèi)EPS系統(tǒng)的整體設(shè)計(jì)水平和產(chǎn)品檔次。