|
作者：飛思卡爾半導體 貢玉南 1. 概述 汽車電子助力轉向系統（EPS）可以降低能耗，提高駕控智能水平，且更容易與其它高級安全系統集成，因而近年來在汽車中得到了大力的推廣和發展。在這個領域，國內EPS供應商與國外供應商的主要差距體現在EPS控制技術和系統安全設計兩方面。 飛思卡爾半導體公司在2011年推出了“采用永磁同步電機的汽車電子助力轉向電控單元解決方案”，旨在幫助國內EPS供應商掌握永磁同步電機的控制技術。這一方案獲得了《世界電子元器件》期刊 “2012年全國優秀IC和電子產品解決方案”最佳方案獎。 在2012年的飛思卡爾中國技術論壇上，飛思卡爾又推出了針對道路車輛-功能安全國際標準ISO26262 ASIL-D等級的EPS演示系統方案。該方案不僅演示了采用飛思卡爾功能安全品牌SafeAssure的軟硬件產品，如何方便快捷地實現ASIL-D級別的EPS系統，同時也提供了整個開發階段所涉及的安全設計文檔，包括： · 項目定義 · 危險分析和風險評估 · 功能安全概念 · 系統開發 · 安全確認。 本文將根據圖1所示的ISO26262安全生命周期模型來闡述飛思卡爾如何根據ISO26262規范來開發ASIL-D等級的EPS演示系統。 
圖1：ISO26262安全生命周期模型 2. 功能安全概念設計 在概念階段設計項目（或產品）定義、危險分析和風險評估和功能安全概念。 2.1 項目定義 項目定義描述了EPS系統的主要功能，如下所述： · 根據司機意圖，提供轉向支持 · 主動回正 · 向車內其它系統提供轉向角度（通過CAN網絡） 2.2 危險分析和風險評估 危險分析和風險評估需要考慮的要素有：安全功能、失效模式、駕駛場景、嚴重性、暴露的可能性、可控性以及安全目標、ASIL等級、安全時間和安全狀態。 根據分析，EPS系統有如下危險分析和風險評估結果： · 安全目標1：防止電機產生自主扭矩 確保電機不能自主產生扭矩，這樣會使車輛轉向偏離司機意圖。尤其在高速時，這種扭矩會產生意外的轉向，給司機乘客和行人帶來危險。這種危險可能源于傳感器或電控單元ECU的故障。 ASIL等級：ASIL-D · 安全目標2：防止電機產生死鎖扭矩 確保電機不能鎖死，以至司機不能正常轉向。電機死鎖可能由電氣失效或機械失效導致。尤其在高速時，這種意外的扭矩會給司機，乘客和行人帶來危險。這種危險可能源于電控單元ECU的故障，或電機及轉向系統的機械故障。 ASIL等級：ASIL-D · 安全目標3：防止系統從“安全狀態”錯誤退出，電機產生突發扭矩 這種工況是指當EPS系統由于故障，如電機異常等原因，已經進入了所謂的“安全狀態”。但是由于電氣故障，EPS系統錯誤地從“安全狀態”退出，在沒有任何告警的情況下，電機重新對轉向系統施加意外的扭矩，從而使司機不能按意圖控制轉向。 ASIL等級：ASIL-A · 安全目標4：防止電機不提供助力 確保系統運行正常，助力施加正確。助力缺失不會導致車輛失控，因為有機械轉向系統存在。一種合理的假設是：當這種故障被檢測到后，顯示告警信息；司機察覺后，啟用“跛行回家”的行車模式,，比如降低車速等。 ASIL等級：QM 經過危險分析和風險評估后，以上四個安全目標的最高ASIL等級是ASIL-D。所以EPS系統的最高ASIL 等級是ASIL-D。 2.3 功能安全概念 為了實現系統的安全目標，對系統架構中的各個要素（Element），如傳感器、控制單元和執行單元（電機），都有功能安全需求。功能安全需求主要考慮各要素的ASIL等級、工作模式、安全時間、安全狀態、功能冗余即容錯性能和各要素的初步架構等。它不涉及具體的硬件和軟件實現細節。在EPS系統中，采用了如圖2的初步系統架構，可能的功能安全需求示例如下： · 整個EPS系統要求達到ASIL-D的要求。（系統） · 安全狀態的定義必須確保當系統出現致命故障時，電機的行為不會對轉向系統不利影響。（系統） · 系統必須在安全時間內進入安全狀態。（控制單元） · 控制單元必須包括電機控制通道和電機監控通道。（控制單元） · 控制通道和監控通道都能獲得集成于車輛接口的傳感器信號。（傳感器和控制單元） · 控制通道和監控通道都能獲得集成于執行單元的傳感器信號。（傳感器和控制單元） · 控制通道和監控通道所用的傳感器信號必須獨立。（傳感器） · 控制通道根據扭矩傳感器輸入和其它來自車身網絡的相關輸入計算助力需求。（控制單元） · 控制通道控制執行單元，產生所需助力。（控制單元） · 監控通道根據獨立的扭矩傳感器輸入和其它來自車身網絡的相關輸入，校驗控制通道是否正確計算了助力需求。（控制單元） · 監控通道根據獨立的傳感器輸入，校驗控制通道是否正確控制了執行單元。（控制單元） · 監控通道能夠獨立的使系統進入安全狀態。（控制單元） · 系統電源監控的實現必須獨立于電機控制通道和電機監控通道。（控制單元） · 系統時鐘監控的實現必須獨立于電機控制通道和電機監控通道。（控制單元） · 其它需求可參考圖2的EPS功能安全概念。
圖2：EPS功能安全概念 3. 產品開發 產品開發階段包括系統設計、硬件設計和軟件設計、安全確認、功能安全評估和生產準備。下文主要介紹控制單元的設計。 3.1 硬件設計 硬件系統由飛思卡爾針對功能安全的SafeAssure品牌的芯片產品構成。MPC5643L為業內首款通過ISO26262論證的微控制器，MC33907為飛思卡爾新一代的系統基礎芯片（SBC），這兩款芯片均符合ISO26262開發流程。MPC5643L、MC33907和預驅動芯片MC33937A構成了飛思卡爾針對ISO26262 ASIL-D電機控制應用的硬件設計方案。
圖3：硬件設計： 技術安全概念，EPS安全狀態控制 圖3為技術安全概念中的安全狀態控制。MPC5643L通過預驅動芯片MC33937A和功率橋控制電機。MC33907提供系統電源管理和系統監控。當出現故障時，系統必須在規定時間內到達安全狀態，即電源繼電器和電機隔離繼電器必須及時斷開。MPC5643L和MC33907的各自獨立輸出控制信號，再經過邏輯“或”后，控制這兩種繼電器。 3.2 軟件設計 系統軟件可分為底層驅動、操作系統和應用層任務。應用層任務有包括控制任務和監控任務。這些軟件同時運行于MPC5643L的處于鎖步模式的雙PowerPC核上。圖4為系統的軟件安全概念。 從功能安全的角度，系統軟件必須考慮避免、檢測或處理隨機硬件故障和軟件系統故障。因此，系統軟件實現了多種安全機制，并且遵循ISO26262軟件開發流程。EPS系統軟件在系統整合層面上需要滿足ISO26262 ASIL-D 的需求。圖4所示的軟件安全概念通過組件冗余實現了ASIL分解，即控制通道（任務）ASIL-B(D)和監控通道（任務）ASIL-B(D)。
圖4：軟件設計： 軟件安全概念 3.3安全確認 在產品概念階段和產品開發階段都需要進行安全分析，其目的： · 檢查故障和失效對系統造成的影響 · 列出可能導致安全目標偏離的條件和原因 · 發現原先設計沒考慮到新危險 對于ASIL-D應用來說，需要進行歸納和演繹式的安全量化。在系統層面，采用基于故障樹（FTA）的系統安全分析方法，自上而下的演繹出可能導致安全目標偏離的條件和原因，如圖5列出了可能導致電機產生自主扭矩的條件和原因。而系統FMEDA則為故障樹的末端節點（事件）提供了具體的失效率。
圖5：EPS故障樹：電機自主扭矩 結論 ISO26262功能安全標準將近年來汽車電子安全模塊設計者的經驗和先進的頂層設計理念結合起來，提供了一整套魯棒性設計和過程管理的方法，對國內EPS系統供應商來說既是挑戰又是機遇。飛思卡爾長期關注和積極投資這一汽車安全應用，及時推出了SafeAssure的軟硬件產品和面向ASIL-D的EPS演示系統，并且殷切希望和國內客戶緊密合作，來提升國內EPS系統的整體設計水平和產品檔次。 |
