TMS570 MCU提升汽車(chē)制動(dòng)系統安全性

摘要

　　微處理器 (MCU) 是 ECU 中的關(guān)鍵組件。使用傳統的汽車(chē)MCU不可能達到 SIL3 認證要求。需要采用全新的芯片架構，以確保處理結果、總線(xiàn)流量的數據完整性以及存儲器中數據的安全性與可靠性，同時(shí)滿(mǎn)足嚴格的響應時(shí)間要求。

　　開(kāi)發(fā)人員可充分利用市場(chǎng)上的微處理器，為 ECU 制動(dòng)控制功能達到 SIL3 認證標準提供所需技術(shù)。TI 與羅伯特•博世有限公司 (Robert Bosch GmbH) 聯(lián)合開(kāi)發(fā)的 TMS570 就是一款這樣的微處理器。

　　對于任何主要的汽車(chē)系統功能而言，電子底盤(pán)管理技術(shù)都具有極大的吸引力，但由于種種原因，該技術(shù)還很難實(shí)現，更不用說(shuō)在安全與可靠性方面還面臨眾多難題。不過(guò)，為應對當前面臨的安全規定挑戰，國際電工委員會(huì ) (IEC) 已針對電氣/電子/可編程電子安全相關(guān)系統的功能安全性定義了相關(guān)標準。目前，IEC 61508 被視為安全關(guān)鍵型系統開(kāi)發(fā)領(lǐng)域的最高級標準。盡管該標準尚未被以法律的形式全面強制實(shí)施，但還是希望汽車(chē)系統設計人員能夠滿(mǎn)足這一實(shí)際的技術(shù)標準要求。汽車(chē)系統設計人員在構建應用的功能安全性時(shí)必須考慮到從輸入傳感器到數字處理和傳動(dòng)裝置等整個(gè)信號鏈的要求。

　　圖 1. 總體系統的功能安全性依靠設備響應于輸入進(jìn)行正常工作。

　　IEC 61508 將“危險”與“風(fēng)險分析”作為系統設計的一部分，并將電子控制單元 (Electronic Control Unit) 的“功能安全性”定義為“整體安全性的一部分——取決于系統或設備能否對其輸入進(jìn)行正確響應”。系統的每項安全功能均根據“要求”(該功能需要完成什么工作)和“完整性”(圓滿(mǎn)執行該功能的可能性)進(jìn)行評估。此外，該標準還進(jìn)一步將高強度工作模式或持續工作模式下安全功能發(fā)生危險故障的概率分為四種不同的“安全完整性等級”(SIL)。每種等級涵蓋一定范圍的可接受故障率，也就是“平均故障間隔時(shí)間”(MTTF)，而 SIL4 是其中最嚴格的標準。SIL 評級適用于包括汽車(chē)業(yè)在內的許多行業(yè)，每種 SIL 分級的定義均適用于各自行業(yè)領(lǐng)域。安全完整性等級中的 SIL2 和 SIL3 是非道路應用中最常見(jiàn)的安全級別。

　　根據安全功能和重要性的不同，汽車(chē)系統可遵從IEC 61508標準下的SIL2或SIL3規定。自檢測系統的可靠性要求多級統計獲得的“安全故障系數” (SFF) 達到 99%，可靠性參數的具體計算方式為檢測到的危險故障(包括非危險故障)與所有故障之比。“診斷覆蓋率” (DC) 是指檢測到的危險故障相對于所有危險故障之比。此外，對于安全關(guān)鍵型汽車(chē)系統來(lái)說(shuō)，DC 應達到 99%。

　　能否通過(guò)汽車(chē)系統的 SIL3 認證，通常取決于啟動(dòng)并控制機械系統的電子控制單元 (ECU) 的性能。諸如德國萊茵集團 (TÜV Rheinland) 等獨立安全評估機構負責汽車(chē)系統的 ECU 評估和 SIL3 認證工作。TÜV 是一家國際化的服務(wù)集團，可頒發(fā)產(chǎn)品、系統及服務(wù)的安全和質(zhì)量證書(shū)。

　　任務(wù)關(guān)鍵型集成機械系統(如制動(dòng))還不能完全被電子產(chǎn)品取代。但任何 SIL3 認證要求的高級機械或電子安全性均需通過(guò)利用冗余系統來(lái)實(shí)現，電子系統有助于廣泛實(shí)施冗余。

　　電子子系統的 SIL3 認證

　　用電子系統取代液壓或機械系統，必然使OEM、汽車(chē)制造商及消費者各方充分受益。電子系統可消除內燃機的皮帶傳動(dòng)負擔，從而有助于降低成本、重量與燃油消耗。

　　汽車(chē)制造商可用機械解決方案取代液壓制動(dòng)助力器，并最終完全取消液壓傳動(dòng)系統，實(shí)現完全電控的線(xiàn)控制動(dòng)系統。不過(guò)，這一革命性轉變需要實(shí)施冗余系統或后備系統(類(lèi)似于航空電子系統)，才能避免在危險時(shí)刻車(chē)輛可能完全喪失制動(dòng)能力的風(fēng)險。期間的過(guò)度性步驟包括“混合制動(dòng)”模式，也就是只在車(chē)輛的一個(gè)而不是兩個(gè)車(chē)軸上安裝液壓后備系統即可。

　　圖 2. 盡管完全電控的線(xiàn)控制動(dòng)系統仍處于開(kāi)發(fā)階段，但用電氣解決方案取代液壓助力器有助于大幅降低燃油消耗、成本及噪聲。

　　微處理器 (MCU) 是 ECU 中的關(guān)鍵組件。使用傳統的汽車(chē) MCU 不可能達到 SIL3 認證要求。需要采用全新的芯片架構，以確保處理結果、總線(xiàn)流量的數據完整性以及存儲器中數據的安全性與可靠性，同時(shí)滿(mǎn)足嚴格的響應時(shí)間要求。