飛思卡爾ISO26262 ASIL-D電子助力轉向演示系統設計
ASIL等級:ASIL-D
· 安全目標2:防止電機產(chǎn)生死鎖扭矩
確保電機不能鎖死,以至司機不能正常轉向。電機死鎖可能由電氣失效或機械失效導致。尤其在高速時(shí),這種意外的扭矩會(huì )給司機,乘客和行人帶來(lái)危險。這種危險可能源于電控單元ECU的故障,或電機及轉向系統的機械故障。
ASIL等級:ASIL-D
· 安全目標3:防止系統從“安全狀態(tài)”錯誤退出,電機產(chǎn)生突發(fā)扭矩
這種工況是指當EPS系統由于故障,如電機異常等原因,已經(jīng)進(jìn)入了所謂的“安全狀態(tài)”。但是由于電氣故障,EPS系統錯誤地從“安全狀態(tài)”退出,在沒(méi)有任何告警的情況下,電機重新對轉向系統施加意外的扭矩,從而使司機不能按意圖控制轉向。
ASIL等級:ASIL-A
· 安全目標4:防止電機不提供助力
確保系統運行正常,助力施加正確。助力缺失不會(huì )導致車(chē)輛失控,因為有機械轉向系統存在。一種合理的假設是:當這種故障被檢測到后,顯示告警信息;司機察覺(jué)后,啟用“跛行回家”的行車(chē)模式,,比如降低車(chē)速等。
ASIL等級:QM
經(jīng)過(guò)危險分析和風(fēng)險評估后,以上四個(gè)安全目標的最高ASIL等級是ASIL-D。所以EPS系統的最高ASIL 等級是ASIL-D。
2.3 功能安全概念
為了實(shí)現系統的安全目標,對系統架構中的各個(gè)要素(Element),如傳感器、控制單元和執行單元(電機),都有功能安全需求。功能安全需求主要考慮各要素的ASIL等級、工作模式、安全時(shí)間、安全狀態(tài)、功能冗余即容錯性能和各要素的初步架構等。它不涉及具體的硬件和軟件實(shí)現細節。在EPS系統中,采用了如圖2的初步系統架構,可能的功能安全需求示例如下:
· 整個(gè)EPS系統要求達到ASIL-D的要求。(系統)
· 安全狀態(tài)的定義必須確保當系統出現致命故障時(shí),電機的行為不會(huì )對轉向系統不利影響。(系統)
· 系統必須在安全時(shí)間內進(jìn)入安全狀態(tài)。(控制單元)
· 控制單元必須包括電機控制通道和電機監控通道。(控制單元)
· 控制通道和監控通道都能獲得集成于車(chē)輛接口的傳感器信號。(傳感器和控制單元)
· 控制通道和監控通道都能獲得集成于執行單元的傳感器信號。(傳感器和控制單元)
· 控制通道和監控通道所用的傳感器信號必須獨立。(傳感器)
· 控制通道根據扭矩傳感器輸入和其它來(lái)自車(chē)身網(wǎng)絡(luò )的相關(guān)輸入計算助力需求。(控制單元)
· 控制通道控制執行單元,產(chǎn)生所需助力。(控制單元)
· 監控通道根據獨立的扭矩傳感器輸入和其它來(lái)自車(chē)身網(wǎng)絡(luò )的相關(guān)輸入,校驗控制通道是否正確計算了助力需求。(控制單元)
· 監控通道根據獨立的傳感器輸入,校驗控制通道是否正確控制了執行單元。(控制單元)
· 監控通道能夠獨立的使系統進(jìn)入安全狀態(tài)。(控制單元)
· 系統電源監控的實(shí)現必須獨立于電機控制通道和電機監控通道。(控制單元)
· 系統時(shí)鐘監控的實(shí)現必須獨立于電機控制通道和電機監控通道。(控制單元)
· 其它需求可參考圖2的EPS功能安全概念。
圖2:EPS功能安全概念
產(chǎn)品開(kāi)發(fā)階段包括系統設計、硬件設計和軟件設計、安全確認、功能安全評估和生產(chǎn)準備。下文主要介紹控制單元的設計。
評論