基于ISO 26262標準的車用驅(qū)動電機系統(tǒng)設(shè)計研究

莊興明，張琴

(北京鋒銳新源電驅(qū)動科技有限公司,北京 102206)

基于ISO 26262標準的車用驅(qū)動電機系統(tǒng)設(shè)計研究

莊興明，張琴

(北京鋒銳新源電驅(qū)動科技有限公司,北京 102206)

針對道路車輛功能安全標準 ISO 26262對汽車零部件設(shè)計開發(fā)的要求，根據(jù)驅(qū)動電機系統(tǒng)應(yīng)用在電動汽車上的運行特點，對可能的危險事件進行評估和分析，確定了車用驅(qū)動電機系統(tǒng)的功能安全目標和功能安全需求。在概念設(shè)計階段，從系統(tǒng)設(shè)計層面開展功能安全設(shè)計，提出了一系列的硬件設(shè)計、軟件設(shè)計等相關(guān)措施，來提高車用驅(qū)動電機系統(tǒng)的安全性和可靠性。

驅(qū)動電機系統(tǒng)；功能安全；ISO 26262標準

0 引言

隨著電氣電子設(shè)備在汽車領(lǐng)域尤其是控制系統(tǒng)中的大量使用[1]，一些新的安全問題不斷出現(xiàn)，如豐田汽車的制動故障問題、捷豹汽車的巡航系統(tǒng)軟件缺陷問題等[2-3]。這類危險事故的頻發(fā)，使得各大汽車公司都越來越關(guān)注功能安全，也促使國際標準化組織(ISO)研究并制定了專門針對汽車電子電氣系統(tǒng)的功能安全國際標準 ISO 26262[4]。該標準涉及汽車電子電氣系統(tǒng)的整個汽車安全生命周期(從概念設(shè)計、產(chǎn)品開發(fā)到生產(chǎn)運行階段)及其管理過程，對汽車企業(yè)及其零部件企業(yè)提出了很高的要求。目前，國內(nèi)已有較多的整車廠商在針對ISO 26262標準開展功能安全設(shè)計研究[5-8]，但是針對車用驅(qū)動電機系統(tǒng)的功能安全設(shè)計研究還很少[9]。文獻[9]對永磁同步電機的故障進行了詳細分類，并總結(jié)了各種故障帶來的影響，但缺少對整個電機系統(tǒng)尤其是控制系統(tǒng)的研究。作者針對功能安全標準ISO 26262的要求，以車用驅(qū)動電機及其控制系統(tǒng)為研究對象，開展其功能安全概念階段設(shè)計研究。

1 功能安全標準ISO 26262

ISO 26262涵蓋功能安全相關(guān)開發(fā)的各個過程(包括規(guī)劃、設(shè)計、驗證和確認等)，并根據(jù)汽車行業(yè)的特點定義了汽車安全完整性等級(ASIL)，分為A、B、C、D 4個等級，安全等級依次升高。系統(tǒng)的安全完整性等級越高，標準對系統(tǒng)開發(fā)時的設(shè)計要求就越高，核查和確認方法也越嚴格。在進行系統(tǒng)開發(fā)時，應(yīng)當先確定系統(tǒng)的ASIL等級，否則系統(tǒng)設(shè)計可能會陷入過度設(shè)計或過弱設(shè)計。ASIL等級由3個因素來確定：傷害嚴重程度S、發(fā)生概率E和可控性C。傷害嚴重程度是指危險對駕駛員或其他交通參與人員造成傷害的嚴重程度，分為無傷害、輕度傷害、重度傷害但無生命危險、重度傷害并可能危及生命，分別對應(yīng)0～3等4個等級。發(fā)生概率是指導致危險事件發(fā)生所需車輛行駛工況發(fā)生的概率，需考慮行駛速度、路況、天氣等因素，分為不可能發(fā)生、極低概率發(fā)生、低概率發(fā)生、中等概率發(fā)生、高概率發(fā)生，分別對應(yīng)0～4等5個等級。可控性是指危險涉及的駕駛員和其他交通參與人員及時采取控制行動避免特定傷害的能力，分為完全能夠控制、容易控制、通常可以控制和難以控制，分別對應(yīng)0～3 等4個等級。ASIL分級規(guī)則如表1所示。表1中QM表示與安全無關(guān)，S0、E0 或 C0 事件對駕駛員、行人和車輛沒有危害，因而不評定ASIL等級。

表1 ASIL分級表

2 車用驅(qū)動電機系統(tǒng)的功能安全需求

2.1 車用驅(qū)動電機系統(tǒng)

車用驅(qū)動電機系統(tǒng)是電動汽車的核心部件之一，可以將動力電池的電能轉(zhuǎn)換為機械能從而為汽車提供驅(qū)動力，也可以在制動時將機械能回收并轉(zhuǎn)化為電能而存儲于動力電池。如圖1所示，其中的雙點劃線框內(nèi)即為典型的采用交流電機的車用驅(qū)動電機系統(tǒng)。一般除了位置傳感器集成在電機中，其他傳感器和數(shù)字控制系統(tǒng)都集成在逆變器中組成電機控制器，因此一般的車用驅(qū)動電機系統(tǒng)都由電機和電機控制器兩個部件組成。

圖1 典型的車用驅(qū)動電機系統(tǒng)原理圖

驅(qū)動電機根據(jù)其工作原理不同有多個種類，其中永磁同步電機因具有高功率密度、高效率等優(yōu)點，已成為車用驅(qū)動電機的主流，文中也主要針對永磁同步電機系統(tǒng)進行研究。永磁同步電機由很多個零件組成，其中永磁體、軸承、旋轉(zhuǎn)變壓器、定子繞組為關(guān)鍵零件，這些關(guān)鍵零件的故障可能會引起電機轉(zhuǎn)矩輸出異常，進而影響整車安全行駛。電機控制器也由很多個零件組成，其中功率模塊、支撐電容、傳感器、驅(qū)動電路、控制電路等為關(guān)鍵零件，也是車用驅(qū)動電機系統(tǒng)功能安全設(shè)計中的研究重點。

2.2 車用驅(qū)動電機系統(tǒng)的功能安全目標和功能安全需求

車用驅(qū)動電機系統(tǒng)的主要功能是根據(jù)駕駛員的指令，為整車提供驅(qū)動力。對車用驅(qū)動電機系統(tǒng)來說，影響整車安全駕駛的危險事件是“車用驅(qū)動電機系統(tǒng)的實際輸出轉(zhuǎn)矩大幅偏離轉(zhuǎn)矩指令(即駕駛員的需求動力)”。對該危險事件進行評估和分析，可以確定其 ASIL等級。為了考慮驅(qū)動電機系統(tǒng)故障影響最嚴重的情況，以應(yīng)用于純電動汽車中的車用驅(qū)動電機系統(tǒng)為例進行分析(文中研究對象的應(yīng)用背景也定為純電動汽車)。

如果車用驅(qū)動電機系統(tǒng)的實際輸出轉(zhuǎn)矩大幅偏離轉(zhuǎn)矩指令，可能造成車輛失控，比如車輛在正常跟車行駛時突然違背駕駛員意愿而急加速造成追尾事故，這種危險事件對駕駛員和行人會造成傷害；或者車輛在人流量大的區(qū)域緩慢行駛時突然急加速而造成撞人事故。實際輸出的轉(zhuǎn)矩與轉(zhuǎn)矩指令的偏差越大，可能造成的傷害也越大，傷害嚴重程度(S值)可達到最高值3。車輛需要輸出動力的狀態(tài)非常常見，因此危險事件發(fā)生所需車輛行駛工況發(fā)生的概率(E值)取最高值4。發(fā)生這種危險時較難操控，但一般駕駛員只要不過于慌亂，可以通過猛踩制動等方式使車輛停下，因此可控性設(shè)為C2。根據(jù)表1，該危險事件的ASIL等級可達到S3+E4+C2=ASIL C。

根據(jù)上述針對該危險事件的評估與分析，可以確定研究的車用驅(qū)動電機系統(tǒng)的功能安全目標是：防止車用驅(qū)動電機系統(tǒng)發(fā)生“實際輸出轉(zhuǎn)矩大幅偏離轉(zhuǎn)矩指令”故障，汽車安全完整性等級達到ASIL C級。針對功能安全目標，對車用驅(qū)動電機系統(tǒng)提出功能安全需求如下：

(1)車用驅(qū)動電機系統(tǒng)應(yīng)當采取措施盡量避免發(fā)生“實際輸出轉(zhuǎn)矩大幅偏離轉(zhuǎn)矩指令”；

(2)車用驅(qū)動電機系統(tǒng)應(yīng)當能夠及時檢測到“實際輸出轉(zhuǎn)矩大幅偏離轉(zhuǎn)矩指令”故障的發(fā)生；

(3)“實際輸出轉(zhuǎn)矩大幅偏離轉(zhuǎn)矩指令”故障發(fā)生后，車用驅(qū)動電機系統(tǒng)應(yīng)當盡快切換到安全狀態(tài)。

3 車用驅(qū)動電機系統(tǒng)的功能安全設(shè)計

在概念階段，針對車用驅(qū)動電機系統(tǒng)的功能安全需求，在系統(tǒng)設(shè)計層面可以分別從3個方面來開展功能安全設(shè)計。

3.1 故障的避免措施

圖2中所示的各個模塊都有可能出現(xiàn)故障，從而導致發(fā)生“實際輸出轉(zhuǎn)矩大幅偏離轉(zhuǎn)矩指令”的故障。這些模塊可能出現(xiàn)的嚴重故障大都是單點故障，為了減小系統(tǒng)故障的產(chǎn)生概率，各個模塊可以采取冗余措施將單點故障轉(zhuǎn)化為多點故障，具體如下：

圖2 從接收轉(zhuǎn)矩指令到輸出轉(zhuǎn)矩的過程的原理框圖

(2)電壓采樣。如果電壓采樣發(fā)生故障也可能使得調(diào)節(jié)出的電流突變而導致輸出轉(zhuǎn)矩急劇變化，尤其是在高速弱磁運行時。為了提高電壓采樣的可靠性，可以同時對3個驅(qū)動橋臂上的母線電壓進行采樣，采用分壓電路的硬件成本增加很少，但可以顯著提高電壓采樣的可靠性。

(3)電流采樣。一般情況下，為了節(jié)省成本，電機控制器只對兩相電流進行采樣，當某一相的采樣電流值因傳感器或處理電路故障而發(fā)生錯誤時，肯定會導致電機輸出的轉(zhuǎn)矩大幅偏離轉(zhuǎn)矩指令。因此，更為可靠的方式是同時對三相電流進行采樣，不僅可以對電流不平衡問題進行監(jiān)測，而且當一相電流采樣發(fā)生故障時，另兩相電流采樣仍然能夠維持電機系統(tǒng)運行。

(4)旋轉(zhuǎn)變壓器。當旋轉(zhuǎn)變壓器故障時解碼得到的轉(zhuǎn)子位置角將會紊亂，進而導致矢量控制后輸出的轉(zhuǎn)矩紊亂從而大幅偏離指令值。可以采取兩種冗余措施：一種是加入低成本低精度的霍爾傳感器，當旋轉(zhuǎn)變壓器產(chǎn)生故障時可以基于低精度的霍爾傳感器實現(xiàn)正弦波控制，從而維持驅(qū)動電機系統(tǒng)的正常工作，雖然其控制精度會有所降低；另一種是采用無位置傳感器方法，基于電流和電壓值估計轉(zhuǎn)矩位置角，當旋轉(zhuǎn)變壓器出現(xiàn)故障時，可以使得車輛能在無位置傳感器模式下跛行一小段時間，從而能夠靠邊停車。

(5)解碼芯片。電機控制器中一般采用解碼芯片根據(jù)旋轉(zhuǎn)變壓器輸出的正余弦電壓信號來解析得到位置角。為了防止解碼芯片故障帶來的影響，可以采用軟件解碼作為冗余措施。隨著主控芯片的升級，其AD采樣頻率和運算能力能夠支持軟件解碼運算，盡管其輸出位置角精度稍差于解碼芯片的位置角精度，仍然可以在解碼芯片故障后切換使用軟件解碼得到的位置角，維持電機系統(tǒng)繼續(xù)運行。

(6)軟件計算。軟件計算包括采樣計算、轉(zhuǎn)矩-電流查表、矢量控制、SVPWM等計算環(huán)節(jié)，如果主控芯片出現(xiàn)故障，比如由外部因素(如輻射或電磁干擾)導致的內(nèi)核或內(nèi)存的大轉(zhuǎn)變等，導致軟件運算錯誤，則也可能導致系統(tǒng)輸出的轉(zhuǎn)矩異常。為了避免這種情形，可以采用雙核的汽車級芯片，如飛思卡爾的MPC564xL系列、德州儀器(TI)的TMS570等，以雙核鎖步模式運行主控芯片的關(guān)鍵模塊，包括核、總線、中斷控制器、看門狗、SRAM 控制器、Flash 控制器等，通過對關(guān)鍵部件的冗余，使兩個核在相同周期執(zhí)行相同的指令，然后在每個時鐘周期對比二者的數(shù)據(jù)、地址和控制信號，以檢測運行偏差，將檢測到的錯誤報告給錯誤收集和應(yīng)對模塊，從而進行安全狀態(tài)控制[11]。

(7)驅(qū)動電路、功率模塊和電機繞組。驅(qū)動電路、功率模塊或電機繞組損壞時也會導致嚴重的轉(zhuǎn)矩輸出異常，為了提高系統(tǒng)的可靠性，可以采用多相電機系統(tǒng)方案，當某一相上的驅(qū)動電路、功率模塊或電機繞組損壞時，系統(tǒng)仍然能維持工作，雖然控制性能有所降低。然而，采用多相電機系統(tǒng)會較大程度地提高系統(tǒng)的成本。

采用上述的信息冗余、硬件冗余和軟件冗余措施，可以提高系統(tǒng)的可靠性和安全性。需要注意的是，在采取冗余措施的同時還要同時考慮硬件的失效率。根據(jù)ISO 26262的要求，對ASIL C的安全目標相關(guān)硬件指標要求為：單點故障指標大于97%；潛伏故障指標大于80%；硬件隨機失效率小于10-7/h。雖然通過采用硬件冗余措施可以減少單點故障，提高單點故障指標，但如果硬件的失效率較高，則仍然無法達到ASIL C的要求。

3.2 故障檢測

即使采取了上節(jié)中所述的各種冗余措施，也無法完全避免故障的發(fā)生。如果能夠?qū)收霞皶r進行檢測并進行合理的處理，也能夠進一步保證系統(tǒng)的安全。對于“實際輸出轉(zhuǎn)矩大幅偏離轉(zhuǎn)矩指令”故障來說，可以通過轉(zhuǎn)矩監(jiān)控進行檢測：即實時估算實際轉(zhuǎn)矩并與轉(zhuǎn)矩指令對比，當誤差超過合理范圍則可以判定“實際輸出轉(zhuǎn)矩大幅偏離轉(zhuǎn)矩指令”故障。而合理的轉(zhuǎn)矩誤差范圍則需要考慮轉(zhuǎn)矩估計誤差和轉(zhuǎn)矩響應(yīng)時間。

除了轉(zhuǎn)矩監(jiān)控之外，第3.1節(jié)中提到的各個模塊也需要相應(yīng)的故障檢測措施：對于有冗余措施的模塊，需要對模塊故障進行檢測才能在故障發(fā)生后及時切換至冗余通道；對于未采用冗余措施的驅(qū)動電路，則可以對實際輸出的驅(qū)動電壓進行檢測并與軟件計算出的驅(qū)動電平進行比較，從而更早地檢測出異常。在新的一些主控芯片中已經(jīng)具有這種PWM信號的反饋檢測功能，可以直接進行利用。

3.3 故障處理

當系統(tǒng)檢測到“實際輸出轉(zhuǎn)矩大幅偏離轉(zhuǎn)矩指令”的故障不可避免地發(fā)生時，需要及時將系統(tǒng)切換至安全狀態(tài)。故障的容忍時間間隔一般在20 ms以內(nèi)[12]，在該時間間隔以內(nèi)將系統(tǒng)由故障狀態(tài)切換至安全狀態(tài)可以將風險降至最低。

至于所謂的安全狀態(tài)，并不是指完全安全的狀態(tài)，因為汽車行駛在道路上不能確保完全安全。如果車輛在行駛時檢測到系統(tǒng)零部件發(fā)生故障后能夠及時地切換到跛行模式，則也能盡可能降低事故發(fā)生的概率。對于車用驅(qū)動電機系統(tǒng)來說，也需要有“跛行模式”，比如在確認輸出轉(zhuǎn)矩已大幅偏離時能夠迅速過渡至平穩(wěn)輸出較小動力，保證駕駛員能夠在車輛有較小動力的情況下通過操作剎車和方向盤等來盡可能避免事故發(fā)生。

綜合第3.1節(jié)至第3.3節(jié)的闡述可知，在采用信息冗余、硬件冗余和軟件冗余等冗余措施減少單點故障的基礎(chǔ)上，通過增加完善的故障檢測功能和及時的故障處理措施可以顯著減少系統(tǒng)性失效，從而進一步提高系統(tǒng)的安全性和可靠性。文中闡述的功能安全設(shè)計主要在概念階段的系統(tǒng)設(shè)計層面，至于具體的硬件、軟件等設(shè)計，需要綜合考慮成本以及硬件失效率等，并按照嚴格的開發(fā)流程，來達到相應(yīng)ASIL C安全等級的要求。

4 結(jié)束語

(1)車用驅(qū)動電機系統(tǒng)的功能安全目標是防止車用驅(qū)動電機系統(tǒng)發(fā)生“實際輸出轉(zhuǎn)矩大幅偏離轉(zhuǎn)矩指令”故障，安全等級達到ASIL C級。

(2)通過采取故障避免措施、故障檢測和及時處理可以提高車用驅(qū)動電機系統(tǒng)的可靠性和安全性。

(3)文中的研究工作主要是在概念階段的系統(tǒng)設(shè)計層面，而系統(tǒng)能否達到功能安全要求，則需要在其整個安全生命周期按照ISO 26262標準要求進行開發(fā)和運行。

【1】EBERT C,BURTON S,AMSLER K,et al.Introducing Automotive E/E Safety Engineering:Challenges and Solutions[R].White Paper of Vector Consulting Services,2011.

【2】祁克光．嵌入式系統(tǒng)開發(fā)中ISO26262標準應(yīng)用研究[J]．汽車電器,2013(10):31-34． QI K G.Application Research on the Standard ISO 26262 in Development of Embedded System[J].Auto Electric Parts,2013(10):31-34．

【3】李娟，王宏大，祝慧，等．一種基于功能安全的汽車PEPS系統(tǒng)[J]．農(nóng)業(yè)裝備與車輛工程，2014，52(4)：57-59． LI J,WANG H D,ZHU H,et al.The Automotive PEPS System Based on Functional Safety[J].Agricultural Equipment & Vehicle Engineering,2014，52(4)：57-59．

【4】ISO/DIS 26262．Road Vehicles-Functional Safety[S]．Geneva IEC,2009．

【5】文凱，夏珩，裴鋒，等.基于ISO 26262的電動四驅(qū)混合動力系統(tǒng)功能安全概念設(shè)計[J]．機電工程技術(shù)，2012，41(12)：74-76． WEN K,XIA H,PEI F,et al.Electric 4 Wheel Drive Hybrid System Functional Safety Conception Design for ISO 26262[J].Mechanical & Electrical Engineering Technology,2012，41(12)：74-76．

【6】朱葉．基于ISO26262的動力電池系統(tǒng)高壓功能安全概念[J]．汽車零部件，2013(5)：97-100． ZHU Y.High Voltage Functional Safety Concept about Battery System Based on ISO26262 Perspective[J].Automobile Parts, 2013(5)：97-100．

【7】劉佳熙，于世濤，郭輝．符合ISO26262要求的汽車起停系統(tǒng)功能安全開發(fā)[J]．上海汽車，2014(4)：59-62．

【8】葛鵬，陳勇，羅大國，等．基于道路車輛功能安全標準ISO26262的7DCT電控系統(tǒng)設(shè)計[J]．汽車技術(shù)，2014(9)：21-23． GE P,CHEN Y,LUO D G,et al.Design of DCT Electrical Control System Based on Road Vehicle Functional Safety Standard ISO 26262[J].Automobile Technology,2014(9)：21-23．

【9】鄔肖鵬，劉飛，熊璐，等．ISO26262標準下永磁同步電機故障對整車安全性的影響分析[J]．汽車技術(shù)，2013(2)：13-18． WU X P,LIU F,XIONG L,et al.Analysis of Impact of PMSM Failure on the Safety of EV under ISO26262[J].Automobile Technology,2013(2)：13-18．

【10】楊福宇．CAN總線的功能安全問題[J]．單片機與嵌入式系統(tǒng)應(yīng)用，2013(2)：17-20． YANG F Y.Function Safety Issue in CAN Bus[J].Microcontrollers & Embedded Systems,2013(2)：17-20．

【11】MISHRA A，BAUMEISTER M．MCU實現(xiàn)汽車功能安全合規(guī)性[J]．電子產(chǎn)品世界，2013(3)：22-24． MISHRA A，BAUMEISTER M．Freescale Microcontrollers for Functional Safety Compliance[J].Electronic Engineering & Product World,2013(3)：22-24．

【12】KWON H,ITABASHI-CAMPBELL R,MCLAUGHLIN K.ISO26262 Application to Electric Steering Development with a Focus on Hazard Analysis[C]//Systems Conference(SysCon),IEEE International,2013.

Research on Design of the Motor Drive System in Electric Vehicle Based on ISO 26262

ZHUANG Xingming, ZHANG Qin

(Beijing First-rate New Energy Edrive Technology Co., Ltd.,Beijiang 102206,China)

Based on the requirements for the development of auto parts in road vehicle functional safety standard ISO 26262 and the operation characteristic of the motor drive system applied in electric vehicle, the possible risk events were assessed and analyzed, and then the aim and the requirements of the functional safety for the motor drive system were analyzed and determined. In order to improve safety and reliability of the motor drive system, system level design aiming at functional safety was carried out, and a series of strategies were provided.

Motor drive system; Functional safety; ISO26262 standard

2016-08-26

莊興明(1985—)，男，工學博士，主要從事驅(qū)動電機控制相關(guān)研究。E-mail:zhuangxm163@163.com。

10.19466/j.cnki.1674-1986.2016.12.004

U461.3

A

1674-1986(2016)12-018-04