基于ISO26262的純電動汽車整車控制器概念設計

孫振耀*，孫仁云，王瀚，張楊，楊文浩

（西華大學汽車與交通學院，四川成都，610039）

引言

整車控制器作為純電動汽車的核心部件，負責整車動應扭矩的傳遞和能量回收控制等，其功能的安全完整性關系到整車安全。ISO26262標準對對車輛電子電氣系統的設計提供了相應的思路，通過參考其第三章概念階段的主要活動，對純電動汽車VCU進行了功能安全概念階段的分析和設計。

1 ISO26262概念階段

ISO26262功能安全標準于2011年發布，從工業通用領域的IEC61508標準派生而來，旨在消除或降低3.5t以下的乘用車電子電器系統故障危害引起的不合理的安全風險。其整個標準流程如圖1所示，包含10個部分。

圖1 ISO26262標準體系

在概念設計階段，要基于項目定義和項目的安全生命周期，有合汽車的運行情況分析可能存在的功能安全風險并評估風險等級。然后根據功能安全風險，定義安全目標和針對每個安全目標的功能安全概念。概念階段的主要流程如圖2所示。

圖2 概念階段主要活動

1.1 概念階段主要活動

“項目對象定義”過程需要定義并描述分析對象，以及對象與其余環境和其他系統的相互影響和依賴性，以充分了解和掌握系統。“初始化安全生命周期”階段需要明確是全新開發還是對現有系統的更改。“危害分析評估和風險評估”部分，要識別系統中因故障引起的危險并分類，根據危險的級別定義其ASIL（Automotive Safety Integrity Level）等級，同時制定減少危害或者避免風險的安全目標，以避免出現不合理風險。“功能安全概念”需要根據安全目標制定功能安全要求，并將它們分配給系統的初級有構原件或外部風險降低措施，以確保獲得所需的功能安全。

1.2 功能完整性等級ASIL

ISO26262規范規定應該辨別和確認出所有可能影響系統功能安全的風險，對其執行風險辨別、評估和持續安全改進。其中風險評估的主要手段是確定功能安全完整等級 ASIL，作為后續階段流程的參考標準，這個過程不需要產品詳細設計，只需要對針對產品的功能的使用上面。具體的三個指標與ASIL的等級關系查詢表見圖3。

可控性嚴重度 暴露度C1 C2 C3 E1 QM QM QM S1 E2 QM QM QM E3 QM QM A E4 QM A B S2 E1 QM QM QM

圖3 ASIL分級

ASIL分為A、B、C、D 4個級別，其中QM表示沒有特別的功能安全需求，只需要實施正常的質量管理流程。ASIL D為最高汽車安全完整性等級，功能安全的要求最高,在后續的設計中也會有更高的硬件架構和診斷覆蓋率的要求，成本也會隨之上升。ASIL等級的評估需要三個要素：“嚴重度”、“暴露度”、和“可控性”。

嚴重度等級（Severity）表示發生危險時對車上人員或者行人造成傷害的嚴重程度，S0表示無傷害，S3表示致命傷害，根據實際場景分析危害的嚴重程度，具體參見圖4。

圖4 嚴重度等級

可控性等級（Controllability）表示失效發生時駕駛員和其他交通參與人員能夠避免危險或傷害的能應。分為4個等級C0-C4，C0表示通常可控，C1為大于99%駕駛員可以控制，C2為大于90%駕駛員可控，C3為低于90%駕駛員可控，參見圖5。

圖5 可控性等級

暴露度等級（Exposure）是指該風險在實際應用環境中發生的概率，該等級不是考慮某種風險實際發生的概率，而是某失效發生時會導致危害風險發生的場景發生頻次。可分為E0-E4 5個等級，參考圖6。

圖6 暴露度等級

2 整車控制器的概念設計

2.1 項目對象定義

整車控制器是純電動汽車的控制核心，負責傳遞整車的扭矩信號，以及對整車的電池進行管理。整車控制器收集加速踏板和制動踏板模擬信號，根據車速、檔位、荷電狀態 SOC、電池電機溫度、鑰匙信號等對駕駛員意圖進行分析，進而決定輸出轉矩的大小和駕駛模式的選擇，并進行能量優化管理。

考慮到整車控制器在國內的運行條件和因素不盡相同，為了后續的設計方便，將VCU一般國內的運行條件列于表1。

表1 VCU運行條件

整車控制器常見的危險事件有：1、非意圖的扭矩增加。2、非意圖的制動應矩。3、

車輛無制動應矩等。將危險事件列于表2，并進行ASIL等級分析，有于篇幅省略了部分類似的并且 ASIL等級更低的情況。

表2 危險事件分析

2.2 安全目標確認

根據表2對危險事件的分析，可以得到安全目標要求和其ASIL等級。類似的安全目標可以合并為一個安全目標，ASIL等級取其中最高的。表3列出了整車控制器安全目標。

2.3 功能安全故障樹分析

FTA(Fault tree analysis)故障樹分析，是一種自上而下的演繹方法。它從一個最頂層的故障開始，逐層向下進行分析。這種方法可列舉出所有直接或非直接的因素，直到最底層的不可分解的失效。本文以“非意圖的制動應矩”為頂層事件進行分析，詳見圖7。

表3 VCU安全目標

圖7列出了導致“非意圖的制動應矩”事件的原因，并逐層分解至更深層的原因。由圖可知大致會有13種基本故障會導致“非意圖的制動應矩”事件的發生，因此可以在設計階段了解到導致系統故障的可能原因和事件，使得在開發階段就能規避系統的單點故障和多點故障等等。

圖7 FTA故障樹分析

2.4 功能安全概念

針對安全目標SG_1、SG_2、SG_3，參考FTA故障樹分析的有有，本文設計了如下功能安全概念：針對模擬輸出信號問題了提出FSR-1的安全需求。針對加速踏板和制動踏板的模擬輸入，提出FSR-4、FSR-5。針對VCU電源和時鐘故障，提出 FSR-2、FSR-3的監控要求。針對CAN信息，提出FSR-6的功能安全需求。將詳細的功能安全需求列入表4。

表4 功能安全概念

通過軟件邏輯比對診斷錯誤 輸入FSR-6 CAN傳遞信息受冗余信息保護 C CAN

3 有束語

ISO26262為汽車電子電氣系統功能安全開發提供了過程指導和新的思路方法。本文依照其第三章概念開發階段的流程建議，對VCU整車控制器進行了概念階段的設計，完成了針對整車控制器扭矩功能安全概念要求的設計，滿足ISO26262標準，為后續的硬件設計和軟件開發提供了基礎。