基于ISO 26262的純電動公交車VCU安全分析與設計

張佳驥，李 強，王彥波，吳學強

（濰柴動力股份有限公司新科技研究院，山東 濰坊 261000）

隨著汽車電氣化、智能化趨勢的發展，現代汽車上的電子設備、控制器等電子電氣系統數量越來越多，功能也越來越復雜，因電子電氣系統失效而導致的安全風險問題日益嚴峻。ISO 26262功能安全標準是由ISO國際標準化組織聯合IEC國際電工協會共同制定的，目標是最大程度上減少安全風險，提高車輛電子電氣系統的安全性。

整車控制器 （VCU）是整車控制的核心，通過CAN總線與電池管理系統 （BMS），電機控制器 （MCU）等控制器進行信息交互，來進行多系統協調控制。因此VCU的功能與整車的功能安全十分相關。為提高整車的功能安全，本文基于ISO 26262標準，對純電動公交車VCU進行安全分析與設計。

1 道路車輛功能安全標準ISO 26262

ISO 26262功能安全標準于2011年發布第一版，2018年發布第二版，是針對汽車電子電氣系統，為減少安全風險，提高車輛安全性而制定。ISO 26262提供了車輛電子電氣系統的功能安全開發流程，并規定了汽車電子電氣系統的安全生命周期：概念階段、產品開發階段-系統層、產品開發階段-硬件層、產品開發階段-軟件層、生產發布之后。安全生命周期如圖1所示。

2 概念階段

2.1 相關項定義

相關項定義要給出詳細的項目定義，明確相關項的要求，從而對相關項有足夠的理解，能夠指導后續工作。內容包括相關項的功能性需求、非功能性需求、法規要求等。

純電動汽車VCU作為整車控制的核心，通過CAN總線與電池管理系統 （BMS）、電機控制器 （MCU）進行信息交互。通過采集加速踏板油門信號、制動踏板制動信號、換擋器擋位信號，進行相應的車輛驅動、再生制動、擋位控制、坡道輔助等功能。系統結構如圖2所示。

圖1 安全生命周期

圖2 純電動公交車動力系統結構圖

城市公交車的運行環境為城市市區與城市郊區道路。需滿足的法律法規有JT／T 1094-2016營運客車安全技術條件、GT／T 18384電動汽車 安全要求、GT／T 18488電動汽車用電機及其控制器、ISO 26262道路車輛 功能安全等。具有的減少安全風險的外部措施為安全帶、ABS防抱死系統。

2.2 危害分析與風險評估 （HARA）

危害分析與風險評估 （HARA）給出一種功能失效的危害及風險的評估方法，需要對系統的風險進行評估分析，識別及分類，最終確定相關項的汽車安全完整性等級。

HARA要求對于每個危害事件從嚴重度 （S）、暴露度（E）、可控度 （C）3個維度進行分析。嚴重度S是指危害事件對駕駛員、乘客或行人造成的人身傷害的程度，分為S0、S1、S2、S3四個等級；暴露度E是指危害事件在運行場景中的暴露概率，分為E0、E1、E2、E3、E4五個等級；可控度C是指危害事件發生時駕駛員、乘客或行人能夠充分控制危害事件以避免傷害的可能性，分為C0、C1、C2、C3四個等級。然后依據風險矩陣確定汽車安全完整性等級 （ASIL），如表1所示。ASIL等級越高，表示危害事件的風險越高。

HARA要基于車輛運行場景進行分析，城市公交車可能的行駛場景有：在十字路口停車、在公交車站停車、車輛在坡道上起步加速、低速通過擁堵路段、借對方車道超車、城市郊區中高速行駛等。相應功能失效產生危害最嚴重的場景，即ASIL等級最高的場景，該場景下的ASIL等級為該危害事件的ASIL等級。

表1 風險矩陣

受篇幅限制，本文僅對車輛驅動及再生制動功能進行了HARA分析，如表2所示，分析得到了的4個危害事件，分別分析每個危害事件的嚴重度S、暴露度E、可控度C，得出每個危害事件的ASIL等級。其中危害事件“沒有駕駛員需求時產生扭矩”危害最嚴重的場景為城市郊區中高速行駛，ASIL等級為C；危害事件“駕駛員需求扭矩時沒有扭矩”危害最嚴重的場景為借對方車道超車，ASIL等級為A；危害事件“駕駛員制動時無再生制動扭矩”危害最嚴重的場景為城市郊區中高速行駛，ASIL等級為C；危害事件“駕駛員沒有制動需求時，產生再生制動扭矩”危害最嚴重的場景為在城市郊區中高速行駛，ASIL等級為B。

2.3 安全目標

安全目標是相關項最高層面的安全要求，應為每一個危害事件確定一個安全目標，并繼承危害事件的ASIL等級。安全目標表述為功能目的，而不表述為技術解決方案。通過以上危害分析與風險評估，導出危害事件相應的安全目標，表3給出車輛驅動和再生制動功能的安全目標。

表2 HARA分析

表3 安全目標

2.4 功能安全需求 （FSR）

功能安全需求 （FSR）由安全目標導出，以避免每個危害事件的不合理風險。功能安全需求應包含運行模式、故障容錯時間間隔 （FTTI）、安全狀態、功能冗余 （故障容錯）、報警和降級、駕駛員的控制方法等內容。根據2.3中的安全目標導出功能安全需求，表4給出了功能安全需求定義，對于每個安全目標給出了2～4個功能安全需求。

表4 功能安全需求

3 系統設計

3.1 安全分析與技術安全要求

按照ISO 26262的要求，需要在系統設計時進行安全分析，常用的安全分析方法有：故障樹分析 （FTA）、失效模式與影響分析 （FMEA）等。本文采用故障樹FTA方法進行安全分析。分別以車輛非預期的加速、再生制動效能降低作為頂事件，將其向下依次分解到傳感器、控制器和執行器中，再繼續向下進行分解至最底層，如圖3、圖4所示。

圖3 車輛非預期加速FTA分析

圖4 再生制動效能降低FTA分析

技術安全需求 （TSR）是實現功能安全需求的必要的技術要求，目的是將相關項層面的功能安全需求細化到系統層面的技術安全需求。技術安全需求應包含系統故障的探測、指示和控制措施；使系統實現或維持在安全狀態的措施；對于功能安全需求中的警告和降級細化等。結合FTA安全分析結果和功能安全需求導出的技術安全需求如表5所示。

表5 技術安全需求

3.2 系統架構設計

根據技術安全需求，進行系統架構設計。對VCU系統架構設計采用了E-GAS架構的設計理念，即如圖4給出的3層安全監控設計：第1層為基本功能層，實現驅動、再生制動、故障診斷等基本功能。第2層為功能監控層，監控第1層與安全相關的功能是否正常運行，通過冗余的信號處理監控信號處理是否正確，并采用扭矩監控模塊，監控第1層的扭矩輸出是否正常。第3層為處理器監控層，獨立于功能控制器（采用ASIC或微處理器），通過問、答的形式監控功能處理器的程序是否正常運行；當檢測到故障后，獨立于功能處理器觸發相應的故障響應。

圖5 VCU系統架構設計

4 結束語

本文介紹了基于ISO 26262標準的功能安全開發流程，并對純電動公交車VCU進行了安全分析和設計。通過HARA分析確定了純電動公交車VCU的安全目標以及ASIL等級，根據安全目標導出了功能安全需求和技術安全需求，并完成了VCU系統架構設計。本文論述的方法對于純電動汽車VCU的功能安全開發具有一定的可行性及實用價值，為純電動汽車VCU功能安全開發提供一種思路。