基于ISO26262的重型商用車PCC系統功能安全設計*

王國暉，霍煒*，王玉海，李興坤，鄭旭光，臧政

基于ISO26262的重型商用車PCC系統功能安全設計*

王國暉1，霍煒1*，王玉海2，李興坤3，鄭旭光3，臧政1

（1.青島大學 機電工程學院，山東 青島 266071；2.吉林大學 青島汽車研究院，山東 青島 266071；3.中寰衛星導航通信有限公司青島分公司，山東 青島 266071）

預見性巡航控制（Predictive Cruise Control，PCC）系統為車輛縱向動力學高級輔助駕駛（Advanced Driver Assistance Systems，ADAS）系統，PCC以坡度信息為基礎，控制車輛通過坡道時提前速度變化，達到節油目的。文章基于ISO26262功能安全標準對PCC系統進行危險分析與安全評估（Hazard Analysis and Risk Assessment，HARA），提出ASIL（Automotive Safety Integration Level，汽車安全完整性等級）安全等級以及確定安全目標，對PCC不同信號進行功能安全設計。設計實車實驗驗證，該系統能合理地處理發動機轉速、扭矩及車輛車速、道路坡度等信息，保證了車輛在高速環境下能穩定運行，保護了駕駛員與車輛的安全。

預見性巡航控制；ADAS；ISO26262；功能安全；危險分析；安全評估

1 前言

隨著汽車智能化、網聯化程度的提高，無人自動駕駛與高級輔助駕駛成為國內外各大車企與高校的研究熱點，汽車行業正在向智能化駕駛方向轉型和發展[1-4]，車輛與智能設施之間可以通過發達的通信技術實現多種車輛信息的實時傳輸與共享[5]。實際應用過程中，由于傳感器等硬件條件限制、目前有限的智能無法代替人類思維以及發生事故責任主體確認等法律問題，無人駕駛汽車的普及還需要一定時間的積累。ADAS作為有人駕駛向無人駕駛過渡的重要技術手段，二十一世紀初在國外便得到發展，中國雖然在ADAS方面發展比較滯后，但在中國汽車智能網聯化快速發展的推動下，其相關安全法規也在日趨完善。

汽車電子電氣（Electronic electrical，E/E）系統復雜度及集成度的提高一定程度上造成安全事故發生率的提高，系統失效及隨機硬件失效帶來的系統風險和安全問題也越來被重視。國內外學者針對該問題進行了相關研究。浙江大學趙俊鵬[6]依據ISO26262標準根據加速踏板位置及發動機轉速冗余信號建立了扭矩計算模型，監控限制發動機扭矩；泛亞汽車尚世亮[7]對汽車電子穩定性控制系統進行故障注入測試，設計了菊花鏈式CAN總線架構故障注入電路并進行實車測試系統功能安全；Jung-Hee Suk[8]提出了一種用于汽車視覺系統的實時圖像拼接引擎的有效架構，采用雙核結構使用rock-step邏輯檢測狀態機中的故障，以滿足ISO26262標準；Frederico Ferlini[9]提出故障注入方式驗證安全機制的功能，加速評估診斷覆蓋能力的方法；Dafang Wang[10]根據ISO26262功能安全標準對新能源汽車電機控制系統進行了概念設計，完成電機控制系統的項目定義、危害分析和風險評估，確定了功能安全目標和功能安全要求；Shibahara, S.[11]研究了支持汽車安全完整性等級ASIL B的安全機構硬件內置自測（Built-in Self Test，BIST）和用于故障預測的監測器，引入了分段時間概念，縮短測試過程。

為保證PCC系統正確性與安全性，針對PCC進行的危險分析與功能安全設計顯得尤為重要。在PCC測試中，針對不同工況的功能安全測試一直是研究的重點和難點。針對這些重點和難點，本文進行硬件在環設計（Hardware-In-Loop ，HIL）及實車實驗，針對不同工況基于ISO26262對PCC系統進行全面系統的測試。這極大增加了PCC系統在不同工況尤其是惡劣環境下的可靠性，減低危險發生概率，保護司機及車輛安全。

2 基于ISO26262的PCC控制策略

2.1 PCC系統

預見性巡航控制系統利用預見性巡航控制器中集成的ADASIS地圖確定車輛當前位置，并提前預測前方道路坡度、曲率。PCC系統會利用ADASIS地圖提供的前方道路坡度信息，提前對前方道路進行路網重構，對車輛沖坡、下坡的行駛情況計算出合理的行駛方式（先勻速后加/減速、先加/減速后勻速、加速行駛、減速行駛等），提前確定最優車輛檔位及發動機扭矩。

2.2 ISO26262簡介

ISO26262建立在電子電氣及可編程器件功能安全基本標準IEC61508之上，專門為汽車行業定制，用于汽車行業中特定的電氣器件、電子設備、可編程電子器件等專門用于汽車領域的部件，旨在提高汽車電子電氣產品功能安全的國際標準[12]。2018年發布第二版，將3.5t以上的商用車及摩托車加入標準范圍。

2.3 危害分析與風險評估

危害分析與風險評估給出一種功能失效的危害及風險的評估方法，需要對系統的風險進行評估分析，識別及分類，最終確定相關項的汽車安全完整性等級。對PCC進行系統的危害分析和風險評估，其目的是對系統的危害因素進行識別和分類，制定相應的安全目標，并采取有效的預防對策[10]。依據ISO26262進行危害分析和風險評估的方法，同時考慮到PCC行駛的道路工況及環境因素，對其進行危險分析與風險評估。安全目標是系統頂層的安全要求，其描述的是系統功能的目的，而非具體的技術解決方案。ASIL等級為QM的事件無需制定安全目標，每個安全目標都須定義一個安全狀態。PCC控制危害事件的ASIL評分及安全目標見表1。

表1 PCC控制危害事件的ASIL評分及安全目標

2.4 PCC系統信號診斷機制

PCC系統的目標擋位、轉速、扭矩信息由CAN總線信號傳遞，在汽車功能安全方面存在很多潛在風險，極限工況下軟件若出現非預期的檔位、轉速、扭矩變化，可能造成意外。

PCC軟件信號處理機制采用多信號源輸入與反饋處理機制，通過實時監測多信號源輸入，以及將反饋信號進行對比，進行邏輯檢測與綜合處理，判斷是否符合PCC巡航控制狀態，保證車輛正確運行。圖1為PCC多信號診斷機制流程圖。

圖1 PCC多信號診斷機制流程

輸入信號的采集及診斷處理PCC輸入信號包括：多功能桿信號、制動信號、離合信號、油門信號、擋位信號等。

預見性巡航控制系統扭矩需求需符合控制車輛扭矩正常上下坡，以及考慮發動機輸出能力及傳動系統傳動效率，綜合計算后得出行駛過程中發動機的輸出扭矩。

根據汽車理論，汽車行駛方程式為：

式（1）中輸出扭矩、摩擦扭矩T由ECU標定數據決定（通過SAE J1939協議獲取），道路坡度由ADAS地圖獲取，i為變速箱當前檔位速比，i后橋速比，傳動效率，汽車旋轉質量換算系數，整車質量，當前車速，滾動阻力系數，A迎風面積，C空氣阻力系數，重力加速度。

整車故障通過采集發動機報文及各傳感器輸入信號的故障，對各個模塊上報的故障等級處理，轉化為整車故障等級并進入對應的處理機制。將整車故障按危險程度分為0、1、2、3四個安全等級，分別為：

0：正常；

1：定速巡航，預見性巡航控制系統獲取前方道路信息，進入定速巡航模式；

2：輕微故障，系統通過反饋機制對參數進行調節，保證車輛正常行駛；

3：緊急故障，系統報警并退出，提醒駕駛員接管車輛。

2.4.1多功能桿、制動、離合、油門等信號異常處理機制

PCC系統處于ON狀態（待機狀態）時，會不斷向發動機請求多功能桿、制動、離合、油門等信號報文，并根據當前車輛狀態進行計算，判斷是否符合公式（1）。當信號錯誤或無信號時，PCC無法啟動；當信號正常時，系統準許進入。

搭建PCC上位機軟件，對整車多功能桿、制動、離合、油門等信號進行檢測，若上位機沒有檢測到多功能桿、制動、離合、油門等信號或檢測到的信號異常，禁止進入PCC系統，達到安全目標。圖2為PCC上位機軟件操作界面。

圖2 PCC軟件操作界面

2.4.2速度信號處理機制

速度信號由兩路信號進行冗余設計。把信號值區分成五個區間，vvvv均為速度信號門限值，車輛的驅動力由車輛縱向動力學模型計算得出。

式中為驅動力，為空氣密度。

車輛入坡初速度，坡度大小是影響車輛上/下坡行駛速度的重要因素。由于重型商用車尤其是滿載情況下慣性較大，車輛需要在行駛過程中保持一定的車速避免危險情況的發生。車輛上、下坡時，車輛動力學模型中的車速要控制在一定范圍，降低ASIL等級。PCC系統中，設置速度門限值vvvv，既要滿足安全需求又要滿足交通法規要求，故選擇：

式（3）中v為下坡極限速度v為PCC進入速度、v為PCC高速巡航、v為PCC低速巡航。當車速高于60km/h時，按動set+、set-可進入PCC控車模式，當預測正常下坡車速高于95km/h時，發動機提前開啟排氣制動，控制車輛到達坡底時車速在95km/h行駛。v-v為預見性巡航控制系統正常行駛車速，巡航速度高于v或低于v時，提醒駕駛員車速過高/低。

2.4.3坡度信息處理機制

當PCC接收前方坡度信號時，同時根據接收到的坡度信號計算前方道路速度，判斷車速是否變化。PCC又實時接收公式（3）計算的加速度計的坡度信號，檢測坡度信息與車輛運行狀態是否匹配，保證PCC穩定運行。CCS為PCC系統的保護系統，當前路段無坡度信號時，PCC自動退出，由底層CCS接管車輛，按當前車速進入傳統定速巡航模式，防止車輛失控。圖3為PCC坡度信號處理機制流程圖。

2.4.4發動機萬有特征曲線校驗

PCC系統每100ms向發動機發動一個扭矩百分比，發動機會發出實時扭矩，根據發動機map圖在策略中對讀取到的外特征進行合理的判斷，當扭矩不合理時，執行上一個有效值。

圖3 PCC坡度信號處理機制流程圖

3 系統測試

3.1 實車實驗

為了驗證PCC控制策略算法的有效性與準確性，以一汽解放JH6重型商用車為實車平臺進行算法的驗證。實驗車輛如圖4所示，表2為JH6重型商用車主要性能參數。實車實驗前，在車輛內添加載重塊，使車輛為滿載狀態49t，實驗道路選取某段高速公路如圖5所示，圖6為該實驗路段部分道路坡度，可以看出道路坡度在-3%-3%之間，0~3km為上坡路段，4~5km為下坡路段。分別在平直路段、上坡路段、下坡路段驗證車輛車速、道路坡度、發動機轉速及扭矩信息可靠性。實驗時，先由駕駛員操縱車輛，撥動多功能桿，駕駛員停止操作油門踏板但仍需把控方向盤、剎車等，由PCC控制發動機扭矩控制車輛加/減速，驗證車輛是否可以以正常車速沖坡、下坡。

圖4 實驗車輛JH6

圖5 實車實驗道路

表2 JH6主要參數

3.2 實驗結果

由上位機程序驗證整車多功能桿、制動、離合、油門等信號是否異常，待機狀態時，PCC系統會收集商用車多功能桿、制動、離合、油門踏板等信號，當斷開一路信號時，上位機報錯，PCC無法進入，接收正常信號時可進入PCC系統，保證多功能桿及踏板信號功能安全。根據圖6為前方道路坡度圖和圖8PCC控車實驗扭矩圖，PCC算法通過將道路整合，分段控制扭矩，可以有效降低前方道路分段數量，延長預測距離，減小程序計算量，提高運算速率。通過T-BOX坡度信號與加速度計坡度信號對比，同一路段坡度信號一致。圖9 PCC控車試驗動力鏈接圖表明當車輛發動機會斷開動力鏈接時，車速穩定保持在合理范圍，驗證了車速控制功能安全。由圖10PCC控車實驗燃油消耗量計算得，PCC控車節油率約為3%，達到PCC系統功能要求。由圖7控車實驗油門踏板開度圖、圖8和圖11控車實驗車速圖可看出，整個實驗過程駕駛員沒有操縱油門踏板，由PCC控制車輛，駕駛員沒有踩油門踏板時，PCC可以根據前方道路坡度控制發動機轉速、扭矩，上坡路段時，發動機扭矩較高，到達下坡路段前，發動機提前降扭，控制車速在合理范圍內。圖11可以看出，PCC控車下坡階段車速較高，但可以準確控制在90km/h以下，符合預期功能需求與安全功能需求。

圖6 PCC控車試驗道路坡度圖

圖7 PCC控車試驗油門踏板開度圖

圖8 PCC控車試驗扭矩圖

圖9 PCC控車試驗動力鏈接圖

圖10 PCC控車試驗燃油消耗圖

圖11 PCC控車試驗車速圖

4 結論

本文以重型商用車為實驗平臺，對預見性巡航控制系統進行功能設計及功能安全設計，基于JH6重型商用車對系統功能及安全功能進行實車實驗，得到如下結論。

（1）對預見性巡航控制系統進行介紹，并完成了對整車的實際控制，實現了預見性巡航功能；

（2）預見性巡航控制系統能對前方道路進行合理的路網重構，并可以根據路網重構后的坡度進行有效計算，實時控制發動機輸出扭矩滿足動力性及燃油經濟性需求，車輛能實現良好的沖坡、下坡；

（3）實現了預見性巡航控制系統的功能安全，將發動機扭矩、車輛車速控制在合理范圍內，減少系統故障，避免駕駛員及車輛發生危險。

[1] Adnane Cabani,Redouane Khemmar,Jean Yves Ertaud,Romain Rossi, Xavier Savatier. ADAS multi-sensor fusion system-based security and energy optimisation for an electric vehicle[J].Inderscience Pub -lishers (IEL),2019,14(4).

[2] Sujanie Peiris,Janneke Berecki-Gisolf,Bernard Chen,Brian Fildes. Road Trauma in Regional and Remote Australia and New Zealand in Preparedness for ADAS Technologies and Autonomous Vehicles [J]. Sustainability,2020,12(11).

[3] Yeonggeol Park,Seohang Lee,Myoungyeon Park,Jaekon Shin,Jayil Jeong. Target robot for active safety evaluation of ADAS vehicles[J]. Journal of Mechanical Science and Technology,2019,33(9).

[4] 呂能超,段至誠,吳超仲.駕駛經驗對先進駕駛輔助系統的作用研究[J].交通運輸系統工程與信息,2017,17(6):48-55.

[5] 李林恒,甘婧,曲栩,等.智能網聯環境下基于安全勢場理論的車輛跟馳模型[J].中國公路學報,2019,32(12):76-87.

[6] 趙俊鵬,周文華,梁恒.基于ISO 26262標準的電控柴油機扭矩監控策略研究[J].機電工程,2014,31(3):367-372.

[7] 尚世亮,王雷雷,趙向東.基于ISO26262的車輛電子電氣系統故障注入測試方法[J].汽車技術,2015,(12):49-51,58.

[8] Jung-Hee Suk,Chun-Gi Lyuh,Sanghoon Yoon and Tae Moon Roh. Fixed Homography-Based Real-Time SW/HW Image Stitching Engine for Motor Vehicles[J].ETRI Journal,2015,37(6):1143-1153.

[9] Frederico Ferlini,Laio Oriel Seman,Eduardo Augusto Bezerra. Enab -ling ISO26262 Compliance with Accelerated Diagnostic Coverage Assessment[J]. Electronics,2020,9(5).

[10] Dafang Wang,Peng Song,Zexu Xu,Guanglin Dong,Hui Wei. Conce -ptual Design of Functional Safety of Motor Control System Based on ISO26262[J].EDP Sciences,2018,173.

[11] S.Shibahara et al., “A 16 nm FinFET Heterogeneous Nona-Core SoC Supporting ISO26262 ASIL B Standard,” IEEE JSSC, vol. 52, no. 1, pp. 77-88, 2017.

[12] 盧靜.功能安全標準ISO26262在汽車電子電器開發中的應用[J].電子世界,2016(20):124-125.

PCC system for heavy commercial vehicle based on ISO26262 Functional safety design*

Wang Guohui1, Huo Wei1*, Wang Yuhai2, Li Xingkun3, Zheng Xuguang3, Zang Zheng1

( 1.College of Mechanical and Electrical Engineering, Qingdao University, Shandong Qingdao 266071;2.Qingdao Automotive Research Institute, Jinlin University, Shandong Qingdao 266071;3.China Satellite Navigation Communications Co. Ltd. Shandong Qingdao 266071 )

Predictive Cruise Control (PCC) is an Advanced Driver Assistance Systems (ADAS) system for longitudinal dynamics of vehicles. Based on slope information, PCC controls the Predictive speed of vehicles as they pass through ramps to achieve fuel efficiency. Based on ISO26262 functional Safety standard, this paper carries out Hazard Analysis and Risk Assessment (HARA) for PCC system, proposes ASIL (Automotive Safety Integration Level) Safety Level and determines Safety targets, and carries out functional Safety design for different PCC signals. The experimental results show that the system can reasonably process engine speed, torque, vehicle speed, road slope and other information, so as to ensure the stable operation of vehicles in high-speed environment and protect the safety of drivers and vehicles.

Predictive cruise control; ADAS; ISO26262; Functional safety; Hazard analysis; Safety assessment

10.16638/j.cnki.1671-7988.2021.04.014

U463

A

1671-7988(2021)04-42-05

U463

A

1671-7988(2021)04-42-05

王國暉（1996-），碩士研究生，就讀于青島大學機電工程學院，研究方向為車輛智能輔助駕駛及系統功能安全。

霍煒，副教授，碩士生導師，就職于青島大學機電工程學院。

山東省高等學校科技計劃項目（J18KA048）。