基于功能安全分析的混合動(dòng)力汽車扭矩管理研究

周成顯，葉新偉，鄭樂堂

（山東汽車制造有限公司汽車工程研究院，山東 煙臺(tái) 265200）

1 前言

當(dāng)前，越來越多的智能化電器、控制器應(yīng)用到汽車上，使其電子架構(gòu)日趨復(fù)雜，其中任何一個(gè)器件出現(xiàn)故障, 都可能會(huì)導(dǎo)致整車出現(xiàn)安全問題。調(diào)查數(shù)據(jù)顯示，汽車控制系統(tǒng)中由于有缺陷的軟件和硬件所引發(fā)的故障已占到由汽車電子裝置引起的故障的60%以上。相比傳統(tǒng)車輛，混合動(dòng)力汽車還有電機(jī)、電池、電動(dòng)附件等系統(tǒng)的應(yīng)用，發(fā)生安全事件的可能性更大且危害更高。

功能安全（Functional Safety）要求無論零部件或者安全相關(guān)控制系統(tǒng)發(fā)生的失效，都需要使受控設(shè)備可靠地進(jìn)入和維持安全狀態(tài)，避免對(duì)人員或者環(huán)境產(chǎn)生危害。扭矩管理是電動(dòng)汽車整車控制的基礎(chǔ)，任何扭矩異常都有可能導(dǎo)致危害的產(chǎn)生，并且扭矩的異常變化對(duì)駕駛舒適性也有一定影響。

目前多數(shù)新能源汽車整車控制器未采用ASIL風(fēng)險(xiǎn)分析確定風(fēng)險(xiǎn)等級(jí)并采用相應(yīng)的應(yīng)對(duì)措施，本文針對(duì)整車控制器關(guān)鍵的扭矩管理策略進(jìn)行風(fēng)險(xiǎn)分析并進(jìn)行相關(guān)的功能安全開發(fā)，以提高整車控制器的功能安全等級(jí)。

2 基于功能安全分析的扭矩管理策略

2.1 設(shè)計(jì)流程

本技術(shù)通過對(duì)當(dāng)前扭矩管理策略分析，針對(duì)原有技術(shù)的缺點(diǎn)，確定了基于功能安全的整車扭矩管理策略。其實(shí)施過程如圖1所示。

首先確定扭矩管理功能安全相關(guān)的功能定義，然后通過對(duì)相關(guān)項(xiàng)進(jìn)行危害分析和風(fēng)險(xiǎn)評(píng)估，在此基礎(chǔ)上評(píng)定扭矩管理的ASIL等級(jí)，再根據(jù)模塊的ASIL等級(jí)進(jìn)行扭矩管理策略的開發(fā)。

圖1 基于功能安全分析的扭矩管理設(shè)計(jì)流程

2.2 功能安全相關(guān)項(xiàng)分析

基于整車功能需求對(duì)扭矩管理系統(tǒng)的功能安全所涉及對(duì)象進(jìn)行描述，確定系統(tǒng)需要的功能、邊界條件、接口等要求。如表1示例：

表1 功能安全相關(guān)項(xiàng)分析示例

2.3 功能安全需求確定

功能安全需求確定需要首先進(jìn)行危害分析及風(fēng)險(xiǎn)評(píng)估，然后根據(jù)分析結(jié)果確定功能安全等級(jí)。

對(duì)扭矩管理的危害分析及風(fēng)險(xiǎn)評(píng)估主要對(duì)潛在危害以及其產(chǎn)生該危害的故障行為逐條分析，確定該危害的嚴(yán)重性等級(jí)（S）、暴露率（E）、可控性（C），然后再確定扭矩管理系統(tǒng)的安全目標(biāo)、安全狀態(tài)以及ASIL風(fēng)險(xiǎn)等級(jí)。基本內(nèi)容如表二所示。其中ASIL等級(jí)可根據(jù)ISO26262功能安全原則進(jìn)行確定，其確定原則是S、C、E三參數(shù)之和小于7為QM（質(zhì)量管理），等于7為A級(jí)，等于8為B級(jí)，等于9為C級(jí)，等于10為D級(jí)（ASIL等級(jí)依次增加）。通過對(duì)上述危害進(jìn)行分析確定扭矩管理模塊地風(fēng)險(xiǎn)等級(jí)為C，需要采用一定的功能安全措施。

表2 扭矩管理策略的功能安全風(fēng)險(xiǎn)分析示例

2.4 功能安全設(shè)計(jì)

為實(shí)現(xiàn)扭矩管理模塊的ASIL-C等級(jí)的功能安全要求以及相應(yīng)風(fēng)險(xiǎn)的安全目標(biāo)，扭矩管理策略采用主輔MCU的三層監(jiān)控架構(gòu)[1]。上層的功能控制模塊運(yùn)行在主MCU中，即圖2的level1和level2，其中l(wèi)evel1為HCU基本控制功能實(shí)現(xiàn)層，level2為扭矩監(jiān)控層，level3為軟件流及硬件監(jiān)控模塊，主要運(yùn)行在輔MCU。主輔MCU通過SPI通訊，緊急情況下采用主輔雙MCU共同控制。

圖2 扭矩管理架構(gòu)

基于上述扭矩管理架構(gòu)，第一層實(shí)現(xiàn)扭矩管理的基本控制，第二層實(shí)現(xiàn)扭矩的實(shí)時(shí)監(jiān)控及修正，第三層則實(shí)現(xiàn)對(duì)程序流和核心硬件的監(jiān)控，其具體內(nèi)容如圖3所示。

Level1為基本的扭矩控制策略層，整車控制器采集加速踏板、制動(dòng)踏板、發(fā)動(dòng)機(jī)、電機(jī)信號(hào)，經(jīng)過信號(hào)處理后解析為駕駛員需求扭矩，駕駛員需求扭矩再分配為電機(jī)請(qǐng)求扭矩和發(fā)動(dòng)機(jī)請(qǐng)求扭矩，前述扭矩再與電機(jī)、發(fā)動(dòng)機(jī)外特性和經(jīng)濟(jì)運(yùn)行特性曲線限制進(jìn)行比較確認(rèn)后，再與level2和level3的允許扭矩仲裁，最終得到一個(gè)合理扭矩請(qǐng)求，該合理扭矩需求通過CAN發(fā)送模塊發(fā)送到總線上，從而實(shí)現(xiàn)第一層功能控制。

Level2為扭矩監(jiān)控層，整車控制器會(huì)對(duì)踏板進(jìn)行冗余信號(hào)分析，同時(shí)對(duì)相應(yīng)的電機(jī)、發(fā)動(dòng)機(jī)、電池、AMT反饋信號(hào)（或故障信號(hào)）進(jìn)行實(shí)時(shí)判斷，得出當(dāng)前狀態(tài)下的電機(jī)、發(fā)動(dòng)機(jī)的允許扭矩；再同發(fā)動(dòng)機(jī)、電機(jī)實(shí)際采集到的扭矩進(jìn)行比較，判斷目前的扭矩變化狀態(tài)的合理性，并將允許扭矩發(fā)送至Level1中的扭矩限制模塊[2]，該模塊通過仲裁將最終合理的扭矩請(qǐng)求發(fā)到總線上，從而實(shí)現(xiàn)第二層的扭矩監(jiān)控管理。

圖3 基于分層架構(gòu)的扭矩管理策略

Level3為軟件流、硬件模塊監(jiān)控層，通過獨(dú)立的MCU運(yùn)行空間，來判斷主程序運(yùn)行的MCU主要模塊的工作狀態(tài)以及程序流狀態(tài)，監(jiān)控功能控制模塊Level1、Level2運(yùn)行是否正常，并直接限制和控制電機(jī)、發(fā)動(dòng)機(jī)。

3 結(jié)論

本文按照基于功能安全分析的扭矩管理設(shè)計(jì)流程首先對(duì)扭矩管理的功能安全相關(guān)項(xiàng)進(jìn)行分析，然后對(duì)扭矩管理的潛在危害進(jìn)行分析，同時(shí)評(píng)估其風(fēng)險(xiǎn)，最后根據(jù)評(píng)估結(jié)果確定扭矩管理的功能安全等級(jí)為ASIL-C。為實(shí)現(xiàn)該等級(jí)的功能安全要求以及相應(yīng)風(fēng)險(xiǎn)的安全目標(biāo)，扭矩管理采用主輔MCU的三層監(jiān)控架構(gòu)。上層的控制功能運(yùn)行在主MCU運(yùn)行控制功能，同時(shí)對(duì)扭矩進(jìn)行監(jiān)控，輔MCU主要運(yùn)行軟件流及硬件監(jiān)控。該設(shè)計(jì)流程及設(shè)計(jì)方法也適用于純電動(dòng)汽車。