當(dāng)我們的團(tuán)隊(duì)為沃爾沃 XC90 插電式混合動(dòng)力車開發(fā)電池管理系統(tǒng)(BMS)時(shí)，沃爾沃的要求之一是使用 AUTOSAR，但我們可自由選擇開發(fā)方法和工具。我們將此項(xiàng)目視為一個(gè)機(jī)會(huì)，用它來建立基于模型設(shè)計(jì)的工作流程。使用此工作流程，我們可以將基礎(chǔ)軟件層中硬件特定模塊的開發(fā)留給具有該領(lǐng)域?qū)I(yè)知識(shí)的供應(yīng)商，并將重點(diǎn)放在對(duì)應(yīng)用層中控制邏輯的建模、仿真和驗(yàn)證上。
使用 MATLAB 和 Simulink 進(jìn)行基于模型的設(shè)計(jì)，讓我們能夠增加組件的重復(fù)利用率、減少手動(dòng)編碼、改善與客戶的溝通，并交付更高質(zhì)量的 BMS。引入基于模型的設(shè)計(jì)之后，在每個(gè)軟件版本中確定的軟件問題從大約 22 個(gè)減少到不到 9 個(gè)，遠(yuǎn)遠(yuǎn)低于我們的項(xiàng)目目標(biāo)。

為什么要采用基于模型的設(shè)計(jì)？

我們選擇基于模型的設(shè)計(jì)，部分原因是它能夠使我們建模和仿真構(gòu)成 BMS 核心的復(fù)雜算法和行為。我們希望在客戶驗(yàn)收測(cè)試之前，通過軟件在環(huán)(SIL)和硬件在環(huán)(HIL)測(cè)試來自動(dòng)執(zhí)行質(zhì)量檢查并徹底驗(yàn)證我們的設(shè)計(jì)。

我們希望開發(fā)的算法需要不同學(xué)科和背景的工程師參與進(jìn)來，包括電化學(xué)、數(shù)學(xué)、控制設(shè)計(jì)和軟件工程。我們知道基于模型的設(shè)計(jì)將為他們提供一個(gè)共同的平臺(tái)和一種共同的語言來協(xié)同設(shè)計(jì)。

可重用性是驅(qū)動(dòng)我們決策的另一個(gè)關(guān)鍵因素。我們組裝了一個(gè)組件庫，并希望在沃爾沃 BMS 項(xiàng)目中使用它。我們希望繼續(xù)開發(fā)這個(gè)庫，以加快未來與 OEM 合作項(xiàng)目的開發(fā)。到目前為止，在沃爾沃項(xiàng)目中，我們已經(jīng)在五個(gè)不同的車型上使用核心庫。借助這個(gè)核心庫，我們啟動(dòng)一個(gè)新的不同車型甚至一個(gè)新項(xiàng)目所需的時(shí)間將大大減少。

開發(fā) AUTOSAR 軟件組件

我們采用了自上而下的開發(fā)方法，首先在 AUTOSAR 架構(gòu)設(shè)計(jì)工具中建模系統(tǒng)架構(gòu)和定義軟件組件描述。然后，我們將組件描述（作為 ARXML 文件導(dǎo)出）導(dǎo)入到 Simulink。

在 Simulink 和 Stateflow 中，我們使用在導(dǎo)入過程中自動(dòng)創(chuàng)建的骨架模型來對(duì)BMS的控制邏輯和算法行為建模。我們還將 Simulink 模型中的信號(hào)映射到 AUTOSAR 組件描述中的信號(hào)。在這一階段中，我們將 Simulink 組件重用于 SoC（荷電狀態(tài)）評(píng)估、SoH（健康狀態(tài)）評(píng)估、控制邏輯、診斷邏輯等模塊，這些組件來自我們從早期項(xiàng)目中收集的核心庫。我們?cè)黾恿俗远x邏輯來滿足沃爾沃對(duì)這個(gè)特定項(xiàng)目的要求，包括 PHEV 的電機(jī)仲裁邏輯。

在 Simulink 中開發(fā)控制器模型時(shí)，我們經(jīng)常使用 Model Advisor 檢查模型是否符合風(fēng)格指南和建模標(biāo)準(zhǔn)。我們還使用 Simulink Design Verifier™檢查模型中的死邏輯、除零錯(cuò)誤和其他設(shè)計(jì)錯(cuò)誤。

韓國樂金化學(xué)的一個(gè)電化學(xué)仿真小組創(chuàng)建了電池組電化學(xué)電池的數(shù)學(xué)模型。我們將這個(gè)團(tuán)隊(duì)的 MATLAB 代碼合并到 Simulink 被控對(duì)象模型中，用于仿真（驗(yàn)證）控制器模型。

生成代碼并執(zhí)行自動(dòng)化測(cè)試

完成最初的設(shè)計(jì)后，我們的下一個(gè)目標(biāo)是通過自動(dòng)化方式盡可能多地執(zhí)行剩余工作流程，包括代碼實(shí)現(xiàn)和測(cè)試執(zhí)行。我們使用 Embedded Coder 和針對(duì) AUTOSAR 標(biāo)準(zhǔn)的 Embedded Coder 支持包，從我們的控制器模型中生成符合 AUTOSAR 的 C 代碼。

為了驗(yàn)證生成的代碼，我們使用測(cè)試用例執(zhí)行 SIL 測(cè)試，測(cè)試用例集中在三個(gè)方面：核心庫組件、映射信號(hào)和自定義邏輯。

在自動(dòng)執(zhí)行 SIL 測(cè)試期間，我們使用 Simulink Coverage™ 測(cè)量了執(zhí)行覆蓋率、修正的條件/決策覆蓋率(MC/DC)、查表覆蓋率和圈復(fù)雜度。這些度量使我們能夠確保測(cè)試正在執(zhí)行整個(gè)設(shè)計(jì)。在依賴手動(dòng)編碼的開發(fā)過程中，診斷集成測(cè)試中發(fā)現(xiàn)的難以調(diào)試問題幾乎是不可能的，特別是對(duì)于軟件組件(SWC)的輸出由第二個(gè) SWC 處理，然后又反饋到原始 SWC 的系統(tǒng)的情況。通過基于模型的設(shè)計(jì)，我們可以在仿真過程中顯示各個(gè)級(jí)別的信號(hào)，并查看錯(cuò)誤如何在反饋回路中通過 SWC 傳播，這使得潛在問題更容易被識(shí)別和糾正。

我們將生成的代碼部署到我們的目標(biāo)嵌入式處理器上進(jìn)行 HIL 測(cè)試，在測(cè)試中仿真了車輛的整個(gè)電驅(qū)系統(tǒng)。在這些最終測(cè)試后，我們的客戶進(jìn)行了車輛驗(yàn)收測(cè)試。如果客戶測(cè)試發(fā)現(xiàn)錯(cuò)誤，我們可以使用測(cè)試日志文件在 Simulink 中復(fù)現(xiàn)問題，通過仿真確定根本原因，并調(diào)整模型來解決問題。作為工作流程的一部分，我們進(jìn)行了大量測(cè)試，并顯著減少了軟件問題（圖1）。

圖1. 在采用基于模型的設(shè)計(jì)之前和之后，軟件版本的問題計(jì)數(shù)。
未來計(jì)劃
我們使用 AUTOSAR 和基于模型的設(shè)計(jì)為沃爾沃開發(fā)的 BMS 已實(shí)現(xiàn)功能安全 ISO 26262 汽車安全完整性 C 級(jí)(Automotive Safety Integrity Level C, ASIL C)功能認(rèn)證。對(duì)于這個(gè)初始項(xiàng)目，我們手動(dòng)完成了大多數(shù)認(rèn)證任務(wù)。此后，我們自動(dòng)執(zhí)行了許多任務(wù)，并減少了生成認(rèn)證報(bào)告所需的資源。
我們的團(tuán)隊(duì)現(xiàn)在正在使用我們?yōu)槲譅栁諦MS建立的工作流，為越來越多的汽車 OEM 客戶開發(fā) AUTOSAR 軟件組件。