廣告
基于ISO 26262 的純電動公交車VCU 安全分析與設計
2020-06-20 23:51:02· 來源：電動學堂
整車控制器（VCU）是整車控制的核心，通過CAN總線與電池管理系統(tǒng)（BMS），電機控制器（MCU）等控制器進行信息交互，來進行多系統(tǒng)協(xié)調控制。因此VCU的功能與整車
整車控制器（VCU）是整車控制的核心，通過CAN總線與電池管理系統(tǒng)（BMS），電機控制器（MCU）等控制器進行信息交互，來進行多系統(tǒng)協(xié)調控制。因此VCU的功能與整車的功能安全十分相關。為提高整車的功能安全，本文基于ISO 26262標準，對純電動公交車VCU進行安全分析與設計。
1 道路車輛功能安全標準ISO 26262
ISO 26262功能安全標準于2011年發(fā)布第一版，2018年發(fā)布第二版，是針對汽車電子電氣系統(tǒng)，為減少安全風險，提高車輛安全性而制定。ISO 26262提供了車輛電子電氣系統(tǒng)的功能安全開發(fā)流程，并規(guī)定了汽車電子電氣系統(tǒng)的安全生命周期：概念階段、產品開發(fā)階段-系統(tǒng)層、產品開發(fā)階段-硬件層、產品開發(fā)階段-軟件層、生產發(fā)布之后。安全生命周期如圖1所示。
2 概念階段
2.1 相關項定義
相關項定義要給出詳細的項目定義，明確相關項的要求，從而對相關項有足夠的理解，能夠指導后續(xù)工作。內容包括相關項的功能性需求、非功能性需求、法規(guī)要求等。
純電動汽車VCU作為整車控制的核心，通過CAN總線與電池管理系統(tǒng)（BMS）、電機控制器（MCU）進行信息交互。通過采集加速踏板油門信號、制動踏板制動信號、換擋器擋位信號，進行相應的車輛驅動、再生制動、擋位控制、坡道輔助等功能。系統(tǒng)結構如圖2所示。
城市公交車的運行環(huán)境為城市市區(qū)與城市郊區(qū)道路。需滿足的法律法規(guī)有JT / T 1094-2016營運客車安全技術條件、GT / T 18384電動汽車安全要求、GT / T 18488電動汽車用電機及其控制器、ISO 26262道路車輛功能安全等。具有的減少安全風險的外部措施為安全帶、ABS防抱死系統(tǒng)。
2.2 危害分析與風險評估（HARA）
危害分析與風險評估（HARA）給出一種功能失效的危害及風險的評估方法，需要對系統(tǒng)的風險進行評估分析，識別及分類，最終確定相關項的汽車安全完整性等級。HARA要求對于每個危害事件從嚴重度（S）、暴露度（E）、可控度（C）3個維度進行分析。嚴重度S是指危害事件對駕駛員、乘客或行人造成的人身傷害的程度，分為S0、S1、S2、S3四個等級；暴露度E是指危害事件在運行場景中的暴露概率，分為E0、E1、E2、E3、E4五個等級；可控度C是指危害事件發(fā)生時駕駛員、乘客或行人能夠充分控制危害事件以避免傷害的可能性，分為C0、C1、C2、C3四個等級。然后依據(jù)風險矩陣確定汽車安全完整性等級（ASIL），如表1所示。ASIL等級越高，表示危害事件的風險越高。
HARA要基于車輛運行場景進行分析，城市公交車可能的行駛場景有：在十字路口停車、在公交車站停車、車輛在坡道上起步加速、低速通過擁堵路段、借對方車道超車、城市郊區(qū)中高速行駛等。相應功能失效產生危害最嚴重的場景，即ASIL等級最高的場景，該場景下的ASIL等級為該危害事件的ASIL等級。
受篇幅限制，本文僅對車輛驅動及再生制動功能進行了HARA分析，如表2所示，分析得到了的4個危害事件，分別分析每個危害事件的嚴重度S、暴露度E、可控度C，得出每個危害事件的ASIL等級。
其中危害事件“沒有駕駛員需求時產生扭矩”危害最嚴重的場景為城市郊區(qū)中高速行駛，ASIL等級為C；危害事件“駕駛員需求扭矩時沒有扭矩”危害最嚴重的場景為借對方車道超車，ASIL等級為A；危害事件“駕駛員制動時無再生制動扭矩”危害最嚴重的場景為城市郊區(qū)中高速行駛，ASIL等級為C；危害事件“駕駛員沒有制動需求時，產生再生制動扭矩”危害最嚴重的場景為在城市郊區(qū)中高速行駛，ASIL等級為B。
2.3 安全目標
安全目標是相關項最高層面的安全要求，應為每一個危害事件確定一個安全目標，并繼承危害事件的ASIL等級。安全目標表述為功能目的，而不表述為技術解決方案。通過以上危害分析與風險評估，導出危害事件相應的安全目標，表3給出車輛驅動和再生制動功能的安全目標。
2.4 功能安全需求（FSR）
功能安全需求（FSR）由安全目標導出，以避免每個危害事件的不合理風險。功能安全需求應包含運行模式、故障容錯時間間隔（FTTI）、安全狀態(tài)、功能冗余（故障容錯）、報警和降級、駕駛員的控制方法等內容。根據(jù)2.3中的安全目標導出功能安全需求，表4給出了功能安全需求定義，對于每個安全目標給出了2~4個功能安全需求。
3 系統(tǒng)設計
3.1 安全分析與技術安全要求
按照ISO 26262的要求，需要在系統(tǒng)設計時進行安全分析，常用的安全分析方法有：故障樹分析（FTA）、失效模式與影響分析（FMEA）等。本文采用故障樹FTA方法進行安全分析。分別以車輛非預期的加速、再生制動效能降低作為頂事件，將其向下依次分解到傳感器、控制器和執(zhí)行器中，再繼續(xù)向下進行分解至最底層，如圖3、圖4所示。
技術安全需求（TSR）是實現(xiàn)功能安全需求的必要的技術要求，目的是將相關項層面的功能安全需求細化到系統(tǒng)層面的技術安全需求。技術安全需求應包含系統(tǒng)故障的探測、指示和控制措施；使系統(tǒng)實現(xiàn)或維持在安全狀態(tài)的措施；對于功能安全需求中的警告和降級細化等。結合FTA安全分析結果和功能安全需求導出的技術安全需求如表5所示。
3.2 系統(tǒng)架構設計
根據(jù)技術安全需求，進行系統(tǒng)架構設計。對VCU系統(tǒng)架構設計采用了E-GAS架構的設計理念，即如圖4給出的3層安全監(jiān)控設計：第1層為基本功能層，實現(xiàn)驅動、再生制動、故障診斷等基本功能。第2層為功能監(jiān)控層，監(jiān)控第1層與安全相關的功能是否正常運行，通過冗余的信號處理監(jiān)控信號處理是否正確，并采用扭矩監(jiān)控模塊，監(jiān)控第1層的扭矩輸出是否正常。第3層為處理器監(jiān)控層，獨立于功能控制器（采用ASIC或微處理器），通過問、答的形式監(jiān)控功能處理器的程序是否正常運行；當檢測到故障后，獨立于功能處理器觸發(fā)相應的故障響應。
4 結束語
本文介紹了基于ISO 26262標準的功能安全開發(fā)流程，并對純電動公交車VCU進行了安全分析和設計。通過HARA分析確定了純電動公交車VCU的安全目標以及ASIL等級，根據(jù)安全目標導出了功能安全需求和技術安全需求，并完成了VCU系統(tǒng)架構設計。本文論述的方法對于純電動汽車VCU的功能安全開發(fā)具有一定的可行性及實用價值，為純電動汽車VCU功能安全開發(fā)提供一種思路。
廣告 編輯推薦
最新資訊
-
聯(lián)合國法規(guī)R60對兩輪車操縱件與指示裝置的
2026-03-04 12:08
-
標準立項|《汽車異種材料鉚接接頭拉伸性能
2026-03-04 11:40
-
“汽車大角度座椅 第1部分：通用要求”將有
2026-03-04 11:39
-
“汽車大角度座椅 第2部分：可靠性要求”將
2026-03-04 11:39
-
電池耐久評價開始從“電池單體性能指標”轉
2026-03-04 11:38
