廣告
VDA450：滿足自動駕駛系統(tǒng)與線控系統(tǒng)的整車電網(wǎng)功能安全設計指南
以自動駕駛系統(tǒng)為例，VDA 450假設了如下安全目標：
并對該安全目標進行了功能安全需求FSR的拆解：
對于冗余供電網(wǎng)絡，導出了如下三條FSR:
下表對這三條FSR的目標做一個說明：
對這三條FSR，又可以進一步在兩個供電通道上分別進行拆解。
下表對這拆解后的FSR的目標做一個說明：
（對VDA 450原文檔有需要的朋友可以通過公眾號“Leo的汽車安全世界”發(fā)消息聯(lián)系Leo獲取，或聯(lián)系Leo加入功能安全討論群相關交流學習）
在這些FSR中，可用性的要求相對來說比較好理解，尤其值得注意的是對相關失效的要求。冗余供電設計中存在潛在的相關失效導致整個供電網(wǎng)絡失去可用性是不可接受的，因此對相關失效展開完整的分析并定義必要且充分的安全措施顯得至關重要。
頗具挑戰(zhàn)的是，當前行業(yè)對供電網(wǎng)絡相關失效分析考慮的維度并不充分，VDA 450給出了完整的考慮點：既關注兩路供電通道之間的獨立性，又關注單個通道內部不同負載之間的潛在干擾。
在這兩個維度上，都需要謹慎地考慮短路故障所造成相關失效。更具體的故障表現(xiàn)是，當某個負載（ECU）發(fā)生短路故障時，由于短路電流非常大，整個供電網(wǎng)絡的電壓會被瞬間拉低，其他ECU可能因為電壓過低而無法工作。
負載電壓瞬降（來源：左成鋼《廣義車規(guī)級電子可靠性》）
為避免這種情況發(fā)生，供電網(wǎng)絡給負載配備了保險絲，保險絲會在短路大電流的作用下發(fā)生熔斷，從而使供電系統(tǒng)切斷與短路側的連接，避免短路影響該供電通道以及另一路供電通道上其他負載的供電電壓。但是傳統(tǒng)的保險絲保險熔斷時間長，如果在發(fā)生熔斷前被拉低的供電電壓已經(jīng)導致安全相關的ECU shut down，那么即使在熔斷后供電電壓恢復正常，重啟后ECU可以繼續(xù)提供功能，但如果ECU重啟時間過長，超過安全目標對應的FTTI，風險不可避免。
示例：EPS系統(tǒng)受QM負載短路故障的影響，截圖來自VDA 450
為滿足以上相關失效相關的FSR，使用主動分離和連接單元ATV是VDA 450推薦的安全措施，以實現(xiàn)上述兩個維度上的獨立性要求和免于干擾要求。
截圖來自VDA 450
取決于冗余供電網(wǎng)絡的架構，ATV的技術方案呈現(xiàn)多樣化的趨勢，可以是獨立的開關，也可以集成到如DCDC等部件中，也可以集成到復雜的電源分配設備ePDU（electronic Power Distribution Unit）中，ePDU能夠對子系統(tǒng)和負載電流進行精細控制，使制造商能夠在整個車輛生命周期內全面管理車輛的電源路徑并增加診斷覆蓋率，提高安全性和可靠性。
ATV方案中用電子保險絲（e-Fuse）替代傳統(tǒng)的保險絲，e-Fuse作為可編程、可升級、可診斷的電子保險絲，相比傳統(tǒng)保險絲，最大的優(yōu)勢在于能夠實現(xiàn)快速的短路保護，關斷速度遠遠快于傳統(tǒng)保險絲，有效控制瞬態(tài)跌落電壓和大電流問題。同時e-Fuse具有可編程、可診斷的特性，且在短路事件結束后，e-Fuse能夠自動恢復，這些特點對避免短路故障引起供電通道上相關失效的風險有很有效的貢獻。
5、總結
本文對VDA 450的框架進行了介紹，并以自動駕駛系統(tǒng)為例，對從整車安全目標導出的功能安全要求進行了解釋和說明。受限于文章篇幅，文章僅能起到拋磚引玉的作用，強烈推薦讀者深入到VDA 450原文檔中了解細節(jié)。
廣告 編輯推薦
最新資訊
-
國內首個“路空一體”國家質檢中心落戶廣東
2026-03-04 09:06
-
全國156個！IAE智行眾維入選！工信部2025年
2026-03-04 09:05
-
瓦力大作戰(zhàn)｜輕科普——誤碼儀（BERT）架構
2026-03-04 09:03
-
是德科技推出適用于AI數(shù)據(jù)中心的Scale-Up驗
2026-03-04 09:03
-
“汽車爬坡試驗方法”將有國家標準
2026-03-03 12:44
