飛思卡爾ISO26262 ASIL-D電子助力轉向演示系統(tǒng)方案
加入技術交流群
? 控制通道和監(jiān)控通道都能獲得集成于車輛接口的傳感器信號。（傳感器和控制單元）
? 控制通道和監(jiān)控通道都能獲得集成于執(zhí)行單元的傳感器信號。（傳感器和控制單元）
? 控制通道和監(jiān)控通道所用的傳感器信號必須獨立。（傳感器）
? 控制通道根據(jù)扭矩傳感器輸入和其它來自車身網絡的相關輸入計算助力需求。（控制單元）
? 控制通道控制執(zhí)行單元，產生所需助力。（控制單元）
? 監(jiān)控通道根據(jù)獨立的扭矩傳感器輸入和其它來自車身網絡的相關輸入，校驗控制通道是否正確計算了助力需求。（控制單元）
? 監(jiān)控通道根據(jù)獨立的傳感器輸入，校驗控制通道是否正確控制了執(zhí)行單元。（控制單元）
? 監(jiān)控通道能夠獨立的使系統(tǒng)進入安全狀態(tài)。（控制單元）
? 系統(tǒng)電源監(jiān)控的實現(xiàn)必須獨立于電機控制通道和電機監(jiān)控通道。（控制單元）
? 系統(tǒng)時鐘監(jiān)控的實現(xiàn)必須獨立于電機控制通道和電機監(jiān)控通道。（控制單元）
? 其它需求可參考圖2的EPS功能安全概念。
3. 產品開發(fā)
產品開發(fā)階段包括系統(tǒng)設計、硬件設計和軟件設計、安全確認、功能安全評估和生產準備。下文主要介紹控制單元的設計。
3.1 硬件設計
硬件系統(tǒng)由飛思卡爾針對功能安全的SafeAssureTM品牌的芯片產品構成。MPC5643L為業(yè)內首款通過ISO26262論證的微控制器，MC33907為飛思卡爾新一代的系統(tǒng)基礎芯片（SBC），這兩款芯片均符合ISO26262開發(fā)流程。MPC5643L、MC33907和預驅動芯片MC33937A構成了飛思卡爾針對ISO26262 ASIL-D電機控制應用的硬件設計方案。
圖3為技術安全概念中的安全狀態(tài)控制。MPC5643L通過預驅動芯片MC33937A和功率橋控制電機。MC33907提供系統(tǒng)電源管理和系統(tǒng)監(jiān)控。當出現(xiàn)故障時，系統(tǒng)必須在規(guī)定時間內到達安全狀態(tài)，即電源繼電器和電機隔離繼電器必須及時斷開。MPC5643L和MC33907的各自獨立輸出控制信號，再經過邏輯“或”后，控制這兩種繼電器。
3.2軟件設計
系統(tǒng)軟件可分為底層驅動、操作系統(tǒng)和應用層任務。應用層任務有包括控制任務和監(jiān)控任務。這些軟件同時運行于MPC5643L的處于鎖步模式的雙PowerPC核上。圖4為系統(tǒng)的軟件安全概念。
從功能安全的角度，系統(tǒng)軟件必須考慮避免、檢測或處理隨機硬件故障和軟件系統(tǒng)故障。因此，系統(tǒng)軟件實現(xiàn)了多種安全機制，并且遵循ISO26262軟件開發(fā)流程。EPS系統(tǒng)軟件在系統(tǒng)整合層面上需要滿足ISO26262 ASIL-D 的需求。圖4所示的軟件安全概念通過組件冗余實現(xiàn)了ASIL分解，即控制通道（任務）ASIL-B(D)和監(jiān)控通道（任務）ASIL-B(D)。
3.3安全確認
在產品概念階段和產品開發(fā)階段都需要進行安全分析，其目的：
? 檢查故障和失效對系統(tǒng)造成的影響
? 列出可能導致安全目標偏離的條件和原因
? 發(fā)現(xiàn)原先設計沒考慮到新危險
對于ASIL-D應用來說，需要進行歸納和演繹式的安全量化。在系統(tǒng)層面，采用基于故障樹（FTA）的系統(tǒng)安全分析方法，自上而下的演繹出可能導致安全目標偏離的條件和原因，如圖5列出了可能導致電機產生自主扭矩的條件和原因。而系統(tǒng)FMEDA則為故障樹的末端節(jié)點（事件）提供了具體的失效率。
結論
ISO26262功能安全標準將近年來汽車電子安全模塊設計者的經驗和先進的頂層設計理念結合起來，提供了一整套魯棒性設計和過程管理的方法，對國內EPS系統(tǒng)供應商來說既是挑戰(zhàn)又是機遇。飛思卡爾長期關注和積極投資這一汽車安全應用，及時推出了SafeAssureTM的軟硬件產品和面向ASIL-D的EPS演示系統(tǒng)，并且殷切希望和國內客戶緊密合作，來提升國內EPS系統(tǒng)的整體設計水平和產品檔次。
評論