EMB系统功能安全分析(1)

以下文章来源于汽车电子研究院，作者ZZ先生志

一、简介

汽车领域正迎来电动和智能的新时代，将线控技术应用于车辆控制成为新的趋势。其中，线控制动系统（brake-by-wire）是目前智能车辆领域研究的热点之一。电子机械制动（electronic mechanical brake，EMB）系统应用电子控制完全取代了液压管路，可以实现制动系统的完全解耦，结构更加精简，同时提高了反应速度和执行效率，便于底盘域控及智能驾驶技术发展。但是由于其取消了原有的液压备份冗余，所以对系统的可靠性提出了更高的要求，安全成为影响 EMB发展的关键因素，车辆软硬件功能安全的要求也越来越高 。国际标准化组织（International Organizationfor Standardization， ISO）于 2011 年发布了 ISO 26262标准。

开发合理的线控制动技术控制策略，降低响应时间、提高响应精度的同时，保证功能安全，提高系统可靠性成为智能汽车发展的关键技术之一。根据 ISO 26262 标准中的“ V 模型”流程对 EMB 系统进行功能安全分析，分析故障发生的原因和逻辑关系，以掌握线控制动安全控制的关键；进行功能安全概念（functional safety concept，FSC）设计，建立三路并行的冗余优化方案，确定符合安全目标的 EMB 系统架构，并基于该系统架构设计失效运行策略；最后，搭建联合仿真模型进行故障注入实验，验证安全分析的合理性及安全机制对系统安全性的影响。

二、EMB系统概述

电子机械制动（EMB）系统由电子踏板单元、传感器阵列、控制单元、执行单元及电源系统 5 大部分组成。

电子踏板单元可以采集驾驶员制动意图并模拟制动反馈力矩；

传感器阵列包括各类传感器，用来采集车辆状态信息；

控制单元采用分层控制架构，由1 个上层决策控制器（brake control unit，BCU）和 4 个轮边控制器（wheel acuator control unit，WACU）组成，其中 BCU进行信息处理及四轮制动力矩计算等决策，WACU 接受上层控制器的指令，可实现轮边电机独立控制；

执行单元包括制动执行机构、制动信号灯及人机界面；

电源系统为 EMB 系统供电。

此外，以上模块通过 CAN 网络进行信息交换。基于该基本架构，进行系统安全分析。

EMB 系统最基本的功能需求为驾驶员制动需求响应，此外，需引入智能车辆带来的新需求，如车辆主动制动及稳定性控制；同时，还需实现相关警示信号和制动灯的激活功能。考虑系统为分层控制架构，可将总需求进行逐层分配，综合可得 EMB 系统车辆级和系统级的功能需求如图 所示。

三、EMB系统功能安全等级评估

ISO 26262 标准中最重要的环节之一就是危险分析 和 风 险 评 估（hazard analysis and risk assessment，HARA），进而确定汽车完整性等级和安全目标。根据 HARA 分析方法论，可分为 4 个步骤：场景分析、故障模式分析、危险事件分析及相关汽车安全完整性等级评估、安全目标确定。

（1）场景分析

场景分析过程中，需要考虑道路类型、路面条件、环境因素及驾驶行为状态，并结合实际的道路交通状况等因素以推导出合理的功能安全要求。为保证分析的广泛性，本文场景分析包含车辆常见行驶场景及极端场景，车辆高、中、低速行驶场景以及行驶中遇到不同周边环境的多种情况，具体如下说明。

道路类型：高速公路、城市道路、盘山公路、交通路口，停车场；

车速：高速（> 90 km/h）、中速（30 ~ 90 km/h）、低速（< 30 km/h）；

周边环境类型：其他车辆、行人、障碍物；

天气：晴朗、雨天、冰雪天气、夜晚。

（2）故障模式

根据标准有 6 大类常见故障失效模式，分别为：有需求无输出、无需求有输出、输出大于需求、输出小于需求、输出与需求相反、输出异常。结合 EMB 系统功能需求，可得系统主要故障类型有：制动失效、突发制动、制动疲软、四轮制动分配异常、制动灯或人机界面显示异常。

（3）危险事件分析及系统 ASIL 等级评估

汽车安全完整性等级（automotive safety integration level，ASIL）等级是将故障发生后产生的风险进行了评估和量化，风险越大对应安全要求的级别越高，ASIL等级由低到高分为 QM、A、B、C、D。具体 ASIL 等级的确定取决于 3 个基本要素：严重度 (S)、暴露率 (E) 和可控性 (C)。

上述要素可分为多个不同等级，具体划分标准。

（4）EMB 系统功能安全目标

当安全目标需高于根据具体驾驶环境所确定的 S、E、C 评估的危险险事件的 ASIL 等级时，系统的安全目标应取风险中最高等级。根据 HARA 分析结果可以得到 13 条安全目标，如表中所示。

见表 1