轉向功能安全概念分析和試驗研究

方順亭 李晶 王玉磊 楊清凱 榮玉良

中國汽車技術研究中心有限公司 天津市 300300

1 引言

隨著汽車電子技術的飛速發展，汽車集成了越來越多先進功能的電氣系統。這些功能的開發和集成，不僅極大地提高了汽車駕駛的舒適性、主被動安全性能、駕駛輔助以及動態控制性能，但高度集成化的電氣系統也給汽車駕駛的安全埋下了安全的隱患。為保證車輛安全相關電子電氣系統在安全周期內功能安全的正常運行，汽車功能安全已成為人們越來越關注的問題。國際電工委員會（IEC）于2000 年5月發布了IEC61508《電氣/ 電子/ 可編程電子安全系統的功能安全》標準，此標準目的是針對以電子為基礎的安全系統建立了一套統一的、合理的技術方案。在此背景下，國際標準化組織在2011 年11 月頒布了ISO26262《道路車輛電氣系統功能安全》。該標準涉及具有一個或多個電子、電氣系統且最大總質量在3.5t 以內的乘用車，用以解決有電子、電氣相關的安全系統故障可能會引發的危害，包括這些系統間的相互作用和影響。

我國修改采用ISO26262 于2017 年發布首個面向汽車領域的功能安全標準GB/T 34590-2017《道路車輛 功能安全》。該標準針對道路車輛電子電氣系統提供了適當的要求和流程并給出避免風險的指導。從整車再到部件，受安全性及GB 17675-1999《汽車轉向系基本要求》的限制，GB 17675-2021《汽車轉向系 基本要求》代替了舊標準，增加了附錄B“對轉向電子控制系統的功能安全要求”，從功能安全的角度提出了明確的安全性要求。本標準附錄B 功能安全要求部分，規定了轉向電子控制系統在功能安全方面的文檔、安全策略及驗證確認的要求。本文依據GB 17675-2021《汽車轉向系 基本要求》附錄B 依據轉向電子控制系統功能安全要求就危害分析和風險評估、安全分析進行簡要概述，并對某款帶有電動助力轉向系統乘用車開展了轉向功能安全試驗驗證。

2 轉向功能安全概述

2.1 基本原理

轉向電子控制系統通常由控制器、傳感器和執行器等獨立的功能組件構成，并通過傳輸鏈相互連接。以電動助力轉向（EPS）為例，其要素清單組建的架構圖如圖1 所示。扭矩傳感和角度傳感器采集駕駛員施加在方向盤上的操縱力距和轉動角度信號，CAN 總線中讀出整車當前行駛的車速信號，這些信號都傳遞到ECU，ECU 根據內置的控制策略，計算出目標力矩，通過電信號傳遞給電機，電機經減速機構將助力力矩作用在機械式轉向系統上，與駕駛員的操縱力矩一同克服轉向阻力矩，實現車輛的轉向。

圖1 EPS 系統架構圖

2.2 ASIL 等級的確定

對于潛在風險，ISO26262 依據嚴重度（S）、暴露概率（E）和可控制性（C）的不同程度進行評估ASIL 等級（汽車安全完整性等級）。嚴重度，指危險發生后交通參與者包括駕駛員、乘客、行人以及車輛的損害程度；暴露率，指人員和車輛暴露在不同場景下系統失效可能發生的概率；可控制性，指危險發生后駕駛員通過采取措施對危害的控制能力。其中，ASIL等級分為A、B、C、D 四個等級，A 為最低等級，D 為最高等級，等級越高對系統的安全性要求則越高。嚴重程度、暴露概率和可控制性的等級的描述如表1 所示，風險等級的確定如表2 所示。

表1 嚴重度、暴露概率、可控制性的等級劃分

表2 ASIL 等級的確定

表2 的QM 代表質量管理，表示按照質量管理體系開發系統或功能即可，不考慮安全設計要求。

3 轉向系統的危害分析和風險評估

首先要對危害進行識別，即應用足夠充分的技術手段確定危害，并在整車層面上觀察到的行為或條件來定義危害。常用的危害識別方法有故障模式影響分析（FEMA）、安全檢查列表（SCL）、危險與可操作性分析（HAZOP）等。危險與可操作性分析（HAZOP）是一種探索型的分析方法，從相關項功能層面出發，通過引導詞分析特定功能異常可能導致的危害。本文以HAZOP 方法為例，表 3 給出了電動轉向助力功能的HAZOP 分析。

表3 電動轉向助力功能的HAZOP 分析

結合運行場景維度將轉向助力功能的異常表現映射到整車層面危害，表4 以車輛直行和轉彎為例。

表4 整車層面危害分析

基于上述ASIL 等級評定原則，結合車輛運行場景，得到每一事件對應的ASIL等級，下面以個別場景工況為例得出整車危害分析和風險評估分析示例，如表5所 示。

表5 電動助力轉向功能的危害分析和風險評估分析示例

4 轉向電子控制系統功能安全目標

通過對轉向電子控制系統的危害分析和風險評估得出最高層面的安全要求，即安全目標。針對表4 和表5 中的相關危害，表6 給出了包含安全度量的電動助力轉向功能安全目標示例，其中安全度量可根據側向加速度、橫擺角速度、方向盤力矩等技術參數體現，也可增加主觀感受評價安全措施效果。根據得出的安全目標，映射到相應的轉向電子控制系統的架構要素或外部措施上，并進一步細化至技術安全和軟硬件要求，完成V 型開發流程的左側開發設計階段。

表6 電動助力轉向系統功能安全目標

5 功能安全驗證

為確保轉向電子控制系統的功能安全開發結果滿足相應的安全要求，需在整車層面開展功能安全驗證試驗，現針對上述的安全目標，分別選取軟硬件故障開展試驗驗證。基于圖1 架構圖，制造某一要素出現故障，其他要素均正常運行，再結合整車的運行工況，對其安全措施進行試驗驗證。如“角度傳感器”要素提供了錯誤的“轉角信號”，會造成EPS 主控單元發出錯誤的指令，導致錯誤的轉向。結合整車運行場景——運行條件、車輛狀態、駕駛模式等，針對可造成的非預期側向運動、車輛側向運動控制喪失、轉向沉重等整車危害，開展驗證試驗，其中，表7 為試驗的部分測試結果。通過對大量的軟硬件故障注入的測試應例試驗，車輛均可控，滿足功能安全目標要求。

表7 電動助力轉向系統功能安全驗證

6 結束語

本文針對轉向電子控制系統功能安全設計開發V 模型左側流程的進行了簡要概述，通過危害分析和風險評估提出了對應的安全目標和安全度量，并根據GB17675-2021《汽車轉向系 基本要求》附錄B 關于轉向電子控制系統功能安全的相關要求，對樣車開展了軟硬件故障注入試驗，以驗證其功能安全的可靠性。