基于ISO26262的混合動(dòng)力汽車(chē)TMS系統(tǒng)功能安全設(shè)計(jì)

韓宜偉 劉福聚 崔福軍 劉志勇 張?jiān)?/p>

（北京中機(jī)車(chē)輛司法鑒定中心 北京市 100176）

隨著國(guó)家和社會(huì)的強(qiáng)力支持，科學(xué)技術(shù)的突飛猛進(jìn)，汽車(chē)與能源、交通、信息通信等領(lǐng)域相關(guān)技術(shù)加速融合，電動(dòng)化、網(wǎng)聯(lián)化、智能化成為汽車(chē)產(chǎn)業(yè)發(fā)展的潮流和趨勢(shì)。日益增多的電子設(shè)備給汽車(chē)的性能帶來(lái)大幅度的提升，但也帶來(lái)了比以往更復(fù)雜的整車(chē)安全性問(wèn)題。2011年ISO 國(guó)際標(biāo)準(zhǔn)化組織聯(lián)合IEC 國(guó)際電工協(xié)會(huì)共同制定了ISO26262 功能安全標(biāo)準(zhǔn)，旨在減少因電子電氣系統(tǒng)失效而導(dǎo)致的安全風(fēng)險(xiǎn)，提高整車(chē)的安全性。

近些年來(lái)國(guó)內(nèi)的企業(yè)和高校也加強(qiáng)了電子電氣系統(tǒng)功能安全方面的研究，濰柴動(dòng)力的張佳驥[1]提出基于ISO26262 的純電動(dòng)公交車(chē)VCU 的設(shè)計(jì)；上海捷能汽車(chē)?yán)钕嗳A[2]結(jié)合功能安全概念對(duì)混合動(dòng)力汽車(chē)駐車(chē)系統(tǒng)進(jìn)行了分析；同濟(jì)大學(xué)黃代富[3]運(yùn)用功能安全方法設(shè)計(jì)了電池管理系統(tǒng)等，但是作為新能源汽車(chē)重要的輔助系統(tǒng)，關(guān)于TMS系統(tǒng)在此方面的研究較少。本文將以某重型混合動(dòng)力商用車(chē)TMS系統(tǒng)為例，重點(diǎn)闡述功能安全階段的設(shè)計(jì)與開(kāi)發(fā)，旨在為后續(xù)基于功能安全的TMS系統(tǒng)軟硬件開(kāi)發(fā)提供借鑒。

1 概念階段設(shè)計(jì)

1.1 TMS系統(tǒng)邊界與相關(guān)項(xiàng)定義

一般混合動(dòng)力車(chē)輛會(huì)同時(shí)配備幾套冷卻系統(tǒng)分別給發(fā)動(dòng)機(jī)、動(dòng)力電機(jī)及動(dòng)力電池等部件進(jìn)行冷卻，本文介紹的TMS系統(tǒng)專(zhuān)門(mén)為動(dòng)力電機(jī)和動(dòng)力電池及高壓附件進(jìn)行冷卻，熱管理系統(tǒng)的示意圖如圖1所示。對(duì)于TMS系統(tǒng)的結(jié)構(gòu)此時(shí)強(qiáng)調(diào)幾點(diǎn)：

圖1：混合動(dòng)力汽車(chē)TMS系統(tǒng)示意圖

（1）電動(dòng)壓縮機(jī)和機(jī)械壓縮機(jī)共用一套冷凝器、儲(chǔ)液罐及冷凝劑管路，冷卻液與冷凝劑熱交換后通過(guò)閥通管路串并聯(lián)的流經(jīng)電機(jī)、電池等部件。

（2）電動(dòng)壓縮機(jī)與機(jī)械壓縮機(jī)互為冗余，兩者都可以單獨(dú)工作，也可以聯(lián)合起來(lái)運(yùn)行。

（3）電動(dòng)壓縮機(jī)相比機(jī)械壓縮機(jī)更加經(jīng)濟(jì)、平穩(wěn)，且NVH 表現(xiàn)更好，因此電動(dòng)壓縮機(jī)作為冷卻系統(tǒng)的主執(zhí)行機(jī)構(gòu)。

（4）TMS 控制器控制冷卻系統(tǒng)常規(guī)的功能，在TMS 控制器出現(xiàn)故障時(shí)整車(chē)控制器會(huì)接管部分冷卻系統(tǒng)的功能。

（5）TMS系統(tǒng)除了具有冷卻電池電機(jī)功能，還具備駕駛室內(nèi)空調(diào)冷卻及電池加熱功能，但本文主要考慮電池和電機(jī)冷卻功能，在此不過(guò)多闡述討論。TMS系統(tǒng)由機(jī)械結(jié)構(gòu)、電氣部件、高低壓線束以及眾多軟硬件組成的控制器組成，在此之中TMS 控制器屬于TMS系統(tǒng)控制的核心，通過(guò)CAN 總線與電池管理系統(tǒng)（BMS）、電機(jī)控制器（MCU）等進(jìn)行信息交互。通過(guò)采集管道內(nèi)溫度信號(hào)、壓縮機(jī)轉(zhuǎn)速信號(hào)、冷媒壓力值信號(hào)等，進(jìn)行相應(yīng)的水泵驅(qū)動(dòng)、風(fēng)扇調(diào)速、壓縮機(jī)控制等功能。TMS 控制器的功能概括如下：

（1）根據(jù)車(chē)輛部件狀態(tài)控制TMS系統(tǒng)部件工作；

（2）響應(yīng)外部ECU 制冷請(qǐng)求；

（3）故障報(bào)警。

功能1：根據(jù)車(chē)輛部件狀態(tài)控制TMS系統(tǒng)部件工作。根據(jù)車(chē)輛部件狀態(tài)控制TMS系統(tǒng)部件進(jìn)行工作，這是TMS 控制器最基本的功能。當(dāng)車(chē)輛當(dāng)前充放電狀態(tài)活躍，電池或電機(jī)等部件溫度處于較高水平時(shí)，TMS 控制器對(duì)接受的信號(hào)進(jìn)行處理，根據(jù)車(chē)輛目前的需求及自身的工作狀態(tài)，控制TMS系統(tǒng)中的部件進(jìn)行制冷工作。

功能2：響應(yīng)外部ECU 制冷請(qǐng)求。對(duì)于預(yù)見(jiàn)性巡航控制（Predictive Cruise Control，PCC）系統(tǒng)而言，車(chē)輛可以預(yù)知接下來(lái)幾公里甚至幾十公里的道路，由此車(chē)輛的工作模式對(duì)制冷系統(tǒng)要求更加靈活多樣，以此來(lái)應(yīng)對(duì)更高級(jí)別的輔助駕駛工況，高級(jí)輔助駕駛（Advanced Driver Assistance Systems，ADAS）ECU 通過(guò)與TMS控制器的請(qǐng)求接口實(shí)現(xiàn)制冷控制。

功能3：故障報(bào)警。TMS系統(tǒng)應(yīng)該能夠按照設(shè)定的工作模式控制電池、電機(jī)等部件工作在一定的溫度值范圍內(nèi)，當(dāng)部件溫度范圍無(wú)法滿足時(shí)，TMS系統(tǒng)需要將故障狀態(tài)發(fā)送給HMI，在儀表盤(pán)上點(diǎn)亮黃燈提醒駕駛員系統(tǒng)故障。

1.2 功能失效模式與整車(chē)危害

ISO 26262 中推薦了一種系統(tǒng)性分析相關(guān)項(xiàng)危害的方法——HAZOP(危害和可操作性分析，Hazard and Operability Analysis)，HAZOP 給開(kāi)發(fā)人員提供了一種分析功能失效的思維方式，被車(chē)輛設(shè)計(jì)研發(fā)人員廣泛地運(yùn)用到了功能安全開(kāi)發(fā)中，因此本文也借助HAZOP 對(duì)TMS系統(tǒng)進(jìn)行分析。如表1、表2 和表3所示，HAZOP主要從以下幾個(gè)方面分析功能失效的模式，從而識(shí)別出功能失效導(dǎo)致的整車(chē)危害。

表1：功能1 HAZOP 分析

表2：功能2 HAZOP 分析

表3：功能3 HAZOP 分析

（1）功能缺失-在有需求時(shí)無(wú)法提供相應(yīng)的功能。

（2）功能非預(yù)期激活-在沒(méi)有需求時(shí)功能激活。

（3）輸出卡在某一固定值-功能沒(méi)有按照預(yù)期進(jìn)行更新。

（4）有需求時(shí)提供非預(yù)期的功能。

綜上分析，雖然TMS系統(tǒng)不同功能對(duì)應(yīng)的功能失效不同，但是引起的整車(chē)危害是有重疊部分的，根據(jù)整車(chē)危害篩選整理匯總?cè)绫?所示。

表4：功能失效模式及整車(chē)危害匯總

1.3 危害事件風(fēng)險(xiǎn)評(píng)估和安全目標(biāo)導(dǎo)出

在概念設(shè)計(jì)階段，研發(fā)設(shè)計(jì)人員需要將TMS 控制器當(dāng)作一個(gè)“黑盒”看待，分析系統(tǒng)失效功能時(shí)不能考慮已有的安全機(jī)制。將車(chē)輛運(yùn)行狀態(tài)、地理位置、天氣狀況、道路場(chǎng)景、危害事件中涉及的人員等等相結(jié)合便可以得到車(chē)輛場(chǎng)景的模型庫(kù)，利用分析得到的系統(tǒng)失效模式結(jié)合車(chē)輛場(chǎng)景模型庫(kù)可以得到較為豐富的危害事件，并根據(jù)系統(tǒng)實(shí)際工作狀況剔除不合理的危害事件，接下來(lái)對(duì)危害事件進(jìn)行汽車(chē)安全完整性等級(jí)（Automotive Safety Integrity Level,ASIL）打分，危害事件主要是從S（severity 嚴(yán)重度）、E（Exposure暴露度）和C（controllability 可控度）三個(gè)維度對(duì)風(fēng)險(xiǎn)進(jìn)行評(píng)級(jí)得出對(duì)應(yīng)的ASIL 等級(jí)，其中嚴(yán)重度S 指危害發(fā)生時(shí)對(duì)駕駛員、乘客、路人或周邊車(chē)輛中人員會(huì)造成的傷害等級(jí)，包含S0-S3，S0 為無(wú)傷害，S3 為危及生命的傷害；暴露度指運(yùn)行場(chǎng)景在日常駕駛過(guò)程中發(fā)生的概率，包含E0-E4，E0 為不可能，E4 為高概率；可控度指危害發(fā)生時(shí)駕駛員或其他涉險(xiǎn)人員能夠控制危害或者避免傷害的概率，包含C0-C3，C0 為原則可控，C3 為難以控制。ASIL 等級(jí)的評(píng)定遵循以下公式：

如表5所示為T(mén)MS系統(tǒng)功能風(fēng)險(xiǎn)評(píng)估表，ISO 26262 要求，應(yīng)為具有ASIL 等級(jí)的每個(gè)危害事件確定一個(gè)安全目標(biāo)。因此，基于前面的分析結(jié)果，我們可以得到TMS系統(tǒng)的安全目標(biāo)并匯總?cè)缦拢?/p>

表5：TMS 功能風(fēng)險(xiǎn)評(píng)估

SG01：TMS系統(tǒng)在車(chē)輛充放電過(guò)程中應(yīng)避免制冷量過(guò)小→ASIL B

SG02：TMS 在響應(yīng)外部ECU 的制冷請(qǐng)求時(shí)應(yīng)避免制冷量過(guò)小→ ASIL A

1.4 功能安全概念

根據(jù)前面相關(guān)項(xiàng)定義、危害事件風(fēng)險(xiǎn)評(píng)估與分析導(dǎo)出了TMS系統(tǒng)的安全目標(biāo)，ISO26262 中規(guī)定每一個(gè)安全目標(biāo)都需要有至少一個(gè)功能安全需求 （Functional Safety Requirement，F(xiàn)SR）來(lái)承接，而一項(xiàng)FSR 可以對(duì)應(yīng)多個(gè)安全目標(biāo)，通過(guò)導(dǎo)出的FSR 可以指導(dǎo)后續(xù)系統(tǒng)、軟硬件等的設(shè)計(jì)。作為功能安全中一個(gè)重要的屬性，F(xiàn)SR的ASIL 等級(jí)是繼承自該需求所屬的安全目標(biāo)的，如果該FSR 屬于多個(gè)安全目標(biāo)，那么FSR 的ASIL 等級(jí)取多個(gè)安全目標(biāo)的ASIL 等級(jí)的最高值。如果說(shuō)某一 FSR 可以分解為兩個(gè)獨(dú)立的需求，那么相應(yīng)的 ASIL 等級(jí)也會(huì)進(jìn)行分解，從而可以降低后續(xù)活動(dòng)中該條需求的開(kāi)發(fā)與驗(yàn)證難度進(jìn)行推導(dǎo)設(shè)計(jì)。

1.4.1 FTA 分析

按照ISO 26262 的要求，需要在系統(tǒng)設(shè)計(jì)時(shí)進(jìn)行安全分析，常用的安全分析方法有：故障樹(shù)分析 （FTA） 、失效模式與影響分析 （FMEA） 等。本文采用故障樹(shù)FTA 方法進(jìn)行安全分析。以TMS 制冷量過(guò)小作為頂事件，將其向下依次分解到傳感器、控制器和執(zhí)行器中，再繼續(xù)向下進(jìn)行分解至最底層，如圖2所示以SG01 安全目標(biāo)為例。

圖2：TMS 安全目標(biāo)SG01 故障樹(shù)分析

1.4.2 功能安全需求（FSR）分析

結(jié)合前面導(dǎo)出的安全目標(biāo)需求和故障樹(shù)分析，表6 給出了功能安全需求定義，每一項(xiàng)安全目標(biāo)對(duì)應(yīng)不止一項(xiàng)功能安全需求。

表6：SG01 功能安全需求分析

由功能安全需求和故障樹(shù)分析結(jié)果，將功能安全需求分配到相關(guān)子系統(tǒng)中，作為各子系統(tǒng)開(kāi)發(fā)的需求輸入，分配結(jié)果如圖3所示。

圖3：TMS系統(tǒng)SG01 功能安全需求分配

1.4.3 技術(shù)安全需求（TSR）分析

技術(shù)安全需求（TSR）是實(shí)現(xiàn)功能安全需求的必要的技術(shù)要求，目的是將相關(guān)項(xiàng)層面的功能安全需求細(xì)化到系統(tǒng)層面的技術(shù)安全需求。技術(shù)安全需求應(yīng)包含系統(tǒng)故障的探測(cè)、指示和控制措施；使系統(tǒng)實(shí)現(xiàn)或維持在安全狀態(tài)的措施；對(duì)于功能安全需求中的警告和降級(jí)細(xì)化等。結(jié)合FTA 安全分析結(jié)果和功能安全需求導(dǎo)出的技術(shù)安全需求如表7所示。

表7：SG01 技術(shù)安全需求分析

2 系統(tǒng)架構(gòu)設(shè)計(jì)

根據(jù)前面功能安全需求及技術(shù)安全需求，進(jìn)行TMS 控制器系統(tǒng)架構(gòu)的設(shè)計(jì)。系統(tǒng)架構(gòu)借鑒采用E-Gas 三層架構(gòu)模式，包含兩個(gè)控制單元如圖4所示，第1 層是基本功能層，包含TMS 控制器軟件中所有的控制算法、標(biāo)定參數(shù)和基本的驅(qū)動(dòng)及故障診斷功能。第2 層是功能監(jiān)控層，主要是對(duì)第一層進(jìn)行監(jiān)控，通過(guò)冗余的信號(hào)檢測(cè)處理是否正確，監(jiān)控第一層輸出數(shù)據(jù)是否正常。第3 層為處理器監(jiān)控層，獨(dú)立于功能控制單元（一般采用ASIC 或微處理器），通過(guò)問(wèn)、答的形式監(jiān)控功能控制單元工作是否正常。

圖4：TMS 控制器系統(tǒng)架構(gòu)設(shè)計(jì)

3 結(jié)論

本文介紹了基于ISO26262 標(biāo)準(zhǔn)的功能安全的開(kāi)發(fā)流程，并對(duì)混合動(dòng)力重卡TMS系統(tǒng)TMS 進(jìn)行功能安全設(shè)計(jì)分析。定義了TMS系統(tǒng)相關(guān)項(xiàng)，通過(guò)HAZOP 分析確定了TMS系統(tǒng)的功能失效模式及對(duì)應(yīng)整車(chē)危害，通過(guò)危害事件風(fēng)險(xiǎn)評(píng)估對(duì)TMS 進(jìn)行了安全目標(biāo)導(dǎo)出；結(jié)合功能安全和技術(shù)安全需求進(jìn)行了系統(tǒng)概念的設(shè)計(jì)。本文論述的方法對(duì)混合動(dòng)力TMS 的功能安全開(kāi)發(fā)具有一定的可行性及實(shí)用價(jià)值，為下一步系統(tǒng)開(kāi)發(fā)及軟硬件設(shè)計(jì)提供了依據(jù)。