混合動(dòng)力汽車駐車系統(tǒng)的功能安全概念

李相華 王林 葉錦

為解決現(xiàn)有駐車控制技術(shù)中的駐車安全問題，從ISO 26262標(biāo)準(zhǔn)要求出發(fā)，針對(duì)混合動(dòng)力汽車駐車系統(tǒng)進(jìn)行失效分析和風(fēng)險(xiǎn)評(píng)估，給出了系統(tǒng)級(jí)別的安全目標(biāo)，提出了駐車系統(tǒng)的功能安全監(jiān)控概念，為后續(xù)產(chǎn)品的安全開發(fā)提供了安全依據(jù)。

駐車系統(tǒng);功能安全;安全概念

0 前言

隨著新能源汽車電動(dòng)化和智能化的快速發(fā)展，越來越多的輔助駕駛或者自動(dòng)駕駛功能出現(xiàn)在車輛上，用戶可以更加便捷地使用車輛。駐車系統(tǒng)是車輛實(shí)現(xiàn)停車的重要保證，也是輔助駕駛或自動(dòng)駕駛功能實(shí)現(xiàn)量產(chǎn)落地的重要執(zhí)行機(jī)構(gòu)。輔助駕駛或自動(dòng)駕駛產(chǎn)品的安全可靠，需要滿足ISO 26262標(biāo)準(zhǔn)的功能安全要求[1]，否則會(huì)直接影響到車輛的使用安全和駕駛員的人身安全。

ISO 26262標(biāo)準(zhǔn)是國(guó)際標(biāo)準(zhǔn)化組織在2011年提出的，專用于汽車行業(yè)電控系統(tǒng)的安全開發(fā)，為車輛電子電器系統(tǒng)的整個(gè)生命周期的安全性和可靠性提供了技術(shù)要求和方法保障[2]。在2017年，國(guó)內(nèi)汽車行業(yè)實(shí)現(xiàn)了國(guó)際標(biāo)準(zhǔn)的國(guó)內(nèi)轉(zhuǎn)化，并發(fā)布了GB/T 34590標(biāo)準(zhǔn)。駐車系統(tǒng)作為車輛電子電氣系統(tǒng)的一部分，需要從功能安全角度分析和評(píng)估其系統(tǒng)失效的影響，并設(shè)計(jì)相應(yīng)的功能安全監(jiān)控概念，確保駐車系統(tǒng)的執(zhí)行過程安全可靠。

為解決現(xiàn)有駐車控制技術(shù)中未考慮的系統(tǒng)失效或故障情況下如何確保駐車安全的問題，本文從ISO 26262標(biāo)準(zhǔn)要求出發(fā)，針對(duì)混合動(dòng)力汽車駐車系統(tǒng)進(jìn)行失效分析和風(fēng)險(xiǎn)評(píng)估，給出了系統(tǒng)級(jí)別的安全目標(biāo)，最后設(shè)計(jì)完成了駐車系統(tǒng)的功能安全監(jiān)控概念，為后續(xù)產(chǎn)品開發(fā)和技術(shù)層面的安全設(shè)計(jì)提供了依據(jù)。本研究為國(guó)家重點(diǎn)研發(fā)計(jì)劃（2018YFB0105803）：新型高性價(jià)比混合動(dòng)力總成開發(fā)基金項(xiàng)目。

1 駐車系統(tǒng)

駐車系統(tǒng)一般安裝在混合動(dòng)力汽車的電驅(qū)動(dòng)箱的傳動(dòng)軸端，包括駐車控制器、駐車電機(jī)、駐車執(zhí)行總成及駐車齒輪等結(jié)構(gòu)。駐車系統(tǒng)的結(jié)構(gòu)示意如圖1所示。駐車系統(tǒng)的主要功能是在接收到駕駛員的進(jìn)駐車和退駐車操作時(shí)，控制器控制駐車電機(jī)工作，推動(dòng)執(zhí)行機(jī)構(gòu)運(yùn)動(dòng)，實(shí)現(xiàn)棘爪進(jìn)駐車和退駐車。

駕駛員的進(jìn)駐車和退駐車操作，一般是由外部換檔桿模塊（SCU）檢測(cè)，并通過控制器局域網(wǎng)絡(luò)（CAN）通訊發(fā)送給駐車控制器。在接收到進(jìn)退駐車請(qǐng)求后，駐車控制器結(jié)合車速等車輛其他狀態(tài)信息，控制駐車電機(jī)運(yùn)動(dòng)使執(zhí)行機(jī)構(gòu)向駐車位置或空檔位置移動(dòng)，實(shí)現(xiàn)進(jìn)退駐車。然后，駐車控制器將駐車系統(tǒng)的狀態(tài)通過CAN通訊反饋到儀表等設(shè)備，將信息傳遞給駕駛員。駐車系統(tǒng)的邊界條件如圖2所示。

2 失效分析與風(fēng)險(xiǎn)評(píng)估

失效分析與風(fēng)險(xiǎn)評(píng)估的目的是發(fā)現(xiàn)和評(píng)估出駐車控制系統(tǒng)中有哪些潛在失效會(huì)對(duì)車輛運(yùn)行產(chǎn)生人身安全的風(fēng)險(xiǎn)。失效分析常用的方法工具有危險(xiǎn)可操作性分析（HAZOP）、功能危險(xiǎn)性分析（FHA）、頭腦風(fēng)暴，以及售后故障調(diào)查等[3]。本文采用HAZOP方法對(duì)系統(tǒng)失效進(jìn)行分析。結(jié)合駐車控制系統(tǒng)的特點(diǎn)，使用的引導(dǎo)詞和得出的失效模式如表1所示。

依據(jù)駐車控制系統(tǒng)的特點(diǎn)，進(jìn)駐車卡滯失效是與無法進(jìn)駐車失效相同的，退駐車卡滯失效是與無法退駐車失效相同的。因此，把相同或者相似的功能失效進(jìn)行合并描述，最后形成的駐車控制系統(tǒng)的功能失效如表2所示。

在進(jìn)行風(fēng)險(xiǎn)評(píng)估時(shí)，須將系統(tǒng)的潛在失效結(jié)合到場(chǎng)景中評(píng)估其對(duì)車輛運(yùn)行的影響。

運(yùn)行場(chǎng)景包括了道路條件、運(yùn)行環(huán)境、車輛狀態(tài)和駕駛員操作等因素。駐車系統(tǒng)的運(yùn)行場(chǎng)景比較簡(jiǎn)單，比如坡道上進(jìn)駐車、車輛正常行駛時(shí)退駐車等。結(jié)合駐車系統(tǒng)的失效模式和運(yùn)行場(chǎng)景，可以綜合形成駐車系統(tǒng)的危害事件。然后，針對(duì)每個(gè)危害事件，依據(jù)ISO 26262標(biāo)準(zhǔn)要求，從嚴(yán)重度S、暴露度E和可控度C 3個(gè)角度進(jìn)行風(fēng)險(xiǎn)評(píng)估，并得到汽車安全完整性等級(jí)（ASIL）。駐車系統(tǒng)的風(fēng)險(xiǎn)評(píng)估的示例如表3所示。

以危害事件HE-4為例，停車場(chǎng)景暴露度非常高的可評(píng)為E4，但考慮到在坡道上停車且前后方有行人的情況，將2種場(chǎng)景疊加后的暴露度評(píng)估為E3;溜車撞倒行人會(huì)直接危害到行人人身安全，嚴(yán)重度為S3;對(duì)于可控度，最壞情況是駕駛員不在車內(nèi)，幾乎無法控制車輛，評(píng)估為C4;最終得到風(fēng)險(xiǎn)等級(jí)為ASIL-C。

依據(jù)危害事件和風(fēng)險(xiǎn)評(píng)估結(jié)果，可得出系統(tǒng)層面的安全目標(biāo)如表4所示。

安全目標(biāo)作為1個(gè)產(chǎn)品或系統(tǒng)最高層面的安全要求，按照ISO 26262標(biāo)準(zhǔn)要求，包括ASIL等級(jí)、故障容錯(cuò)時(shí)間（FTTI）及安全狀態(tài)等屬性要求。依據(jù)工程開發(fā)經(jīng)驗(yàn)，F(xiàn)TTI參數(shù)與系統(tǒng)功能設(shè)計(jì)方法有關(guān)，在安全目標(biāo)階段可以不給出，而是在功能安全概念階段依據(jù)系統(tǒng)初始功能設(shè)計(jì)、安全狀態(tài)進(jìn)行計(jì)算和分解。另外FTTI分析過程復(fù)雜且涉及到具體駐車結(jié)構(gòu)參數(shù)。在此，本文不作進(jìn)一步分析闡述。

3 功能安全監(jiān)控概念

功能安全概念的目的是根據(jù)上文提出的安全目標(biāo)，分析并得到實(shí)現(xiàn)這些目標(biāo)的設(shè)計(jì)措施和安全要求，然后分配到具體的實(shí)施系統(tǒng)要素，優(yōu)化系統(tǒng)功能架構(gòu)，形成整體的安全概念。

功能安全概念的開發(fā)思路包括以下3個(gè)步驟。（1）針對(duì)每1項(xiàng)安全目標(biāo)，使用故障樹分析（FTA）方法，逐層分析并識(shí)別出系統(tǒng)初始架構(gòu)中違背安全目標(biāo)的潛在失效或故障。（2）針對(duì)識(shí)別到每1條失效或故障，提出安全措施或安全機(jī)制，具體可從如下維度考慮：① 故障規(guī)避措施;②故障探測(cè)措施;③進(jìn)入或退出安全狀態(tài)的條件;④故障容錯(cuò)措施;⑤降級(jí)或報(bào)警措施;⑥避免潛伏故障等措施。（3）將提出的安全措施或安全機(jī)制分配到系統(tǒng)初始功能架構(gòu)要素中，優(yōu)化完善系統(tǒng)初始功能架構(gòu)。

在此，需要特別說明的是，在提出安全措施或安全機(jī)制時(shí)，不需要局限在本系統(tǒng)范圍內(nèi)，也可由其他技術(shù)措施或外部電控系統(tǒng)實(shí)現(xiàn)。比如本文提出的SG-2：系統(tǒng)應(yīng)避免非預(yù)期進(jìn)駐車，可通過提出機(jī)械層面的技術(shù)措施來實(shí)現(xiàn)，可通過改進(jìn)駐車結(jié)構(gòu)總成的機(jī)械設(shè)計(jì)，實(shí)現(xiàn)車速大于5 km/h時(shí)限制駐車棘爪嚙合進(jìn)駐車齒輪的情況。另外，在功能安全概念開發(fā)過程中，需要同時(shí)考慮到外部系統(tǒng)的安全要求。

3.1 功能安全要求的導(dǎo)出

下面以本文提出的SG-3為例詳細(xì)闡述功能安全要求的導(dǎo)出。如圖3所示，首先使用FTA方法分析得出的違背SG-3的失效情況。針對(duì)這些失效情況，駐車系統(tǒng)需要增加退駐車執(zhí)行監(jiān)控功能，部分功能安全要求如表5所示。

針對(duì)FSR-3要求，技術(shù)人員從功能實(shí)現(xiàn)角度進(jìn)一步細(xì)化提出需要系統(tǒng)層面增加的部分安全功能（表6），從輸入、控制和輸出角度分別提出安全要求。

針對(duì)新增加的駐車執(zhí)行監(jiān)控的功能，使用FTA進(jìn)一步分析（圖3）。從故障探測(cè)措施、進(jìn)入或退出安全狀態(tài)的條件提出的部分安全機(jī)制如表7所示。

3.2 功能安全要求的分配

如圖4所示，功能安全要求分配到系統(tǒng)初始架構(gòu)要素中，實(shí)現(xiàn)要求與具體實(shí)施要素的關(guān)聯(lián)。同時(shí)，技術(shù)人員須對(duì)初始系統(tǒng)架構(gòu)進(jìn)行優(yōu)化和完善，形成整體的安全概念。

在得出功能安全需求后，技術(shù)人員在產(chǎn)品開發(fā)階段將依據(jù)這些功能安全需求和功能安全概念進(jìn)行進(jìn)一步細(xì)化，分析得到更加詳細(xì)的技術(shù)實(shí)施細(xì)節(jié)并分配到軟硬件，進(jìn)而實(shí)現(xiàn)產(chǎn)品的開發(fā)。

4 結(jié)語

本文依據(jù)ISO 26262標(biāo)準(zhǔn)，針對(duì)混合動(dòng)力汽車中 駐車系統(tǒng)進(jìn)行了失效分析和風(fēng)險(xiǎn)評(píng)估，給出系統(tǒng)層面的安全目標(biāo)，然后詳細(xì)闡述了功能安全概念的開發(fā)思路，并通過FTA方法，給出功能安全要求和功能安全概念，為后續(xù)產(chǎn)品的安全開發(fā)提供了依據(jù)。實(shí)際工程經(jīng)驗(yàn)也表明，正確完整的功能安全概念可以系統(tǒng)性的識(shí)別相關(guān)產(chǎn)品的失效問題，解決工程開發(fā)中未能考慮到的安全因素問題。

[1]吳小萍， 姚文博， 譚艷軍， 等. 基于道路汽車功能安全標(biāo)準(zhǔn)要求的7DCT駐車位置傳感器新策略設(shè)計(jì)[J]. 汽車電器，2019（1）： 39-40， 43.

[2]ISO 26262 Road vehicles-functional safety[S].國(guó)際標(biāo)準(zhǔn)化組織， 2011.

[3]王林， 趙鑫， 任倩萌. 混合動(dòng)力汽車電驅(qū)動(dòng)系統(tǒng)的功能安全概念設(shè)計(jì)[J]. 上海汽車， 2018（11）： 4-8， 18.