车载ECU功能安全工程实践
1 引言
2018年12月，备受汽车电子行业关注的ISO26262《道路车辆功能安全标准》第二版发布，适用范围从乘用车扩展到所有车型，包括商用车和摩托车，该标准对商用车汽车电子器件提出更为详尽的功能安全要求。在功能安全相对领先的欧美国家，主流OEM和Tier1普遍对ISO26262标准有要求，已成为事实强制标准。
我从2016年接触ISO26262标准以来，对PART 6“软件部分”进行了反复研读，但始终无法找到其与车载嵌入式软件设计之间的联系，在很长一段时间内都不知道如何开发出满足功能安全的车载ECU软件；即使在2020年，我所在的电控团队顺利拿到了ISO26262 ASIL D流程认证，但我对功能安全的认知也仅仅停留在“编写一系列文档”的水平。
从2022年4月到2023年12月，我有幸全程参与了一个完整的车载电控模块功能安全项目 - 基于公司的某款纯电车辆，开发出满足功能安全ASIL C/D等级的VCU（整车控制器）产品。在这篇文章里，我将结合自己在项目中的实践，对部分开发过程进行梳理，希望能给像我一样对ISO26262标准实现有困惑的同行提供些许参考。
2 基本概念
ISO26262标准的术语在PART 1中按照音序顺序进行了详细描述，表2-1只列出了本文需要用到的基本概念。
表2-1: VCU功能安全项目术语
| 序号 | 术语/缩写 | 全称 | 备注 |
| 1 | BD | 行为设计（Behavior Design） | |
| 2 | FIT | 失效率（Failures In Time） | |
| 3 | FSC | 功能安全概念（Functional Safety Concept） | |
| 4 | FSR | 功能安全需求（Function Safety Requirement） | |
| 5 | FHTI | 故障处理时间间隔（Fault Handling Time Interval） | |
| 6 | FTA | 故障树分析（Fault Tree Analysis） | |
| 7 | FTTI | 故障容错时间间隔（Fault Tolerant Time Interval） | |
| 8 | HARA | 危害分析与风险评估（Hazard Analysis and Risk Assessment） | |
| 9 | HAZOP | 危害和可操作性分析（HAZard and OPerability analysis） | |
| 10 | HSI | 硬件软件接口（Hardware Software Interface） | |
| 11 | MF | 功能故障描述（Malfunction） | |
| 12 | SM | 安全机制（Safety Machanism） | |
| 13 | TSC | 技术安全概念（Technical Safety Concept） | |
| 14 | TSR | 技术安全需求（Technical Safety Requirement） |
3 功能安全概念开发
VCU功能安全项目只进行了概念（ISO26262 PART3）、系统（ISO26262 PART4）、硬件（ISO26262 PART5）和软件（ISO26262 PART6）阶段的开发，本章整理概念阶段的工作内容，系统和软件的工作将分别在第4章和第5章整理。
功能安全概念阶段应输出相关项定义、危害分析和风险评估、功能安全概念等工作产品。
3.1 相关项定义
相关项指实现整车层面功能或部分功能的系统或系统组合；相关项定义指在整车层面对相关项进行定义和描述，包括功能及其与驾驶员、环境和其他相关项的依赖性和交互。
概念阶段的开发是从相关项定义（Item Definition）开始的，相关项定义是对系统的描述，此系统也是标准中“安全”要求应用的对象。
项目定义的目的是定义和描述相关项，以及对其他相关项和环境的依赖和相互作用。因此，需要描述功能和非功能需求、边界、接口和其他系统相互作用的假设。
相关项定义为危害分析和风险评估（HARA）提供输入参数，在HARA中通过对E/E系统功能故障的定义和分析，识别整车级别的潜在危害。
对于相关项（Item）的边界，相关项与其他相关项或环境的相互作用，相关项内部的元素以及涉及到元素的功能分配，需要在相关项文档进行描述。
表3-1列出相关项定义的主要内容。
表3-1: 相关项定义主要内容
| 序号 | 内容 | 描述 |
| 1 | 车辆环境描述 | 用于描述车辆的配置、性能、使用环境、投放市场、相似功能，作为HARA分析和后续其他阶段的必要输入信息 |
| 2 | 法规要求 | 列出相关项需要满足相关法律法规的要求，用于指导系统设计 |
| 3 | 相关项描述 | 描述VCU的工作原理和执行器特性 |
| 4 | 运行模式 | 描述车辆运行模式及切换条件 |
| 5 | 功能行为设计描述 | 识别和描述相关项在整车级别的所有功能行为；识别整车级别功能与驾驶员和车辆的交互以及车辆的预期行为。包含蠕行控制、车辆加速控制、定速巡航控制、车辆滑行能量回收、车辆制动能量回收、坡起辅助控制、限速控制、切换驾驶模式、制动优先、响应外部请求、驾驶员离车或插枪时自动回P、挡位控制N挡进入、挡位控制D挡进入、挡位控制R挡进入、挡位显示、续航里程计算、远程锁车控制（限速）、行驶高压上电控制、行驶高压下电控制、交流充电高压上电控制、交流充电高压下电控制、直流充电高压上电控制、直流充电高压下电控制、主动放电使能控制、DC/DC使能控制、空调制冷控制、空调制热控制、驱动电机及高压附件冷却控制、动力电池冷却控制、动力电池加热控制、制动真空泵控制 |
| 6 | 整车级功能描述及架构设计 | 整车级功能：蠕行控制、车辆加速控制、定速巡航控制、车辆滑行能量回收、车辆制动能量回收、制动优先、坡起辅助控制、限速控制、挡位控制、切换驾驶模式、续驶里程计算、行驶高压上下电控制、充电高压上下电控制、主动放电使能控制、DC/DC使能控制、空调热管理使能控制、动力电机及高压附件热管理控制、动力电池热管理控制、制动真空泵控制；架构设计：车辆扭矩管理、挡位控制、切换驾驶模式、续驶里程计算、高压上下电控制、主动放电使能控制、DC/DC使能控制、热管理控制、制动真空泵控制 |
| 7 | 系统架构 | 根据功能架构汇总得到整车级系统架构，包含整体架构、元素接口（VCU与外部相关项进行信息交互的接口定义，即不同相关项之间进行信息交互所使用接口的描述）、功能分配（分配到架构各个元素的功能，即实现整车级功能的每个组成元素的需求） |
| 8 | 质量/性能/可用性需求 | 描述功能的质量、性能和可用性需求 |
| 9 | 操作和环境约束 | 描述相关项的应用环境和操作的约束 |
| 10 | 功能相关性 | 描述相关项对外部相关项的要求及来自外部相关项的要求 |
| 11 | 运行情景 | 列出系统常见使用情景，用于指导HARA和系统设计，如乡村公路车辆直线行驶、城市道路车辆直线行驶、高速公路直线行驶、湿滑路面行驶、停车场等 |
| 12 | 失效后果及影响 | 描述相关项已知的潜在危害，用于指导HARA和系统设计 |
3.2 HARA分析
危害分析、风险评估和ASIL等级的评定用于确定相关项的安全目标。为此，根据相关项的潜在危害事件，对相关性进行评估。通过对危害事件进行系统性的评估确定安全目标及分配给他们的ASIL等级。ASIL等级的确定需要考虑严重度、暴露概率和可控性。
HARA分析的输出物是《危害分析和风险评估报告》。
3.2.1 危害分析
表3-2为危害分析示例。
表3-2: 危害分析示例
| 危害分析 | ||||||
| 功能编号Function ID | 功能 Function |
HAZOP① | checked | 功能故障描述 Malfunction |
失效的影响 Effect of failure |
功能故障编号 |
| VF-004 | 车辆滑行能量回收功能 | No | X | 滑行能量回收功能无法提供制动（负）扭矩 | 电机滑行制动力矩非预期消失，刹车距离增加 | MF001 |
| No | X | 滑行能量回收功能无法进入 | 失效表现与MF001相同，不重复讨论 | MF002 | ||
| No | X | 滑行能量回收功能无法退出 | 失效表现与MF008相同，不重复讨论 | MF003 | ||
| Less | X | 滑行能量回收功能提供制动（负）扭矩过小 | 电机滑行制动力矩过小，刹车距离增加 | MF004 | ||
| More | X | 滑行能量回收功能提供制动（负）扭矩过大（≤0.6m/s2） | 电机滑行制动力矩过大，滑行减速度过大 | MF005 | ||
| More | X | 滑行能量回收功能提供制动（负）扭矩过大（>0.6m/s2） | 1.电机滑行制动力矩过大，滑行减速度过大 2.车辆横向运动失控 |
MF006 | ||
| Part of | X | |||||
| As Well As | X | |||||
| Reverse | X | 滑行能量回收功能提供扭矩反向（扭矩为正） | 车辆非预期加速行驶 | MF007 | ||
| 文章来源于:电子工程世界 原文链接
本站所有转载文章系出于传递更多信息之目的，且明确注明来源，不希望被转载的媒体或个人可与我们联系，我们将立即进行删除处理。
| ||||||