基于功能安全要求的线控转向系统开发及验证

1  前言

线控转向（Steering-by-Wire，SBW）具有灵活的可变传动比，能够实现中高车速下的稳定性及低速下的操作方便性，使驾驶员获得更加良好的驾乘体验。

但线控转向最大的问题是如何保证系统的安全性。受安全性及GB17675—1999《汽车转向系基本要求》的限制，SBW系统仅在个别车型上进行了配置，但也采用了电磁离合器方案作为替代转向中间轴的机械备份。GB17675—2021《汽车转向系基本要求》删除了“不得装用全动力转向机构”的要求，SBW属于全动力转向的范畴，该标准的发布使SBW系统具备了应用的可能，同时增加了“对转向电子控制系统的功能安全要求”，从功能安全的角度提出了明确的安全性要求。

针对线控转向的功能安全，王杰等就线控转向传感器故障诊断与容错展开了研究，TaeyunKoo等人也对线控转向的路感模拟与转向执行双冗余架构展开了研究。本文从功能安全的角度分析线控转向系统的潜在风险，并提出供参考的功能安全目标，以失效可操作（Fail-Operational）冗余机制为指导思想设计满足整车需求的线控转向系统架构、硬件架构及软件控制策略，并进行实车验证。

2  线控转向系统基本结构

线控转向系统主要由综合控制器、路感模拟器及转向执行器组成，如图1所示。



功能安全要求具有一定的继承性和独立性，因此在设计线控转向功能安全目标时的场景分析、危害辨识、汽车安全完整性等级（Automotive Safety Integration Level，ASIL）评估可以参考EPS系统设计经验，每一部分均具有一定的关联性。

线控转向系统中控制器较多，且无法进行取代，同时参考博世的电子电气架构技术战略图[5（]见图2）及整车需求，在当前阶段采用域中心控制器的架构设计。



综合控制器负责线控转向系统综合控制，对路感模拟器及转向执行器分别发出转矩及转角执行的信号请求，同时负责与整车及SBW系统内部的信息传递。路感模拟器由转角扭矩传感器、路感电机及其控制器组成，其中，转角扭矩传感器负责转角及扭矩的信号获取，路感电机控制器接收综合控制器的扭矩请求，控制路感电机实现路感控制，同时向综合控制器反馈转角及扭矩信息。

转向执行器由转角传感器、执行电机及其控制器组成，其中，转角传感器负责转角信号获取，执行电机控制器接收综合控制器的转角请求，控制执行电机实现转角控制，同时向综合控制器反馈转角及扭矩信息。

3  线控转向系统功能安全目标

3.1  转向功能安全目标

线控转向系统作为转向系统的拓展，其功能安全要求与电动助力转向（Electric Power Steering，EPS）系统的功能安全要求具有一定的继承性和独立性，因此在设计线控转向功能安全目标时的场景分析、危害辨识、汽车安全完整性等级（Automotive Safety Integration Level，ASIL）评估可以参考EPS系统设计经验，每一部分均具有一定的关联性。
在EPS的设计过程中，需考虑的转向系统潜在危险如表1所示。



对于潜在风险，ISO26262:2018《道路车辆功能安全》从以下3个方面进行评估ASIL等级：故障对驾驶员、乘客、行人以及道路中涉及的车辆所带来危害的严重程度（Severity，S）；人员和车辆暴露在系统失效可能发生场景的概率（Exposure，E）；驾驶员在事故发生时通过采取措施对可能造成伤害的人员和车辆危害的控制能力（Controllability，C）。这3个因子的具体等级分类如表2所示。



对于系统确认的每一项危险，首先基于表2确定严重度、暴露度、可控性的等级，然后根据各等级的值对照表3确定系统的ASIL等级。其中A~D均为与安全相关的等级，D表示安全要求最高，A表示安全要求最低，QM级别不需考虑系统功能安全方面的要求。对影响因素为S0、E0、C0的任何系统不进行ASIL评级。基于分析得到EPS系统的功能安全目标如表4所示。





3.2  SBW功能安全目标

线控转向系统取消了中间轴机械连接，因此，需要对EPS的安全目标进行修正，线控转向系统安全目标如表5所示。



4  基于功能安全要求的系统设计

根据SBW的功能安全目标提出功能安全要求并进行SBW的系统级架构设计，同时对综合控制器、路感电机及控制器、转向执行器及控制器、传感器、电源、CAN总线等硬件进行系统设计分析。

4.1  SBW系统功能安全要求

基于安全目标的SBW系统功能安全要求如表6所示。



4.2  系统架构及通讯架构设计

功能安全对综合控制器、路感模拟器、转向执行器及传感器提出了设计要求，从系统架构上进行整体设计，满足功能安全要求的SBW系统架构如图3所示。



系统架构主体的设计基于Fail-Operational的思路，从系统架构层面对综合控制器、路感模拟器、转向执行器及传感器均进行备份设计，各部分的架构概述如表7所示。



4.3  控制器硬件架构设计

从上述系统架构描述可以看出，SBW系统中设计的3个控制器，即综合控制器（CentralControlUnit，CCU）、路感模拟控制器（HandsWheelUnit，HWU）、转向执行控制器（RoadWheelUnit，RWU）均采用冗余设计思想，思路较为一致。本文以RWU作为展开对象，对控制器硬件设计进行分析，控制器样板如图4所示，控制器硬件架构如图5所示。





从图5中可以看出，硬件设计方案完全满足前文所述的架构要求，采用了冗余设计方案。双MCU接收外部输入信号后进行处理，分别控制六相双绕组电机的三相，实现控制输出，同时双MCU内部通过串行外设接口（SerialPeripheralInterface，SPI）进行通讯，保证双MCU的实时性，以便一路出现故障后另一路可以完全介入开展工作，保证系统冗余。

4.4  控制器硬件原理设计

基于线控转向的功能安全等级要求，在控制器硬件选型上必须满足功能安全ASILD的等级要求，然后针对硬件选型结果进行控制器硬件原理设计，如图6所示。



4.4.1  主控芯片

主控芯片MCU选用英飞凌AURIX系列，此芯片满足功能安全要求，且具备可编程硬件安全模块（Hardware Security Modules，HSM），安全等级高；通过模拟数字转换器（Analog-to-digital converter，ADC）端口采集电压、温度等模拟信号；通过I/O端口采集传感器信号，输出控制开关信号；通过脉宽调制（Pulse Width Modulation，PWM）模块输出全桥PWM控制信号至驱动芯片；主芯片和电源芯片及驱动芯片进行实时SPI通讯；主芯片采集驱动回路信号，用于电机控制和诊断功能；外部设计无源晶振为ECU提供稳定工作时钟。

4.4.2  电源管理芯片

电源管理芯片（Power Management Integrated Unit，PMU）选用英飞凌TLF系列，满足功能安全需求；串行升压和降压预调节器电压范围3.0~40.0V，具有全性能和低功耗损失；低压后调节器5.0V/200mA用于通信电源，5.0V/600mA或3.3V/600mA用于充放电电源；外部可选低压后调节器提供启用、同步输出信号和电压监控；ADC电源的参考电压为5.0V±1%，兼容150mA电流；2个跟踪器按照参考电压为传感器供电，兼容150mA电流。

4.4.3  预驱芯片

预驱芯片（Pre-Driver）选用英飞凌TLE系列，满足功能安全需求，可外部使能进入安全状态；具备SPI数据和地址接口，具备循环冗余校验（Cyclic Redundancy Check，CRC）功能；具备功能独立的电流检测放大器。

4.4.4  其他

除上述关键核心器件外，还有外部供电、CAN、SPI通讯、内外部信号采集、电机转子位置检测等电路，不再赘述。

4.5  控制策略状态机设计

为满足功能安全的需求，除在硬件设计上实现冗余外，在控制策略方面也需重点考虑。

如图7所示，线控转向系统设计了初始态、禁止态、激活态以及故障态，并且规定了每个状态的工作内容，具体描述如表8所示。



状态机能够体现SBW系统的工作状态，对于功能安全的可能影响因子，可以通过在考虑状态机条件时最大限度地完善系统状态转移过程，从而保证系统的功能安全。

5  台架及实车测试验证

5.1  台架故障注入测试验证

受条件限制，无法进行自动化测试，因此需对各部件进行故障模拟，具有一定的风险性，故建立系统台架用于测试验证。台架测试环境如图8所示。



对于路感模拟单元，综合控制器控制路感模拟控制器的扭矩接口。设置工况为：期望电机力矩为幅值4.5N·m、频率0.1Hz的正弦曲线，验证路感控制的跟随性。
制造表6所述的电源、点火、传感器、CAN通讯故障，路感模拟单元的扭矩响应不变，如图9所示。



对于转向执行单元，综合控制器控制转向执行控制器的转角接口。设置工况为：期望转角为幅值45°、频率0.5Hz的正弦曲线，验证转向执行器的跟随性。
制造表6所述的电源、点火、传感器、CAN通讯故障，转向执行单元的转角响应不变，如图10所示。



5.2  实车测试验证

分别以40km/h和80km/h车速进行大侧向加速度测试，使车辆侧向加速度达到0.3g，验证线控转向功能实现性，结果如图11、图12所示。



从图11和图12中可以看出：在40km/h车速下，转向盘力矩与侧向加速度较为对称，线性度也较好，主观感受良好；在80km/h车速下，转向盘力矩与侧向加速度关系曲线存在明显不对称现象，实际的主观感受也与此相吻合，后续需要进行调试；转向盘力矩基本在4N·m以内饱和，且中间区域转向盘力矩梯度明显，随着侧向加速度增加逐渐饱和。

试验结果表明，该系统实现了线控转向的功能，经调试与优化达到了一定的主观评价要求。

6  结束语

本文从线控转向系统的功能安全角度完成了安全目标的初步设定，并进行了系统架构的设计、硬件方案及原理设计、控制策略状态机设计以及台架和实车的测试。

测试结果表明，路感模拟单元和转向执行单元在故障注入的条件下可以实现相应的跟随性，验证了基于功能安全要求的方案设计的合理性，同时，整车实现了线控转向功能，技术方案满足设计需求。但是力矩不对称现象需要继续通过调试相关参数进行完善，以达到更加良好的效果。