站长工具综合查询ip,国外vps,企业网站定制设计公司,英语网站开发的背景来源#xff1a;联合电子 随着整车电子电气架构的发展#xff0c;功能域控架构向整车集中式区域控制演进。新的区域控制架构下#xff0c;车身控制模块(BCM)#xff0c;整车控制单元#xff08;VCU#xff09;#xff0c;热管理系统#xff08;TMS#xff09;和动力底…来源联合电子 随着整车电子电气架构的发展功能域控架构向整车集中式区域控制演进。新的区域控制架构下车身控制模块(BCM)整车控制单元VCU热管理系统TMS和动力底盘等功能等原本独立的功能域整合到新的区域控制器。同时区域控制器也集成了二级智能配电功能真正形成了Power HUB, IO HUB, Data HUB。 整车区域架构
新EEA架构下功能安全也随之有了新的变化。原来多个不同的控制器来实现整车功能功能安全目标也是以独立的控制器为主体结合控制器间的信号交互来共同实现。整车区域架构下同一个区域控制器中集成车身动力底盘控制等功能有ASIL A/B/C/D四种安全等级安全目标同时出现的情况。这些不同安全目标的实现模块共享控制器的内部软硬件资源如电源模块MCU模块和安全关断路径等。
不同功能域对于故障时的响应各有差异。车身类功能安全考虑到系统的鲁棒性控制器故障后一般进入limphome跛行模式而EPB功能安全等级高当外部独立看门狗检测到MCU故障或MCU内部安全监控模块检测到故障即进入安全状态。
以近光灯和EPB功能为例浅谈区域控制器功能安全设计的一些思考。 从整车安全目标来看近光灯应避免在行车过程中非预期熄灭当控制器内部失效后需要在故障容忍时间间隔FTTI内点亮近光灯EPB最高等级的安全目标应避免在行车过程中非预期的锁死制动卡钳当控制器内部失效后需要在FTTI内释放制动卡钳。 系统层面
一方面为了整车的安全性兼顾系统的鲁棒性需要收集整车端不同功能和ASIL等级的安全目标需要考虑不同ASIL等级对于故障的响应以及对于故障后进入安全状态的可接受度另一方面从系统架构上进行安全分析确认安全目标是否可进行ASIL等级分解。 通过合理的功能分配将左右近光灯布置在两个相互独立的区域控制器中。当某一个控制器内部MCU故障进入limp home模式点亮近光灯且当某一个控制器完全失效另外一个控制器还可以保证其近光灯可以正常点亮这样近光灯的安全等级分解为ASIL A(B)。
EPB比较特殊一般分配在两个相互独立的区域控制器中由于任意一个控制模块锁死了制动卡钳都会违反安全目标故其最高ASIL D的安全等级不可分解。当控制器出现故障时通过安全关断路径来释放卡钳驱动电机进入安全状态。 近光灯和EPB功能安全等级
硬件层面
为了保证区域控制器可以实现最高等级的安全目标内部共用的硬件模块需要按最高安全等级去开发如MCU模块逻辑电源供电模块等。控制器内部低安全等级的功能模块不能影响高安全等级的硬件模块需要进行相关失效分析分析不同安全目标共用的电路模块是否存在共因和级联失效。 当MCU失效后近光灯和EPB功能不受控。此时需要安全机制limphome模块点亮近光灯安全关断路径来关断EPB制动卡钳驱动电路进入安全状态。且limphome电路不能干扰关断EPB制动卡钳的驱动电路。因此需要设计独立的limphome电路和安全关断路径电路这两个硬件电路失效亦不能引起近光灯和EPB功能失效。 软件层面
需要从软件架构层面考虑不同ASIL等级的软件共存问题。近光灯软件模块是ASIL A(B)EPB软件模块是ASIL D。 为了实现ASIL共存可将近光灯和EPB软件放在两个独立的锁步核运行从时序和执行 (Timing and execution)内存 (Memory)和信息交换 (Exchange of information)三个方面做到免于干扰。 同时程序的时间和逻辑监控是必要的用于探测有缺陷的程序监控程序的表现和合理性。一般通过外部独立的看门狗进行程序流监控监控软件是否正确执行如程序未在指定的时间内执行或者时钟发生故障。 综上在区域架构下功能安全面临更加复杂的架构和多功能融合的挑战区域控制器需要相互协同共同实现整车的功能安全目标提高功能安全开发效率从而降低功能安全开发的成本。
需要对标样件请联shbinzernbsp; 拆车邦
需要对标样件请联shbinzernbsp; 拆车邦
