以下文章來源于汽車電子研究院，作者ZZ先生志

一、簡介

汽車領域正迎來電動和智能的新時代，將線控技術應用于車輛控制成為新的趨勢。其中，線控制動系統（brake-by-wire）是目前智能車輛領域研究的熱點之一。電子機械制動（electronic mechanical brake，EMB）系統應用電子控制完全取代了液壓管路，可以實現制動系統的完全解耦，結構更加精簡，同時提高了反應速度和執行效率，便于底盤域控及智能駕駛技術發展。但是由于其取消了原有的液壓備份冗余，所以對系統的可靠性提出了更高的要求，安全成為影響 EMB發展的關鍵因素，車輛軟硬件功能安全的要求也越來越高 。國際標準化組織（International Organizationfor Standardization， ISO）于 2011 年發布了 ISO 26262標準。

開發合理的線控制動技術控制策略，降低響應時間、提高響應精度的同時，保證功能安全，提高系統可靠性成為智能汽車發展的關鍵技術之一。根據 ISO 26262 標準中的“ V 模型”流程對 EMB 系統進行功能安全分析，分析故障發生的原因和邏輯關系，以掌握線控制動安全控制的關鍵；進行功能安全概念（functional safety concept，FSC）設計，建立三路并行的冗余優化方案，確定符合安全目標的 EMB 系統架構，并基于該系統架構設計失效運行策略；最后，搭建聯合仿真模型進行故障注入實驗，驗證安全分析的合理性及安全機制對系統安全性的影響。

二、EMB系統概述

電子機械制動（EMB）系統由電子踏板單元、傳感器陣列、控制單元、執行單元及電源系統 5 大部分組成。

電子踏板單元可以采集駕駛員制動意圖并模擬制動反饋力矩；

傳感器陣列包括各類傳感器，用來采集車輛狀態信息；

控制單元采用分層控制架構，由1 個上層決策控制器（brake control unit，BCU）和 4 個輪邊控制器（wheel acuator control unit，WACU）組成，其中 BCU進行信息處理及四輪制動力矩計算等決策，WACU 接受上層控制器的指令，可實現輪邊電機獨立控制；

執行單元包括制動執行機構、制動信號燈及人機界面；

電源系統為 EMB 系統供電。

此外，以上模塊通過 CAN 網絡進行信息交換。基于該基本架構，進行系統安全分析。

EMB 系統最基本的功能需求為駕駛員制動需求響應，此外，需引入智能車輛帶來的新需求，如車輛主動制動及穩定性控制；同時，還需實現相關警示信號和制動燈的激活功能?？紤]系統為分層控制架構，可將總需求進行逐層分配，綜合可得 EMB 系統車輛級和系統級的功能需求如圖所示。

三、EMB系統功能安全等級評估

ISO 26262 標準中最重要的環節之一就是危險分析 和 風 險 評 估（hazard analysis and risk assessment，HARA），進而確定汽車完整性等級和安全目標。根據 HARA 分析方法論，可分為 4 個步驟：場景分析、故障模式分析、危險事件分析及相關汽車安全完整性等級評估、安全目標確定。

（1）場景分析

場景分析過程中，需要考慮道路類型、路面條件、環境因素及駕駛行為狀態，并結合實際的道路交通狀況等因素以推導出合理的功能安全要求。為保證分析的廣泛性，本文場景分析包含車輛常見行駛場景及極端場景，車輛高、中、低速行駛場景以及行駛中遇到不同周邊環境的多種情況，具體如下說明。

道路類型：高速公路、城市道路、盤山公路、交通路口，停車場；

車速：高速（> 90 km/h）、中速（30 ~ 90 km/h）、低速（< 30 km/h）；

周邊環境類型：其他車輛、行人、障礙物；

天氣：晴朗、雨天、冰雪天氣、夜晚。

（2）故障模式

根據標準有 6 大類常見故障失效模式，分別為：有需求無輸出、無需求有輸出、輸出大于需求、輸出小于需求、輸出與需求相反、輸出異常。結合 EMB 系統功能需求，可得系統主要故障類型有：制動失效、突發制動、制動疲軟、四輪制動分配異常、制動燈或人機界面顯示異常。

（3）危險事件分析及系統 ASIL 等級評估

汽車安全完整性等級（automotive safety integrationlevel，ASIL）等級是將故障發生后產生的風險進行了評估和量化，風險越大對應安全要求的級別越高，ASIL等級由低到高分為 QM、A、B、C、D。具體 ASIL 等級的確定取決于 3 個基本要素：嚴重度 (S)、暴露率 (E) 和可控性 (C)。

上述要素可分為多個不同等級，具體劃分標準。

（4）EMB 系統功能安全目標

當安全目標需高于根據具體駕駛環境所確定的 S、E、C 評估的危險險事件的 ASIL 等級時，系統的安全目標應取風險中最高等級。根據 HARA 分析結果可以得到 13 條安全目標，如表中所示。

見表 1