陳志韜 周怡 劉相新 白錦洋 劉洋 王真真

DOI：10.3976/j.issn.1002-4026.20230150

收稿日期：2023-10-10

作者簡介：陳志韜（1990—），男，碩士，工程師，研究方向?yàn)橹悄荞{駛、多軸電驅(qū)底盤等。E-mail：chenzt0306@163.com

*通信作者，劉相新，男，研究員，研究方向?yàn)榘l(fā)射裝備、多軸電驅(qū)底盤等。Tel：13552317011，E-mail：xiangxin328@126.com

摘要：基于ISO 26262《道路車輛功能安全》的標(biāo)準(zhǔn)要求，對特種車的多軸電液轉(zhuǎn)向系統(tǒng)進(jìn)行分析，以提高系統(tǒng)的安全性和可靠性。運(yùn)用Simulation X軟件建立詳細(xì)的多軸特種車仿真模型，通過模擬故障模式注入進(jìn)行仿真試驗(yàn)。對仿真結(jié)果和數(shù)據(jù)進(jìn)行分析，評估得到故障的嚴(yán)重性、暴露度和可控性，從而確定相應(yīng)的汽車安全完整性等級。基于故障注入仿真的汽車功能安全分析方法，在系統(tǒng)早期設(shè)計(jì)階段可以作為評估架構(gòu)安全性的重要手段。

關(guān)鍵詞：多軸車；電液轉(zhuǎn)向系統(tǒng)；Simulation X；故障注入仿真；汽車安全完整性等級

中圖分類號：U461.91??? 文獻(xiàn)標(biāo)志碼：A??? 文章編號：1002-4026（2024）03-0085-08

開放科學(xué)（資源服務(wù)）標(biāo)志碼（OSID）：

Functional safety simulation analysis for multiaxle electro-hydraulic

steering system based on Simulation X

CHEN Zhitao1，ZHOU Yi1，LIU Xiangxin1*，BAI Jinyang1，LIU Yang2，WANG Zhenzhen1

（1. Beijing Institute of Space Launch Technology， Beijing 100076， China；2. CICT Connected and

Intelligent Technologies Co.，Ltd.， Beijing 100089， China）

Abstract∶Based on the standard requirements of ISO 26262 Road Vehicles-Functional Safety， this study analyzes the multiaxle electro-hydraulic steering system of special vehicles to enhance the system′s safety and reliability. In this study， the Simulation X software was used to establish a detailed simulation model for the multiaxle special vehicle， and simulation experiments were conducted via fault injection. The simulation results and data were analyzed to assess the severity， exposure and controllability of the faults， thereby determining the corresponding automotive safety integrity level. Thus， based on fault injection simulation， the automotive functional safety analysis method can serve as a crucial means to assess architectural safety in the early stages of system design.

Key words∶multiaxle vehicle; electro-hydraulic steering system; Simulation X software; fault injection simulation; automotive safety integrity level

汽車技術(shù)和電子技術(shù)的飛速發(fā)展帶來的是汽車的電子化程度越來越高［1］。越來越多的電子電氣系統(tǒng)被集成到多軸特種車輛上，車輛功能與性能越來越豐富，但是隨之而來的安全風(fēng)險(xiǎn)點(diǎn)也迅速增加，故障帶來的損失和風(fēng)險(xiǎn)也越來越大。

多軸特種車輛存在輪數(shù)多、尺寸大、載重大等特點(diǎn)，為減小整車轉(zhuǎn)彎半徑、提升轉(zhuǎn)向通過性，通常采用多軸轉(zhuǎn)向系統(tǒng)。相較于乘用車的前輪轉(zhuǎn)向，多軸轉(zhuǎn)向系統(tǒng)須保證在不同轉(zhuǎn)向模式下，各軸車輪協(xié)調(diào)隨動(dòng)轉(zhuǎn)向。為實(shí)現(xiàn)該功能，多軸轉(zhuǎn)向系統(tǒng)運(yùn)用了更多的控制器、執(zhí)行器、傳感器等，系統(tǒng)復(fù)雜度高、對可靠性要求更高。多軸轉(zhuǎn)向是多軸轉(zhuǎn)向車輛的核心技術(shù)，其性能好壞決定著多軸車輛的靈活性、穩(wěn)定性、可靠性、安全性及經(jīng)濟(jì)性［2］。

汽車電子電氣系統(tǒng)的功能安全越來越受重視，道路車輛功能安全標(biāo)準(zhǔn)ISO 26262《道路車輛功能安全》自2011年發(fā)布以來就得到整車廠和供應(yīng)商的廣泛研究和運(yùn)用，大量相關(guān)工作在該標(biāo)準(zhǔn)體系下完成［3-5］。國內(nèi)也于2017年10月發(fā)布，并在2022年更新了GB/T 34590—2022《道路車輛功能安全》［6］，該標(biāo)準(zhǔn)采用ISO 26262，適用于道路車輛上由電子、電氣和軟件組件組成的安全相關(guān)系統(tǒng)在安全生命周期內(nèi)的所有活動(dòng)。

近些年來，國內(nèi)外的整車廠和科研機(jī)構(gòu)在功能安全方面已開展多項(xiàng)研究。在國外，Birch等［7］對ISO 26262安全案例所需的主要論證結(jié)構(gòu)進(jìn)行了分類和分析，并指出這些結(jié)構(gòu)之間的關(guān)系，特別強(qiáng)調(diào)了基于產(chǎn)品的安全原理在論據(jù)中的重要性，以及該原理在評估功能安全方面應(yīng)發(fā)揮的作用。Juez等［8］提出了一種基于仿真試驗(yàn)的故障注入方法（Sabotage），并將其應(yīng)用到自動(dòng)駕駛汽車橫向控制系統(tǒng)的安全分析中，以作為在系統(tǒng)設(shè)計(jì)開發(fā)時(shí)傳統(tǒng)安全分析方法不足的補(bǔ)充，依據(jù)試驗(yàn)數(shù)據(jù)得到失效影響，并完善安全目標(biāo)及安全要求。Prakhar等［9］從硬件設(shè)計(jì)和軟件設(shè)計(jì)兩方面探討了ISO 26262標(biāo)準(zhǔn)在EPAS ECU開發(fā)中的適用性，并進(jìn)行了危害分析和風(fēng)險(xiǎn)評估，通過改進(jìn)架構(gòu)實(shí)現(xiàn)功能安全目標(biāo)。

Varga［10］介紹了一種基于仿真的功能安全驗(yàn)證方法，可以模擬各種故障模式并測試EPS（電動(dòng)助力轉(zhuǎn)向系統(tǒng)）在故障情況下的行為。Lurie等［11］提出了一種基于參數(shù)化的危害分析和風(fēng)險(xiǎn)評估方法，從而更好地管理和理解復(fù)雜系統(tǒng)的安全風(fēng)險(xiǎn)，并將該方法應(yīng)用于實(shí)際汽車電子控制系統(tǒng)開發(fā)過程。在國內(nèi)，鄔肖鵬等［12］對輪轂電機(jī)驅(qū)動(dòng)汽車出現(xiàn)電機(jī)故障時(shí)的整車行為進(jìn)行仿真分析；何杰等［13］提出了一種基于仿真的EPS扭矩傳感器故障容錯(cuò)時(shí)間間隔（FTTI）的確定方法；尚世亮等［14］開發(fā)了一種基于整車總線故障注入的測試方法，并對車輛電子穩(wěn)定性控制系統(tǒng)（ESC）進(jìn)行了故障注入測試；葛鵬等［15］把3層監(jiān)控概念應(yīng)用于7DCT（7速雙離合變速器）電控系統(tǒng)的開發(fā)。綜上所述，基于模型仿真與ISO 26262標(biāo)準(zhǔn)相結(jié)合的分析方法已受到重視。

道路車輛功能安全標(biāo)準(zhǔn)ISO 26262適用于質(zhì)量不超過3 500 kg 的乘用車電子電氣系統(tǒng)，其通過對開發(fā)流程和工作文檔的規(guī)范來減少或消除電控系統(tǒng)故障可能引起的危險(xiǎn)。本文參考借鑒ISO 26262標(biāo)準(zhǔn)的分析方法，充分考慮特種車輛電子電氣系統(tǒng)的特點(diǎn)以及特種車特殊的使用場景開展分析，并運(yùn)用Simulation X軟件仿真分析系統(tǒng)故障時(shí)多軸特種車的運(yùn)動(dòng)特性，對多軸轉(zhuǎn)向系統(tǒng)功能安全進(jìn)行分析，獲得汽車安全完整性等級ASIL（automotive safety integrity level）。

1? 多軸車輛轉(zhuǎn)向系統(tǒng)

汽車轉(zhuǎn)向系統(tǒng)的功用是保證汽車能按駕駛員的意志進(jìn)行轉(zhuǎn)向行駛［2］，針對超重特種車輛底盤特點(diǎn)，主要功能包括全輪轉(zhuǎn)向功能、高速行駛穩(wěn)定性、低速行駛高通過性。轉(zhuǎn)向系統(tǒng)整體架構(gòu)如圖1所示，由轉(zhuǎn)向桿系統(tǒng)、轉(zhuǎn)向液壓子系統(tǒng)、轉(zhuǎn)向控制子系統(tǒng)以及供配電子系統(tǒng)組成。轉(zhuǎn)向后橋采用電控液壓助力方案，取消了軸間轉(zhuǎn)向傳動(dòng)機(jī)構(gòu)，實(shí)現(xiàn)軸間轉(zhuǎn)角關(guān)系隨轉(zhuǎn)向模式變化，具備全輪轉(zhuǎn)向、公路轉(zhuǎn)向、后橋鎖止轉(zhuǎn)向、蟹行轉(zhuǎn)向等轉(zhuǎn)向模式。轉(zhuǎn)向電控子系統(tǒng)以前橋轉(zhuǎn)角與車速為輸入，在不同轉(zhuǎn)向模式下，通過控制后橋比例閥與對正電磁閥，實(shí)現(xiàn)各橋轉(zhuǎn)向與對正功能。

前橋（一二橋）轉(zhuǎn)向采用機(jī)械傳動(dòng)液壓助力形式，采用斷開式轉(zhuǎn)向梯形，一橋梯形后置，二橋梯形前置；采用整體式動(dòng)力轉(zhuǎn)向器和助力油缸提供一二橋助力。

后橋（三至六橋）轉(zhuǎn)向采用獨(dú)立電控液壓轉(zhuǎn)向形式，轉(zhuǎn)向梯形后置，各橋左右分別布置一個(gè)轉(zhuǎn)向助力缸與一個(gè)對正助力缸。轉(zhuǎn)向控制器采集前橋轉(zhuǎn)向擺臂轉(zhuǎn)角、顯控裝置（HMI）模式選擇、車速等信號后，計(jì)算出后橋轉(zhuǎn)向助力油缸目標(biāo)位移；通過PWM（pulse width modulation）控制比例閥開度，以及實(shí)時(shí)采集到的轉(zhuǎn)向油缸位移傳感器信號，實(shí)現(xiàn)對轉(zhuǎn)向油缸長度的閉環(huán)控制；轉(zhuǎn)向油缸直線運(yùn)動(dòng)帶動(dòng)車輪的旋轉(zhuǎn)，從而實(shí)現(xiàn)后橋車輪的跟隨運(yùn)動(dòng)。

2? 系統(tǒng)功能模型搭建

Simulation X是德國ITI公司自1993年開始推出的一種新型的工程高級建模和多學(xué)科仿真軟件［16］，在工程機(jī)械、液壓傳動(dòng)、醫(yī)療器械、航空航天、汽車等工業(yè)領(lǐng)域得到了廣泛的應(yīng)用，可以完成電路、液壓、熱力學(xué)、氣壓、電磁等復(fù)雜系統(tǒng)的建模，仿真分析與求解性能優(yōu)異［17］。

運(yùn)用Simulation X搭建的多軸車底盤系統(tǒng)功能模型，包括動(dòng)力驅(qū)動(dòng)系統(tǒng)、轉(zhuǎn)向系統(tǒng)、機(jī)電混合制動(dòng)系統(tǒng)、高壓供配電系統(tǒng)，整個(gè)模型集成了機(jī)械、氣壓、電氣、通信等多物理場，可以真實(shí)地反映整個(gè)系統(tǒng)的功能特性，如圖2所示。車輛模型模擬了油門踏板、制動(dòng)踏板、方向盤等駕駛員操作的輸入，并設(shè)置了道路、阻力等行駛環(huán)境特性，形成了人-車-路的閉環(huán)環(huán)境，以此來仿真故障注入后的車輛運(yùn)動(dòng)狀態(tài)。

本文所研究的多軸車輛，每個(gè)輪都可以驅(qū)動(dòng)、轉(zhuǎn)向、制動(dòng)，采用模塊化建模的方式，各輪模型相同，如圖3所示。由于本文主要關(guān)注的是功能安全而非性能，如轉(zhuǎn)向系統(tǒng)采用以角度控制為主建模方式，而不考慮具體的轉(zhuǎn)向結(jié)構(gòu)細(xì)節(jié)。

3? 故障注入仿真分析

多軸特種車的電液轉(zhuǎn)向系統(tǒng)復(fù)雜、功能多，具有多種轉(zhuǎn)向模式切換、前橋轉(zhuǎn)向助力、后橋低速下轉(zhuǎn)角控制等功能。電液轉(zhuǎn)向系統(tǒng)在行駛過程中出現(xiàn)非預(yù)期的轉(zhuǎn)向模式切換、非預(yù)期轉(zhuǎn)向動(dòng)作、轉(zhuǎn)向角未達(dá)到控制預(yù)期等故障情況，均會對車輛的安全行駛帶來影響。

不同功能的不同故障模式對應(yīng)的汽車安全完整性等級ASIL不同。ASIL等級的確定需要綜合考慮嚴(yán)重度、暴露度和可控度3個(gè)因素。在Simulation X整車模型中注入轉(zhuǎn)向故障后得到整車的運(yùn)動(dòng)狀態(tài)和行駛軌跡，結(jié)合駕駛經(jīng)驗(yàn)給出相應(yīng)的嚴(yán)重度、暴露度和可控度，最終得到ASIL等級。

本文針對多軸電液轉(zhuǎn)向系統(tǒng)，以前橋轉(zhuǎn)向助力和后橋低速下轉(zhuǎn)角控制功能出現(xiàn)相應(yīng)的“中高速行駛時(shí)某一橋產(chǎn)生非預(yù)期轉(zhuǎn)向”和“低速轉(zhuǎn)向時(shí)轉(zhuǎn)向角未達(dá)到預(yù)期轉(zhuǎn)角”故障時(shí)為例，進(jìn)行功能安全分析，并給出ASIL等級。

3.1? 中高速行駛時(shí)某一橋產(chǎn)生非預(yù)期轉(zhuǎn)向

故障場景為車輛以50 km/h滑行（無油門）過程中轉(zhuǎn)向系統(tǒng)故障（傳感器故障、軟件故障等），產(chǎn)生某一橋非預(yù)期轉(zhuǎn)向，如圖4所示。單橋非預(yù)期轉(zhuǎn)向可能發(fā)生在任何一個(gè)橋，下面分別以一、三、六橋?yàn)槔M(jìn)行故障注入仿真。

（1）一橋非預(yù)期左轉(zhuǎn)向20°

將故障注入多軸車輛底盤模型，通過仿真獲得整車響應(yīng)，可以得到整車橫向運(yùn)動(dòng)失控結(jié)果。圖5所示為仿真結(jié)果，從結(jié)果中可見從發(fā)生故障到車身左前圍與車道線相交只需0.34 s，即相當(dāng)于0.34 s后車輛駛出自身車道而有可能與側(cè)向車輛發(fā)生碰撞事故。車輛橫擺角速度最大7.3 （°）/s。0.34 s的故障容錯(cuò)時(shí)間很短，車輛橫擺率很大，駕駛員很難控制事故發(fā)生。

圖6所示為車輛運(yùn)行軌跡仿真圖，可以直觀地看出該故障造成的危害很嚴(yán)重，整車直接嚴(yán)重跑偏。

（2）三橋非預(yù)期左轉(zhuǎn)向20°

將三橋車輪非預(yù)期左轉(zhuǎn)向20°的故障注入到整車模型，仿真獲得故障后的整車響應(yīng)情況。圖7所示為仿真結(jié)果，從中可以看出從發(fā)生故障到車身左前圍與車道線相交只需1.1 s，即相當(dāng)于1.1 s后車輛駛出自身車道而有可能與側(cè)向車輛發(fā)生碰撞事故。1.1 s的故障容錯(cuò)相對于一橋故障稍微長一點(diǎn)，但對于人類反應(yīng)時(shí)間仍然很短，駕駛員很難控制事故發(fā)生。

（3）六橋非預(yù)期右轉(zhuǎn)向20°

將六橋車輪非預(yù)期左轉(zhuǎn)向20°的故障注入到整車模型進(jìn)行仿真。圖8所示為轉(zhuǎn)向故障仿真結(jié)果，車身左前圍與車道線相撞只需0.61 s，故障容錯(cuò)時(shí)間很短，車輛橫擺率很大，駕駛員很難控制事故發(fā)生。仿真結(jié)果匯總?cè)绫?所示。

從結(jié)果可以發(fā)現(xiàn)，前橋以及后橋的轉(zhuǎn)向系統(tǒng)的失效會使得車輛急劇轉(zhuǎn)向某一方向，在非常短的時(shí)間內(nèi)與鄰近車道上的車輛相撞，是非常嚴(yán)重的失效，因此嚴(yán)重度為S3。中間橋雖然反應(yīng)時(shí)間較慢，但1.1 s的相撞時(shí)間是非常短的。因此，轉(zhuǎn)向系統(tǒng)的非預(yù)期轉(zhuǎn)向故障使駕駛員無時(shí)間反應(yīng)，無法規(guī)避惡劣后果的一種失效模式，確定可控性為C3。轉(zhuǎn)向工況是日常使用非常普遍的場景，因此暴露率為E4。最后得到該工況的ASIL等級為D，是最高的安全等級。

3.2? 低速轉(zhuǎn)向時(shí)轉(zhuǎn)向角未達(dá)到預(yù)期轉(zhuǎn)角

在車輛以30 km/h車速行駛時(shí)，駕駛員進(jìn)行轉(zhuǎn)向操作，預(yù)期轉(zhuǎn)角為一、二橋轉(zhuǎn)向20°、17°，五、六橋轉(zhuǎn)向-10°、-12°。仿真時(shí)，前10 s用于模型穩(wěn)定，第15 s開始故障注入，故障表現(xiàn)為一橋轉(zhuǎn)向角減小10°。圖9所示為仿真結(jié)果數(shù)據(jù)曲線，從車輛的偏航角以及車輛運(yùn)行軌跡均可以看出，車輛轉(zhuǎn)向角急劇減小，迅速脫離出原行駛軌跡（沖出車道線）。

由仿真結(jié)果可見，當(dāng)某一橋發(fā)生轉(zhuǎn)角非預(yù)期減小時(shí)，車輛會出現(xiàn)不預(yù)期的偏航，導(dǎo)致車輛駛出車道，但車速低，可以較快減速，因此嚴(yán)重度為S2。由于車速較低，且駕駛員可以通過操縱方向盤調(diào)整行駛軌跡，因此可控性為C1。最后，得到該工況的ASIL為A，是最低的安全等級。

4? 結(jié)論

本文根據(jù)ISO 26262《道路車輛功能安全》的相關(guān)規(guī)定，對多軸轉(zhuǎn)向系統(tǒng)進(jìn)行功能安全分析。對于典型危險(xiǎn)情況，根據(jù)故障注入仿真結(jié)果，評估嚴(yán)重性、暴露度和可控性，確定所需的汽車安全完整性等級。汽車安全完整性等級將影響電子電氣系統(tǒng)的開發(fā)過程，較低的ASIL在該過程中具有較少的要求，較高的ASIL將具有更嚴(yán)格的開發(fā)要求。根據(jù)仿真確定的ASIL，結(jié)合實(shí)際的轉(zhuǎn)向系統(tǒng)電控、液壓方案，指導(dǎo)提出具體的設(shè)計(jì)要求，落實(shí)于方案中，提高多軸轉(zhuǎn)向系統(tǒng)的可靠性和安全性。

參考文獻(xiàn)：

［1］聶飛. 基于ISO 26262標(biāo)準(zhǔn)的高壓共軌ECU監(jiān)控單元的研究與開發(fā)［D］. 杭州： 浙江大學(xué)， 2016.

［2］陳翔. 多軸轉(zhuǎn)向車輛的轉(zhuǎn)向特性分析與多目標(biāo)轉(zhuǎn)角控制研究［D］. 長春： 吉林大學(xué)， 2018.

［3］童菲.基于ISO 26262的整車電源模式管理系統(tǒng)功能安全概念設(shè)計(jì)［J］.機(jī)電一體化，2015（7）：63-67. DOI： 10.16413/j.cnki.issn.1007-080x.2015.07.014.

［4］文凱， 夏珩， 裴鋒， 等. 基于ISO 26262的電動(dòng)四驅(qū)混合動(dòng)力系統(tǒng)功能安全概念設(shè)計(jì)［J］. 機(jī)電工程技術(shù)， 2012， 41（12）： 74-76.

［5］還宏生. 汽車設(shè)計(jì)中的安全要求及ISO 26262標(biāo)準(zhǔn)［J］. 汽車零部件， 2012（10）： 41-43. DOI： 10.19466/j.cnki.1674-1986.2012.10.008.

［6］全國汽車標(biāo)準(zhǔn)化技術(shù)委員會. 道路車輛 功能安全：GB/T 34590—2022［S］.北京：中國標(biāo)準(zhǔn)出版社，2022.

［7］BIRCH J， RIVETT R， HABLI I， et al. Safety cases and their role in ISO 26262 functional safety assessment［C］//International Conference on Computer Safety， Reliability， and Security. Berlin， Heidelberg： Springer， 2013： 154-165.10.1007/978-3-642-40793-2_15

［8］JUEZ G， AMPARAN E， LATTARULO R， et al. Safety assessment of automated vehicle functions by simulation-based fault injection［C］//2017 IEEE International Conference on Vehicular Electronics and Safety （ICVES）. Vienna， Austria： IEEE， 2017： 214-219. DOI： 10.1109/ICVES.2017.7991928.

［9］SRIVASTAVA P， KARLE M L， SHAILESH KARLE U， et al. Development of electrical power assisted steering （EPAS） considering safety and reliability aspects as per ISO 26262［C］//SAE Technical Paper Series. 400 Commonwealth Drive， Warrendale， PA， United States： SAE International， 2015： 0086. DOI： 10.4271/2015-26-0086.

［10］VARGA A. Simulation support for EPS functional safety validation［C］//7th International Munich Chassis Symposium 2016. Wiesbaden： Springer Vieweg， 2017： 571-571.DOI：10.1007/978-3-658-14219-3_38.

［11］LURIE O， MILLER J. Hazard analysis and risk assessment beyond ISO 26262： Management of complexity via parametrization［C］//SAE Technical Paper Series. 400 Commonwealth Drive， Warrendale， PA， United States： SAE International， 2018： 1067. DOI： 10.4271/2018-01-1067.

［12］鄔肖鵬， 劉飛， 熊璐， 等. ISO 26262 標(biāo)準(zhǔn)下永磁同步電機(jī)故障對整車安全性的影響分析［J］. 汽車技術(shù)， 2013 （2）： 13-18.

［13］何杰， 陳慧. 符合ISO 26262 的 EPS 扭矩傳感器故障容錯(cuò)時(shí)間間隔確定方法［C］// 2015 中國汽車工程學(xué)會年會論文集，上海：中國汽車工程學(xué)會， 2015：818-821.

［14］尚世亮， 王雷雷， 趙向東. 基于ISO 26262 的車輛電子電氣系統(tǒng)故障注入測試方法［J］. 汽車技術(shù)， 2015 （12）： 49-51.

［15］葛鵬， 陳勇， 羅大國， 等. 基于道路車輛功能安全標(biāo)準(zhǔn)ISO 26262的7DCT 電控系統(tǒng)設(shè)計(jì)［J］. 汽車技術(shù)， 2014 （9）： 21-23.

［16］劉艷芳. Simulation X精解與實(shí)例： 多學(xué)科領(lǐng)域系統(tǒng)動(dòng)力學(xué)建模與仿真［M］. 北京： 機(jī)械工業(yè)出版社， 2010.

［17］羅方贊. 基于Simulation X的艦船傳動(dòng)系統(tǒng)性能仿真與分析［J］. 艦船科學(xué)技術(shù)， 2018， 40（10）： 118-120.