陳志韜 周怡 劉相新 白錦洋 劉洋 王真真

DOI：10.3976/j.issn.1002-4026.20230150

收稿日期：2023-10-10

作者簡介：陳志韜（1990—），男，碩士，工程師，研究方向為智能駕駛、多軸電驅(qū)底盤等。E-mail：chenzt0306@163.com

*通信作者，劉相新，男，研究員，研究方向為發(fā)射裝備、多軸電驅(qū)底盤等。Tel：13552317011，E-mail：xiangxin328@126.com

摘要：基于ISO 26262《道路車輛功能安全》的標準要求，對特種車的多軸電液轉(zhuǎn)向系統(tǒng)進行分析，以提高系統(tǒng)的安全性和可靠性。運用Simulation X軟件建立詳細的多軸特種車仿真模型，通過模擬故障模式注入進行仿真試驗。對仿真結(jié)果和數(shù)據(jù)進行分析，評估得到故障的嚴重性、暴露度和可控性，從而確定相應的汽車安全完整性等級?；诠收献⑷敕抡娴钠嚬δ馨踩治龇椒?，在系統(tǒng)早期設計階段可以作為評估架構(gòu)安全性的重要手段。

關鍵詞：多軸車；電液轉(zhuǎn)向系統(tǒng)；Simulation X；故障注入仿真；汽車安全完整性等級

中圖分類號：U461.91??? 文獻標志碼：A??? 文章編號：1002-4026（2024）03-0085-08

開放科學（資源服務）標志碼（OSID）：

Functional safety simulation analysis for multiaxle electro-hydraulic

steering system based on Simulation X

CHEN Zhitao1，ZHOU Yi1，LIU Xiangxin1*，BAI Jinyang1，LIU Yang2，WANG Zhenzhen1

（1. Beijing Institute of Space Launch Technology， Beijing 100076， China；2. CICT Connected and

Intelligent Technologies Co.，Ltd.， Beijing 100089， China）

Abstract∶Based on the standard requirements of ISO 26262 Road Vehicles-Functional Safety， this study analyzes the multiaxle electro-hydraulic steering system of special vehicles to enhance the system′s safety and reliability. In this study， the Simulation X software was used to establish a detailed simulation model for the multiaxle special vehicle， and simulation experiments were conducted via fault injection. The simulation results and data were analyzed to assess the severity， exposure and controllability of the faults， thereby determining the corresponding automotive safety integrity level. Thus， based on fault injection simulation， the automotive functional safety analysis method can serve as a crucial means to assess architectural safety in the early stages of system design.

Key words∶multiaxle vehicle; electro-hydraulic steering system; Simulation X software; fault injection simulation; automotive safety integrity level

汽車技術(shù)和電子技術(shù)的飛速發(fā)展帶來的是汽車的電子化程度越來越高［1］。越來越多的電子電氣系統(tǒng)被集成到多軸特種車輛上，車輛功能與性能越來越豐富，但是隨之而來的安全風險點也迅速增加，故障帶來的損失和風險也越來越大。

多軸特種車輛存在輪數(shù)多、尺寸大、載重大等特點，為減小整車轉(zhuǎn)彎半徑、提升轉(zhuǎn)向通過性，通常采用多軸轉(zhuǎn)向系統(tǒng)。相較于乘用車的前輪轉(zhuǎn)向，多軸轉(zhuǎn)向系統(tǒng)須保證在不同轉(zhuǎn)向模式下，各軸車輪協(xié)調(diào)隨動轉(zhuǎn)向。為實現(xiàn)該功能，多軸轉(zhuǎn)向系統(tǒng)運用了更多的控制器、執(zhí)行器、傳感器等，系統(tǒng)復雜度高、對可靠性要求更高。多軸轉(zhuǎn)向是多軸轉(zhuǎn)向車輛的核心技術(shù)，其性能好壞決定著多軸車輛的靈活性、穩(wěn)定性、可靠性、安全性及經(jīng)濟性［2］。

汽車電子電氣系統(tǒng)的功能安全越來越受重視，道路車輛功能安全標準ISO 26262《道路車輛功能安全》自2011年發(fā)布以來就得到整車廠和供應商的廣泛研究和運用，大量相關工作在該標準體系下完成［3-5］。國內(nèi)也于2017年10月發(fā)布，并在2022年更新了GB/T 34590—2022《道路車輛功能安全》［6］，該標準采用ISO 26262，適用于道路車輛上由電子、電氣和軟件組件組成的安全相關系統(tǒng)在安全生命周期內(nèi)的所有活動。

近些年來，國內(nèi)外的整車廠和科研機構(gòu)在功能安全方面已開展多項研究。在國外，Birch等［7］對ISO 26262安全案例所需的主要論證結(jié)構(gòu)進行了分類和分析，并指出這些結(jié)構(gòu)之間的關系，特別強調(diào)了基于產(chǎn)品的安全原理在論據(jù)中的重要性，以及該原理在評估功能安全方面應發(fā)揮的作用。Juez等［8］提出了一種基于仿真試驗的故障注入方法（Sabotage），并將其應用到自動駕駛汽車橫向控制系統(tǒng)的安全分析中，以作為在系統(tǒng)設計開發(fā)時傳統(tǒng)安全分析方法不足的補充，依據(jù)試驗數(shù)據(jù)得到失效影響，并完善安全目標及安全要求。Prakhar等［9］從硬件設計和軟件設計兩方面探討了ISO 26262標準在EPAS ECU開發(fā)中的適用性，并進行了危害分析和風險評估，通過改進架構(gòu)實現(xiàn)功能安全目標。

Varga［10］介紹了一種基于仿真的功能安全驗證方法，可以模擬各種故障模式并測試EPS（電動助力轉(zhuǎn)向系統(tǒng)）在故障情況下的行為。Lurie等［11］提出了一種基于參數(shù)化的危害分析和風險評估方法，從而更好地管理和理解復雜系統(tǒng)的安全風險，并將該方法應用于實際汽車電子控制系統(tǒng)開發(fā)過程。在國內(nèi)，鄔肖鵬等［12］對輪轂電機驅(qū)動汽車出現(xiàn)電機故障時的整車行為進行仿真分析；何杰等［13］提出了一種基于仿真的EPS扭矩傳感器故障容錯時間間隔（FTTI）的確定方法；尚世亮等［14］開發(fā)了一種基于整車總線故障注入的測試方法，并對車輛電子穩(wěn)定性控制系統(tǒng)（ESC）進行了故障注入測試；葛鵬等［15］把3層監(jiān)控概念應用于7DCT（7速雙離合變速器）電控系統(tǒng)的開發(fā)。綜上所述，基于模型仿真與ISO 26262標準相結(jié)合的分析方法已受到重視。

道路車輛功能安全標準ISO 26262適用于質(zhì)量不超過3 500 kg 的乘用車電子電氣系統(tǒng)，其通過對開發(fā)流程和工作文檔的規(guī)范來減少或消除電控系統(tǒng)故障可能引起的危險。本文參考借鑒ISO 26262標準的分析方法，充分考慮特種車輛電子電氣系統(tǒng)的特點以及特種車特殊的使用場景開展分析，并運用Simulation X軟件仿真分析系統(tǒng)故障時多軸特種車的運動特性，對多軸轉(zhuǎn)向系統(tǒng)功能安全進行分析，獲得汽車安全完整性等級ASIL（automotive safety integrity level）。

1? 多軸車輛轉(zhuǎn)向系統(tǒng)

汽車轉(zhuǎn)向系統(tǒng)的功用是保證汽車能按駕駛員的意志進行轉(zhuǎn)向行駛［2］，針對超重特種車輛底盤特點，主要功能包括全輪轉(zhuǎn)向功能、高速行駛穩(wěn)定性、低速行駛高通過性。轉(zhuǎn)向系統(tǒng)整體架構(gòu)如圖1所示，由轉(zhuǎn)向桿系統(tǒng)、轉(zhuǎn)向液壓子系統(tǒng)、轉(zhuǎn)向控制子系統(tǒng)以及供配電子系統(tǒng)組成。轉(zhuǎn)向后橋采用電控液壓助力方案，取消了軸間轉(zhuǎn)向傳動機構(gòu)，實現(xiàn)軸間轉(zhuǎn)角關系隨轉(zhuǎn)向模式變化，具備全輪轉(zhuǎn)向、公路轉(zhuǎn)向、后橋鎖止轉(zhuǎn)向、蟹行轉(zhuǎn)向等轉(zhuǎn)向模式。轉(zhuǎn)向電控子系統(tǒng)以前橋轉(zhuǎn)角與車速為輸入，在不同轉(zhuǎn)向模式下，通過控制后橋比例閥與對正電磁閥，實現(xiàn)各橋轉(zhuǎn)向與對正功能。

前橋（一二橋）轉(zhuǎn)向采用機械傳動液壓助力形式，采用斷開式轉(zhuǎn)向梯形，一橋梯形后置，二橋梯形前置；采用整體式動力轉(zhuǎn)向器和助力油缸提供一二橋助力。

后橋（三至六橋）轉(zhuǎn)向采用獨立電控液壓轉(zhuǎn)向形式，轉(zhuǎn)向梯形后置，各橋左右分別布置一個轉(zhuǎn)向助力缸與一個對正助力缸。轉(zhuǎn)向控制器采集前橋轉(zhuǎn)向擺臂轉(zhuǎn)角、顯控裝置（HMI）模式選擇、車速等信號后，計算出后橋轉(zhuǎn)向助力油缸目標位移；通過PWM（pulse width modulation）控制比例閥開度，以及實時采集到的轉(zhuǎn)向油缸位移傳感器信號，實現(xiàn)對轉(zhuǎn)向油缸長度的閉環(huán)控制；轉(zhuǎn)向油缸直線運動帶動車輪的旋轉(zhuǎn)，從而實現(xiàn)后橋車輪的跟隨運動。

2? 系統(tǒng)功能模型搭建

Simulation X是德國ITI公司自1993年開始推出的一種新型的工程高級建模和多學科仿真軟件［16］，在工程機械、液壓傳動、醫(yī)療器械、航空航天、汽車等工業(yè)領域得到了廣泛的應用，可以完成電路、液壓、熱力學、氣壓、電磁等復雜系統(tǒng)的建模，仿真分析與求解性能優(yōu)異［17］。

運用Simulation X搭建的多軸車底盤系統(tǒng)功能模型，包括動力驅(qū)動系統(tǒng)、轉(zhuǎn)向系統(tǒng)、機電混合制動系統(tǒng)、高壓供配電系統(tǒng)，整個模型集成了機械、氣壓、電氣、通信等多物理場，可以真實地反映整個系統(tǒng)的功能特性，如圖2所示。車輛模型模擬了油門踏板、制動踏板、方向盤等駕駛員操作的輸入，并設置了道路、阻力等行駛環(huán)境特性，形成了人-車-路的閉環(huán)環(huán)境，以此來仿真故障注入后的車輛運動狀態(tài)。

本文所研究的多軸車輛，每個輪都可以驅(qū)動、轉(zhuǎn)向、制動，采用模塊化建模的方式，各輪模型相同，如圖3所示。由于本文主要關注的是功能安全而非性能，如轉(zhuǎn)向系統(tǒng)采用以角度控制為主建模方式，而不考慮具體的轉(zhuǎn)向結(jié)構(gòu)細節(jié)。

3? 故障注入仿真分析

多軸特種車的電液轉(zhuǎn)向系統(tǒng)復雜、功能多，具有多種轉(zhuǎn)向模式切換、前橋轉(zhuǎn)向助力、后橋低速下轉(zhuǎn)角控制等功能。電液轉(zhuǎn)向系統(tǒng)在行駛過程中出現(xiàn)非預期的轉(zhuǎn)向模式切換、非預期轉(zhuǎn)向動作、轉(zhuǎn)向角未達到控制預期等故障情況，均會對車輛的安全行駛帶來影響。

不同功能的不同故障模式對應的汽車安全完整性等級ASIL不同。ASIL等級的確定需要綜合考慮嚴重度、暴露度和可控度3個因素。在Simulation X整車模型中注入轉(zhuǎn)向故障后得到整車的運動狀態(tài)和行駛軌跡，結(jié)合駕駛經(jīng)驗給出相應的嚴重度、暴露度和可控度，最終得到ASIL等級。

本文針對多軸電液轉(zhuǎn)向系統(tǒng)，以前橋轉(zhuǎn)向助力和后橋低速下轉(zhuǎn)角控制功能出現(xiàn)相應的“中高速行駛時某一橋產(chǎn)生非預期轉(zhuǎn)向”和“低速轉(zhuǎn)向時轉(zhuǎn)向角未達到預期轉(zhuǎn)角”故障時為例，進行功能安全分析，并給出ASIL等級。

3.1? 中高速行駛時某一橋產(chǎn)生非預期轉(zhuǎn)向

故障場景為車輛以50 km/h滑行（無油門）過程中轉(zhuǎn)向系統(tǒng)故障（傳感器故障、軟件故障等），產(chǎn)生某一橋非預期轉(zhuǎn)向，如圖4所示。單橋非預期轉(zhuǎn)向可能發(fā)生在任何一個橋，下面分別以一、三、六橋為例進行故障注入仿真。

（1）一橋非預期左轉(zhuǎn)向20°

將故障注入多軸車輛底盤模型，通過仿真獲得整車響應，可以得到整車橫向運動失控結(jié)果。圖5所示為仿真結(jié)果，從結(jié)果中可見從發(fā)生故障到車身左前圍與車道線相交只需0.34 s，即相當于0.34 s后車輛駛出自身車道而有可能與側(cè)向車輛發(fā)生碰撞事故。車輛橫擺角速度最大7.3 （°）/s。0.34 s的故障容錯時間很短，車輛橫擺率很大，駕駛員很難控制事故發(fā)生。

圖6所示為車輛運行軌跡仿真圖，可以直觀地看出該故障造成的危害很嚴重，整車直接嚴重跑偏。

（2）三橋非預期左轉(zhuǎn)向20°

將三橋車輪非預期左轉(zhuǎn)向20°的故障注入到整車模型，仿真獲得故障后的整車響應情況。圖7所示為仿真結(jié)果，從中可以看出從發(fā)生故障到車身左前圍與車道線相交只需1.1 s，即相當于1.1 s后車輛駛出自身車道而有可能與側(cè)向車輛發(fā)生碰撞事故。1.1 s的故障容錯相對于一橋故障稍微長一點，但對于人類反應時間仍然很短，駕駛員很難控制事故發(fā)生。

（3）六橋非預期右轉(zhuǎn)向20°

將六橋車輪非預期左轉(zhuǎn)向20°的故障注入到整車模型進行仿真。圖8所示為轉(zhuǎn)向故障仿真結(jié)果，車身左前圍與車道線相撞只需0.61 s，故障容錯時間很短，車輛橫擺率很大，駕駛員很難控制事故發(fā)生。仿真結(jié)果匯總?cè)绫?所示。

從結(jié)果可以發(fā)現(xiàn)，前橋以及后橋的轉(zhuǎn)向系統(tǒng)的失效會使得車輛急劇轉(zhuǎn)向某一方向，在非常短的時間內(nèi)與鄰近車道上的車輛相撞，是非常嚴重的失效，因此嚴重度為S3。中間橋雖然反應時間較慢，但1.1 s的相撞時間是非常短的。因此，轉(zhuǎn)向系統(tǒng)的非預期轉(zhuǎn)向故障使駕駛員無時間反應，無法規(guī)避惡劣后果的一種失效模式，確定可控性為C3。轉(zhuǎn)向工況是日常使用非常普遍的場景，因此暴露率為E4。最后得到該工況的ASIL等級為D，是最高的安全等級。

3.2? 低速轉(zhuǎn)向時轉(zhuǎn)向角未達到預期轉(zhuǎn)角

在車輛以30 km/h車速行駛時，駕駛員進行轉(zhuǎn)向操作，預期轉(zhuǎn)角為一、二橋轉(zhuǎn)向20°、17°，五、六橋轉(zhuǎn)向-10°、-12°。仿真時，前10 s用于模型穩(wěn)定，第15 s開始故障注入，故障表現(xiàn)為一橋轉(zhuǎn)向角減小10°。圖9所示為仿真結(jié)果數(shù)據(jù)曲線，從車輛的偏航角以及車輛運行軌跡均可以看出，車輛轉(zhuǎn)向角急劇減小，迅速脫離出原行駛軌跡（沖出車道線）。

由仿真結(jié)果可見，當某一橋發(fā)生轉(zhuǎn)角非預期減小時，車輛會出現(xiàn)不預期的偏航，導致車輛駛出車道，但車速低，可以較快減速，因此嚴重度為S2。由于車速較低，且駕駛員可以通過操縱方向盤調(diào)整行駛軌跡，因此可控性為C1。最后，得到該工況的ASIL為A，是最低的安全等級。

4? 結(jié)論

本文根據(jù)ISO 26262《道路車輛功能安全》的相關規(guī)定，對多軸轉(zhuǎn)向系統(tǒng)進行功能安全分析。對于典型危險情況，根據(jù)故障注入仿真結(jié)果，評估嚴重性、暴露度和可控性，確定所需的汽車安全完整性等級。汽車安全完整性等級將影響電子電氣系統(tǒng)的開發(fā)過程，較低的ASIL在該過程中具有較少的要求，較高的ASIL將具有更嚴格的開發(fā)要求。根據(jù)仿真確定的ASIL，結(jié)合實際的轉(zhuǎn)向系統(tǒng)電控、液壓方案，指導提出具體的設計要求，落實于方案中，提高多軸轉(zhuǎn)向系統(tǒng)的可靠性和安全性。

參考文獻：

［1］聶飛. 基于ISO 26262標準的高壓共軌ECU監(jiān)控單元的研究與開發(fā)［D］. 杭州： 浙江大學， 2016.

［2］陳翔. 多軸轉(zhuǎn)向車輛的轉(zhuǎn)向特性分析與多目標轉(zhuǎn)角控制研究［D］. 長春： 吉林大學， 2018.

［3］童菲.基于ISO 26262的整車電源模式管理系統(tǒng)功能安全概念設計［J］.機電一體化，2015（7）：63-67. DOI： 10.16413/j.cnki.issn.1007-080x.2015.07.014.

［4］文凱， 夏珩， 裴鋒， 等. 基于ISO 26262的電動四驅(qū)混合動力系統(tǒng)功能安全概念設計［J］. 機電工程技術(shù)， 2012， 41（12）： 74-76.

［5］還宏生. 汽車設計中的安全要求及ISO 26262標準［J］. 汽車零部件， 2012（10）： 41-43. DOI： 10.19466/j.cnki.1674-1986.2012.10.008.

［6］全國汽車標準化技術(shù)委員會. 道路車輛 功能安全：GB/T 34590—2022［S］.北京：中國標準出版社，2022.

［7］BIRCH J， RIVETT R， HABLI I， et al. Safety cases and their role in ISO 26262 functional safety assessment［C］//International Conference on Computer Safety， Reliability， and Security. Berlin， Heidelberg： Springer， 2013： 154-165.10.1007/978-3-642-40793-2_15

［8］JUEZ G， AMPARAN E， LATTARULO R， et al. Safety assessment of automated vehicle functions by simulation-based fault injection［C］//2017 IEEE International Conference on Vehicular Electronics and Safety （ICVES）. Vienna， Austria： IEEE， 2017： 214-219. DOI： 10.1109/ICVES.2017.7991928.

［9］SRIVASTAVA P， KARLE M L， SHAILESH KARLE U， et al. Development of electrical power assisted steering （EPAS） considering safety and reliability aspects as per ISO 26262［C］//SAE Technical Paper Series. 400 Commonwealth Drive， Warrendale， PA， United States： SAE International， 2015： 0086. DOI： 10.4271/2015-26-0086.

［10］VARGA A. Simulation support for EPS functional safety validation［C］//7th International Munich Chassis Symposium 2016. Wiesbaden： Springer Vieweg， 2017： 571-571.DOI：10.1007/978-3-658-14219-3_38.

［11］LURIE O， MILLER J. Hazard analysis and risk assessment beyond ISO 26262： Management of complexity via parametrization［C］//SAE Technical Paper Series. 400 Commonwealth Drive， Warrendale， PA， United States： SAE International， 2018： 1067. DOI： 10.4271/2018-01-1067.

［12］鄔肖鵬， 劉飛， 熊璐， 等. ISO 26262 標準下永磁同步電機故障對整車安全性的影響分析［J］. 汽車技術(shù)， 2013 （2）： 13-18.

［13］何杰， 陳慧. 符合ISO 26262 的 EPS 扭矩傳感器故障容錯時間間隔確定方法［C］// 2015 中國汽車工程學會年會論文集，上海：中國汽車工程學會， 2015：818-821.

［14］尚世亮， 王雷雷， 趙向東. 基于ISO 26262 的車輛電子電氣系統(tǒng)故障注入測試方法［J］. 汽車技術(shù)， 2015 （12）： 49-51.

［15］葛鵬， 陳勇， 羅大國， 等. 基于道路車輛功能安全標準ISO 26262的7DCT 電控系統(tǒng)設計［J］. 汽車技術(shù)， 2014 （9）： 21-23.

［16］劉艷芳. Simulation X精解與實例： 多學科領域系統(tǒng)動力學建模與仿真［M］. 北京： 機械工業(yè)出版社， 2010.

［17］羅方贊. 基于Simulation X的艦船傳動系統(tǒng)性能仿真與分析［J］. 艦船科學技術(shù)， 2018， 40（10）： 118-120.