Two-box方案"ESC+eBooster"功能安全之危害分析与风险评估（下）

根据制动执行机构的不同，线控制动系统（Brake-By-Wire）可以分为液压式线控制动系统（Electro-Hydraulic Brake, EHB）和机械式线控制动系统（Electro-Mechanical Brake, EMB）。其中，EHB 以传统的液压制动系统为基础，用电子器件替代了部分机械部件的功能，使用制动液作为动力传递媒介，同时具备液压备份制动系统，是目前的主流技术方案。而EHB根据集成度的高低，EHB 可以分为Two-box 和One-box 两种技术方案。

随着新能源汽车市场的扩张，“eBooster+ ESC”组合成为了目前市场上最主流的Two-box方案。该方案除了实现基础的制动助力功能和稳定性控制功能外，还能在实现制动能量回收的同时协调配合，保证在电制动和液压制动的切换中实现驾驶员的踏板感一致。此外，随着高阶辅助驾驶系统和自动泊车系统的普及，“eBooster+ ESC”在其中也扮演着实现制动冗余的角色。

另一方面，线控制动系统用电子器件代替部分机械部件，使得系统的安全性高度依赖电子器件的安全性和可靠性，这样一来，线控制动系统的功能安全开发显得尤为重要。

自从2011年功能安全标准ISO 26262自2021年正式发布，ISO 26262聚焦于电子电气系统的功能安全，对产品的整个生命周期进行评估，涵盖功能性安全需求规划、设计、实施、集成、验证、确认和配置等方面，旨在通过完善的开发流程，将汽车电子电气系统故障的风险降到最低，是全球电子零部件供应商进入汽车行业的准入门槛之一。国内外各大主流汽车企业陆续将ISO 26262中定义的需求融入自己的研发体系和流程中。

在上期文章中对危害分析与风险评估的方法论进行了介绍，本文将以“eBooster+ ESC”组合为分析对象，对该方法论展开实践。

危害分析与风险评估示意图

1.整车危害分析

整车危害分析的目标是完整地识别出所研究的E/E系统出现功能异常时可能引起的整车层面的异常行为。对于如何展开这一活动，ISO 26262中推荐了一种系统性地分析相关项的危害的方法——HAZOP(危害和可操作性分析，Hazard and Operability Analysis)。HAZOP给开发人员提供了一种系统的思维方式，可操作性强，因此被车企广泛地运用到了功能安全开发中。

简单来说，HAZOP从以下几个方面来全面地考虑功能的可能失效模式，从而识别出功能所有可能产生的整车危害（为避免翻译出现偏差，这里保留HAZOP的英文解释）：

1.Loss of Function - function not provided when intended

2.Function provided incorrectly when intended

• Incorrect Function-More than intended
• Incorrect Function-Less than intended
• Incorrect Function-Wrong direction

3.Unintended Activation of Function - Function provided when not intended

4.Output Stuck at a Value - Failure of the function to update as intended

注意：对于一个具体的功能来说，并不是上面提到的所有点都有对应的失效模式。

比如对于制动功能来说，就不存在“wrong direction”的功能失效。换句话说，具体功能需要具体分析。

在前几期的文章中对“eBooster+ ESC”系统的功能进行了具体的介绍，此处做一个总结：

• 功能1：驾驶员制动助力功能
• 功能2：外部ECU制动请求响应功能
• 功能3：电子稳定性控制功能 (ABS/TCS/VDC)
• 功能4：制动灯控制功能

eBooster和ESC的Two-box方案系统架构

接下来将对这几个功能失效及可能引起的整车危害进行HAZOP分析。

1.1.驾驶员制动助力功能

1.2.外部ECU制动请求响应功能

1.3.电子稳定性控制功能

1.4.制动灯控制功能

基于HAZOP分析结果，可以看出不同的功能失效可能引起相同的整车危害。为避免重复，此处将“eBooster+ ESC”系统功能异常可能引起的整车危害汇总成下表。

2.危害事件分类与风险分析

识别出整车危害后，需要结合场景对危害事件进行分类，以识别出功能安全开发需要考虑的不合理的风险。

危害事件分类主要是通过三个维度对风险进行评级：

• S（severity 严重度）：危害发生对驾驶员或乘客或路人或周边车辆中人员会造成的伤害等级。
• E（Exposure 曝光度）：运行场景在日常驾驶过程中发生的概率。
• C（controllability 可控度）：驾驶员或其他涉险人员控制危害以避免伤害的概率。

接下来基于上节HAZOP分析结果，进一步展开危害事件分类和风险分析。

注：以下分析仅供参考，与具体项目开发中的分析结果可能存在差异。

2.1.驾驶员或外部ECU无制动请求时非预期制动导致车轮抱死

2.2.驾驶员或外部ECU无制动请求时非预期制动导致减速度过大(车辆具有横向稳定性)

2.3.驾驶员请求制动时减速度过小

2.4.外部ECU请求制动时减速度过小（辅助驾驶*）

*辅助驾驶下驾驶员需要时刻关注运行情况并在必要时接管

2.5.外部ECU请求制动时减速度过小（自动驾驶*）

*自动驾驶下允许驾驶员不接管车辆，车辆出现异常时需要系统接管

2.6.稳定性功能非预期干预导致车辆失去稳定性

2.7.稳定性功能无干预或干预不当导致车辆失去稳定性

2.8.车辆制动时制动灯不亮

2.9.车辆驻车力过大(驾驶员在车内)

2.10.车辆驻车力过小 (驾驶员在车内)

3.导出功能安全目标

简单来说，HAZOP从以下几个方面来全面地考虑功能的可能失效模式，从而识别出功能所有可能产生的整车危害（为避免翻译出现偏差，这里保留HAZOP的英文解释）：

根据危害分析与风险评估结果，可以导出“eBooster+ ESC”的安全目标。

系列文章介绍

焉知智能汽车持续关注智能底盘的进化，同时致力于打造系列文章将涵盖智能底盘的所有领域，推出《智能底盘技术系列文章》，对底盘系统的技术方案及发展趋势进行深入的探讨。基于这一定位，系列文章将围绕以下框架展开深入的研究。

• ● 底盘系统的主流产品介绍与行业动态（产品介绍、功能设计、功能安全设计、国内外玩家现状等方面展开）
• △ 制动系统篇
• △ 转向系统篇
• △ 驱动系统篇
• △ 悬架系统篇

• ● 智能底盘的发展新趋势
• △ 底盘域融合
• △ 新电子电气（E/E）架构
• △ 智能底盘安全拓展 （功能安全，预期功能安全，信息安全）
• △ 滑板底盘
• 
  

该系列文章将在“焉知智能汽车”公众号上持续连载更新，欢迎感兴趣的读者点击左下角“阅读原文”订阅专栏，或订阅“智能底盘”合集标签。同时欢迎留言讨论。受限于作者的水平，如文章有不正确之处也欢迎读者留言指正。

​​智能底盘系列(1) | 智能底盘的昨天·今天·明天​​​

​​智能底盘技术(2) | 汽车制动系统的发展概述​​​​

​​智能底盘技术(3) | 从真空助力器说起​​​​​

​​智能底盘技术(4) | 线控制动eBooster介绍​​​​​​智能底盘技术(5) | 底盘电子稳定性控制系统的进化之路之ABS​​

​​​​​智能底盘技术(6) | 底盘电子稳定性控制系统的进化之路之TCS​​

​​​​​智能底盘技术(7) | 底盘电子稳定性系统的进化之路之VDC​​​​​

​​智能底盘技术(8) | 智能底盘下电子稳定性系统的再进化系统的再进化​​

​​​​​智能底盘技术(9) | ESC系统主动安全技术的拓展​​​​​

​​智能底盘技术(10) | 线控制动的类型与市场动态介绍​​​​​

​​智能底盘技术(11) | Two-box方案"ESC eBooster"系统介绍​​

​​​​​智能底盘技术(12) | Two-box方案"ESC eBooster"制动控制介绍​​​​

​​智能底盘技术(13) | Two-box方案"ESC eBooster"功能安全之危害分析与风险识别(上)​​

文章转载自公众号：焉知智能汽车