CN109130886B - 一种降低电机控制器asil等级的系统与方法 - Google Patents

Abstract

本发明提供了一种降低电机控制器ASIL等级的系统，包括整车控制器、电机控制器、电池管理系统和与车轮连接的电机，所述整车控制器的输出端分别与所述电机控制器、电池管理系统连接，所述电池管理系统的输出端与所述电机控制器连接，所述电机控制器的三相电流输出端与所述电机连接，所述电机控制器的三相电流输出端与所述电机之间串联有电流霍尔传感器。本发明还提供了一种降低电机控制器ASIL等级的方法。本发明的有益效果是：可在保证整车层面满足相同ASIL等级扭矩功能安全的前提下，降低电机控制器的ASIL等级，使得电机控制器的复杂度和技术难点得到降低、整车成本和项目风险得到有效降低。

Description

一种降低电机控制器ASIL等级的系统与方法

技术领域

本发明涉及电动汽车，尤其涉及一种降低电机控制器ASIL等级的系统与方法。

背景技术

电动汽车因其节能减排、污染小，并且随着各大城市逐渐限牌，电动汽车行业的发展越来越好。纯电动汽车更因其环保优势，成为节能和新能源发展的战略的主流。

近年来汽车智能化、网络化、电动化成为汽车未来发展的趋势，并且随着无人自动驾驶的兴起，汽车整体安全已经从被动安全转向主动安全，减少系统上失效的发生概率，控制风险。

随着车辆电子电气E/E系统和ADAS（辅助驾驶系统）数量不断增加，车辆安全、节能、环保、低碳、集成化、信息化、智能化、网络化、自动化功能越来越多，车辆中的E/E（电子/电气）系统越来越多。促使了以《IEC 61508》为基础，为满足道路车辆电子电气系统的特定需求而编写《ISO 26262》的诞生。

因为ISO26262标准的执行将会在很大程度上降低整车层面的失效造成的交通事故、故障率和召回的风险，国内外优秀的整车厂（宝马、大众、丰田、通用等）对于各大零部件厂提出了高功能安全等级和安全目标的要求，并提出不满足ISO26262标准没有资格参与投标活动。因而开发满足功能安全（ISO26262）标准的电动汽车零部件是国内外优秀零部件厂商亟待解决的技术难题。

ISO26262标准的推行和按照该标准开发产品，成本是高昂的、付出的代价将会比较大。软件开发使用AUTOSAR（汽车开放系统架构）平台进行软件嵌入式的开发；由于需要考虑安全性导致整个硬件元器件和设计的成本也是很大的。整体下来产品的成本会很高，整车的成本当然也不会低，况且没有相应的客户，开发以后不会很快收回成本、完成产品认证和实现产品量产还遥遥无期，许多企业不愿意承担这部分的成本，一直处于观望状态。但是随着国家政策的支持和电动汽车行业的发展状况来看，商用车市场逐渐饱和，汽车行业企业逐渐把战场转向乘用车，因此乘用车市场将会迎来一段爆发期，乘用车开发要求要比商用车更高、难度也更大，目前市场上的乘用车主流产品满足功能安全要求的又少之又少，所以解决整车的安全问题，进行相关方面的技术储备变得势在必行和刻不容缓，将会提高企业的核心竞争力。

目前国内零部件厂商进行功能安全方案策划时，都还是根据国外整车企业的经验从整车层面以动力系统为基础做HARA(危害分析和风险评估)分析，得出整车层面的功能安全目标和相应的ASIL等级，在进行分解到各个零部件。零部件厂商按照整车厂的需求开发符合功能安全要求的产品，很可能出现现有方案中的整车控制器和电机控制器都进行扭矩功能安全设计，满足功能安全要求的零部件的开发复杂度大、技术难度高、项目周期长、开发费用高、开发风险大；且成本回收期比较长。从整车层面来看功能安全等级并没有提高，只按照所有零部件的最高功能安全等级进行确认整车的功能安全等级，那就属于一种浪费并且扩大成本。

ASIL等级（Automotive Safety Integration Level，汽车安全性等级）有四个等级，分别为ASIL A、ASIL B、ASIL C、ASIL D,其中ASIL A是最低等级，ASIL D是最高等级。ASIL等级决定了整个系统安全性的要求，ASIL 等级越高，对系统的安全性要求越高，为实现安全付出的代价越大，意味着硬件的诊断覆盖率越高，开发流程越严格，相应的开发成本增加、开发周期延长，技术要求严格。为解决以上难点，同时也需要在整车层面达到相同的功能安全等级，提出降低电机控制器ASIL等级的方案。

VCU（整车控制器）根据驾驶场景和车辆状况实时监控车辆运行，执行驾驶员意图，是车辆的大脑。BMS（电池管理系统）是车辆动力系统的支撑，是车辆能量管理的核心。MCU（电机控制器）是驱动车辆的核心部件。通常情况下VCU的安全目标：扭矩安全、高压安全；BMS的安全目标：高压安全； MCU的安全目标：扭矩安全。

ISO26262标准在国内的发展仅只有几年，大家对标准的理解都不熟悉。国内整车企业在做整车功能安全时，都还是根据国外整车企业的经验从整车层面以动力系统为基础做HARA(危害分析和风险评估)分析，根据现有电动汽车控制策略得出电机控制器和整车控制器的扭矩安全目标和ASIL C等级。零部件厂商按照功能安全需求和安全目标去开发符合功能安全要求的产品。这样难免会使得功能安全零部件的开发复杂度增加、技术难度过高、项目开发费用也较高、项目开发风险大；且成本回收期比较长。见图1，现有的整车层面电机控制器功能安全架构框图，其工作原理是：VCU（整车控制器）根据驾驶员的意图（踩油门踏板的深度）将油门信号转换成相应的扭矩信号，通过CAN（控制器局域网络）总线通信给MCU（电机控制器）发送相应的扭矩请求命令，MCU根据VCU的扭矩请求命令输出相应的转矩。MCU通过采集电机的相电流和角度值反算实际扭矩，与CAN给定扭矩进行比较如果与预设值的扭矩差超过±50N.m后进入安全状态切断扭矩输出。根据现在的工作原理分析VCU和MCU的扭矩输出功能都要做功能安全等级，目前经过HARA分析得出扭矩功能安全等级是ASIL C，安全目标是扭矩出现异常时直接关断扭矩输出；其他部件BMS（电池管理系统）的高压功能安全是ASIL C；VCU的扭矩功能安全是ASIL C；仪表的报警功能安全是ASIL A。VCU和MCU的扭矩功能安全都比较高并且两个系统都有做扭矩功能安全，根据ASIL等级分解的原理整车层面的ASIL等级并没有提高还增大了VCU和MCU的开发难度。

现有的设计电机控制器和整车控制器两者都进行扭矩功能安全设计，但是整车层面的ASIL等级并没有提高，整车的ASIL等级由整车所有零部件最高的ASIL等级决定。

现有技术方案的缺点是：电机控制器和整车控制器两者都需要将扭矩功能安全做到ASIL C等级。复杂度、技术难度较大；开发成本高、项目开发风险比较大。

因此，在保证整车层面满足扭矩功能安全的前提下，如何降低电机控制器的ASIL等级是本领域技术人员所亟待解决的技术问题。

发明内容

为了解决现有技术中的问题，本发明提供了一种降低电机控制器ASIL等级的系统与方法。

本发明提供了一种降低电机控制器ASIL等级的系统，包括整车控制器、电机控制器、电池管理系统和与车轮连接的电机，所述整车控制器的输出端分别与所述电机控制器、电池管理系统连接，所述整车控制器根据驾驶员意图将油门信号直接转换成扭矩请求值并发送给电机控制器，所述电池管理系统的输出端与所述电机控制器连接，所述电机控制器的三相电流输出端与所述电机连接，所述电机控制器将该扭矩请求值生成的扭矩送到所述电机，所述电机根据该扭矩请求值执行扭矩输出，所述电机控制器的三相电流输出端与所述电机之间串联有电流霍尔传感器，所述电流霍尔传感器的输出端与所述整车控制器连接，所述电流霍尔传感器将采集到的电流采样信号输出至所述整车控制器，所述电机连接有旋转变压器，所述旋转变压器的输出端与所述整车控制器连接，所述旋转变压器将采集到的角度采样信号输出至所述整车控制器，所述整车控制器将采集到的电流采样信号、角度采样信号解析为电流值和角度值，一方面，所述整车控制器将解析得出的电流值和角度值作为反馈值输出至所述电机控制器用于PID调节，生成扭矩；另一方面，所述整车控制器根据解析得出的电流值和角度值计算所述电机的实际扭矩值，将计算得到的电机的实际扭矩值与整车控制器发给电机控制器的扭矩请求值进行比较，以两者是否一致作为是否进入安全状态的判断条件。三相电流传感器和旋转变压器在本发明中，使整车控制器和电机控制器的厂家可以进入深度的合作，将整车控制器和电机控制器进行物理连接，共享整车控制器解析的电流值和角度值。

作为本发明的进一步改进，所述整车控制器的输出端分别通过CAN总线与所述电机控制器、电池管理系统连接，所述电池管理系统的高压输出端与所述电机控制器的高压输入端连接，所述电机的扭矩输出端连接有车轮。

作为本发明的进一步改进，所述降低电动汽车电机控制器ASIL等级的系统还包括油门踏板，所述油门踏板的油门信号输出端与所述整车控制器的输入端连接。

本发明还提供了一种降低电机控制器ASIL等级的方法，包括以下步骤：

S1、整车控制器将油门踏板的油门信号直接转换成扭矩请求值通过CAN通信发送给电机控制器；

S2、所述电机控制器通过电机向车轮输出所述整车控制器的扭矩请求值；

S3、所述整车控制器通过电流霍尔传感器采集所述电机的电流采集信号，所述整车控制器通过旋转变压器采集所述电机的角度采集信号，所述整车控制器将采集到的电流采集信号和角度采集信号经过解析得出电流值和角度值后，一方面，所述整车控制器将解析得出的电流值和角度值作为反馈值输出至所述电机控制器用于PID调节，生成扭矩；另一方面，所述整车控制器根据解析得出的电流值和角度值计算所述电机的实际扭矩值，将计算得到的电机的实际扭矩值与整车控制器发给电机控制器的扭矩请求值进行比较，如果电机的实际扭矩值与整车控制器发给电机控制器的扭矩请求值一致，则不进入安全状态，如果电机的实际扭矩值与整车控制器发给电机控制器的扭矩请求值不一致，则进入安全状态。

作为本发明的进一步改进，在步骤S3中，如果电机的实际扭矩值与整车控制器发给电机控制器的扭矩请求值不一致，则整车控制器通过CAN通信给电池管理系统发送断开主接触器请求，切断电机控制器的高压输入， 电机控制器和整车控制器两者都切断扭矩输出进入安全状态，从而保证整车安全。

本发明的有益效果是：可在保证整车层面满足相同ASIL等级扭矩功能安全的前提下，降低电机控制器的ASIL等级，使得电机控制器的复杂度和技术难点得到降低、整车成本和项目风险得到有效降低。

附图说明

图1是现有的整车层面电机控制器功能安全架构框图。

图2是本发明一种降低电机控制器ASIL等级的系统的示意图。

图3是本发明一种降低电机控制器ASIL等级的系统的扭矩安全ASIL C等级分解图。

具体实施方式

下面结合附图说明及具体实施方式对本发明作进一步说明。

如图2至图3所示，一种降低电机控制器ASIL等级的系统，包括整车控制器（VCU）2、电机控制器（MCU）4、电池管理系统（BMS）3和与车轮连接的电机，所述整车控制器2的输出端分别与所述电机控制器4、电池管理系统3连接，所述整车控制器2将扭矩请求值输出给所述电机控制器4，所述电池管理系统3的输出端与所述电机控制器4连接，所述电机控制器4的三相电流输出端与所述电机5连接，所述电机控制器4向所述电机5输出扭矩请求值，所述电机控制器4的三相电流输出端与所述电机5之间串联有电流霍尔传感器7，电流霍尔传感器7可以采集两相也可以采集三相，所述电流霍尔传感器7的输出端与所述整车控制器2连接，所述电流霍尔传感器7将采集到的电流采样信号输出至所述整车控制器2，所述电机5连接有旋转变压器8，所述旋转变压器8的输出端与所述整车控制器2连接，所述旋转变压器8将采集到的角度采样信号输出至所述整车控制器2，所述整车控制器2将采集到的电流采样信号、角度采样信号解析为电流值和角度值，一方面，所述整车控制器2将解析得出的电流值和角度值作为反馈值输出至所述电机控制器4用于PID调节，生成扭矩；另一方面，所述整车控制器2根据解析得出的电流值和角度值计算所述电机5的实际扭矩值，将计算得到的电机5的实际扭矩值与整车控制器2发给电机控制器4的扭矩请求值进行比较，以两者是否一致作为是否进入安全状态的判断条件。

如图2所示，所述整车控制器2的输出端分别通过CAN总线与所述电机控制器4、电池管理系统3连接，所述电池管理系统3的高压输出端与所述电机控制器4的高压输入端连接，所述电机5的扭矩输出端连接有车轮5。

如图2所示，所述降低电动汽车电机控制器ASIL等级的系统还包括油门踏板1，所述油门踏板1的油门信号输出端与所述整车控制器2的输入端连接。

如图2至图3所示，一种降低电机控制器ASIL等级的方法，包括以下步骤：

S1、整车控制器2将油门踏板1的油门信号直接转换成扭矩请求值通过CAN通信发送给电机控制器4；

S2、所述电机控制器4通过电机5向车轮6输出所述整车控制器2的扭矩请求值；

S3、所述整车控制器2通过电流霍尔传感器7采集所述电机5的电流采集信号，所述整车控制器2通过旋转变压器8采集所述电机5的角度采集信号，所述整车控制器2将采集到的电流采集信号和角度采集信号经过解析得出电流值和角度值后，一方面，所述整车控制器2将解析得出的电流值和角度值作为反馈值输出至所述电机控制器4用于PID调节，生成扭矩；另一方面，所述整车控制器2根据解析得出的电流值和角度值计算所述电机5的实际扭矩值，将计算得到的电机5的实际扭矩值与整车控制器2发给电机控制器4的扭矩请求值进行比较，如果电机5的实际扭矩值与整车控制器2发给电机控制器4的扭矩请求值一致，则不进入安全状态，如果电机5的实际扭矩值与整车控制器2发给电机控制器4的扭矩请求值不一致，则进入安全状态。

在步骤S3中，如果电机5的实际扭矩值与整车控制器2发给电机控制器3的扭矩请求值不一致，则整车控制器2通过CAN通信给电池管理系统3发送断开主接触器请求，切断电机控制器4的高压输入， 电机控制器2和整车控制器4两者都切断扭矩输出进入安全状态，从而保证整车安全。

本发明提供的一种降低电机控制器ASIL等级的系统与方法，根据对ISO26262标准的理解，从整车层面制定功能安全解决方案，将原来VCU和MCU都进行扭矩安全ASIL C的方案根据ISO26262标准中ASIL等级分解为VCU扭矩安全ASIL C（C），MCU扭矩安全QM（C），则不用遵循ISO26262标准进行开发即可使整车达到相同ASIL等级。如图2所示，VCU通过电流霍尔传感器7和旋转变压器8采集车辆实际电流信号和角度信号，VCU对采集到的电流信号和角度信号进行解析，分别给到VCU内部用于实际扭矩值的计算和MCU进行PID调节（FOC矢量算法控制的功能模块）。VCU根据驾驶意图将油门信号直接转换成扭矩请求值，并通过CAN通信发送给MCU，MCU直接响应相应的扭矩，然后VCU内部用解析的角度值和电流值计算实际扭矩值，与VCU发给MCU的扭矩请求值进行比较，如果不一致，VCU通过CAN通信给BMS发送断开主接触器请求，切断高压，MCU和VCU两者都切断扭矩输出进入安全状态，从而保证整车安全。此方案中各安全目标和对应的ASIL等级，VCU的扭矩功能安全等级是ASIL C(C)；扭矩控制和转矩输出就是QM(C)。根据ISO 26262标准，MCU就只需要遵循QM等级进行开发；BMS的高压切断安全等级是ASIL C（C）。

在本发明中，整车控制器2和电机控制器4的厂家可以进入深度的合作将整车控制器2和电机控制器4进行物理连接，共享整车控制器2解析的电流值和角度值。

本发明提供的一种降低电机控制器ASIL等级的系统与方法，整车扭矩功能安全只需要将VCU做到ASIL C（C），MCU扭矩安全做到QM（C），即可保证整车层面满足扭矩功能安全，使得电机控制器4的复杂度和技术难点得到降低、整车成本和项目风险得到有效降低。注：QM是质量体系要求不属于功能安全体系的等级；ASIL等级分成四个等级分别为：ASIL A、ASIL B、ASIL C、ASIL D。ASIL D是最高等级。

本发明提供的一种降低电机控制器ASIL等级的系统与方法，具有以下优点：

1、提出一种电动汽车在整车层面能达到相同ASIL C等级，但电机控制器扭矩功能安全不用再进行功能安全设计，只需做到QM（C），整车控制器2从原来的ASIL C降低到ASILC（C）；

2、产品不用进行扭矩功能安全方面的设计，很大程度降低功能安全开发的复杂度和技术难点；减少电机控制器零部件功能安全项目开发成本和料本，从而降低整车的成本；同时降低功能安全项目开发风险；

3、只需要增加一组三相电流霍尔和旋转变压器，VCU通过电流霍尔传感器7和旋转变压器8采集车辆实际电流信号和角度信号，VCU对采集到的电流信号和角度信号进行解析，分别给到VCU内部用于实际扭矩值的计算和MCU进行PID调节（FOC矢量算法控制的功能模块）；

4、整车控制器2和电机控制器4的厂家可以进入深度的合作将整车控制器2和电机控制器4进行物理连接，共享整车控制器2解析的电流值和角度值。

以上内容是结合具体的优选实施方式对本发明所作的进一步详细说明，不能认定本发明的具体实施只局限于这些说明。对于本发明所属技术领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干简单推演或替换，都应当视为属于本发明的保护范围。

Claims (5)

1.一种降低电机控制器ASIL等级的系统，其特征在于：包括整车控制器、电机控制器、电池管理系统和与车轮连接的电机，所述整车控制器的输出端分别与所述电机控制器、电池管理系统连接，所述整车控制器根据驾驶员意图将油门信号直接转换成扭矩请求值并发送给电机控制器，所述电池管理系统的输出端与所述电机控制器连接，所述电机控制器的三相电流输出端与所述电机连接，所述电机控制器将该扭矩请求值相应的扭矩发送给所述电机执行扭矩输出，从而驱动整车所述电机控制器的三相电流输出端与所述电机之间串联有电流霍尔传感器，所述电流霍尔传感器的输出端与所述整车控制器连接，所述电流霍尔传感器将采集到的电流采样信号输出至所述整车控制器，所述电机连接有旋转变压器，所述旋转变压器的输出端与所述整车控制器连接，所述旋转变压器将采集到的角度采样信号输出至所述整车控制器，所述整车控制器将采集到的电流采样信号、角度采样信号解析为电流值和角度值，一方面，所述整车控制器将解析得出的电流值和角度值作为反馈值输出至所述电机控制器用于电机控制器的PID调节，生成扭矩；另一方面，所述整车控制器根据解析得出的电流值和角度值计算所述电机的实际扭矩值，将计算得到的电机的实际扭矩值与整车控制器发给电机控制器的扭矩请求值进行比较，以两者是否一致作为是否进入安全状态的判断条件。

2.根据权利要求1所述的降低电机控制器ASIL等级的系统，其特征在于：所述整车控制器的输出端分别通过CAN总线与所述电机控制器、电池管理系统连接，所述电池管理系统的高压输出端与所述电机控制器的高压输入端连接，所述电机的扭矩输出端连接有车轮。

3.根据权利要求1所述的降低电机控制器ASIL等级的系统，其特征在于：所述降低电动汽车电机控制器ASIL等级的系统还包括油门踏板，所述油门踏板的油门信号输出端与所述整车控制器的输入端连接。

4.一种降低电机控制器ASIL等级的方法，其特征在于，包括以下步骤：

S1、整车控制器根据驾驶员意图将油门踏板的油门信号直接转换成扭矩请求值通过CAN通信发送给电机控制器；

S2、所述电机控制器通过电机向车轮输出所述整车控制器的扭矩请求值；

S3、所述整车控制器通过电流霍尔传感器采集所述电机的电流采集信号，所述整车控制器通过旋转变压器采集所述电机的角度采集信号，所述整车控制器将采集到的电流采集信号和角度采集信号经过解析得出电流值和角度值后，一方面，所述整车控制器将解析得出的电流值和角度值作为反馈值输出至所述电机控制器的用于PID调节；另一方面，所述整车控制器根据解析得出的电流值和角度值计算所述电机的实际扭矩值，将计算得到的电机的实际扭矩值与整车控制器发给电机控制器的扭矩请求值进行比较，如果电机的实际扭矩值与整车控制器发给电机控制器的扭矩请求值一致，则不进入安全状态，如果电机的实际扭矩值与整车控制器发给电机控制器的扭矩请求值不一致，则进入安全状态。

5.根据权利要求4所述的降低电机控制器ASIL等级的方法，其特征在于：在步骤S3中，如果电机的实际扭矩值与整车控制器发给电机控制器的扭矩请求值不一致，则整车控制器通过CAN通信给电池管理系统发送断开主接触器请求，切断电机控制器的高压输入， 电机控制器和整车控制器两者都切断扭矩输出进入安全状态，从而保证整车安全。

Images