Autor: Johnny Liu, CEO bei Dowwaye
Erscheinungsdatum: 4. Juni 2026
Kategorie: Fahrzeugtechnik / Bremsen-by-Wire / Funktionssicherheit (ISO 26262)
Geschätzte Lesezeit: 15 Minuten
0. Einleitung: Entfernen des hydraulischen Sicherheitsnetzes
In der aktuellen Ära der Elektrofahrzeuge und des automatisierten Fahrens Elektromechanische Bremse (EMB) gilt weithin als die ultimative Ausführungseinheit für die Brake-by-Wire-Technologie. Es bleibt jedoch eines der umstrittensten und herausforderndsten Systeme, die es zu konstruieren gilt.
Herkömmliche hydraulische Bremssysteme benötigen etwa 300 USD \ Text {ms} $ bis 500 USD \ text {ms} $, um den Hydraulikdruck aufzubauen und die Bremssättel zu drücken, nachdem ein Fahrer das Pedal betätigt hat. EMB eliminiert Hydraulikleitungen, Hauptzylinder und Vakuumverstärker vollständig. Durch die Verwendung von Elektromotoren an jedem Rad, um die Bremsscheiben direkt zu drücken, verkürzt EMB diese Reaktionszeit auf unter 100 $ \ text {ms} $. Bei $ 120 \ text {km / h} $ spart man die Stoppdistanz um fast $ 10 \ text {m} $. Im Notfall ist dies der Unterschied zwischen einem sicheren Stopp und einem tödlichen Absturz.
Diese Verschiebung auf reine elektrische Signalübertragung bedeutet jedoch, dass das physische Sicherheitsnetz verschwunden ist. Ohne hydraulische Backups hängt die Bremssicherheit vollständig von der Konstruktionsqualität der elektronischen Systeme ab. Ein einzelner Verlustleistungsverlust, ein Busausfall oder eine Softwarestörung könnte ein Fahrzeug ohne Bremsen lassen. Deshalb Funktionales Sicherheitsdesign nach ISO 26262 ist die kritischste Säule der EMB-Entwicklung.
Bei Dowwaye zeigt unsere technische Arbeit mit OEMs und Tier-1-Lieferanten, dass es beim Kampf um EMB nicht nur um mechanische Hardware geht. Es geht um Sicherheitsarchitekturen und intelligente fehlerverminderte Steuerungsalgorithmen. Dieser Artikel untersucht das Design der funktionalen Sicherheit und die fehlersichere Logik von EMB-Systemen während der anfänglichen Konzeptphase.
1. Artikeldefinition & amp; Das Paradoxon homologer Bremssättel
Unter ISO 26262 beginnt der Prozess der funktionalen Sicherheit mit der Artikeldefinition. Dieser Schritt definiert die physischen Grenzen, funktionalen Schnittstellen und Betriebsumgebungen des Systems. Wenn Sie hier einen einzigen kritischen Link verpassen, verpassen Ihre Gefahrenanalyse und Risikobewertung (HARA) kritische Fehlermodi.
1.1 Physikalische Grenzen und Komponenten
Ein serienmäßiges unabhängiges EMB-System umfasst:
- Elektronische Bremspedaleinheit: Verfügt über Verschiebungs- und Kraftsensoren sowie einen Pedalgefühl-Emulator, um zu erfassen, was der Fahrer tun möchte.
- Zentraler Controller (Hauptsteuergerät / Domänencontroller): Entscheidet, wie die Bremskraft verteilt wird und sendet Steuerbefehle.
- Radseitige Bremssattelantriebe: Vier unabhängige EMB-Bremssättel mit jeweils eigener Radsteuereinheit (WCU), Antriebsmotor, Untersetzungsgetriebe und Klemmkraftsensor.
- Stromversorgungssystem: Bietet elektrische Niederspannungsenergie.
- Feststellbremsschalter: Steuert die elektronische Feststellbremse (EPB) für Hilfs- und Notfallsicherung.
[Driver Pedal Input] -> [Electronic Brake Pedal (Dual-Channel)] -> [Main ECU (Dual-MCU Architecture)]
|
+------------------+-----------------------+-----------------------+-----+------------------+
| | | | |
v v v v v
[FL Caliper/WCU] [FR Caliper/WCU] [RL Caliper/WCU] [RR Caliper/WCU] [EPB Parking Lock]
1.2 Zwei einzigartige physikalische Sicherheitsmerkmale von EMB
Im Gegensatz zu Steer-by-Wire (SBW) -Systemen, die vollständig auf elektronischer Redundanz angewiesen sind, weil ihnen eine physische Lenksäule fehlt, verfügt EMB über zwei einzigartige mechanische Merkmale, die seine Sicherheitsstrategie prägen:
Charakteristik 1: Physikalische Isolation vs. das homologe Paradoxon
Mechanisch sitzen die vier EMB-Bremssättel auf separaten Rädern mit eigenen Motoren und Getrieben. Wenn ein Bremssattel blockiert, eine Wicklung verbrennt oder ein Zahnrad bricht, ist der Schaden physikalisch isoliert. Die anderen drei Räder bleiben unberührt. Dies bietet viel besser Fehlerisolierung als ein zentrales Hydrauliksystem, bei dem ein einziger Hauptzylinderleck die gesamte Bremsflüssigkeitsreserve entladen kann.
Der Fang ist Ausfall der allgemeinen Ursache (CCF). Alle vier Bremssättel haben genau die gleichen Hardware, Motortypen, Treiberschaltungen und WCU-Algorithmen. Wenn es einen systemischen Fehler gibt – wie ein bestimmtes elektromagnetisches Interferenzmuster (EMI), eine schlechte Charge von Halbleitern oder ein versteckter Fehler im Steuercode – können alle vier Bremssättel genau im selben Moment ausfallen.
noch schlimmer, Ein einzelner Fehler im Upstream-Controller kann alle Räder sofort deaktivieren. Verliert der zentrale Controller Strom oder stürzt ab, die physikalische Isolation der Bremssättel spielt keine Rolle; Sie werden alle ihre Befehle verlieren. Systemdesigner müssen Dual-MCU-Lockstep-Architekturen, redundante Stromnetze und heterogene Software um diese gemeinsamen Fehler zu verhindern.
Merkmal 2: Mechanische Selbstsicherung als letztes Mittel
Wenn alle elektrischen Systeme ausfallen und die gesamte Elektronik ausfällt, kann EMB weiterhin den mechanischen Selbsthemmungswiderstand oder die hohe Rückstellfähigkeit der radseitigen Gänge verwenden, um ein Mindestmaß an Verzögerung oder Parkkraft aufrechtzuerhalten. Dies bietet eine endgültige mechanische Verteidigungslinie, um das Auto anzuhalten.
1.3 Funktionale Hierarchie
Während der Item-Definition-Phase organisieren wir die Systemoperationen in vier Funktionsschichten, um das HARA zu leiten:
| Schicht | Funktion | Kernverantwortung |
|---|---|---|
| Schicht 1 | Basis fahren & amp; Bremsung | Liest die Pedaleingänge, um die vier Bremssättel zum Anhalten und Parken zu fahren. |
| Schicht 2 | Tuning der Bremsleistung | Verwaltet aktive Sicherheitssysteme wie ABS, EBD und ESC. |
| Schicht 3 | Fehlertoleranz & amp; Verschlechterte Kontrolle | Läuft Diagnose, schaltet zwischen Fail-Safe-Modi um und verteilt die Bremskraft dynamisch neu. |
| Schicht 4 | Fahrzeugkommunikation | Steuert HMI-Warnleuchten, Bremslichter und Gespräche mit den ADAS- und Körpersteuergeräten. |
2. Hara-Analyse & amp; Definition von ASIL D-Sicherheitszielen
Gefahrenanalyse und Risikobewertung (HARA) ist der Kern der ISO 26262-Konzeptphase. Es bewertet die Sicherheitsrisiken von ASIL A bis ASIL D anhand der Schwere ($ S $), der Exposition ($ E $) und der Steuerbarkeit ($ C $).
2.1 Hara-Risiko-Matrix
Die Sicherheitsstufe ISO 26262 wird anhand einer einfachen Beziehung berechnet:$$$\Text{Asil Grade} = F(S, E, C)$$
ASIL D ist das höchste und strengste Niveau, während QM (Qualitätsmanagement) bedeutet, dass das Risiko keine besonderen funktionalen Sicherheitsmaßnahmen erfordert.
2.2 Analyse eines Hochgeschwindigkeits-Bremsfehlerszenarios
Sehen wir uns eines der schlimmsten Szenarien für ein EMB-System an: „Ein vollständiger Verlust der gesamten Bremskraft während der Fahrt $ 120 \ text {km / h} $ auf einer Autobahn.”
- Schwere ($ s $): Ein totaler Bremsverlust bei $ 120 \ text {km / h} $ wird mit ziemlicher Sicherheit zu einer Hochgeschwindigkeitskollision mit tödlichen Verletzungen führen. Dies erhält die maximale Bewertung von $ S3 $.
- Belichtung ($ E $): Autobahnfahrt ist ein Standard, der tägliche Routine für Pkw. Dies erhält die höchste Bewertung von $ E4 $.
- Steuerbarkeit ($ C $): Wenn Sie alle Bremsen bei hoher Geschwindigkeit verlieren, können Sie sich nicht leicht aus dem Problem heraus lenken. Der Fahrer kann die Gefahr nicht zuverlässig kontrollieren. Dies wird mit $ C3 $ bewertet.
Verwenden der Standard-ISO 26262-Risikomatrix:
| Schweregrad ($s $) | Belichtung ($ E $) | Steuerbarkeit $ C1 $ | Steuerbarkeit $ C2 $ | Steuerbarkeit $ C3 $ |
|---|---|---|---|---|
| $ s3 $ | $ E1 $ | QM | Asil A | Asil B |
| $ E2 $ | Asil A | Asil B | Asil C | |
| $ E3 $ | Asil B | Asil C | Asil D | |
| $ E4 $ | Asil C | Asil D | ASIL D (Ergebnis) |
Die Kombination von $ S3 + E4 + C3 $ führt zu einem Asil D Bewertung Dies bedeutet, dass das EMB-System die höchsten technischen Standards erfüllen muss, um einen vollständigen Bremskraftverlust zu verhindern.
2.3 Die vier zentralen Sicherheitsziele
Basierend auf unserem HARA legen wir vier primäre Sicherheitsziele für das EMB-System fest Asil D:
+----------------------------+
| EMB Top Safety Goals |
+----------------------------+
|
+-----------------------+-----------+-----------+-----------------------+
| | | |
v v v v
[SG01: ASIL D] [SG02: ASIL D] [SG03: ASIL D] [SG04: ASIL D]
Prevent Unintended Loss Prevent Unintended Prevent Insufficient Prevent Loss of
of Braking Force Braking Activation Braking Force Pedal Input Signals
- SG01: Unbeabsichtigten Bremskraftverlust verhindern (ASIL D)
- Anforderung: Wenn eine einzelne Hardwarekomponente ausfällt, muss das Backup-System ohne Unterbrechung die Grundbremsung innerhalb von $\LE 100\Text{ ms}$ einhalten.
- SG02: Unbeabsichtigte Bremsaktivierung verhindern (ASIL D)
- Anforderung: Das System muss verhindern, dass Treiberschaltungen oder Softwarefehler versehentlich ein Rad blockieren. In diesem Fall muss das System den Strom an diesen bestimmten Motor abschalten, um einen Hochgeschwindigkeitsspin zu verhindern.
- SG03: Unzureichende Bremskraft vermeiden (ASIL D)
- Anforderung: Der Unterschied zwischen der tatsächlichen Klemmkraft und dem, was der Fahrer möchte, muss innerhalb der sicheren Grenzen bleiben.
- SG04: Verlust von Bremspedalsignalen verhindern (ASIL D)
- Anforderung: Pedalweg- und Kraftsensoren müssen unterschiedliche, unabhängige Backup-Designs verwenden, damit ein einzelner Sensorausfall nicht die Absicht des Fahrers verliert.
2.4 Drei sichere Zustände für ausfallbedingte Kontrolle
Um diese Sicherheitsziele zu erreichen, verwendet die EMB-Software drei Betriebsarten. Durch Fehlerbaumanalyse (FTA) stellen wir sicher, dass die Gesamtsystemausfallrate in diesen Modi unter $ & lt; 10^{-8}/\text{h}$, um den ASIL D-Standard zu erfüllen:
- Vollfunktionsmodus: Alle Teile laufen ohne Probleme oder mit geringfügigen latenten Fehlern, die die Leistung nicht beeinträchtigen. Das System kann mindestens einen Hardwareausfall überstehen und dennoch 100% Bremsleistung liefern.
- Teilfunktionsmodus: Es tritt ein einzelner Hardwarefehler auf (z. B. ein Bremssattel ausfällt oder eine Kommunikationsleitung ausfällt). Das System führt einen Kraftrekonstruktionsalgorithmus durch, um das Auto stabil zu halten und sicher zu stoppen.
- Notfallmodus: Wenn ein zweiter Hardwarefehler auftritt und alle elektronischen Backups weg sind, ist das System auf Notfallmaßnahmen angewiesen. Es nutzt die EPB- oder regenerative Motorbremsung, um das Fahrzeug zum Stillstand zu bringen.
3. Architektur auf Systemebene: Drei-Wege-Parallelsicherheit & amp; Power-Backups
Sobald Sie Sicherheitsziele haben, benötigen Sie eine elektrische und elektronische (E / E) -Architektur, die das Fahrzeug sicher hält. Wir verwenden eine Drei-Wege-Sicherheitsdesign: physische Hardware-Backups, Software-Verifikation und klare Mensch-Maschine-Kommunikationein
+-------------------------------------------------------------------------+
| Three-Way Parallel Safety Architecture |
+-------------------------------------------------------------------------+
| [Line 1: Physical Hardware] -> Dual power, dual CAN, dual-channel pedal, |
| clamp force sensors. |
| |
| [Line 2: Software Validation] -> Sensor plausibility, gate driver watch, |
| state observers. |
| |
| [Line 3: Human Interaction] -> Live diagnostic codes, visual/audio |
| alerts to warn driver to take over. |
+-------------------------------------------------------------------------+
3.1 Die Drei-Wege-Parallelsicherheitsarchitektur
Zeile 1: Physische Hardware-Redundanz
Hardware ist die Grundlage des Systems.
- Leistungsredundanz: Verwendet unabhängige duale Netzteile (ein 12-V/48-V-Hybrid-Setup). Fällt eine Batterieleitung aus, übernimmt die Backup-Leitung sofort, ohne dass die Bremsleistung verloren geht.
- Kommunikationsredundanz: Dual-CAN-FD-Busse laufen parallel. Wenn einer laut wird oder schnappt, übernimmt der andere ohne Paketverlust.
- Sensorredundanz:
- Bremspedal: Verwendet zwei Wegsensoren und zwei Kraftsensoren mit separaten Leistungschips und Verkabelung, die an unterschiedlichen Pins auf der Hauptsteuergerät angeschlossen sind.
- Aktuatoren: Jeder Messschieber verfügt über zwei Klemmkraftsensoren und zwei Motortemperatursensoren, um die tatsächliche Klemmkraft ($F_{\text{Clamp}}$) in Echtzeit zu überwachen.
Zeile 2: Softwarevalidierung
Bei vorhandenen redundanten Hardwaresignalen muss die Software auf versteckte Fehler achten.
- Plausibilitätsüberprüfungen: Die Software vergleicht den Pedalweg mit der berechneten äquivalenten Pedalkraft. Wenn sie nicht übereinstimmen, kennzeichnet die Software ein Problem mit der Sensordrift und ignoriert den schlechten Kanal.
- Überwachung der Fahrerstufe: Die WCU überwacht die Schaltzeiten des Wechselrichters und Busströme bis zur Mikrosekunde. Wenn ein Transistor kurz schließt, schaltet er den Motortreiber sofort ab.
Zeile 3: Menschliche Interaktion
Wenn ein einzelner Fehler das System in den Teilfunktionsmodus bringt, muss die Mensch-Maschine-Schnittstelle (HMI) neben einer Audiowarnleuchte eine gelbe oder rote Warnleuchte anzeigen. Obwohl die Software die Bremskraft umverteilt, um das Auto gerade zu halten, muss der Fahrer wissen, dass das System mit begrenzter Leistung läuft, damit er langsamer fahren und überfahren kann.
3.2 Kosten sparen durch ASIL-Zersetzung
Das Bauen jedes einzelnen Teils eines EMB-Systems, um ASIL D zu treffen, ist zu teuer und komplex. Stattdessen verwenden wir ASIL-Zersetzung nach den ISO 26262-Richtlinien.
Zum Beispiel können wir das Sicherheitsziel aufteilen SG01 (Verhinderung von Bremsverlust, ASIL D) Innerhalb der Haupt-ECU:$$\text{sg01 (ASIL D)} \rightarrow \text{Main Controller Controlalgorithmus } \Text{Asil B(D)} + \Text{unabhängiger Sicherheitsmonitor} \Text{Asil B(D)}$$
- Kontrollkanal: Läuft auf einem effizienten Standard-ASIL B-Prozessor, der die Hauptbremskraftberechnungen bearbeitet.
- Kanal überwachen: Läuft auf einer einfachen, sehr zuverlässigen ASIL-B(D)-Schaltung, um zu überprüfen, ob die Ausgänge der Steuerkanäle angemessen sind.
Durch die Kombination von zwei unabhängigen ASIL B-Elementen erreichen wir ASIL D-Sicherheit zu deutlich geringeren Hardwarekosten.
3.3 Power-Architektur: Das Dual-Kondensator-Netzwerk
EMB-Motoren ziehen beim starken Bremsen viel Strom, manchmal bis zu Dutzenden Ampere. Um dies sicher zu handhaben, verwenden wir eine “Niederspannungs-Akku + Superkondensator mit zweiachsigem” Einrichtung
+------------------+ +--------------------+
| Low-Volt Bat | <---------> | DCDC Converter |
+------------------+ +--------------------+
| |
v v
+------------------+ +--------------------+
| Power Branch 1 | | Power Branch 2 |
+------------------+ +--------------------+
| |
v v
+-------------------------------------------------------+
| Dual-Axle Supercapacitor Modules |
| - Supplies high transient current pulses. |
| - Provides energy for a final safe stop if the main |
| DCDC converter fails completely. |
+-------------------------------------------------------+
Wenn der Haupt-DCDC-Wandler oder die Batterie ausfällt, entladen sich Superkondensatoren in der Nähe der Vorder- und Hinterachse innerhalb von Millisekunden, um genügend Leistung für einen endgültigen, sicheren Notstopp zu liefern.
4. Fehlermodi, Klemmverhältnisse und Bremskraftrekonstruktion
Während der Konzeptphase besteht der ultimative Test darin, wie das System einen Ausfall in Echtzeit behandelt.
4.1 Der Vierrad-Ausfallfaktor ($\Lambda_i$)
Um komplexe physikalische Fehler in Zahlen umzuwandeln, die der Controller verstehen kann, verwenden wir a Ausfallfaktor ($ \ lambda_i $):$$$\Lambda_i = f(f_{\text{clamp}, i}, i_{\text{Motor}, i})$$
wo:
- $ i \ in \ {fl, fr, rl, rr \} $ (vorne-links, vorne rechts, hinten-links, hinten-rechts).
- $f_{\text{clamp}, i}$ ist die tatsächliche Klemmkraft, und $i_{\text{Motor}, i}$ ist die motorische Strömung.
Wir definieren den Faktor als:
$$ \ lambda_i = \ begin {cases} 1, & amp; \ text {rad ist gesund} \ [0, 1) & amp; \Text{Bremskraft wird verschlechtert} \
1, & amp; \Text{Unbeabsichtigtes Bremsen (Bremssattel zieht oder blockiert)} \end{cases}$$
Die Haupt-ECU vergleicht die Klemmkraft mit dem Motorstrom, um $ \ lambda_i $ im laufenden Betrieb zu berechnen und damit die ausfallverschlechterte Steuerlogik anzusteuern.
4.2 Dynamische Bremskraftrekonstruktion & Prioritätsstrategie
Wenn ein Rad ausfällt (z. B. $ \ lambda_ {rl} = 0 $, was bedeutet, dass die hintere linke Bremse vollständig verschwunden ist), beginnt das System mit der Rekonstruktion der Bremskraft innerhalb von $ 20 \ text {ms} $.
Failure Detected (e.g. λ_RL = 0)
|
v
[Brake Force Reconstruction Activated]
|
+--> Constraint 1: Front-to-Rear Balance (prevents vehicle pitching)
+--> Constraint 2: Left-to-Right Balance (prevents pulling/yawing)
+--> Constraint 3: Diagonal Symmetry (prevents spinning/tail-sliding)
Der Rekonstruktionsalgorithmus versucht drei physikalische Einschränkungen auszugleichen:
- Balance von vorne nach hinten: Verhindert plötzliches Aufstellen des Fahrzeugs.
- Balance von links nach rechts: Verhindert Ziehen und Gieren, das das Auto abbiegen lässt.
- Diagonale Symmetrie: verhindert, dass sich das Auto auf rutschigen Straßen dreht.
Bei den meisten Fehlern in der realen Welt können Sie nicht alle drei Einschränkungen gleichzeitig erfüllen. Die EMB-Sicherheitssteuerung verwendet eine strenge Prioritätsliste: $$ \ text {Fahrzeugstabilität (Verhindern des Hinterrads Sperren / Spin)} & gt; \Text{Bremsbalance (Ziehen verhindern)} > \Text{Gesamtbremskraft} > \ text {übergreifende Lenkhilfe} $$
- Stabilität ist Priorität Nummer eins: Das System opfert den Bremsweg und lässt das Auto länger anhalten, wenn es bedeutet, das Fahrzeug gerade zu halten und ein Drehen zu verhindern.
- Handling unbeabsichtigtes Bremsen ($ \ lambda_i & gt; 1 $): Wenn ein Bremssattel blockiert oder ein Fahrerkreis kurz schließt und ein Rad ohne Befehl bremst, zieht das Fahrzeug hart auf diese Seite. Das System verwendet einen zweistufigen Fix: Erstens schaltet es den Wechselrichter des Bremssättels innerhalb von $ 10 \ text {ms} $ ab; Zweitens wendet es kalkuliertes Bremsen auf die anderen drei Räder an, um ein Gegendrehmoment zu erzeugen und das Auto gerade zu halten.
4.3 Multi-Rad-Ausfallstrategien
Wenn mehrere Räder ausfallen, muss das System die Stabilität des Fahrzeugs mit weniger Ressourcen gegen Bremskraft ausgleichen.
+--------------------------+
| Multi-Stage Degraded |
+--------------------------+
|
+-------------------+-------------------+
| | |
v v v
[Single Wheel] [Two Wheels] [Three/Four Wheels]
Force Redistribution Three Scenarios Ultimate Emergency
| | |
v v v
Rebalance remaining Limit speed and Regen motor brake,
healthy wheels maintain stability EPB, and ADAS
1) Die drei Szenarien des Zweiradversagens
- Szenario A: Gleichseitiger Ausfall vorn und hinten (gefährlichste)
- Bewirken: Sie verlieren alle Bremsen auf einer Seite. Das Drücken der anderen Seite erzeugt einen massiven Giermoment und dreht das Auto sofort.
- Strategie: Das System begrenzt die Fahrzeuggeschwindigkeit auf unter $ 40\text{km/h}$. Es schränkt die Bremskraft auf der gesunden Seite stark ein, um das Auto gerade zu halten, was die Gesamtverzögerung auf etwa 20% des Normalwerts verringert.
- Szenario B: Diagonale Kreuzausfall
- Bewirken: Sie haben eine Arbeitsbremse an der Vorderachse und eine auf der Rückseite auf gegenüberliegenden Seiten. Die Gierkräfte heben teilweise auf.
- Strategie: Das System ermöglicht das Fahren mit mittlerer Geschwindigkeit beim Einstellen des Radschlupfs, um das Auto stabil zu halten und gerade zu stoppen.
- Szenario C: Gleichachsiger Ausfall (vorne oder hinten)
- Bewirken: Der Verlust der Vorderachse ist gefährlich, da die Vorderräder während der Gewichtsübertragung 60% bis 70% der Bremskraft bewältigen. Wenn Sie sich nur auf die Hinterachse verlassen, können Sie leicht die Hinterreifen sperren und einen Drehungsprozess verursachen.
- Strategie: Das System begrenzt die Fahrzeuggeschwindigkeit und zwingt das hintere ABS in seine höchste Sicherheitseinstellung, um Überbrückungen zu verhindern.
2) Dreirad- und Vierrad-Notstopps
- Dreirad-Ausfall: Nur ein Rad kann bremsen. Dies reicht nicht aus, um sicher anzuhalten. Das System wendet maximale sichere Kraft auf dieses einzelne Rad an, während andere Fahrwerksysteme aufgefordert werden, um zu helfen.
- Vierradausfall: Das EMB-System ist komplett ausgefallen. Der Controller löst seine endgültigen Backups aus:
- es greift die an EPB an der Hinterachse, um das Auto mechanisch zu verlangsamen.
- Es befiehlt den Antriebsmotoren zu verwenden Regeneratives Bremsen das Fahrzeug elektrisch zu verlangsamen.
- es koordiniert mit dem Adas Um das Auto zu einem sicheren Stopp entlang der Schulter zu führen.
5. Einhaltung der Vorschriften: Entwerfen für Chinas GB 21670-2025-Standard
Jedes EMB-System muss strenge regulatorische Tests bestehen, bevor es auf die Straße gehen kann. In China ist der Schlüsselstandard GB 21670-2025: Technische Anforderungen und Prüfverfahren für Pkw-Bremssysteme, die in Kraft trat 1. Januar 2026ein
GB 21670-2025 Brake Standard Highlights
|
+-----------------------+-----------------------+
| |
v v
[ETBS Classification] [5-Second Recovery Rule]
EMB must meet ASIL D functional Must recover effective braking within
safety standards. 5 seconds of a single power failure.
5.1 Formale Integration von ETBs
GB 21670-2025 deckt offiziell elektrische Getriebebremssysteme (ETBs) ab, denen es an hydraulischen oder pneumatischen Backups fehlen. Es schreibt vor, dass jedes Fahrzeug mit ETBs strengen Anforderungen an die funktionale Sicherheit und die elektromagnetische Verträglichkeit (EMV) genügen muss, wobei die Kernsicherheitsglieder entsprechend ausgelegt sind. Asil D Maßstäbe
5.2 Die 5-Sekunden-Regel zur Stromwiederherstellung
Die Norm besagt, dass das System, wenn ein einzelner Strompunkt ausfällt (wie eine Batterietrennung), das System wiederherstellen oder eine effektive Notbremsung aufrechterhalten muss 5 Sekunden ($ 5 \ Text {s} $). Das Fahrzeug muss in diesem degradierten Zustand noch die Mindestverzögerungsanforderungen erfüllen. Diese Regel macht Dual-Power-Pfade und Superkondensator-Backups zu einer Notwendigkeit.
5.3 Dokumentations-Checkliste für Typgenehmigung
Um behördliche Audits zu bestehen, müssen die Automobilhersteller einen vollständigen Satz Sicherheitsdokumente vorlegen:
- Systembeschreibung: Erklärt die Systemgrenzen, Hardware- und Software-Layouts.
- Hara-Bericht: Zeigt die schrittweise Risikobewertung an, die zum ASIL D-Ziel führt.
- Sicherheitsmaßnahmen (FSR & TSR): Erklärt, wie das Design Fehler behandelt und behebt.
- Sicherheitsanalyse (FMEA und FTA): Quantifiziert Systemausfallraten und Einzelpunktrisiken.
- Validierungsplan und Testergebnisse: Beweist, dass das System unter realen Bedingungen funktioniert.
6. Schließen von Gedanken
Dieser Artikel beschreibt das konzeptionelle Sicherheitsdesign eines EMB-System– Von Systemgrenzen und HARA-Analysen bis hin zu Sicherheitsarchitekturen und fehlerverschlechterter Steuerlogik. Die Konzeptphase beantwortet die beiden wichtigsten Fragen: “Was bauen wir?” und “Warum bauen wir es so?”
In unserem nächsten Stück, 《Funktionale Sicherheit (Teil II): Vom Konzept bis zur Produktrealisierung》Wir werden von der Theorie zur physischen Implementierung wechseln. Wir werden erforschen:
- Entwerfen von LockStep Dual-MCU-Hardware für WCUs;
- Schreibsoftware für die Diagnose von Gate-Treibern auf Mikrosekundenebene;
- Durchführung physikalischer Fehlerinjektionstests in Wintertests.
Da die Fahrwerkstechnik zur reinen Drahtsteuerung übergeht, muss die Sicherheit in den Kern des Systems eingebaut werden. Nur so kann EMB den Sprung vom Labor auf die Straße sicher machen.
7. Deep FAQ (Schnelle Antworten und technische Details)
F1: Warum verwenden EMB und Steer-by-Wire (SBW) völlig unterschiedliche Sicherheitsarchitekturen, wenn beide keine mechanischen Backups haben?
- Kurze Antwort: SBW hat nur ein physisches Rack zum Steuern und muss Backups auf diese einzelne Einheit stapeln, während EMB vier physisch getrennte Bremssättel hat, was zu den Hauptproblemen führt, die Fehler bei der gemeinsamen Ursache verhindern und die Bremskraft ausgleichen.
- Technische Details: Wenn die SBW ausfällt, verliert der Fahrer sofort die Lenkung. Die SBW verwendet daher hochkonzentrierte Redundanz an einer physischen Einheit – Dual-Wund-Motoren, zwei Treiberschaltungen und zwei Controllern. EMB-Bremssättel sind physisch isoliert, so dass ein Versagen die anderen nicht bricht. Da die Bremssättel jedoch identisch sind, leiden sie unter Ausfall der allgemeinen Ursache (CCF) Risiken. Der Fokus von EMB Safety Design liegt daher auf der Trennung der Upstream-Steuerung, der vielfältigen Software und der intelligenten Kraftrekonstruktion, um die gesunden Räder zu verwenden, um das Auto stabil zu halten, wenn ein Bremssattel ausfällt oder blockiert.
F2: Wie wird ein Radsperr- oder “unbeabsichtigtes Bremsen” -Szenario bei $ 120 \ text {km / h} $ behandelt?
- Kurze Antwort: Das System schaltet die Leistung des schlechten Bremssattels in weniger als 10 Millisekunden ab und verwendet die anderen drei Räder, um das Gegenbremsen anzuwenden und das Auto gerade zu halten.
- Technische Details: Wenn eine WCU-Schaltung einen Bremssattel kurz schließt und sperrt, wird der Fehlerfaktor $ \ lambda_i & gt; 1 $. Das System reagiert sofort:
- Töte die Macht: Der WCU-Hardware-Sicherheitsmonitor schaltet den Motorwechselrichter innerhalb von $ 10\Text{ ms} $ ab, sodass der Bremssattel freigegeben wird.
- Gegendrehmomentbremsung: Während die Bremse löst, liest der Hauptregler die Gierrate und die Querbeschleunigung des Fahrzeugs. Es bremst die gesunden Räder auf der gegenüberliegenden Seite genau, um ein Gegendrehmoment zu erzeugen und das Auto auf seiner Spur zu halten.
F3: Warum wird das HMI-Warnsystem eher als zentraler Funktionssicherheitsmechanismus als als grundlegende Anzeigefunktion angesehen?
- Kurze Antwort: HMI-Warnungen warnen den Fahrer davor, langsamer zu fahren und zu fahren, was die Zeit minimiert, die das Fahrzeug mit einem einzigen Ausfall herumfährt, bevor ein zweiter auftritt.
- Technische Details: Wenn ein EMB eine seiner Doppelbatterien verliert, hält die Backup-Batterie die Bremsen zu 100%. Der Fahrer spürt keinen Unterschied. Das System läuft jetzt jedoch ohne Backups; Der nächste Fehler wird katastrophal sein. Die HMI-Warnung fordert den Fahrer auf, sofort vorbeizufahren. Dies reduziert die Belichtung ($ E $) Fenster – die Zeit, in der das Fahrzeug in einem anfälligen Zustand arbeitet – das ist ein Kernprinzip der Risikominderung nach ISO 26262.
Q4: Warum ist es so viel schwieriger, die Vorderachsen zu verlieren, als die Hinterachsen zu verlieren?
- Kurze Antwort: Die Vorderräder überwinden den größten Teil der Übertragung des Bremsgewichts; Wenn Sie sie verlieren und versuchen, nur die Hinterräder zu verwenden, blockieren die Hinterreifen und drehen das Auto.
- Technische Details: Wenn Sie bremsen, verschiebt sich das Gewicht nach vorne, belädt die Vorderreifen und das Entladen der Hinterreifen. Die Vorderachse hält 60% bis 70% der Stoppkraft. Wenn die Vorderradbremsen ausfallen, fehlt den Hinterreifen der Griff, um das Auto anzuhalten. Wenn Sie die hinteren Bremsen zu stark drücken, werden sie sofort blockiert, was zu einem starken Spin führt. Wenn stattdessen die hinteren Bremsen ausfallen, haben die vorderen Reifen viel Grip, um das Auto sicher zu stoppen, während die Lenksteuerung beibehalten wird. Somit löst ein Ausfall der Vorderachse extreme Geschwindigkeitsbegrenzungen und eine strenge ABS-Überwachung hinten aus.
F5: Wie erfüllt ein EMB-System die Regel “5-Sekunden-Stromversorgung” im neuen Standard GB 21670-2025?
- Kurze Antwort: Die Hardware muss einen ultraschnellen Smart-Power-Schalter verwenden, um die Batterieleitungen auszutauschen und Superkondensatoren in der Nähe der Bremssättel zu platzieren, um die Spannung während des Schalters stabil zu halten.
- Technische Details: Wenn die Hauptbatterieleitung abfällt, können die EMB-Motoren die Leistung verlieren, wodurch sich die Bremsbeläge zurückziehen und das Bremsen verlieren. Um die 5-Sekunden-Regel zu bestehen, verwendet das System:
- Eine Smart Power Distribution Unit (PDU): Schaltet die Stromversorgung der Backup-Batterie in $\le 1\text{ ms}$ um.
- Superkondensatoren: Direkt neben den Vorder- und Hinterachsreglern. Sie wirken als lokale Energiereserven und halten die Motoren während der Umschaltung auf Millisekunden-Ebene, so dass der Bremsdruck nie sinkt.