Penulis: Johnny Liu, CEO di Dowwaye
Tanggal diterbitkan: 4 Juni 2026
Kategori: Rekayasa Otomotif / Rem-by-wire / Keselamatan Fungsional (ISO 26262)
Perkiraan waktu membaca: 15 menit
0. Pendahuluan: Melepaskan jaring pengaman hidrolik
Di era kendaraan listrik dan mengemudi otomatis saat ini, Rem elektro-mekanis (EMB) secara luas dipandang sebagai unit eksekusi pamungkas untuk teknologi brake-by-wire. Namun, itu tetap menjadi salah satu sistem yang paling diperdebatkan dan menantang untuk direkayasa.
Sistem pengereman hidraulik tradisional membutuhkan sekitar $300\text{ ms}$ hingga $500\text{ ms}$ untuk membangun tekanan hidraulik dan menekan kaliper setelah pengemudi menekan pedal. EMB menghilangkan saluran hidrolik, master silinder, dan penguat vakum sepenuhnya. Dengan menggunakan motor listrik di setiap roda untuk menekan cakram rem secara langsung, EMB memotong waktu respons ini menjadi di bawah $100\text{ ms}$. Pada $120\text{ km/h}$, menghemat beberapa ratus milidetik memotong jarak berhenti hampir $10\text{ m}$. Dalam keadaan darurat, ini adalah perbedaan antara perhentian yang aman dan kecelakaan fatal.
Namun, pergeseran ke transmisi sinyal listrik murni ini berarti jaring pengaman fisik hilang. Tanpa cadangan hidrolik, keandalan pengereman sepenuhnya bergantung pada kualitas desain sistem elektronik. Kehilangan daya tunggal, kegagalan bus, atau kesalahan perangkat lunak dapat membuat kendaraan tidak memiliki rem. Ini sebabnya Desain keamanan fungsional berdasarkan standar ISO 26262 adalah pilar paling kritis dari pengembangan EMB.
Di Dowwaye, pekerjaan teknis kami dengan pemasok OEM dan Tier 1 menunjukkan bahwa pertempuran atas EMB bukan hanya tentang perangkat keras mekanis. Ini tentang arsitektur keselamatan dan algoritme kontrol yang terdegradasi secara cerdas. Artikel ini membahas desain keamanan fungsional dan logika sistem EMB yang gagal selama fase konsep awal.
1. Definisi Item & Paradoks kaliper homolog
Di bawah ISO 26262, proses keamanan fungsional dimulai dengan definisi item. Langkah ini mendefinisikan batas fisik, antarmuka fungsional, dan lingkungan operasi sistem. Jika Anda melewatkan satu tautan penting di sini, analisis bahaya dan penilaian risiko Anda (HARA) akan kehilangan mode kegagalan kritis.
1.1 Batasan dan Komponen Fisik
Sistem EMB independen empat roda standar meliputi:
- Unit pedal rem elektronik: Fitur perpindahan dan sensor gaya bersama dengan emulator pedal merasa untuk menangkap apa yang ingin dilakukan pengemudi.
- Pengontrol pusat (pengontrol ECU / domain utama): Memutuskan bagaimana mendistribusikan gaya rem dan mengirimkan perintah kontrol.
- Aktuator kaliper sisi roda: Empat kaliper EMB independen, masing-masing dengan unit kontrol roda (WCU), motor penggerak, mekanisme roda gigi reduksi, dan sensor gaya penjepit.
- sistem catu daya: Menyediakan energi listrik tegangan rendah.
- Sakelar rem parkir: Mengontrol rem parkir elektronik (EPB) untuk penangguhan tambahan dan cadangan darurat.
[Driver Pedal Input] -> [Electronic Brake Pedal (Dual-Channel)] -> [Main ECU (Dual-MCU Architecture)]
|
+------------------+-----------------------+-----------------------+-----+------------------+
| | | | |
v v v v v
[FL Caliper/WCU] [FR Caliper/WCU] [RL Caliper/WCU] [RR Caliper/WCU] [EPB Parking Lock]
1.2 Dua Karakteristik Keselamatan Fisik yang Unik dari EMB
Tidak seperti sistem steer-by-wire (SBW), yang sepenuhnya bergantung pada redundansi elektronik karena tidak memiliki kolom kemudi fisik, EMB memiliki dua fitur mekanis unik yang membentuk strategi keamanannya:
Karakteristik 1: Isolasi Fisik vs Paradoks Homolog
Secara mekanis, keempat kaliper EMB duduk di atas roda terpisah dengan motor dan roda gigi mereka sendiri. Jika satu kaliper macet, membakar belitan, atau merusak roda gigi, kerusakannya akan terisolasi secara fisik. Tiga roda lainnya tidak terpengaruh. Ini menawarkan jauh lebih baik isolasi kesalahan daripada sistem hidrolik pusat, di mana kebocoran silinder master tunggal dapat mengalirkan seluruh cadangan minyak rem.
tangkapannya adalah Kegagalan Penyebab Umum (CCF). Keempat kaliper memiliki perangkat keras yang sama persis, jenis motor, sirkuit driver, dan algoritme WCU. Jika ada cacat sistemik—seperti pola interferensi elektromagnetik (EMI) tertentu, kumpulan semikonduktor yang buruk, atau bug tersembunyi dalam kode kontrol—keempat kaliper dapat gagal pada saat yang sama.
Lebih buruk lagi, Kegagalan tunggal di pengontrol hulu dapat menonaktifkan semua roda secara instan. Jika pengontrol pusat kehilangan daya atau crash, isolasi fisik kaliper tidak masalah; Mereka semua akan kehilangan perintah mereka. Perancang sistem harus menggunakan Arsitektur lockstep ganda-MCU, jaringan daya redundan, dan perangkat lunak heterogen untuk mencegah kegagalan bersama ini.
Karakteristik 2: Penguncian diri mekanis sebagai upaya terakhir
Jika semua sistem kelistrikan mati dan semua elektronik gagal, EMB masih dapat menggunakan penguncian otomatis mekanis atau hambatan penggerak belakang yang tinggi dari roda gigi sisi roda untuk menahan tingkat deselerasi atau gaya parkir minimum. Ini memberikan garis pertahanan mekanis akhir untuk menghentikan mobil.
1.3 Hirarki Fungsional
Selama fase definisi item, kami mengatur operasi sistem menjadi empat lapisan fungsional untuk memandu hara:
| Lapisan | Fungsi | Tanggung jawab inti |
|---|---|---|
| Lapisan 1 | Base Driving & Pengereman | Membaca input pedal untuk menggerakkan empat kaliper untuk berhenti dan parkir dasar. |
| Lapisan 2 | Penyetelan kinerja rem | Mengelola sistem keselamatan aktif seperti ABS, EBD, dan ESC. |
| Lapisan 3 | Toleransi Kesalahan & Kontrol yang terdegradasi | Menjalankan diagnostik, peralihan di antara mode fail-safe, dan secara dinamis mendistribusikan ulang gaya rem. |
| Lapisan 4 | komunikasi kendaraan | Mengontrol lampu peringatan HMI, lampu rem, dan pembicaraan ke ADAS dan unit kontrol bodi. |
2. Analisis Hara & Mendefinisikan Tujuan Keamanan Asil d
Analisis Bahaya dan Penilaian Risiko (HARA) adalah inti dari fase konsep ISO 26262. Ini menilai risiko keamanan dari ASIL A ke ASIL D dengan melihat tingkat keparahan ($S$), paparan ($E$), dan keterkontrolan ($C$).
2.1 Matriks Risiko Hara
Tingkat keamanan ISO 26262 dihitung menggunakan hubungan sederhana:$$\text{asil grade} = f(s, e, c)$$
ASIL D adalah tingkat tertinggi dan paling ketat, sedangkan QM (Manajemen Mutu) berarti risiko tidak memerlukan langkah-langkah keamanan fungsional khusus.
2.2 Menganalisis Skenario Kegagalan Pengereman Kecepatan Tinggi
Mari kita lihat salah satu skenario terburuk untuk sistem EMB: “Kehilangan total semua kekuatan pengereman saat mengemudi di $120\teks{ km/h}$ di jalan raya.”
- keparahan ($S$): Kehilangan rem total pada $120\text{ km/h}$ hampir pasti akan menyebabkan tabrakan berkecepatan tinggi dengan cedera fatal. Ini mendapatkan peringkat maksimum $S3$.
- paparan ($E$): Mengemudi jalan raya adalah rutinitas harian standar untuk mobil penumpang. Ini menerima peringkat tertinggi $E4$.
- kemampuan pengendalian ($C$): Jika Anda kehilangan semua rem dengan kecepatan tinggi, Anda tidak dapat mengarahkan jalan keluar dari masalah dengan mudah. Pengemudi tidak dapat dengan andal mengendalikan bahaya. Ini dinilai $C3$.
Menggunakan matriks risiko ISO 26262 standar:
| Tingkat keparahan ($S$) | Eksposur ($E$) | Kendali $C1$ | Kendali $C2$ | Kendali $C3$ |
|---|---|---|---|---|
| $S3$ | $E1$ | QM | asil | asil b |
| $E2$ | asil | asil b | asil c | |
| $E3$ | asil b | asil c | Asil D | |
| $e4$ | asil c | Asil D | Asil D (hasil) |
Kombinasi $S3 + E4 + C3$ menghasilkan Asil D penilaian. Ini berarti sistem EMB harus memenuhi standar rekayasa tertinggi untuk mencegah hilangnya kekuatan pengereman total.
2.3 Empat Tujuan Keselamatan Inti
Berdasarkan HARA kami, kami menetapkan empat tujuan keselamatan utama untuk sistem EMB, semuanya dinilai pada Asil D:
+----------------------------+
| EMB Top Safety Goals |
+----------------------------+
|
+-----------------------+-----------+-----------+-----------------------+
| | | |
v v v v
[SG01: ASIL D] [SG02: ASIL D] [SG03: ASIL D] [SG04: ASIL D]
Prevent Unintended Loss Prevent Unintended Prevent Insufficient Prevent Loss of
of Braking Force Braking Activation Braking Force Pedal Input Signals
- SG01: Mencegah hilangnya kekuatan pengereman yang tidak diinginkan (ASIL D)
- Kebutuhan: Jika satu komponen perangkat keras gagal, sistem cadangan harus mempertahankan pengereman dasar dalam $\le 100\text{ ms}$ tanpa gangguan.
- SG02: Mencegah aktivasi pengereman yang tidak diinginkan (ASIL D)
- Kebutuhan: Sistem harus mencegah sirkuit driver atau bug perangkat lunak secara tidak sengaja mengunci roda. Jika ini terjadi, sistem harus mematikan daya ke motor tertentu untuk mencegah putaran kecepatan tinggi.
- SG03: Mencegah kekuatan pengereman yang tidak mencukupi (ASIL D)
- Kebutuhan: Perbedaan antara kekuatan penjepit yang sebenarnya dan apa yang diinginkan pengemudi harus tetap dalam batas yang aman.
- SG04: Mencegah hilangnya sinyal pedal rem (ASIL D)
- Kebutuhan: Pedal Travel and Force Sensor harus menggunakan desain cadangan yang berbeda dan independen sehingga satu kegagalan sensor tidak kehilangan niat pengemudi.
2.4 Tiga Negara Aman untuk Kontrol yang Terdegradasi Gagal
Untuk memenuhi tujuan keselamatan ini, perangkat lunak EMB menggunakan tiga mode operasi. Melalui analisis pohon kesalahan (FTA), kami memastikan tingkat kegagalan sistem total di seluruh mode ini tetap di bawah $< 10^{-8}/\text{H}$ untuk memenuhi standar ASIL D:
- Mode fungsi penuh: Semua bagian berjalan tanpa masalah, atau dengan kesalahan laten kecil yang tidak memengaruhi kinerja. Sistem ini dapat bertahan setidaknya satu kegagalan perangkat keras dan masih menghasilkan daya pengereman 100%.
- Mode fungsi parsial: Kegagalan perangkat keras tunggal terjadi (misalnya, satu kaliper gagal atau jalur komunikasi terputus). Sistem ini menjalankan algoritme rekonstruksi gaya untuk menjaga mobil tetap stabil dan berhenti dengan aman.
- Mode darurat: Jika kegagalan perangkat keras kedua terjadi dan semua cadangan elektronik hilang, sistem bergantung pada tindakan darurat. Ini menggunakan EPB atau pengereman motor regeneratif untuk menghentikan kendaraan.
3. Arsitektur tingkat sistem: keamanan paralel tiga arah & Cadangan daya
Setelah Anda memiliki tujuan keselamatan, Anda memerlukan arsitektur listrik dan elektronik (E/E) yang menjaga kendaraan tetap aman. Kami menggunakan Desain keselamatan paralel tiga arah: pencadangan perangkat keras fisik, verifikasi perangkat lunak, dan komunikasi manusia-mesin yang jelas.
+-------------------------------------------------------------------------+
| Three-Way Parallel Safety Architecture |
+-------------------------------------------------------------------------+
| [Line 1: Physical Hardware] -> Dual power, dual CAN, dual-channel pedal, |
| clamp force sensors. |
| |
| [Line 2: Software Validation] -> Sensor plausibility, gate driver watch, |
| state observers. |
| |
| [Line 3: Human Interaction] -> Live diagnostic codes, visual/audio |
| alerts to warn driver to take over. |
+-------------------------------------------------------------------------+
3.1 Arsitektur keselamatan paralel tiga arah
Baris 1: Redundansi perangkat keras fisik
Hardware adalah dasar dari sistem.
- redundansi daya: Menggunakan catu daya ganda independen (setup hybrid 12V/48V). Jika satu saluran baterai gagal, saluran cadangan segera mengambil alih tanpa kehilangan daya pengereman.
- redundansi komunikasi: Dual CAN bus FD berjalan secara paralel. Jika yang satu menjadi berisik atau terkunci, yang lain mengambil alih dengan kehilangan paket nol.
- redundansi sensor:
- pedal rem: Menggunakan dua sensor perpindahan dan dua sensor gaya dengan chip daya terpisah dan kabel yang terhubung ke pin yang berbeda pada ECU utama.
- aktuator: Setiap kaliper memiliki dua sensor gaya penjepit dan dua sensor suhu motor untuk memantau gaya penjepitan yang sebenarnya ($f_{\text{CLAMP}}$) secara real time.
Baris 2: Validasi Perangkat Lunak
Dengan sinyal perangkat keras yang berlebihan, perangkat lunak harus memperhatikan kesalahan tersembunyi.
- Pemeriksaan silang yang masuk akal: Perangkat lunak ini membandingkan perjalanan pedal dengan gaya pedal yang dihitung. Jika tidak cocok, perangkat lunak menandai masalah penyimpangan sensor dan mengabaikan saluran yang buruk.
- Pemantauan Tahap Pengemudi: WCU memonitor waktu switching inverter dan arus bus ke mikrodetik. Jika transistor pendek, itu langsung mematikan driver motor itu.
Baris 3: Interaksi Manusia
Ketika satu kegagalan menjatuhkan sistem ke mode fungsi parsial, antarmuka manusia-mesin (HMI) harus menunjukkan lampu peringatan kuning atau merah di samping peringatan audio. Meskipun perangkat lunak mendistribusikan kembali gaya rem untuk menjaga mobil tetap lurus, pengemudi harus mengetahui sistem berjalan dengan kinerja terbatas sehingga dapat melambat dan menepi.
3.2 Menghemat biaya dengan dekomposisi ASIL
Membangun setiap bagian dari sistem EMB untuk memenuhi ASIL D terlalu mahal dan rumit. Sebaliknya, kami menggunakan Dekomposisi Asil Di bawah pedoman ISO 26262.
Misalnya, kita dapat membagi tujuan keselamatan SG01 (mencegah hilangnya pengereman, ASIL D) Dalam ECU utama:$$\text{SG01 (ASIL D)} \rightarrow \text{Main Controller Control Algorithm } \text{asil B(d)} + \text{Independent Safety Monitor } \text{asil b(d)}$$
- saluran kontrol: Berjalan pada prosesor ASIL B standar yang efisien, menangani perhitungan gaya rem utama.
- saluran monitor: Berjalan pada rangkaian ASIL B(d) yang sederhana dan sangat andal untuk memeriksa apakah keluaran saluran kontrol masuk akal.
Dengan menggabungkan dua elemen ASIL B independen, kami mencapai keamanan ASIL D dengan biaya perangkat keras yang jauh lebih rendah.
3.3 Arsitektur Daya: Jaringan dual-kapasitor
Motor EMB menarik banyak arus selama pengereman berat, terkadang hingga puluhan ampere. Untuk menangani ini dengan aman, kami menggunakan “Baterai tegangan rendah + superkapasitor gandar ganda” pengaturan.
+------------------+ +--------------------+
| Low-Volt Bat | <---------> | DCDC Converter |
+------------------+ +--------------------+
| |
v v
+------------------+ +--------------------+
| Power Branch 1 | | Power Branch 2 |
+------------------+ +--------------------+
| |
v v
+-------------------------------------------------------+
| Dual-Axle Supercapacitor Modules |
| - Supplies high transient current pulses. |
| - Provides energy for a final safe stop if the main |
| DCDC converter fails completely. |
+-------------------------------------------------------+
Jika konverter atau baterai DCDC utama gagal, superkapasitor ditempatkan di dekat as roda depan dan belakang dalam milidetik untuk memasok daya yang cukup untuk satu pemberhentian darurat terakhir yang aman.
4. Mode kegagalan, rasio penjepitan, dan rekonstruksi gaya rem
Selama fase konsep, tes akhir adalah bagaimana sistem menangani kegagalan secara real time.
4.1 Faktor Kegagalan Empat Roda ($\lambda_i$)
Untuk mengubah kesalahan fisik yang kompleks menjadi angka yang dapat dipahami oleh pengontrol, kami menggunakan a faktor kegagalan ($\lambda_i$):$$\lambda_i = f(f_{\text{clamp}, i}, i_{\text{motor}, i})$$
dimana:
- $i \in \{fl, fr, rl, rr\}$ (depan-kiri, depan-kanan, belakang-kiri, belakang-kanan).
- $f_{\text{CLAMP}, I}$ adalah gaya penjepit yang sebenarnya, dan $i_{\text{motor}, I}$ adalah arus motor.
Kami mendefinisikan faktor sebagai:
$$\lambda_i = \begin{cases} 1, & \Teks{Wheel sehat} \ [0, 1), & \Teks{Kekuatan rem terdegradasi} \
1, & \Text{Pengereman yang tidak diinginkan (caliper diseret atau dikunci)} \end{cases}$$
ECU utama membandingkan gaya klem dengan arus motor untuk menghitung $\lambda_i$ dengan cepat, menggunakannya untuk menggerakkan logika kontrol yang rusak.
4.2 Rekonstruksi Gaya Rem Dinamis & Strategi Prioritas
Jika roda gagal (misalnya, $\lambda_{rl} = 0$, yang berarti rem kiri belakang benar-benar hilang), sistem mulai merekonstruksi gaya rem dalam $20\text{ ms}$.
Failure Detected (e.g. λ_RL = 0)
|
v
[Brake Force Reconstruction Activated]
|
+--> Constraint 1: Front-to-Rear Balance (prevents vehicle pitching)
+--> Constraint 2: Left-to-Right Balance (prevents pulling/yawing)
+--> Constraint 3: Diagonal Symmetry (prevents spinning/tail-sliding)
Algoritma rekonstruksi mencoba menyeimbangkan tiga kendala fisik:
- Keseimbangan depan-ke-belakang: Mencegah pitching kendaraan secara tiba-tiba.
- Keseimbangan kiri-ke-kanan: Mencegah tarikan dan yaw yang membuat mobil membelok.
- simetri diagonal: Menjaga mobil agar tidak berputar di jalan yang licin.
Dalam sebagian besar kegagalan dunia nyata, Anda tidak dapat memenuhi ketiga kendala sekaligus. Pengontrol keamanan EMB menggunakan yang ketat Daftar prioritas:$$\text{stabilitas kendaraan (mencegah penguncian roda belakang/spin)} > \text{Keseimbangan pengereman (mencegah tarikan)} > \text{Total Rem Force} > \text{bantuan kemudi lintas sistem}$$
- Stabilitas adalah prioritas nomor satu: Sistem akan mengorbankan jarak berhenti dan membiarkan mobil membutuhkan waktu lebih lama untuk berhenti jika itu berarti menjaga kendaraan tetap lurus dan mencegah putaran.
- Menangani pengereman yang tidak disengaja ($\lambda_i > 1$): Jika caliper macet atau sirkuit driver short, menyebabkan roda mengerem tanpa perintah, kendaraan akan menarik keras ke sisi itu. Sistem menggunakan perbaikan dua langkah: pertama, sistem ini memotong daya ke inverter kaliper itu dalam $10\text{ ms}$; Kedua, ini menerapkan pengereman yang dihitung ke tiga roda lainnya untuk membuat torsi counter, menjaga mobil tetap lurus.
4.3 Strategi Kegagalan Multi Roda
Ketika beberapa roda gagal, sistem harus menyeimbangkan stabilitas kendaraan terhadap daya henti dengan sumber daya yang lebih sedikit.
+--------------------------+
| Multi-Stage Degraded |
+--------------------------+
|
+-------------------+-------------------+
| | |
v v v
[Single Wheel] [Two Wheels] [Three/Four Wheels]
Force Redistribution Three Scenarios Ultimate Emergency
| | |
v v v
Rebalance remaining Limit speed and Regen motor brake,
healthy wheels maintain stability EPB, and ADAS
1) Tiga skenario kegagalan roda dua
- Skenario A: Kegagalan depan dan belakang sisi yang sama (paling berbahaya)
- Efek: Anda kehilangan semua pengereman di satu sisi. Meremas sisi lain menciptakan momen yaw besar, memutar mobil secara instan.
- Strategi: Sistem membatasi kecepatan kendaraan hingga di bawah $40\text{ km/h}$. Ini sangat membatasi kekuatan pengereman di sisi yang sehat untuk menjaga mobil tetap lurus, mengurangi deselerasi total menjadi sekitar 20% dari normal.
- Skenario B: Kegagalan silang diagonal
- Efek: Anda memiliki satu rem yang berfungsi di gandar depan dan satu di belakang, di sisi yang berlawanan. Pasukan yaw sebagian membatalkan.
- Strategi: Sistem ini memungkinkan mengemudi dengan kecepatan sedang sambil menyesuaikan slip roda agar mobil tetap stabil dan berhenti lurus.
- Skenario C: Kegagalan poros yang sama (depan atau belakang)
- Efek: Kehilangan as roda depan berbahaya karena roda depan menangani 60% hingga 70% dari kekuatan pengereman selama pemindahan berat badan. Mengandalkan hanya pada as roda belakang dapat dengan mudah mengunci ban belakang dan menyebabkan putaran.
- Strategi: Sistem membatasi kecepatan kendaraan dan memaksa ABS belakang ke pengaturan keamanan tertinggi untuk mencegah penguncian.
2) Pemberhentian darurat roda tiga dan roda empat
- Kegagalan roda tiga: Hanya satu roda yang bisa mengerem. Ini tidak cukup untuk berhenti dengan aman. Sistem ini menerapkan gaya aman maksimum ke roda tunggal itu saat memanggil sistem sasis lainnya untuk membantu.
- Kegagalan empat roda: Sistem EMB telah gagal total. Pengontrol memicu cadangan terakhirnya:
- itu melibatkan EPB di poros belakang untuk memperlambat mobil secara mekanis.
- itu memerintahkan motor penggerak untuk digunakan Pengereman regeneratif untuk memperlambat kendaraan secara elektrik.
- itu berkoordinasi dengan ADAS untuk memandu mobil ke perhentian yang aman di sepanjang bahu.
5. Kepatuhan Peraturan: Merancang untuk Standar Chinas GB 21670-2025
Setiap sistem EMB harus lulus tes peraturan yang ketat sebelum dapat mencapai jalan. Di Cina, standar kuncinya adalah GB 21670-2025: Persyaratan teknis dan metode pengujian untuk sistem pengereman mobil penumpang, yang mulai berlaku pada 1 Januari 2026.
GB 21670-2025 Brake Standard Highlights
|
+-----------------------+-----------------------+
| |
v v
[ETBS Classification] [5-Second Recovery Rule]
EMB must meet ASIL D functional Must recover effective braking within
safety standards. 5 seconds of a single power failure.
5.1 Integrasi formal ETB
GB 21670-2025 secara resmi mencakup sistem pengereman transmisi listrik (ETB) yang tidak memiliki cadangan hidrolik atau pneumatik. Ini mengamanatkan bahwa setiap kendaraan dengan ETB harus memenuhi persyaratan keselamatan fungsional dan kompatibilitas elektromagnetik (EMC) yang ketat, dengan tautan keselamatan inti yang dirancang untuk memenuhi Asil D standar.
5.2 Aturan pemulihan daya 5 detik
Standar menyatakan bahwa jika satu titik daya gagal (seperti pemutusan baterai), sistem harus memulihkan atau mempertahankan pengereman darurat yang efektif di dalam 5 detik ($5\teks{ s}$). Kendaraan masih harus memenuhi persyaratan deselerasi minimum di bawah keadaan terdegradasi ini. Aturan ini membuat jalur daya ganda dan cadangan superkapasitor menjadi kebutuhan.
5.3 Daftar Periksa Dokumentasi untuk Persetujuan Jenis
Untuk lulus audit peraturan, produsen mobil harus menyerahkan satu set lengkap dokumen keselamatan:
- Deskripsi sistem: Menjelaskan batasan sistem, perangkat keras, dan tata letak perangkat lunak.
- Laporan Hara: Menunjukkan penilaian risiko langkah demi langkah yang mengarah ke target ASIL D.
- Langkah-langkah keamanan (FSR & TSR): Menjelaskan bagaimana desain menangani dan menyelesaikan kegagalan.
- Analisis Keamanan (FMEA & FTA): Mengukur tingkat kegagalan sistem dan risiko satu titik.
- Rencana validasi dan hasil tes: Membuktikan sistem bekerja di bawah kondisi dunia nyata.
6. Pikiran penutup
Artikel ini menguraikan desain keamanan konseptual dari Sistem EMB—Dari batas sistem dan analisis hara hingga arsitektur keselamatan dan logika kontrol yang rusak. Fase konsep menjawab dua pertanyaan yang paling penting: “Apa yang kita bangun?” dan “Mengapa kita membangunnya seperti ini?”
Pada bagian berikutnya, 《EMB Keselamatan Fungsional (Bagian II): Dari Konsep hingga Realisasi Produk》, kita akan beralih dari teori ke implementasi fisik. Kami akan menjelajah:
- Merancang Perangkat Keras MCU Dual-MCU untuk WCU;
- menulis perangkat lunak untuk diagnostik driver gerbang tingkat mikrodetik;
- Melaksanakan tes injeksi kesalahan fisik di tempat pengujian musim dingin.
Saat teknologi sasis bergerak ke kontrol kawat murni, keselamatan harus dibangun ke dalam inti sistem. Itulah satu-satunya cara EMB dapat dengan aman membuat lompatan dari lab ke jalan.
7. FAQ Dalam (Jawaban Cepat & Detail Teknis)
Q1: Mengapa EMB dan Steer-by-Wire (SBW) menggunakan arsitektur keselamatan yang sama sekali berbeda jika keduanya tidak memiliki cadangan mekanis?
- Jawaban singkat:SBW hanya memiliki satu rak fisik untuk dikemudikan dan harus menumpuk cadangan ke unit tunggal itu, sementara EMB memiliki empat kaliper yang terpisah secara fisik, membuat tantangan utamanya mencegah kegagalan penyebab umum dan menyeimbangkan gaya rem.
- Detail teknis:Jika SBW gagal, pengemudi segera kehilangan kemudi. Jadi, SBW menggunakan redundansi yang sangat terkonsentrasi pada satu unit fisik—motor luka ganda, sirkuit driver ganda, dan pengontrol ganda. Kaliper EMB diisolasi secara fisik, jadi yang gagal tidak merusak yang lain. Namun, karena kalipernya identik, mereka menderita Kegagalan Penyebab Umum (CCF) risiko. Oleh karena itu, fokus desain keselamatan EMB adalah pada pemisahan pengontrol hulu, beragam perangkat lunak, dan rekonstruksi smart force untuk menggunakan roda yang sehat agar mobil tetap stabil jika satu kaliper gagal atau terkunci.
Q2: Bagaimana skenario penguncian roda atau “pengerahan yang tidak diinginkan” ditangani pada $120\text{ km/h}$?
- Jawaban singkat:Sistem memotong daya ke kaliper yang buruk dalam waktu kurang dari 10 milidetik dan menggunakan tiga roda lainnya untuk menerapkan pengereman balik, menjaga mobil tetap lurus.
- Detail teknis:Jika sirkuit WCU memperpendek dan mengunci kaliper, faktor kegagalannya menjadi $\lambda_i > 1$. Sistem bereaksi secara instan:
- Bunuh kekuatannya: Monitor keamanan perangkat keras WCU memotong daya ke inverter motor dalam $10\text{ ms}$, membiarkan caliper dirilis.
- Pengereman torsi kontra: Saat rem terlepas, pengontrol utama membaca kecepatan yaw kendaraan dan akselerasi lateral. Ini menerapkan pengereman yang tepat ke roda yang sehat di sisi yang berlawanan untuk membuat torsi counter, menjaga mobil di jalurnya.
Q3: Mengapa sistem peringatan HMI dianggap sebagai mekanisme keamanan fungsional inti daripada fitur tampilan dasar?
- Jawaban singkat:HMI Alerts memperingatkan pengemudi untuk memperlambat dan menepi, yang meminimalkan waktu kendaraan berkeliling dengan satu kegagalan sebelum yang kedua terjadi.
- Detail teknis: Jika EMB kehilangan salah satu baterai gandanya, baterai cadangan membuat rem tetap bekerja pada 100%. Pengemudi tidak merasakan perbedaan. Namun, sistem sekarang berjalan tanpa cadangan; Kegagalan berikutnya akan menjadi bencana besar. Peringatan HMI memberitahu pengemudi untuk segera menepi. Ini mengurangi paparan ($E$) Jendela—waktu kendaraan beroperasi dalam keadaan rentan—yang merupakan prinsip inti pengurangan risiko ISO 26262.
Q4: Mengapa kehilangan rem as roda depan jauh lebih sulit untuk dikelola daripada kehilangan as roda belakang?
- Jawaban singkat: Roda depan menangani sebagian besar transfer berat pengereman; Jika Anda kehilangannya dan mencoba berhenti menggunakan roda belakang saja, ban belakang akan terkunci dan memutar mobil.
- Detail teknis: Saat Anda mengerem, berat badan bergeser ke depan, memuat ban depan dan menurunkan ban belakang. Gandar depan menangani 60% hingga 70% dari kekuatan berhenti. Jika rem depan gagal, ban belakang tidak memiliki pegangan untuk menghentikan mobil. Meremas rem belakang terlalu keras akan menguncinya secara instan, menyebabkan putaran yang parah. Jika rem belakang gagal, ban depan memiliki banyak pegangan untuk menghentikan mobil dengan aman sambil mempertahankan kontrol kemudi. Dengan demikian, kegagalan gandar depan memicu batas kecepatan ekstrim dan pemantauan ABS belakang yang ketat.
Q5: Bagaimana sistem EMB memenuhi aturan “pemulihan daya 5 detik” dalam standar GB 21670-2025 yang baru?
- Jawaban singkat: Perangkat keras harus menggunakan sakelar daya pintar ultra-cepat untuk menukar saluran baterai dan menempatkan superkapasitor di dekat kaliper agar tegangan tetap stabil selama sakelar.
- Detail teknis: Jika saluran baterai utama turun, motor EMB dapat kehilangan daya, menyebabkan bantalan rem menarik kembali dan kehilangan pengereman. Untuk melewati aturan 5 detik, sistem menggunakan:
- Unit Distribusi Daya Cerdas (PDU): Mengalihkan daya ke saluran baterai cadangan di $\le 1\text{ ms}$.
- Superkapasitor: ditempatkan tepat di sebelah pengontrol gandar depan dan belakang. Mereka bertindak sebagai cadangan energi lokal, menjaga motor tetap bertenaga selama peralihan tingkat milidetik sehingga tekanan rem tidak pernah turun.