Autor: Johnny Liu, CEO da Dowwaye
Data de publicação: 4 de junho de 2026
Categoria: Engenharia Automotiva / Freio por fio / Segurança funcional (ISO 26262)
Tempo estimado de leitura: 15 minutos
0. Introdução: Remoção da rede de segurança hidráulica
Na era atual dos veículos elétricos e da condução automatizada, o Freio eletromecânico (emb) É amplamente visto como a unidade final de execução para a tecnologia Brake-by-Wire. No entanto, continua sendo um dos sistemas mais debatidos e desafiadores para projetar.
Os sistemas tradicionais de frenagem hidráulica levam cerca de $300\text{ ms}$ a $500\text{ ms}$ para construir a pressão hidráulica e apertar as pinças depois que um motorista pressiona o pedal. O EMB elimina totalmente as linhas hidráulicas, os cilindros mestres e os impulsionadores do vácuo. Usando motores elétricos em cada roda para apertar os discos de freio diretamente, o EMB reduz esse tempo de resposta para menos de $100\text{ ms}$. por $120\text{km/h}$, economizando algumas centenas de milissegundos cortando a distância em quase $10\text{ M}$. Em caso de emergência, essa é a diferença entre uma parada segura e um acidente fatal.
No entanto, essa mudança para a transmissão de sinal elétrico pura significa que a rede de segurança física desapareceu. Sem backups hidráulicos, a confiabilidade da frenagem depende completamente da qualidade do projeto dos sistemas eletrônicos. Uma única perda de energia, falha de barramento ou falha de software pode deixar um veículo com freios zero. Isso é por que Design de segurança funcional baseado no padrão ISO 26262 é o pilar mais crítico do desenvolvimento do EMB.
Na Dowwaye, nosso trabalho técnico com OEMs e fornecedores de nível 1 mostra que a batalha pelo EMB não é apenas sobre hardware mecânico. Trata-se de arquiteturas de segurança e de algoritmos inteligentes de controle degradados por falhas. Este artigo examina o design de segurança funcional e a lógica à prova de falhas dos sistemas EMB durante a fase inicial do conceito.
1. Definição do item & O paradoxo das pinças homólogas
Na ISO 26262, o processo de segurança funcional começa com a definição do item. Esta etapa define os limites físicos, as interfaces funcionais e os ambientes operacionais do sistema. Se você perder um único link crítico aqui, sua análise de risco e avaliação de risco (HARA) perderão os modos de falha crítica.
1.1 Limites e componentes físicos
Um sistema EMB independente de quatro rodas padrão inclui:
- unidade de pedal de freio eletrônico: possui deslocamento e sensores de força, juntamente com um emulador de sensação de pedal para capturar o que o motorista deseja fazer.
- Controlador central (ECU principal/controlador de domínio): decide como distribuir a força do freio e envia comandos de controle.
- Atuadores de pinça laterais de roda: Quatro pinças independentes EMB, cada uma com sua própria unidade de controle de rodas (WCU), motor de acionamento, mecanismo de engrenagem de redução e sensor de força de aperto.
- Sistema de alimentação: Fornece energia elétrica de baixa tensão.
- Interruptor do freio de estacionamento: Controla o freio de estacionamento eletrônico (EPB) para retenção auxiliar e backup de emergência.
[Driver Pedal Input] -> [Electronic Brake Pedal (Dual-Channel)] -> [Main ECU (Dual-MCU Architecture)]
|
+------------------+-----------------------+-----------------------+-----+------------------+
| | | | |
v v v v v
[FL Caliper/WCU] [FR Caliper/WCU] [RL Caliper/WCU] [RR Caliper/WCU] [EPB Parking Lock]
1.2 Duas características exclusivas de segurança física do EMB
Ao contrário dos sistemas Steer-by-Wire (SBW), que dependem inteiramente da redundância eletrônica porque não possuem uma coluna de direção física, o EMB possui duas características mecânicas exclusivas que moldam sua estratégia de segurança:
Característica 1: isolamento físico versus paradoxo homólogo
Mecanicamente, as quatro pinças EMB ficam em rodas separadas com seus próprios motores e engrenagens. Se uma pinça atola, queima um enrolamento ou quebra uma marcha, o dano fica fisicamente isolado. As outras três rodas não são afetadas. isso oferece muito melhor Isolamento de falhas do que um sistema hidráulico central, onde um único vazamento do cilindro mestre pode drenar toda a reserva do fluido de freio.
A captura é Falha de causa comum (CCF). Todas as quatro pinças compartilham exatamente os mesmos hardwares, tipos de motores, circuitos de driver e algoritmos WCU. Se houver uma falha sistêmica — como um padrão específico de interferência eletromagnética (EMI), um lote ruim de semicondutores ou um bug oculto no código de controle — todas as quatro pinças podem falhar exatamente no mesmo momento.
Pior ainda, Uma única falha no controlador upstream pode desativar todas as rodas instantaneamente. Se o controlador central perder energia ou bater, o isolamento físico das pinças não importa; Todos eles vão perder seus comandos. Os designers de sistemas devem usar Arquiteturas de lockstep duplo-MCU, redes de energia redundantes e software heterogêneo para evitar essas falhas compartilhadas.
Característica 2: autotravamento mecânico como último recurso
Se todos os sistemas elétricos morrerem e todos os eletrônicos falharem, o EMB ainda pode usar a resistência mecânica de travamento automático ou a alta retração das engrenagens do lado da roda para manter um nível mínimo de desaceleração ou força de estacionamento. Isso fornece uma linha de defesa mecânica final para parar o carro.
1.3 Hierarquia funcional
Durante a fase de definição do item, organizamos as operações do sistema em quatro camadas funcionais para orientar o Hara:
| Camada | Função | Responsabilidade central |
|---|---|---|
| Camada 1 | condução de base & frenagem | Lê as entradas do pedal para acionar as quatro pinças para paradas básicas e estacionamento. |
| Camada 2 | Sintonização do desempenho do freio | Gerencia sistemas ativos de segurança como ABS, EBD e ESC. |
| Camada 3 | tolerância a falhas & Controle degradado | Executa diagnósticos, alterna entre os modos à prova de falhas e redistribui dinamicamente a força de freio. |
| Camada 4 | Comunicação do veículo | Controla as luzes de advertência do HMI, as luzes de freio e as conversas com os ADAs e unidades de controle do corpo. |
2. Análise de Hara & Definindo metas de segurança da ASIL D
Análise de perigos e avaliação de risco (HARA) é o núcleo da fase de conceito ISO 26262. Ele classifica os riscos de segurança de Asil A a Asil D, observando a gravidade ($S$), a exposição ($E$) e a controlabilidade ($C$).
2.1 Matriz de Risco de Hara
O nível de segurança ISO 26262 é calculado usando uma relação simples:$$\text{asil grade} = f(s, e, c)$$
O ASIL D é o nível mais alto e mais rigoroso, enquanto o QM (Gestão de Qualidade) significa que o risco não requer medidas especiais de segurança funcional.
2.2 Analisando um cenário de falha de frenagem de alta velocidade
Vejamos um dos piores cenários para um sistema EMB: “Uma perda completa de toda a força de frenagem ao dirigir em $ 120\Texto{ km/h}$ Em uma rodovia.”
- Gravidade ($S$): Uma perda total de freio em $120\text{km/h}$ quase certamente causará uma colisão em alta velocidade com lesões fatais. Isso obtém a classificação máxima de $S3$.
- Exposição ($e$): A condução em rodovias é uma rotina diária padrão para carros de passageiros. Isso recebe a classificação mais alta de $E4$.
- Controlabilidade ($C$): Se você perder todos os freios em alta velocidade, você não pode evitar problemas facilmente. O motorista não pode controlar de forma confiável o perigo. Isso é avaliado $C3$.
Usando a matriz de risco padrão ISO 26262:
| Gravidade ($S$) | Exposição ($E$) | Controlabilidade $C1$ | Controlabilidade $C2$ | Controlabilidade $C3$ |
|---|---|---|---|---|
| $S3$ | $e1$ | QM | Asil A | Asil B |
| $e2$ | Asil A | Asil B | Asil C | |
| $e3$ | Asil B | Asil C | Asil D | |
| $e4$ | Asil C | Asil D | Asil D (resultado) |
A combinação de $S3 + E4 + C3$ resulta em um Asil D Classificação. Isso significa que o sistema EMB deve atender aos mais altos padrões de engenharia para evitar uma perda total da força de frenagem.
2.3 As quatro metas principais de segurança
Com base em nosso Hara, estabelecemos quatro metas de segurança primárias para o sistema EMB, todas avaliadas em Asil D:
+----------------------------+
| EMB Top Safety Goals |
+----------------------------+
|
+-----------------------+-----------+-----------+-----------------------+
| | | |
v v v v
[SG01: ASIL D] [SG02: ASIL D] [SG03: ASIL D] [SG04: ASIL D]
Prevent Unintended Loss Prevent Unintended Prevent Insufficient Prevent Loss of
of Braking Force Braking Activation Braking Force Pedal Input Signals
- SG01: Prevenir a perda não intencional da força de frenagem (Asil D)
- Requerimento: Se um único componente de hardware falhar, o sistema de backup deverá manter a frenagem básica dentro de $\le 100\text{ ms}$ sem interrupção.
- SG02: Previne a ativação não intencional de frenagem (ASIL D)
- Requerimento: O sistema deve impedir que circuitos de driver ou bugs de software bloqueiem acidentalmente uma roda. Se isso acontecer, o sistema deve desligar a energia desse motor específico para evitar uma rotação de alta velocidade.
- SG03: Previne a força de frenagem insuficiente (Asil D)
- Requerimento: A diferença entre a força de aperto real e o que o motorista deseja deve permanecer dentro de limites seguros.
- SG04: Prevenir a perda de sinais do pedal do freio (Asil D)
- Requerimento: Os sensores de força e deslocamento do pedal devem usar designs de backup independentes e diferentes para que uma única falha do sensor não perca a intenção do driver.
2.4 Três estados seguros para controle degradado
Para atender a essas metas de segurança, o software EMB usa três modos de operação. Por meio da análise da árvore de falhas (FTA), garantimos que a taxa total de falhas do sistema nesses modos permaneça abaixo de $< 10^{-8}/\text{h}$ Para atender ao padrão Asil D:
- Modo de função total: Todas as peças são executadas sem problemas ou com falhas latentes menores que não afetam o desempenho. O sistema pode sobreviver a pelo menos uma falha de hardware e ainda fornecer 100% de poder de frenagem.
- Modo de função parcial: Ocorre uma única falha de hardware (por exemplo, uma calibradora falha ou uma linha de comunicação é cortada). O sistema executa um algoritmo de reconstrução de força para manter o carro estável e parando com segurança.
- Modo de emergência: Se ocorrer uma segunda falha de hardware e todos os backups eletrônicos desaparecerem, o sistema depende de medidas de emergência. Ele usa o EPB ou a frenagem do motor regenerativo para parar o veículo.
3. Arquitetura em nível de sistema: segurança paralela de três vias & Backups de energia
Depois de ter metas de segurança, você precisa de uma arquitetura elétrica e eletrônica (E/E) que mantenha o veículo seguro. Usamos um Design de segurança paralelo de três vias: backups de hardware físico, verificação de software e comunicação humana clara.
+-------------------------------------------------------------------------+
| Three-Way Parallel Safety Architecture |
+-------------------------------------------------------------------------+
| [Line 1: Physical Hardware] -> Dual power, dual CAN, dual-channel pedal, |
| clamp force sensors. |
| |
| [Line 2: Software Validation] -> Sensor plausibility, gate driver watch, |
| state observers. |
| |
| [Line 3: Human Interaction] -> Live diagnostic codes, visual/audio |
| alerts to warn driver to take over. |
+-------------------------------------------------------------------------+
3.1 A arquitetura de segurança paralela de três vias
Linha 1: redundância de hardware físico
Hardware é a base do sistema.
- redundância de energia: Usa fontes de alimentação duplas independentes (configuração híbrida de 12V/48V). Se uma linha de bateria falhar, a linha de backup assume imediatamente o controle sem perder o poder de frenagem.
- redundância de comunicação: Os barramentos FD Dual CAN são executados em paralelo. Se um faz barulho ou se encaixa, o outro assume o controle com zero perda de pacotes.
- redundância do sensor:
- pedal do freio: usa dois sensores de deslocamento e dois sensores de força com chips de energia separados e fiação conectada a diferentes pinos na ECU principal.
- atuadores: Cada pinça tem dois sensores de força de aperto e dois sensores de temperatura do motor para monitorar a força de fixação real ($F_{\text{clamp}}$) em tempo real.
Linha 2: validação do software
Com sinais de hardware redundantes, o software deve observar as falhas ocultas.
- Cheques cruzados de plausibilidade: O software compara o curso do pedal com a força do pedal equivalente calculada. Se eles não corresponderem, o software sinaliza um problema de deriva do sensor e ignora o canal ruim.
- Monitoramento do estágio do motorista: O WCU monitora os tempos de comutação do inversor e as correntes do barramento para o microssegundo. Se um transistor encurta, ele desliga o motorista do motor instantaneamente.
Linha 3: interação humana
Quando uma única falha coloca o sistema no modo de função parcial, a interface homem-máquina (HMI) deve mostrar uma luz de advertência amarela ou vermelha ao lado de um alerta de áudio. Mesmo que o software esteja redistribuindo a força de freio para manter o carro reto, o motorista deve saber que o sistema está funcionando com desempenho limitado para que eles possam desacelerar e encostar.
3.2 Economizando custos com a decomposição ASIL
Construir cada parte de um sistema EMB para atender Asil D é muito caro e complexo. Em vez disso, usamos Decomposição ASIL De acordo com as diretrizes da ISO 26262.
Por exemplo, podemos dividir a meta de segurança SG01 (impedindo a perda de frenagem, Asil D) Dentro da ECU principal:$$\text{SG01 (ASIL D)} \rightarrow \text{main controller control algorithm } \text{asil b(d)} + \text{Independent Safety Monitor } \text{asil b(d)}$$
- canal de controle: Funciona em um processador ASIL B padrão eficiente, lidando com os cálculos principais da força de freio.
- Monitor de canal: Funciona em um circuito ASIL B(D) simples e altamente confiável para verificar se as saídas dos canais de controle são razoáveis.
Ao combinar dois elementos independentes do ASIL B, alcançamos a segurança do ASIL D a um custo de hardware muito menor.
3.3 Arquitetura de Energia: A Rede de Capacitor Duplo
Os motores EMB atraem muita corrente durante a frenagem pesada, às vezes até dezenas de amperes. Para lidar com isso com segurança, usamos um “Bateria de baixa tensão + supercapacitor de eixo duplo” Configuração.
+------------------+ +--------------------+
| Low-Volt Bat | <---------> | DCDC Converter |
+------------------+ +--------------------+
| |
v v
+------------------+ +--------------------+
| Power Branch 1 | | Power Branch 2 |
+------------------+ +--------------------+
| |
v v
+-------------------------------------------------------+
| Dual-Axle Supercapacitor Modules |
| - Supplies high transient current pulses. |
| - Provides energy for a final safe stop if the main |
| DCDC converter fails completely. |
+-------------------------------------------------------+
Se o conversor ou bateria principal DCDC falharem, os supercapacitores colocados perto dos eixos dianteiro e traseiro descarregam em milissegundos para fornecer energia suficiente para uma parada de emergência final e segura.
4. Modos de falha, taxas de fixação e reconstrução da força de freio
Durante a fase de conceito, o teste final é como o sistema lida com uma falha em tempo real.
4.1 O fator de falha de quatro rodas ($\lambda_i$)
Para transformar falhas físicas complexas em números que o controlador pode entender, usamos um Fator de falha$\lambda_i$):$$\lambda_i = f(f_{\text{clamp}, i}, i_{\text{motor}, i})$$
onde:
- $i \in \{fl, fr, rl, rr\}$ (frente-esquerdo, dianteiro direito, traseiro esquerdo, traseiro-direito).
- $f_{\text{clamp}, i}$ é a força de fixação real, e $i_{\text{motor}, i}$ é a corrente do motor.
Definimos o fator como:
$$\lambda_i = \begin{cases} 1, & \text{Wheel is Healthy} \ [0, 1), & \text{Brake force foi degradado} \
1, & \text{frenagem não intencional (caliper está arrastando ou bloqueado)} \end{cases}$$
A ECU principal compara a força de aperto com a corrente do motor para calcular $\lambda_i$ em tempo real, usando-a para conduzir a lógica de controle degradada por falha.
4.2 Reconstrução dinâmica da força de freio & Estratégia de prioridade
Se uma roda falhar (por exemplo, $\lambda_{rl} = 0$, o que significa que o freio traseiro esquerdo desapareceu completamente), o sistema começa a reconstruir a força de freio dentro de $20\text{ ms}$.
Failure Detected (e.g. λ_RL = 0)
|
v
[Brake Force Reconstruction Activated]
|
+--> Constraint 1: Front-to-Rear Balance (prevents vehicle pitching)
+--> Constraint 2: Left-to-Right Balance (prevents pulling/yawing)
+--> Constraint 3: Diagonal Symmetry (prevents spinning/tail-sliding)
O algoritmo de reconstrução tenta equilibrar três restrições físicas:
- Equilíbrio da frente para trás: Impede o arremesso repentino do veículo.
- Equilíbrio da esquerda para a direita: Previne a tração e o guinada que faz o carro virar.
- simetria diagonal: evita que o carro gire em estradas escorregadios.
Na maioria das falhas do mundo real, você não pode satisfazer todas as três restrições de uma vez. O controlador de segurança EMB usa um rigoroso Lista de prioridades:$$\text{estabilidade do veículo (prevenir trava/spin do roda traseira)} > \text{Braking Balance (prevenir pull)} > \text{Total Brake Force} > \text{help de direção cruzada}$$
- A estabilidade é a prioridade número um: O sistema sacrificará a distância de parada e permitirá que o carro demore mais para parar se isso significar manter o veículo em linha reta e evitar uma rotação.
- Lidar com a frenagem não intencional ($\lambda_i > 1$): Se uma pinça ou um curto-circuito de condutores, fazendo com que uma roda freie sem um comando, o veículo irá puxar com força para esse lado. O sistema usa uma correção de duas etapas: primeiro, ele corta a energia desse inversor de pinça dentro de $10\text{ ms}$; Em segundo lugar, aplica a frenagem calculada nas outras três rodas para criar um contratorque, mantendo o carro reto.
4.3 Estratégias de falha de roda
Quando várias rodas falham, o sistema deve equilibrar a estabilidade do veículo contra o poder de parada com menos recursos.
+--------------------------+
| Multi-Stage Degraded |
+--------------------------+
|
+-------------------+-------------------+
| | |
v v v
[Single Wheel] [Two Wheels] [Three/Four Wheels]
Force Redistribution Three Scenarios Ultimate Emergency
| | |
v v v
Rebalance remaining Limit speed and Regen motor brake,
healthy wheels maintain stability EPB, and ADAS
1) Os três cenários de falha de duas rodas
- Cenário A: Falha na dianteira e traseira do mesmo lado (mais perigosas)
- Efeito: você perde toda a frenagem de um lado. Apertar o outro lado cria um enorme momento de guinada, girando o carro instantaneamente.
- Estratégia: O sistema limita a velocidade do veículo a menos de $40\text{km/h}$. Ele restringe fortemente a força de frenagem no lado saudável para manter o carro reto, reduzindo a desaceleração total para cerca de 20% do normal.
- Cenário B: Falha cruzada na diagonal
- Efeito: Você tem um freio de trabalho no eixo dianteiro e outro na traseira, em lados opostos. As forças de guinada cancelam parcialmente.
- Estratégia: O sistema permite uma condução em velocidade média, ajustando o deslizamento da roda para manter o carro estável e parando em linha reta.
- Cenário C: Falha do mesmo eixo (frente ou traseiro)
- Efeito: Perder o eixo dianteiro é perigoso porque as rodas dianteiras lidam com 60% a 70% da força de frenagem durante a transferência de peso. Confiar apenas no eixo traseiro pode facilmente travar os pneus traseiros e causar uma rotação.
- Estratégia: O sistema limita a velocidade do veículo e força o ABS traseiro em sua configuração de segurança mais alta para evitar travamentos.
2) Paradas de emergência de três e quatro rodas
- Falha de três rodas: Apenas uma roda pode frear. Isso não é suficiente para parar com segurança. O sistema aplica a força máxima de segurança àquela roda única enquanto chama outros sistemas de chassi para ajudar.
- Falha nas quatro rodas: O sistema EMB falhou completamente. O controlador aciona seus backups finais:
- Ele envolve o EPB no eixo traseiro para desacelerar o carro mecanicamente.
- Ele comanda os motores de acionamento para usar Frenagem regenerativa Para desacelerar o veículo eletricamente.
- Ele coordena com o ADAS Para guiar o carro para uma parada segura ao longo do ombro.
5. Conformidade regulatória: projetando para o padrão chinês GB 21670-2025
Qualquer sistema EMB deve passar por rigorosos testes regulatórios antes de poder chegar à estrada. Na China, o padrão-chave é GB 21670-2025: Requisitos técnicos e métodos de teste para sistemas de frenagem de automóveis de passageiros, que entrou em vigor 1º de janeiro de 2026.
GB 21670-2025 Brake Standard Highlights
|
+-----------------------+-----------------------+
| |
v v
[ETBS Classification] [5-Second Recovery Rule]
EMB must meet ASIL D functional Must recover effective braking within
safety standards. 5 seconds of a single power failure.
5.1 Integração formal de ETBs
A GB 21670-2025 cobre oficialmente os sistemas de frenagem de transmissão elétrica (ETBs) que não possuem backups hidráulicos ou pneumáticos. Ele determina que qualquer veículo com ETBs deva atender aos rigorosos requisitos de segurança funcional e compatibilidade eletromagnética (EMC), com links de segurança projetados para atender Asil D padrões.
5.2 A regra de recuperação de energia de 5 segundos
O padrão afirma que, se um único ponto de energia falhar (como uma bateria desconectando), o sistema deve recuperar ou manter uma frenagem de emergência eficaz dentro 5 segundos ($5\text{ s}$). O veículo ainda deve atender aos requisitos mínimos de desaceleração neste estado degradado. Essa regra torna a necessidade de caminhos de energia dupla e backups de supercapacitor.
5.3 Lista de verificação de documentação para aprovação de tipo
Para aprovar auditorias regulatórias, os fabricantes de automóveis devem enviar um conjunto completo de documentos de segurança:
- Descrição do sistema: Explica os limites do sistema, o hardware e os layouts de software.
- Relatório Hara: Mostra a avaliação de risco passo a passo que leva ao alvo ASIL D.
- Medidas de segurança (FSR & AMP; TSR): Explica como o design lida e resolve falhas.
- Análise de segurança (FMEA e FTA): quantifica as taxas de falha do sistema e os riscos de um único ponto.
- Plano de validação e resultados de testes: Prova que o sistema funciona em condições do mundo real.
6. Fechando os pensamentos
Este artigo descreve o design conceitual de segurança de um Sistema EMB— desde os limites do sistema e análises de Hara até arquiteturas de segurança e lógica de controle degradada por falhas. A fase de conceito responde às duas questões mais importantes: “O que estamos construindo?” e “Por que estamos construindo assim?”
Em nossa próxima peça, 《Segurança funcional do MB (Parte II): Do conceito à realização do produto》, mudaremos da teoria para a implementação física. Vamos explorar:
- Projetando o hardware do lockstep duplo-MCU para WCUs;
- Escrevendo software para diagnósticos de driver de portão de microssegundos;
- Executando testes de injeção de falhas físicas em testes de inverno.
À medida que a tecnologia do chassi se move para o controle de fio puro, a segurança deve ser incorporada ao núcleo do sistema. Essa é a única maneira pela qual o EMB pode dar o salto com segurança do laboratório para a estrada.
7. Deep FAQ (respostas rápidas e detalhes técnicos)
Q1: Por que EMB e Steer-by-Wire (SBW) usam arquiteturas de segurança completamente diferentes se ambos não tiverem backups mecânicos?
- Resposta curta:SBW possui apenas um rack físico para orientar e deve empilhar backups nessa única unidade, enquanto o EMB possui quatro pinças fisicamente separadas, tornando seus principais desafios a prevenção de falhas de causa comum e balanceamento da força de freio.
- Detalhes técnicos:Se o SBW falhar, o motorista perde a direção imediatamente. Portanto, o SBW usa redundância altamente concentrada em uma unidade física – motores duplos, circuitos de driver duplo e controladores duplos. As pinças EMB estão isoladas fisicamente, então uma falha não quebra as outras. No entanto, como as pinças são idênticas, elas sofrem de Falha de causa comum (CCF) riscos. O foco do design de segurança EMB está, portanto, na separação do controlador upstream, software diversificado e reconstrução inteligente da força para usar as rodas saudáveis para manter o carro estável se uma pinça falhar ou travar.
Q2: Como um cenário de travamento de roda ou “frenagem não intencional” é tratado em $120\text{km/h}$?
- Resposta curta: O sistema corta a energia do calibrador ruim em menos de 10 milissegundos e usa as outras três rodas para aplicar a frenagem, mantendo o carro reto.
- Detalhes técnicos: se um circuito WCU encurta e bloqueia uma pinça, o fator de falha se torna $\lambda_i > 1$. O sistema reage instantaneamente:
- Mate o poder: O monitor de segurança de hardware da WCU corta a energia do inversor do motor em $10\text{ ms}$, permitindo que a pinça seja liberada.
- Frenagem contra torque: Enquanto o freio é liberado, o controlador principal lê a taxa de guinada dos veículos e a aceleração lateral. Ele aplica uma frenagem precisa nas rodas saudáveis do lado oposto para criar um contratorque, mantendo o carro em sua faixa.
Q3: Por que o sistema de alerta HMI é considerado um mecanismo central de segurança funcional em vez de um recurso básico de exibição?
- Resposta curta:HMI Alertas avisam o motorista para desacelerar e encostar, o que minimiza o tempo que o veículo dirige com uma única falha antes de ocorrer um segundo.
- Detalhes técnicosSe um EMB perder uma de suas baterias duplas, a bateria de backup mantém os freios funcionando em 100%. O motorista não sente diferença. No entanto, o sistema agora está sendo executado sem backups; A próxima falha será catastrófica. O aviso HMI diz ao motorista para encostar imediatamente. Isso reduz o Exposição ($e$) Janela – o tempo em que o veículo opera em um estado vulnerável – que é um princípio central de redução de risco ISO 26262.
Q4: Por que a perda dos freios dos eixos dianteiros é muito mais difícil de gerenciar do que perder os eixos traseiros?
- Resposta curta:As rodas dianteiras lidam com a maior parte da transferência de peso de frenagem; Se você os perder e tentar parar de usar apenas as rodas traseiras, os pneus traseiros travarão e girarão o carro.
- Detalhes técnicos: Quando você freia, o peso se move para frente, carregando os pneus dianteiros e descarregando os pneus traseiros. O eixo dianteiro manuseia 60% a 70% da força de parada. Se os freios dianteiros falharem, os pneus traseiros não têm aderência para parar o carro. Apertar os freios traseiros com muita força irá prendê-los instantaneamente, causando um giro severo. Se os freios traseiros falharem, os pneus dianteiros têm bastante aderência para parar o carro com segurança, mantendo o controle da direção. Assim, a falha do eixo dianteiro desencadeia limites de velocidade extremos e um rigoroso monitoramento ABS traseiro.
Q5: Como um sistema EMB atende à regra de “recuperação de energia de 5 segundos” no novo padrão GB 21670-2025?
- Resposta curta: O hardware deve usar um interruptor de alimentação inteligente ultrarrápido para trocar as linhas da bateria e colocar supercapacitores perto das pinças para manter a tensão estável durante o interruptor.
- Detalhes técnicosSe a linha da bateria principal cair, os motores EMB podem perder energia, fazendo com que as pastilhas de freio se afastem e percam a frenagem. Para passar a regra de 5 segundos, o sistema usa:
- Uma unidade inteligente de distribuição de energia (PDU): Muda a energia para a linha da bateria de backup em $\le 1\text{ ms}$.
- Supercapacitores: colocado bem ao lado dos controladores do eixo dianteiro e traseiro. Eles agem como reservas locais de energia, mantendo os motores acionados durante a comutação de milissegundos para que a pressão do freio nunca caia.