Функциональная безопасность EMB: ASIL D и отказоустойчивая конструкция

Автор: Джонни Лю, генеральный директор Dowway

Дата публикации: 4 июня 2026 г.

Категория: Автомобильная техника / тормозная беспроводная / функциональная безопасность (ISO 26262)

Расчетное время чтения: 15 мин

0. Введение: Снятие гидравлической системы безопасности

В нынешнюю эпоху электромобилей и автоматизированного вождения Электромеханический тормоз (EMB) Широко широко рассматривается как абсолютный исполнительный блок для технологии тормозной системы. Тем не менее, он остается одной из самых обсуждаемых и сложных систем для инженеров.

Традиционные системы гидравлического торможения требуют около 300 долларов США\текст{MS}$ до 500$\Text{MS}$, чтобы создать гидравлическое давление и сжать суппорты после того, как водитель нажимает педаль. EMB полностью исключает гидравлические линии, главные цилиндры и вакуумные бустеры. Используя электрические двигатели на каждом колесе для прямого сжатия тормозных дисков, EMB сокращает время отклика до менее 100 долларов США\Text{MS}$. при $120\Text{km/h}$, экономия этих нескольких сотен миллисекунд сокращает остановку почти на $10\Text{M}$. В чрезвычайной ситуации в этом заключается разница между безопасной остановкой и смертельной аварией.

Тем не менее, этот переход к чистой передаче электрического сигнала означает, что физическая система безопасности исчезла. Без гидравлических резервных копий надежность торможения полностью зависит от качества конструкции электронных систем. Единственная потеря мощности, сбой в шине или программный сбой может привести к тому, что автомобиль с нулевым тормозом. Вот почему Конструкция функциональной безопасности на основе стандарта ISO 26262 является наиболее важным столпом развития EMB.

В Dowway наша техническая работа с OEM-производителями и поставщиками уровня 1 показывает, что битва за EMB — это не только механическое оборудование. Речь идет о архитектурах безопасности и интеллектуальных алгоритмах ухудшения сбоев. В этой статье исследуется дизайн функциональной безопасности и отказобезопасная логика систем EMB на начальной стадии концепции.

1. Определение элемента & Парадокс гомологичных суппортов

В соответствии с ISO 26262 процесс функциональной безопасности начинается с определения элемента. На этом этапе определяются физические границы, функциональные интерфейсы и операционные среды системы. Если вы пропустите здесь одну критическую ссылку, ваш анализ опасностей и оценка рисков (HARA) пропустят критические режимы отказа.

1.1 Физические границы и компоненты

Стандартная четырёхколесная независимая система EMB включает:

Электронная педаль тормоза: имеет датчики смещения и силы вместе с эмулятором ощущения педали, чтобы зафиксировать то, что хочет сделать водитель.
Центральный контроллер (главный ECU / контроллер домена): решает, как распределить тормозное усилие и отправить команды управления.
Приводы суппорта со стороны колеса: Четыре независимых EMB-калипера, каждый с собственным блоком управления колесом (WCU), приводным двигателем, редуктором редуктора и датчиком силы зажима.
Система электроснабжения: Обеспечивает низковольтную электрическую энергию.
Переключатель стояночного тормоза: Контролирует электронный стояночный тормоз (EPB) для вспомогательного удержания и аварийного резервного копирования.

[Driver Pedal Input] -> [Electronic Brake Pedal (Dual-Channel)] -> [Main ECU (Dual-MCU Architecture)]
                                                                                  |
         +------------------+-----------------------+-----------------------+-----+------------------+
         |                  |                       |                       |                        |
         v                  v                       v                       v                        v
    [FL Caliper/WCU]   [FR Caliper/WCU]        [RL Caliper/WCU]        [RR Caliper/WCU]         [EPB Parking Lock]

1.2 Две уникальные характеристики физической безопасности EMB

В отличие от систем SBW wire (SBW), которые полностью полагаются на электронную избыточность, поскольку в них отсутствует физическая рулевая колонка, EMB имеет две уникальные механические особенности, которые формируют его стратегию безопасности:

Характеристика 1: физическая изоляция против гомологичного парадокса

Механически четыре EMB суппорта расположены на отдельных колесах с собственными двигателями и шестернями. Если один суппорт заклинивает, сжигает обмотку или ломает шестерню, повреждение физически изолировано. Остальные три колеса не затронуты. Это предлагает намного лучше изоляция неисправности чем центральная гидравлическая система, где утечка одного главного цилиндра может слить весь резерв тормозной жидкости.

Улов есть Общая причина сбоя (CCF). Все четыре суппорта имеют одни и те же аппаратные средства, типы двигателей, схемы драйверов и алгоритмы WCU. Если есть системный недостаток, например, специфический паттерн электромагнитных помех (EMI), плохая партия полупроводников или скрытая ошибка в управляющем коде, — все четыре суппорта могут выйти из строя в один и тот же момент.

Еще хуже, Один сбой в вышестоящем контроллере может мгновенно отключить все колеса. Если центральный контроллер теряет мощность или вылетает, физическая изоляция суппортов не имеет значения; Все они потеряют свои команды. Дизайнеры системы должны использовать Архитектуры двойных блоков MCU, избыточные энергосети и гетерогенное программное обеспечение чтобы предотвратить эти общие сбои.

Характеристика 2: Механическая самоблокировка в крайнем случае

Если все электрические системы выходят из строя, а вся электроника выходит из строя, EMB может все еще использовать механическую самоблокировку или высокое сопротивление заднего привода колесных шестерен, чтобы выдерживать минимальный уровень замедления или силовую парковку. Это обеспечивает окончательную механическую линию защиты, чтобы остановить автомобиль.

1.3 Функциональная иерархия

На этапе определения элемента мы организуем операции системы в четыре функциональных уровня, чтобы направлять HARA:

Слой	Функция	Основная ответственность
Слой 1	Базовое вождение & Торможение	Считывает входы педали для управления четырьмя суппортами для базовой остановки и парковки.
Слой 2	Тюнинг производительности тормоза	Управляет системами активной безопасности, такими как ABS, EBD и ESC.
Слой 3	отказоустойчивость & ухудшенный контроль	Запускает диагностику, переключается между отказоустойчивыми режимами и динамически перераспределяет тормозную силу.
Слой 4	Связь с транспортным средством	Контролирует сигнальные огни HMI, стоп-сигналы и беседы с блоками управления ADAS и кузовом.

2. Hara Analysis & Определение целей безопасности ASIL D

Анализ опасностей и оценка рисков (HARA) является ядром концептуальной фазы ISO 26262. Он оценивает риски безопасности от ASIL A до ASIL D, рассматривая серьезность ($ S$), воздействие ($E$) и управляемость ($C$).

2.1 Матрица риска HARA

Уровень безопасности ISO 26262 вычисляется с использованием простого отношения:$$\Text{Asil Grade} = F(s, E, C)$$

ASIL D является самым высоким и наиболее строгим уровнем, в то время как QM (менеджмент качества) означает, что риск не требует специальных мер по функциональной безопасности.

2.2 Анализ сценария сбоя в высокоскоростном торможении

Давайте рассмотрим один из худших сценариев для системы EMB: «Полная потеря всех тормозных сил при вождении в $120\Text{km/h}$ на шоссе».

серьезность ($S$): Общая потеря тормозной системы в $120\Text{km/h}$ почти наверняка приведет к высокоскоростному столкновению со смертельными травмами. Это получает максимальную оценку в $3$.
экспозиция ($e$): Вождение по шоссе является стандартной, повседневной рутиной для легковых автомобилей. Это получает самую высокую оценку в $4$.
управляемость ($С$): Если вы потеряете все тормоза на высокой скорости, вы не сможете легко выбраться из неприятностей. Водитель не может надежно контролировать опасность. Это рейтинг $C3$.

Используя стандартную матрицу риска ISO 26262:

Тяжесть ($S$)	Экспозиция ($ E$)	управляемость $c1$	Управляемость $C2$	Управляемость $C3$
$S3$	$e1$	КМ	асил а	Асил Б
	$E2$	асил а	Асил Б	Асил С
	$E3$	Асил Б	Асил С	асил д
	$E4$	Асил С	асил д	ASIL D (результат)

Комбинация $s3 + e4 + c3$ приводит к асил д рейтинг Это означает, что система EMB должна соответствовать самым высоким инженерным стандартам, чтобы предотвратить полную потерю тормозного усилия.

2.3 Четыре основные цели безопасности

Основываясь на нашей HARA, мы устанавливаем четыре основные цели безопасности для системы EMB, и все они оцениваются в асил д:

                              +----------------------------+
                              |   EMB Top Safety Goals     |
                              +----------------------------+
                                             |
         +-----------------------+-----------+-----------+-----------------------+
         |                       |                       |                       |
         v                       v                       v                       v
    [SG01: ASIL D]          [SG02: ASIL D]          [SG03: ASIL D]          [SG04: ASIL D]
 Prevent Unintended Loss   Prevent Unintended       Prevent Insufficient    Prevent Loss of
    of Braking Force       Braking Activation          Braking Force       Pedal Input Signals

SG01: Предотвратить непреднамеренную потерю тормозной силы (ASIL D)
- Требование: Если один аппаратный компонент выходит из строя, система резервного копирования должна поддерживать базовое торможение в пределах $\LE 100\Text{ MS}$ без прерывания.
SG02: предотвратить непреднамеренное торможение (ASIL D)
- Требование: Система должна предотвращать случайную блокировку колеса. Если это произойдет, система должна отключить питание этого конкретного двигателя, чтобы предотвратить высокоскоростное вращение.
SG03: Предотвратить недостаточное торможение (ASIL D)
- Требование: Разница между фактической силой зажима и тем, что хочет водитель, должна оставаться в пределах безопасных ограничений.
SG04: Предотвратить потерю сигналов педали тормоза (ASIL D)
- Требование: Датчики хода педали и силы должны использовать разные независимые конструкции резервных копий, чтобы один из них не потерял намерение водителя.

2.4 Три безопасных состояния для отказоустойчивого контроля

Для достижения этих целей в области безопасности программное обеспечение EMB использует три режима работы. Благодаря анализу дерева неисправностей (FTA) мы следим за тем, чтобы общая частота системных сбоев в этих режимах была ниже $< 10^{-8}/\Text{h}$, чтобы соответствовать стандарту ASIL D:

Полнофункциональный режим: Все детали работают без проблем или с незначительными скрытыми дефектами, которые не влияют на производительность. Система может пережить хотя бы один аппаратный сбой и при этом обеспечивать 100% тормозной мощности.
Частичная функция: Происходит один аппаратный сбой (например, один сбой суппорта или выключается линия связи). В системе работает алгоритм реконструкции силы, чтобы поддерживать устойчивость автомобиля и безопасно останавливаться.
Аварийный режим: Если происходит второй аппаратный сбой и исчезнут все электронные резервные копии, система полагается на экстренные меры. Он использует торможение EPB или регенеративное торможение, чтобы остановить автомобиль.

3. Архитектура системного уровня: трехсторонняя параллельная безопасность & Резервное копирование энергии

После того, как у вас есть цели безопасности, вам нужна электрическая и электронная (E/E) архитектура, которая обеспечивает безопасность автомобиля. Мы используем Трехсторонняя параллельная конструкция безопасности: физическое резервное копирование оборудования, проверка программного обеспечения и четкая связь между человеком и машиной.

+-------------------------------------------------------------------------+
|                  Three-Way Parallel Safety Architecture                   |
+-------------------------------------------------------------------------+
| [Line 1: Physical Hardware] -> Dual power, dual CAN, dual-channel pedal, |
|                                clamp force sensors.                     |
|                                                                         |
| [Line 2: Software Validation] -> Sensor plausibility, gate driver watch, |
|                                  state observers.                       |
|                                                                         |
| [Line 3: Human Interaction]    -> Live diagnostic codes, visual/audio    |
|                                  alerts to warn driver to take over.    |
+-------------------------------------------------------------------------+

3.1 Трехходовая параллельная архитектура безопасности

Строка 1: физическая избыточность оборудования

Аппаратное обеспечение является основой системы.

Резервация мощности: Использует независимые двойные блоки питания (гибридная установка 12 В/48 В). Если одна линия батареи выходит из строя, резервная линия сразу же берет на себя управление без потери тормозной мощности.
избыточность связи: Шины двойного CAN могут работать параллельно. Если один из них зашумлен или защелкивается, другой берет на себя с нулевой потерей пакетов.
избыточность датчика:
- педаль тормоза: Использует два датчика смещения и два датчика силы с отдельными чипами питания и проводкой, подключенными к разным контактам на главном ЭБУ.
- Приводы: Каждый суппорт имеет два датчика силы зажима и два датчика температуры двигателя для контроля фактической силы зажима ($F_{\Text{Clamp}}$) в режиме реального времени.

Строка 2: Проверка программного обеспечения

При наличии избыточных аппаратных сигналов программное обеспечение должно следить за скрытыми ошибками.

Правдоподобие перекрестных проверок: Программное обеспечение сравнивает ход педали с расчетным эквивалентным усилием педали. Если они не совпадают, программное обеспечение помечает проблему дрейфа датчика и игнорирует плохой канал.
Мониторинг стадии водителя: WCU контролирует время переключения инвертора и токи шины до микросекунды. Если транзистор замыкается, он мгновенно выключает драйвер двигателя.

Строка 3: человеческое взаимодействие

Когда один сбой переходит в режим частичной функции, интерфейс «Человека-машина» (HMI) должен показывать желтый или красный сигнальный индикатор вместе с сигнальным оповещением. Даже несмотря на то, что программное обеспечение перераспределяет тормозную силу, чтобы держать машину прямо, водитель должен знать, что система работает с ограниченной производительностью, чтобы он мог замедляться и останавливаться.

3.2 Экономия затрат при разложении ASIL

Построить каждую часть системы EMB для удовлетворения ASIL D слишком дорого и сложно. Вместо этого мы используем Разложение АСИЛ в соответствии с Руководствами ISO 26262.

Например, мы можем разделить цель безопасности SG01 (предотвратить потерю торможения, ASIL D) В главном ECU:$\text{sg01 (asil d)} \rightarrow \text{алгоритм управления основным контроллером } \text{asil b(d)} + \text{независимый монитор безопасности } \text{asil b(d)}$$

Канал управления: работает на эффективном стандартном процессоре ASIL B, обрабатывающем основные расчеты тормозной силы.
Монитор канала: работает по простой, высоконадежной схеме ASIL B(D), чтобы проверить, разумны ли выходные выходы каналов управления.

Сочетая два независимых элемента ASIL B, мы добиваемся безопасности ASIL D при гораздо более низкой стоимости оборудования.

3.3 Архитектура питания: двухконденсаторная сеть

Двигатели EMB потребляют большой ток во время сильного торможения, иногда до десятков ампер. Для безопасного обращения с этим мы используем “Низвольная батарея + двухосный суперконденсатор” установка

  +------------------+             +--------------------+
  |  Low-Volt Bat    | <---------> |  DCDC Converter    |
  +------------------+             +--------------------+
           |                                  |
           v                                  v
  +------------------+             +--------------------+
  |  Power Branch 1  |             |  Power Branch 2    |
  +------------------+             +--------------------+
           |                                  |
           v                                  v
+-------------------------------------------------------+
|          Dual-Axle Supercapacitor Modules             |
|  - Supplies high transient current pulses.            |
|  - Provides energy for a final safe stop if the main  |
|    DCDC converter fails completely.                   |
+-------------------------------------------------------+

Если главный преобразователь DCDC или батарея выходит из строя, суперконденсаторы, расположенные рядом с передней и задней осями, разрядятся в течение миллисекунд, чтобы обеспечить достаточную мощность для одной последней безопасной аварийной остановки.

4. Режимы отказа, коэффициенты зажима и реконструкция тормозной силы

На этапе концепции конечным испытанием является то, как система справляется с сбоем в реальном времени.

4.1 Коэффициент отказа четырехколесного колеса ($\lambda_i$)

Чтобы превратить сложные физические ошибки в числа, которые контроллер может понять, мы используем фактор отказа ($\lambda_i$):$$\lambda_i = f(f_{\text{clamp}, i}, i_{\text{motor}, i})$$

где:

$i \in \{fl, fr, rl, rr\}$ (спереди-лево, спереди справа, сзади слева, сзади справа).
$f_{\text{clamp}, i}$ – это фактическая сила зажима, а $i_{\text{motor}, i}$ – ток двигателя.

Определяем фактор как:

$$\lambda_i = \begin{cases} 1, & \text{колеса здоровы} \ [0, 1), & \text{торможение деградируется} \

1, & \text{непреднамеренное торможение (калипер перетаскивается или заблокирован)} \end{cases}$$

Главный ЭБУ сравнивает силу зажима с током двигателя, чтобы вычислить $\lambda_i$ на лету, используя его для управления отказоустойчивой логикой управления.

4.2 Реконструкция динамического тормозного усилия & Приоритетная стратегия

Если колесо выходит из строя (например, $\lambda_{rl} = 0$, что означает, что задний левый тормоз полностью исчез), система начинает реконструировать тормозную силу в течение 20 долларов США\текст{MS}$.

Failure Detected (e.g. λ_RL = 0) 
   |
   v
[Brake Force Reconstruction Activated]
   |
   +--> Constraint 1: Front-to-Rear Balance (prevents vehicle pitching)
   +--> Constraint 2: Left-to-Right Balance (prevents pulling/yawing)
   +--> Constraint 3: Diagonal Symmetry (prevents spinning/tail-sliding)

Алгоритм реконструкции пытается сбалансировать три физических ограничения:

Баланс спереди к задней части: Предотвращает внезапную подачу автомобиля.
Баланс слева направо: Предотвращает тягу и рыскание, что заставляет машину вертеться.
Диагональная симметрия: Не позволяет машине крутиться на скользких дорогах.

В большинстве реальных сбоев вы не можете удовлетворить все три ограничения одновременно. Контроллер безопасности EMB использует строгий Список приоритетов:$$\Text{Стабильность автомобиля (предотвращать блокировку/вращение заднего колеса)} > \Text{торможение баланса (предотвратить тягу)} > \Text{Total Brake Force} > \Text{Справка по перекрестному рулевому управлению}$$

Стабильность – приоритет номер один: Система пожертвует остановочным расстоянием и позволит остановке автомобиля дольше останавливаться, если это означает держать автомобиль прямо и предотвращать вращение.
Обработка непреднамеренного торможения ($\lambda_i > 1$): Если суппорт заклинит или закоротит цепь водителя, в результате чего колесо тормозит без команд, автомобиль будет сильно тянутся к этой стороне. Система использует двухэтапное исправление: во-первых, она отключает питание инвертора калиперов в пределах 10 долларов США\текст{ MS}$; Во-вторых, он применяет рассчитанное торможение к другим трем колесам, чтобы создать контр-момент, удерживая машину прямой.

4.3 Стратегии отказов нескольких колес

Когда несколько колес выходят из строя, система должна сбалансировать устойчивость автомобиля с меньшими ресурсами.

              +--------------------------+
              |   Multi-Stage Degraded   |
              +--------------------------+
                           |
       +-------------------+-------------------+
       |                   |                   |
       v                   v                   v
  [Single Wheel]       [Two Wheels]       [Three/Four Wheels]
Force Redistribution  Three Scenarios      Ultimate Emergency
       |                   |                   |
       v                   v                   v
 Rebalance remaining   Limit speed and      Regen motor brake,
     healthy wheels     maintain stability      EPB, and ADAS

1) Три сценария отказа двухколесного колеса

Сценарий A: Отказ с той же стороны и сзади (наиболее опасный)
- Эффект: Вы теряете все тормоза с одной стороны. Сжимая другую сторону, создается массовый момент рыскания, мгновенно вращая автомобиль.
- Стратегия: Система ограничивает скорость автомобиля до 40 долларов США\текст{ км/ч}$. Он сильно ограничивает тормозную силу на здоровой стороне, чтобы держать машину прямо, сокращая общее замедление примерно до 20% от нормы.
Сценарий B: диагональный перекрестный сбой
- Эффект: У вас есть один рабочий тормоз на передней оси и один сзади, с противоположных сторон. Силы рыскания частично компенсируются.
- Стратегия: Система позволяет ездить на средней скорости, при регулировке скольжения колеса, чтобы автомобиль был стабильным и останавливался прямо.
Сценарий C: Отказ с той же осью (спереди или сзади)
- Эффект: потеря передней оси опасен, потому что передние колеса ручки 60% до 70% тормозного усилия при переносе веса. Опираясь только на заднюю ось, можно легко заблокировать задние шины и вызвать вращение.
- Стратегия: Система ограничивает скорость автомобиля и заставляет заднюю часть ABS высоки безопасности для предотвращения блокировки.

2) Трехколесные и четырехколесные аварийные остановки

Трехколесный сбой: Только одно колесо может тормозить. Этого недостаточно, чтобы безопасно остановиться. Система прикладывает максимальную безопасную силу к этому единственному колесу, прибегая к другим системам шасси для помощи.
Четырехколесный сбой: Система EMB полностью вышла из строя. Контроллер запускает свои окончательные резервные копии:
1. он задействует ЕПБ На заднем мосту, чтобы механически замедлить машину.
2. Он приказывает использовать приводные двигатели Регенеративное торможение Для замедления электрического тока автомобиля.
3. он согласуется с АДА Направить машину к безопасной остановке вдоль обочины.

5. Соответствие нормативным требованиям: проектирование для китайского стандарта GB 21670-2025

Любая система EMB должна пройти строгие нормативные тесты, прежде чем она сможет отправиться в путь. В Китае ключевым стандартом является GB 21670-2025: Технические требования и методы тестирования систем торможения легковых автомобилей, который вступил в силу на 1 января 2026 г.

               GB 21670-2025 Brake Standard Highlights
                                 |
         +-----------------------+-----------------------+
         |                                               |
         v                                               v
  [ETBS Classification]                          [5-Second Recovery Rule]
 EMB must meet ASIL D functional             Must recover effective braking within 
      safety standards.                       5 seconds of a single power failure.

5.1 Формальная интеграция ETB

GB 21670-2025 официально освещает тормозные системы электрической трансмиссии (ETBS), в которых отсутствуют гидравлические или пневматические резервные копии. Он требует, чтобы любое транспортное средство с ETB должно удовлетворять требованиям строгой функциональной безопасности и электромагнитной совместимости (ЭМС) с базовыми линиями безопасности, предназначенными для соответствия асил д стандарты

5.2 Правило 5-секундного восстановления питания

В стандарте указано, что в случае выхода из строя одной точки питания (например, при отключении батареи) система должна восстанавливать или поддерживать эффективное экстренное торможение внутри 5 секунд ($5\text{ s}$). Транспортное средство по-прежнему должно соответствовать минимальным требованиям к замедлению в этом ухудшении состояния. Это правило делает пути двойной мощности и резервное копирование суперконденсаторов необходимостью.

5.3 Контрольный список документации для утверждения типа

Для прохождения нормативных проверок производители автомобилей должны предоставить полный комплект документов по технике безопасности:

Описание системы: Объясняет системные границы, аппаратные и программные макеты.
Отчет Хара: показывает пошаговую оценку риска, ведущую к цели ASIL D.
Меры безопасности (FSR & TSR): Объясняет, как дизайн обрабатывает и устраняет сбои.
Анализ безопасности (FMEA и FTA): Определяет частоту отказов системы и одноточечные риски.
План валидации и результаты тестирования: Доказывает, что система работает в реальных условиях.

6. Закрытие мыслей

В этой статье описывается концептуальная конструкция безопасности система ЭМБ— от системных границ и HARA-анализа до архитектуры безопасности и логики управления отказоустойчивой. Фаза концепции отвечает на два наиболее важных вопроса: “Что мы строим?” и «Почему мы строим его таким образом?»

В нашей следующей части, 《Функциональная безопасность EMB (Часть II): От концепции к реализации продукта》, перейдем от теории к физической реализации. Мы изучим:

Проектирование аппаратуры LockStep Dual-MCU для WCU;
написание программного обеспечения для диагностики драйверов ворот микросекунд;
Выполнение физических тестов на впрыск неисправностей в зимних испытаниях.

Поскольку технология шасси переходит на чистое управление проводами, безопасность должна быть встроена в ядро системы. Это единственный способ, которым EMB может безопасно совершить прыжок из лаборатории в дорогу.

7. Deep FAQ (Быстрые ответы и технические детали)

Q1: Почему EMB и STEER-BYWIRE (SBW) используют совершенно разные архитектуры безопасности, если у обоих нет механической резервной копии?

Краткий ответ:SBW имеет только одну физическую стойку для управления и должна складывать резервные копии на это отдельное устройство, в то время как EMB имеет четыре физически отдельных суппорта, что делает его главные проблемы, предотвращающие сбои в общих причинах и уравновешивая тормозное усилие.
Технические детали: Если SBW выходит из строя, водитель немедленно теряет рулевое управление. Таким образом, SBW использует высококонцентрированную избыточность на одном физическом устройстве — двухнапряженных двигателях, цепях с двумя драйверами и двойных контроллерах. EMB-укладчики физически изолированы, поэтому один неудачный не ломает другие. Однако, поскольку суппорты идентичны, они страдают от Общая причина сбоя (CCF) риски. Таким образом, EMB Safety Design фокусируется на разделении контроллеров, разнообразном программном обеспечении и умной принудительной реконструкции, чтобы использовать здоровые колеса для поддержания стабильности автомобиля, если один суппорт выходит из строя или блокируется.

Q2: Как обрабатывается сценарий блокировки колеса или сценария «непреднамеренного торможения» на уровне $120\Text{km/h}$?

Краткий ответ: Система отключает питание плохого суппорта менее чем за 10 миллисекунд и использует остальные три колеса для противодействия торможениям, сохраняя машину прямой.
Технические детали: Если цепь WCU замыкает и блокирует суппорт, коэффициент сбоя становится $\lambda_i > 1$. Система реагирует мгновенно:
1. Убейте силу: Аппаратный монитор безопасности WCU отключает питание инвертора двигателя в пределах $10\Text{MS}$, позволяя снимать суппорт.
2. Торможение в противодействии: Пока тормоз отпускается, главный контроллер считывает скорость рыскания транспортных средств и поперечное ускорение. Он применяет точное торможение к здоровым колесам на противоположной стороне, чтобы создать контр-крутящий момент, удерживая автомобиль на своей полосе.

Q3: Почему система предупреждения HMI считается основным механизмом функциональной безопасности, а не базовой функцией дисплея?

Краткий ответПредупреждения :HMI предупреждают водителя о необходимости замедлить работу и остановиться, что минимизирует время, когда автомобиль ездит с одним сбоем до того, как произойдет второй.
Технические детали: Если EMB теряет одну из своих двойных батарей, резервная батарея поддерживает работу тормозов на 100%. Водитель не чувствует разницы. Однако теперь система работает без резервных копий; Следующая неудача будет катастрофой. Предупреждение HMI говорит водителю немедленно остановиться. Это уменьшает экспозиция ($e$) Окно — время, когда транспортное средство работает в уязвимом состоянии, что является основным принципом снижения риска ISO 26262.

Q4: Почему потеря тормозов передних мостов намного сложнее, чем потеря задних мостов?

Краткий ответ: передние колеса справляются с большей частью тормозной массы; Если вы их потеряете и попытаетесь перестать пользоваться только задними колесами, задние шины заблокируют и покрутят машину.
Технические детали: Когда вы тормозите, вес перемещается вперед, заряжает передние шины и выгружает задние шины. Передняя ось выдерживает от 60% до 70% останавливающей силы. Если передние тормоза выходят из строя, на задних шинах не хватает сцепления, чтобы остановить автомобиль. Слишком сильное сжатие задних тормозов зафиксирует их мгновенно, что приведет к сильному вращению. Если вместо этого выходят из строя задние тормоза, передние шины имеют достаточное сцепление, чтобы безопасно остановить автомобиль при сохранении управления рулевым управлением. Таким образом, отказ передней оси вызывает крайние ограничения скорости и строгий контроль заднего АБС.

Q5: Как система EMB соответствует правилу «5-секундное восстановление питания» в новом стандарте GB 21670-2025?

Краткий ответ: Аппаратное обеспечение должно использовать сверхбыструю интеллектуальную выключатель питания для замены аккумуляторных линий и размещать суперконденсаторы рядом с калиперами, чтобы поддерживать стабильность напряжения во время выключателя.
Технические детали: Если основная линия батареи падает, двигатели EMB могут терять мощность, в результате чего тормозные колодки оттягиваются и теряют торможение. Чтобы пройти правило 5 секунд, система использует:
- Умный блок распределения питания (PDU): Переключает питание резервной батареи в $\le 1\text{ MS}$.
- Суперконденсаторы: расположен рядом с передними и задними контроллерами осей. Они действуют как локальные резервы энергии, сохраняя двигатели приводимыми в действие во время переключения миллисекунды, поэтому тормозное давление никогда не падает.

Dowway Vehicle