1. 概述
轿车电子助力转向体系(EPS)可以下降能耗，进步驾控智能水平，且更简单与其它高档安全体系集成，因此近年来在轿车中得到了大力的推行和开展。在这个范畴，国内EPS供货商与国外供货商的首要距离体现在EPS操控技能和体系安全规划两方面。
飞思卡尔半导体公司在2011年推出了“选用永磁同步电机的轿车电子助力转向电控单元解决计划”，旨在协助国内EPS供货商把握永磁同步电机的操控技能。这一计划取得了《国际电子元器件》期刊 “2012年全国优异IC和电子产品解决计划”最佳计划奖。
在2012年的飞思卡尔我国技能论坛上，飞思卡尔又推出了针对路途车辆-功用安全国际标准ISO26262 ASIL-D等级的EPS演示体系计划。该计划不只演示了选用飞思卡尔功用安全品牌SafeAssure的软硬件产品，怎么方便快捷地完成ASIL-D等级的EPS体系，一起也供给了整个开发阶段所触及的安全规划文档，包含：
· 项目界说
· 危险剖析和危险评价
· 功用安全概念
· 体系开发
· 安全承认。
本文将依据图1所示的ISO26262安全生命周期模型来论述飞思卡尔怎么依据ISO26262标准来开发ASIL-D等级的EPS演示体系。
图1：ISO26262安全生命周期模型
2. 功用安全概念规划
在概念阶段规划项目(或产品)界说、危险剖析和危险评价和功用安全概念。
2.1 项目界说
项目界说描绘了EPS体系的首要功用，如下所述：
· 依据司机目的，供给转向支撑
· 自动回正
· 向车内其它体系供给转向视点(经过CAN网络)
2.2 危险剖析和危险评价
危险剖析和危险评价需求考虑的要素有：安全功用、失效形式、驾驭场景、严重性、露出的或许性、可控性以及安全方针、ASIL等级、安全时刻和安全状况。
依据剖析，EPS体系有如下危险剖析和危险评价成果：
· 安全方针1：避免电机发生自主扭矩
保证电机不能自主发生扭矩，这样会使车辆转向违背司机目的。尤其在高速时，这种扭矩会发生意外的转向，给司机乘客和行人带来危险。这种危险或许源于传感器或电控单元ECU的毛病。
ASIL等级：ASIL-D
· 安全方针2：避免电机发生死锁扭矩
保证电机不能锁死，以致司机不能正常转向。电机死锁或许由电气失效或机械失效导致。尤其在高速时，这种意外的扭矩会给司机，乘客和行人带来危险。这种危险或许源于电控单元ECU的毛病，或电机及转向体系的机械毛病。
ASIL等级：ASIL-D
· 安全方针3：避免体系从“安全状况”过错退出，电机发生突发扭矩
这种工况是指当EPS体系由于毛病，如电机反常等原因，现已进入了所谓的“安全状况”。可是由于电气毛病，EPS体系过错地从“安全状况”退出，在没有任何告警的情况下，电机从头对转向体系施加意外的扭矩，从而使司机不能按目的操控转向。
ASIL等级：ASIL-A
· 安全方针4：避免电机不供给助力
保证体系运转正常，助力施加正确。助力缺失不会导致车辆失控，由于有机械转向体系存在。一种合理的假设是：当这种毛病被检测到后，显现告警信息;司机发觉后，启用“跛行回家”的行车形式,，比方下降车速等。
ASIL等级：QM
经过危险剖析和危险评价后，以上四个安全方针的最高ASIL等级是ASIL-D。所以EPS体系的最高ASIL 等级是ASIL-D。
2.3 功用安全概念
为了完成体系的安全方针，对体系架构中的各个要素(Element)，如传感器、操控单元和履行单元(电机)，都有功用安全需求。功用安全需求首要考虑各要素的ASIL等级、作业形式、安全时刻、安全状况、功用冗余即容错功用和各要素的开始架构等。它不触及详细的硬件和软件完成细节。在EPS体系中，选用了如图2的开始体系架构，或许的功用安全需求示例如下：
· 整个EPS体系要求到达ASIL-D的要求。(体系)
· 安全状况的界说有必要保证当体系呈现丧命毛病时，电机的行为不会对转向体系晦气影响。(体系)
· 体系有必要在安全时刻内进入安全状况。(操控单元)
· 操控单元有必要包含电机操控通道和电机监控通道。(操控单元)
· 操控通道和监控通道都能取得集成于车辆接口的传感器信号。(传感器和操控单元)
· 操控通道和监控通道都能取得集成于履行单元的传感器信号。(传感器和操控单元)
· 操控通道和监控通道所用的传感器信号有必要独立。(传感器)
· 操控通道依据扭矩传感器输入和其它来自车身网络的相关输入核算助力需求。(操控单元)
· 操控通道操控履行单元，发生所需助力。(操控单元)
· 监控通道依据独立的扭矩传感器输入和其它来自车身网络的相关输入，校验操控通道是否正确核算了助力需求。(操控单元)
· 监控通道依据独立的传感器输入，校验操控通道是否正确操控了履行单元。(操控单元)
· 监控通道可以独立的使体系进入安全状况。(操控单元)
· 体系电源监控的完成有必要独立于电机操控通道和电机监控通道。(操控单元)
· 体系时钟监控的完成有必要独立于电机操控通道和电机监控通道。(操控单元)
· 其它需求可参阅图2的EPS功用安全概念。
图2：EPS功用安全概念
3. 产品开发
产品开发阶段包含体系规划、硬件规划和软件规划、安全承认、功用安全评价和出产预备。下文首要介绍操控单元的规划。
3.1 硬件规划
硬件体系由飞思卡尔针对功用安全的SafeAssure品牌的芯片产品构成。MPC5643L为业界首款经过ISO26262证明的微操控器，MC33907为飞思卡尔新一代的体系根底芯片(SBC)，这两款芯片均契合ISO26262开发流程。MPC5643L、MC33907和预驱动芯片MC33937A构成了飞思卡尔针对ISO26262 ASIL-D电机操控使用的硬件规划计划。
