e-GAS 三层监控架构 — Powertrain / EV 的 ASIL-D 骨架

L2 故意只用最少、最可信的输入:

• 加速踏板(独立 ADC channel,与 L1 共享物理传感器但 ADC 路径独立)
• 制动开关(物理触点,高可信)
• gear lever 位置(P/R/N/D)

不用复杂 CAN 状态(BMS / VCU)—— 因为 CAN 故障会传染给 L1 和 L2,无法独立。

L2 的核心算法是一个分段线性 / 查表的"驾驶员意图模型":

其中 $f_{\text{simple}}$ 是简化版的 driver intent map,${\Delta }_{\text{margin}}$ 是 $5$-$10\%$ 的安全余量,确保 L1 在正常工况下不会被 L2 误判。

特殊规则:

• brake override:任何 brake-on → $T_{\text{perm}}=0$(无条件)
• direction lock:gear = P/N → $T_{\text{perm}}=0$
• OEM-specific clamp:某些主机厂要求倒车扭矩 < $20\mathrm{Nm}$

每个周期,L2 算出 $T_{\text{perm}}$,与 L1 输出的 $T_{\text{req}}$ 比较:

${\Delta }_{\text{detect}}$ 是"误判防抖"阈值(典型 $5$-$10\mathrm{Nm}$),$t_{\text{debounce}}$ 是连续违例时间(典型 $50$-$100\mathrm{ms}$)—— 避免单次 noise 触发误关 inverter。

L2 检测到 fault 后:MCU 自己 cut PWM 输出 / 切到 fail-silent state / 等 MCU reset。L2 不直接关电源(那是 L3 的事)。

这是 e-GAS 最巧妙的部分。L1 / L2 都在同一颗 MCU 上,但通过多重隔离实现 freedom from interference:

典型 MCU 资源占比:L2 用 < 5% CPU + < 10% RAM,但开发成本占整个 ECU 软件的 30-40%(因为 ASIL-D 流程贵)。

普通 watchdog 只要 MCU 定时 "kick" 一次就 OK —— 但这无法检测程序卡在错误循环里也定时 kick 的情况。Q&A WD 引入"挑战-应答":

1. SBC 用 LFSR + counter 生成 question $Qk$
2. MCU 读 $Qk$,运行约定的函数 $f$,算出 answer $Ak=f(Qk,\text{seed})$
3. MCU 在指定 timing window 内 SPI 写回 $Ak$
4. SBC 验证 $Ak$ 是否正确

错答 / 早答 / 晚答 都算 fault。$f$ 函数必须包含程序执行流程的状态(如关键 task 完成标志),这样卡死的程序无法算出正确 answer。

时间窗约束是关键:

• closed window(前段):MCU 不应该 refresh,过早 = fault
• open window(中段):MCU 必须 refresh
• 错过 open window = too late = fault

这样**任何"卡循环导致提前 refresh"或"任务挂起导致漏 refresh"**都被精确检测。

上电启动时,MCU 还在初始化,可能错过几次 Q&A —— SBC 允许 7 次连续错误(INIT_FS 阶段)。运行中容忍下降到 3 次 —— 任何 3 次错答触发 RSTB(MCU reset)+ 重新进入 INIT_FS。

如果 reset 后连续多轮 INIT_FS 失败,SBC 拉 FS0B (fail-safe output B) 低,直接关 gate driver power,整车进 fail-safe 状态。WDT 详细原理与 SBC 实现见 topic-sbc-mc33907-design。

控制变量 = throttle 角度。

• L1:油门 + 转速 → throttle map + 喷油 + 点火
• L2:油门 → 允许 throttle 上限,$T_{\text{req}}^{\text{throttle}}>T_{\text{perm}}^{\text{throttle}}$ → fault
• L3:SBC 关 throttle motor 电源 → throttle 弹簧复位到 ICE 怠速位

ICE 的优势是有机械备份(throttle 复位弹簧),即使整个 ECU 死机,机械结构自动回到安全状态。

控制变量 = $T_{\text{ICE}}+T_{\text{motor}}$。

• L1:复杂能量分配(发动机 + 电机)+ 充放电策略
• L2:油门 → 总驱动扭矩上限 $T_{\text{wheel}}^{\text{perm}}$,$T_{\text{ICE}}+T_{\text{motor}}>T_{\text{perm}}$ → fault
• L3:SBC 在 HCU(混动控制器)+ MCU 双方,关 inverter PWM + ICE 进 limp-home

混动复杂之处在于两个扭矩源都要算到总和里,任何一方失控都可能造成总扭矩超限。L2 必须能同时拿到 ICE 和 motor 的"声明扭矩"做加总验证。

控制变量 = $iq\times \psi$(电机磁链)。

• L1:FOC + MTPA + 弱磁 + SVPWM
• L2:油门 → $T_{\text{motor}}^{\text{perm}}$,$|iq|\times \psi >T_{\text{perm}}$ → ASC(三相短路 / Active Short Circuit)
• L3:SBC 关 gate driver power → 全部 SiC MOS OFF → free-wheel diode 续流

BEV 没有机械备份 —— 一旦 inverter 失控,唯一的安全状态是 ASC(三相短路)或 FW(自由轮),具体选哪个根据车速:

• 低速(< 50 km/h):FW 安全(free-wheel,电机被动旋转无扭矩)
• 高速(> 50 km/h):ASC 安全(三相短路,电机产生制动扭矩防超速)

详见 topic-asil-d-case-studies 中的 EV inverter 安全状态切换。

此系统以 TC397 双核锁步对(CPU0/1)承载 L2 TMS,CPU2-5 承载 L1 FOC,TLF35584 作 L3 外部看门狗。

L1/L2 的 Freedom from Interference 通过硬件 MPU 强制 RAM 分区、L1/L2 分别使用 APP_PEDAL1/APP_PEDAL2 独立 ADC 通道、以及分属 STM0/STM1 的独立定时器实现,详见 topic-freedom-from-interference §9 TC397 MPU 映射表。

HARA 给出安全目标"防止 BEV 意外加速(ASIL D)"的 FTTI = 200ms;两条独立检测路径均须在此窗口内完成检测并进入 safe state。

裕量:L2 路径余量 $200-35=165$ ms(为路径时间的 4.7 倍),L3 路径余量 $200-31.2\approx 169$ ms(为路径时间的 5.4 倍)。两路均远优于 FTTI,满足 ISO 26262-4 §6 "FTTI - FDTI ≥ FRTI" 要求。

L2 对 L1 的扭矩偏差阈值:偏差 > 5% 持续 3 个 10ms 周期(30ms)触发故障——与 topic-iso26262-part4-system TSC 示例一致。

e-GAS 三层对应 ISO 26262-9 的两级独立要求,第一级是通道分解,第二级是独立于通道的 MCU 整体监控。

第一级分解(ISO 26262-9:2018 §5.4.9/Figure 2,D(D)+QM(D) 方案):安全目标 ASIL D = 功能通道(L1,形式要求 QM(D),本设计实际按 ASIL B 开发)‖ 监控通道(L2,ASIL D(D));独立性前提为 FFI 经 §12.1 的硬件措施保证。括号内 D 为上层继承的安全目标 ASIL。监控式架构里 D 的严格性落在 L2 —— 与 §8 分配表、§12.1 器件表及 L2 的 MC/DC + 形式化验证流程一致。

第二级覆盖(L3,非分解要求):TLF35584 Q&A WDT 覆盖"L1+L2 整个 MCU 死机"这一共因场景,确保 L1/L2 同时失效时系统仍能切换到 safe state。

TLF35584 FMEDA 参数(来源:topic-asil-d-case-studies §7.5 真实器件数字):λ = 0.8 FIT,DC = 99%,残余 λ_res = 0.008 FIT。此 WDT 路径残余 < 0.01 FIT,满足 ASIL D 单路径 PMHF ≤ 10 FIT 要求。

两条 safe state 路径覆盖不同故障层面,互相补充而非冗余。

软件路径(L2 检测 L1 超限):L2 TMS fault → TC397 CPU0 SMU alarm → SMU 在 1μs 内驱动 Safe-Out → SPI 帧 ~4μs 写 TLF35584 → TLF35584 停止喂狗 → FS0B 拉低(<1ms) → 1EDI3035AS PWM_DIS ≤200μs → SCT3080AL 完全关断。

硬件路径(L3 Q&A 超时):连续 3 次漏答 → TLF35584 RSTB 拉低(MCU reset)+ FS0B 同步拉低(<1ms) → 1EDI3035AS PWM_DIS 有效 → SCT3080AL 关断。

高速(> 50km/h)场景改 ASC(三相主动短路)而非高阻浮空,转速阈值推导见 topic-asil-d-case-studies §2.4。

L1 CPU 和 L2 CPU(Lockstep)共用 TLF35584 同一 5V 轨时,整车起动电池骤降或 12V 短暂掉电可使两路同步失效。此时 ASIL D 分解独立性归零,SPFM 实际 ≈ 50% 而 FMEDA 纸面仍显示 99%。根因:DFA 未枚举此 CCF 路径。修法:Monitor 路径(L2 CPU)单独接保持电容 Chold 确保 VCC 短暂跌落期间续跑 ≥10ms;FMEDA β 回填实测 β 值。此例见 topic-asil-d-case-studies §8.2 作为 DFA 典型失误。

TLF35584 的 INIT_FS 阶段允许 7 次连续漏答,若 MCU 在行驶中 reset(非冷启),7 × 10ms = 70ms 的监控宽容期必须纳入 FDTI 预算。系统工程师往往只算"正常运行"的 Q&A 3次窗口,忽略热复位后重新进入 INIT_FS 这一边界场景。修法:在 Safety Concept 中明确"行驶中 reset → FDTI = INIT_FS 时间 + 3窗口时间 ≤ FTTI - FRTI"。

L2 TMS 为节省开发成本借用 L1 的 motor model 库或 CAN 解析库时,L1 的软件 bug 同时污染 L2。两层用同一套输入处理代码→同一 bug 导致两层同时给出错误扭矩上限→安全架构形同虚设。根因:FFI 软件维度(代码隔离)未满足 ISO 26262-6 §7.4.16 独立开发要求。修法:L2 必须有独立编译单元、独立 reviewer、独立 unit test;禁止 #include L1 功能头文件。

普通窗口看门狗只需 MCU 在时间窗内发送任意 kick 信号即可续命;程序跑飞进死循环但 ISR 仍定时 kick 时,窗口 WDT 无法区分"正常运行"和"跑飞但 ISR 活着"。Q&A WDT 要求答案包含执行流程状态(关键 task 完成标志),死循环中算不出正确答案。ASIL D 应用强制 Q&A WDT;混用窗口 WDT 会被 ISO 26262 Part 5 FMEDA 审计揪出,SM DC 从 99% 降到 ≈ 60%。

window 配置为 1024ms 时,MCU 卡在 100ms 内的错误循环中仍能在窗口内给出正确答案。ASIL D 应用典型 window 为 5-20ms(对应 5ms-20ms 任务周期);超过 FTTI/10 的 window 需专项论证。TLF35584 支持 1ms-1024ms 可配置;项目配置必须写入 Safety Plan 并被 FMEA 验证。

TC397 内部 WDT(STM + SMU)依赖 MCU 时钟和电源正常工作——MCU 电源失效、时钟失锁或 ECC 死机时内部 WDT 同步失效。L3 的存在意义正是"物理独立于被监控的 MCU"(外部独立 oscillator + 独立 VCC)。以内部 WDT 充当 L3 等于把检测器和被检测对象放在同一故障域——ISO 26262 FMEDA 将此整条 L3 路径标为 SPFM = 0。

FS0B 是开漏输出,由外部上拉电阻 R_pu 决定"FS0B 从高拉低后多快到达 1EDI3035AS 逻辑 0 阈值"。R_pu 过大(如 100kΩ)配合大 PCB 走线电容会使 FS0B 下降沿时间常数达到数百 μs,消耗 FRTI 预算。修法:R_pu ≤ 10kΩ,PCB 走线按低速数字信号处理(最短走线、与高频 PWM 物理隔离),电路仿真确认下降沿 < 20μs。

TLF35584 内部 RC 振荡器在 -40°C 时频率偏移可达 ±20%。若 Q&A window = 10ms,实际窗口在极低温下可能仅 8ms;而 TC397 内部 STM 同样受晶振初始精度影响,导致"MCU 认为在时间窗内 kick"但 SBC 判断超时。应对:将 Q&A window 设为标称 L2 任务周期的 2×以上(如任务 5ms → window 10ms);在 Safety Analysis 中将 ±20% 时钟漂移作为最恶劣场景验证。

Lockstep CPU0/CPU1 比对失败(FCCU fault)既可能是 L2 TMS bug(systematic 错误),也可能是单粒子翻转(transient random)。直接进入 safe state 会导致误退出;重试(retry-on-error)机制若次数过多则超出 FTTI。策略:单次 compare error → SMU capture + 1 次 CPU reset 重试(占用 FDTI < 10ms);重试后再次 compare error → 确认为 systematic → 立即进 safe state,不再尝试。此双阶策略须在 FTA 中枚举 transient 频率(SER,软错误率)与 FTTI 裕量的关系。

TLF35584 连续多轮进 INIT_FS 后仍无法通过 Q&A(如 MCU 固件损坏)时,TLF35584 进入 LATCH 状态:FS0B 永久拉低,RSTB 持续低电平。此状态不能通过 MCU reset 解除,必须整车断电(VCC 掉至阈值以下)。现场表现为"车辆点火后一直无法起步,断电重试"。Safety Concept 应在 FTA 中标注此 LATCH 失效模式为 Safe State(系统停止即为安全),并在用户手册中要求整车断电 >5s 作为恢复程序。