一文解析EGAS安全监控

随着人们对于车辆驾驶性能的需求不断提高，传统的采用油门拉索控制节气门开度的方式已经无法满足要求，取而代之的是采用“drive-by-wire”技术，利用电子油门踏板、电子节气门和发动机电子控制单元（ECU）组成的EGAS电子节气门控制系统，实现基于扭矩模型的精确控制，从而获得良好的动力性、驾驶性和燃油经济性。

EGAS系统

EGAS控制系统以扭矩控制为核心，驾驶员的动力需求通过电子油门踏板开度输入，在ECU中转换为对发动机的扭矩需求，扭矩需求进一步转换为发动机的进气量需求（气路）和点火提前角需求（火路）。进气量需求转换为节气门需求开度，并根据设置的空燃比换算成喷油量需求。节气门电机将节气门打开至需求开度，喷油器按照设置的喷油量进行喷油，点火线圈按需求的点火提前角进行点火，最终实现发动机按照驾驶员期望的扭矩进行输出。

图 1 EGAS系统示意图

图 2 扭矩结构示意图

EGAS安全监控

EGAS系统的各种传感器和执行器经常处于高温、强电磁干扰的恶劣工作环境中，难免会产生和传递错误信号。如果不提高系统的可靠性，故障信号或错误的计算导致节气门打开到错误角度，则有可能造成车辆突然输出过大或过小的扭矩。利用道路车辆功能安全国际标准ISO26262的风险评估流程进行分析，EGAS系统输出扭矩过小的安全等级仅为QM，不用额外的功能安全机构保障；而输出扭矩过大的安全等级可达B级，需要设置相关的功能安全架构。EGAS安全监控的主要内容即为防止车辆输出与需求不符的过大扭矩，出现非期望的突然加速。

因此，Bosch在EGAS系统中引入了安全监控的概念，通过对硬件和软件的冗余设计保证系统始终处于可控的运行状态下。其主要架构为：

硬件上，电子油门用两路独立供电的传感器采集油门踏板的位置信号，正常情况下1路信号电压始终为2路信号电压的2倍，利用冗余信号的相互校验保证踏板输入信号的正确性。

图 3 油门踏板两路传感器信号示意图

电子节气门依靠ECU来驱动节气门上的直流电机，对节气门开度进行控制，并采用两个传感器采集节气门的位置信号，实现控制的闭环。两路信号幅值相同但方向相反，正常情况下两路信号之和始终为定值，以此保证节气门开度控制的准确性。当两路信号校验出错时，系统还将引入充气量反算出的节气门开度对信号的正确性进行进一步的校验，提高了系统的安全性。此外，系统会检验节气门实际开度对目标开度的跟随情况，以确定驱动电机是否工作正常。

图 4 节气门两路传感器信号示意图

ECU由独立的主芯片和监控芯片组成，两套硬件系统通过查询/应答机制互相检查和校验。

软件上，设置了三层架构，分别为Level 1功能层、Level 2功能监控层和Level 3芯片监控层。Level 1功能层包含了正常发动机控制功能，如发动机需求扭矩协调，节气门控制，喷油、点火控制，零部件诊断，输入输出信号检查，故障时产生各种系统响应等。Level 2功能监控层监控Level 1功能层的各种重要软件计算，如监控发动机扭矩。一旦检测到故障，就触发故障响应。Level 3芯片监控层分别运行在主芯片和监控芯片上，执行查询/应答流程检查功能。

图 5 ECU安全监控架构示意图

EGAS故障诊断

在EGAS安全监控系统检测到相关的传感器、控制器和执行器发生故障时，安全监控系统将根据故障的严重程度命令车辆进入对应的故障工作模式，降低故障的危害性，并通过仪表盘上的MIL、SVS等故障指示灯提示驾驶员车辆出现故障，尽快到维修站维修。

EGAS故障诊断的主要内容有：

电子油门踏板诊断

正常情况下两路油门踏板信号的比值满足一定函数关系，踏板第一路信号始终为第二路信号的两倍。如果两个信号的函数关系的偏差超出了合理范围，则可以认为油门踏板信号不可信，报出相关故障。

电子节气门诊断

正常情况下，两路节气门开度信号的变化方向相反，而且两路信号之和始终为5V。在两路信号校验出错的情况下，用由空气充量反算虚拟节气门开度，用来确定哪一个信号更可信。

此外，ECU会检查节气门的实际开度对目标开度的跟随性，以确定驱动电机是否正常工作。

在车辆上电时，节气门会进行初始化，以确定节气门的弹簧等机械结构和驱动电机都能正常工作。

刹车信号诊断

刹车踏板上装有刹车信号传感器和刹车灯信号传感器，如果两路信号不同步，会在计数器中进行累加，当计数器超过阈值时，认为刹车信号不可信。

扭矩监控诊断

当系统检测到当前车辆产生的实际扭矩超过了当前工况下的允许扭矩时，ECU会通过执行器降低车辆输出扭矩，使车辆保持在可控的状态。调整点火提前角可以快速降低扭矩，但是调节范围较小；调整节气门开度从而调节进气量可以大范围调节扭矩，但是需要的时间相对较长。在以上两种方法都无法限制住车辆扭矩时，系统将对发动机断油，从而切断发动机的扭矩输出。

在报出EGAS监控的相关故障后，车辆的故障工作模式主要分为以下几种：

油门/节气门单路信号故障跛行

在油门踏板或节气门的两路信号中有一路信号出现故障时，ECU会限制驾驶员的需求扭矩，使车辆进入比较轻微的跛行模式。在这种模式下，车辆最高转速被限制到5000～5500rpm左右，最大车速被限制在120km/h左右，驾驶员在低速行驶时几乎感觉不到异常，但是当发动机转速提高后，会感觉到加速无力等异常现象。

油门两路信号故障跛行

当油门踏板两路信号均出现故障时，ECU会把踏板开度强制设为0，发动机转速被固定在某确定值（通常为1200rpm）。此时驾驶员如果踩下踏板，发动机不会有任何响应。

电子节气门NLP位置跛行

在节气门出现弹簧检查出错、目标位置与实际位置偏离过大或PID控制超限等故障时，会触发节气门的NLP位置跛行。ECU对节气门驱动电机断电，节气门在弹簧的作用下回到平衡位置（NLP），其对应的开度约在6～8％之间。在这种情况下，空档发动机最高转速约在3000rpm左右，车辆加速无力，会有一定的抖动。

安全断油SKA跛行

在节气门报出NLP位置自学习错误或驱动电压不足等严重故障，或功能监控层报出监控故障时，ECU除了对节气门断电，还会限制发动机的最高转速。当发动机转速超过限值时，喷油器将停止喷油，限制转速继续上升。在这种情况下，驾驶员踩下油门踏板会感到加速无力，同时会感到车辆剧烈抖动。

ECU重新启动

在ECU两组芯片校验出错或失去应答时，系统为避免酿成严重事故会关闭ECU并重新启动，此过程可导致车辆突然熄火，进入滑行状态。

安全监控的未来

随着人们对车辆的驾驶性、舒适性和安全性需求的提高，新功能层出不穷地加入到了车辆的电子系统中，安全监控覆盖的范围也随之扩大。当前，联电已经为ESP（车身电子稳定系统）、TCU增扭、巡航、自动起停、远程起动等功能开发了对应的监控软件和测试方法，实现了对这些新增功能的安全监控，保障了车辆的安全性能。

EGAS安全监控的核心在于对扭矩结构的监控。在车辆动力系统越来越复杂的今天，从扭矩结构入手实现对车辆的安全监控的概念已被越来越多的控制器应用和发展。目前，联合电子匹配团队已经完成了对48V混动项目的匹配，掌握了对混动系统的匹配能力；对纯电驱系统的安全监控研究也在紧锣密鼓的开展之中。