One-box线控制动系统在辅助驾驶和自动驾驶中的应用

根据制动执行机构的不同，线控制动系统可以分为液压式线控制动系统（Electro-Hydraulic Brake, EHB）和机械式线控制动系统（Electro-Mechanical Brake, EMB）。其中，EHB 以传统的液压制动系统为基础，用电子器件替代了部分机械部件的功能，使用制动液作为动力传递媒介，同时具备液压备份制动系统，是目前的主流技术方案。进一步地，根据集成度的高低，EHB 可以分为Two-box 和One-box 两种技术方案。

上期文章对One-box线控制动系统的工作原理做了介绍，本期将对One-box如何满足辅助驾驶和自动驾驶对制动系统的要求展开讨论。

SAE J3016对汽车自动驾驶分级标准

01辅助驾驶系统对One-box的要求

对辅助驾驶汽车而言，当系统出现故障以后，要求系统正确及时地向驾驶员报告故障，由驾驶员承担将车辆运行到安全状态(safe state)的责任，而制动系统持续提供制动能力是帮助驾驶员完成这一任务的关键，欧盟ECE R13和国标GB 21670对制动系统的应急制动能力提出了强制要求：

当基础制动功能失效后，在驾驶员踏板输入500Nm的情况下，应急制动的平均减速度不小于2.44m/s².

为实现这一要求，One-box设计了机械备份(Hydraulic Backup)，保证基础助力系统发生失效后，驾驶员依旧能够通过踩制动踏板产生减速度。以博世One-box产品IPB产品为例，当主动建压模块无法正常工作(如电源故障，助力电机故障等)时，系统进入机械备份模式，此时阀1，4，5关闭，2，3打开，驾驶员踩下踏板可推动制动主缸内的活塞移动，将制动液推入四个轮缸并产生车辆减速度，如下图所示。

博世IPB（Integrated Power Brake）工作示意图，图片来自网络

制动主缸为双腔式设计，主腔(Primary Pressure Chamber)和副腔(Secondary Pressure Chamber)的制动管路分别连接两个车轮的轮缸，具体连接哪两个车轮取决于’X’型布置或’II’型布置，乘用车通常为’X’型布置。为考虑机械备份模式下主腔或副腔发生制动管路泄露的极端情况，博世IPB对机械备份下的制动设计提出了更高的要求，确保没有发生泄露的制动回路仍然可以满足驾驶员踏板输入500Nm的情况时提供不小于2.44m/s²的减速度。在这样的设计下，当没有发生管路泄露时，IPB降级到机械备份模式后500Nm的踏板输入能产生4.88m/s²的减速度。

制动主缸示意图，图片来自网络

博世IPB（Integrated Power Brake）基础介绍，图片来自官网

值得一提的是，因为One-box属于制动踏板解耦结构，因此在制动主缸的设计上， One-box通常会缩小缸径，在助力功能正常的情况下，可以在保证不影响驾驶员踏板感的情况下同样能够保持很好的建压效果。但是缸径缩小的设计需要考虑机械备份下的影响。对当前的汽车设计来说，制动踏板的踏板比和踏板最大深度是无法改变的，而在制动主缸长度不变的情况下，缸径的缩小意味着相比于eBooster或者真空助力器，同样的制动踏板深度下One-box能流入轮缸的制动液会减少。所以，为保证机械备份能够满足法规要求，制动主缸的结构设计需要考虑其中。

TMC液量示意图，图片来自‘8th International Munich Chassis Symposium 2017’

02自动驾驶系统对One-box的要求

根据SAE J3016对汽车自动驾驶分级标准，对于Level 3及Level 3以上的自动驾驶系统，要求在出现单一故障的情况下，系统依旧能够提供制动或转向能力以保证车辆能够进入安全状态，避免造成人身伤害。由于完成这一安全目标的责任方从驾驶员变成了自动驾驶系统，这意味着One-box制动系统中依赖制动踏板输入的机械备份无法满足这一安全目标。

自动驾驶系统对制动提出了新要求，图片来自‘8th International Munich Chassis Symposium 2017’

目前业界普遍达成一致的是支持高速自动驾驶(HAD, Highly Automated Driving)的汽车至少需要下表包含的冗余设计，才能保证车辆在出现单一故障后系统能够及时进入合理的安全状态。其中，无论安全状态定义为“停在当前车道”或“停在应急车道”，制动系统冗余都不可或缺。

冗余系统要素	原因
供电系统冗余	当单一链路出现信号中断，系统可实现信息的无缝安全衔接
通讯冗余	主电源失效后，备份电源能够支撑ECU完成安全降级动作
感知冗余	多传感器数据融合技术可以保证车辆行驶构成中精准实现物体及行人的识别，从而支持车辆时刻做出正确的控制行为
上层决策系统冗余	两个大脑互相监督、互为备份，主大脑故障发生时，备份大脑及时接管
制动冗余	主制动系统失效后，备份系统依然提供一定的制动能力来维持制动控制及制动稳定性控制
转向冗余	如果故障发生后的安全状态定义为继续运行而不是刹停，那么当一路转向系统故障后，备份系统需要能够支持车辆完成接下来的运行场景中的转弯工况

支持自动驾驶系统的制动冗余系统E/E架构设计，图片来自‘8th International Munich Chassis Symposium 2017’

为实现制动冗余，One-box需要搭配一个独立的制动单元RBU(Redundant Brake Unit)。One-box与RBU的制动管路连接如下图所示，制动主缸两个腔出口的制动管路除了和One-box连通外，还连通RBU的输入端，而RBU的两路输出管路则在分别与IPB中的轮缸管路相连。

One-box与RBU管路连接示意图，图片来自‘8th International Munich Chassis Symposium 2017’

在正常情况下，One-box响应制动系统上层的制动请求，阀1，阀2和阀3关闭，One-box主动建压模块中的电机推动推杆，将制动液通过打开的阀4和阀5推入轮缸完成建压。而当One-box系统故障时，系统进入制动备份模式，阀2和阀3打开，阀1，阀4和阀5关闭，RBU中的电机工作，将制动主缸中的液压通过阀2和阀3推入轮缸完成建压。

高速自动驾驶除了要求制动系统具备基础制动功能冗余外，还要求车辆具有纵向稳定性冗余，这就需要RBU同时具备纵向稳定性控制的能力。目前市场上的RBU方案基本都是从底盘电子稳定性系统(ESC, Electric Stability Controller)“减配”改造而来，能够实现纵向稳定性控制。不同的是，RBU只能同时调节’X’型布置或’II’型布置的两个轮端压力而不能同时调节四个轮端压力，所以控制性能相比于ESC会受到限制。但是由于当One-box故障后，自动驾驶系统会尽快进入安全状态，车辆运行时间受到很大的限制，因此从安全概率的角度，这一“减配”设计是可以接受的，同时也优化了“One-box＋RBU”的制动组合的成本。

“One-box＋RBU”的制动组合的控制和接管策略可以总结如下（控制策略不唯一，根据E/E架构的不同，策略可能有调整）：

场景	制动执行控制器
无故障	One-box
上层主控制单元故障	One-box
上层备份控制单元故障	One-box
主网络故障	RBU
备份网络故障	One-box
One-box故障	RBU
RBU故障	One-box

其中，为实现自动驾驶场景下的纵向稳定性冗余的需求，需要搭载冗余轮速传感器，分别为One-box本身搭载的稳定性功能ABS和RBU端的稳定性功能提供必要的轮速信号。目前博世基于冗余轮速传感器推出的制动冗余系统“三级ABS”方案为市场主流方案。

场景	稳定性功能执行单元
无故障	One-box: fullABS (基于四个轮速传感器单轮控制)
One-box单个轮速故障	One-box: ABS degraded(基于三个轮速传感器单轮控制)
One-box两个及两个以上轮速故障	RBU:SBS (基于四个轮速传感器单轴控制)

审核编辑：汤梓红