新能源電動汽車控制安全技術(shù)規(guī)范管理制度

1、新能源電動汽車控制安全技術(shù)規(guī)范管理制度2.3控制安全基于GB/T34590-4相關(guān)規(guī)定，基于系統(tǒng)功能概念和技術(shù)安全要求，進(jìn)行系統(tǒng)級別的安全要求定義，進(jìn)行系統(tǒng)架構(gòu)設(shè)計，明確軟硬件接口定義規(guī)范，進(jìn)行系統(tǒng)級別失效分析，為后續(xù)硬件和軟件設(shè)計提供輸入。2.3.1 硬件設(shè)計要求從硬件安全要求定義、硬件設(shè)計及實現(xiàn)、硬件失效模式分析、硬件系統(tǒng)測試等四個方面進(jìn)行硬件設(shè)計工作，參考GB/T34590-5。2.3.1.1 硬件安全要求所設(shè)計硬件產(chǎn)品應(yīng)符合電氣性能、環(huán)境適應(yīng)性等車輛系統(tǒng)級要求。（1）電氣性能：所設(shè)計的硬件產(chǎn)品應(yīng)符合QC/T413汽車電氣設(shè)備基本技術(shù)條件所規(guī)定的電氣性能要求；應(yīng)根據(jù)ISO16750-2及

2、GB/T28046.2等滿足工作電壓、電源過電壓性能、電源疊加交流電性能、電源電壓跌落性能、電源啟動特性、電源極性反接、拋負(fù)載性能、供電電壓緩升和緩降性能、供電電壓瞬時下降性能等要求；（2）環(huán)境適應(yīng)性：應(yīng)滿足車輛運行環(huán)境的需求，針對布置在底盤等濕區(qū)位置的產(chǎn)品防護(hù)等級不應(yīng)低于IP67；應(yīng)根據(jù)GB/T28046.3的要求滿足低溫性能、高溫性能、溫度沖擊性能、溫濕性能、鹽霧性能、防護(hù)性能、自由跌落性能等產(chǎn)品性能要求。2.3.1.2 硬件設(shè)計及實現(xiàn)需進(jìn)行硬件架構(gòu)度量的評估，并將評估結(jié)果和優(yōu)化建議反饋到系統(tǒng)設(shè)計、硬件設(shè)計、軟件設(shè)計環(huán)節(jié)，以優(yōu)化產(chǎn)品設(shè)計。詳細(xì)設(shè)計和實現(xiàn)階段，應(yīng)充分考慮功能冗余及功能要求，優(yōu)

3、先采用汽車級成熟電路單元，元器件選用汽車級芯片，以滿足性能、功能及成本的要求。2.3.1.3 硬件失效模式分析通過對硬件失效模式分析，識別硬件設(shè)計中因潛在風(fēng)險導(dǎo)致的產(chǎn)品失效，建立FMEA表，以保證分析的完整性。對于侵害安全的失效模式，應(yīng)制定相應(yīng)的安全機(jī)制來保證安全性；對于非侵害安全的失效模式，需評估設(shè)定安全機(jī)制的必要性。2.3.1.4 硬件系統(tǒng)測試為了驗證安全機(jī)制的完整性和正確性，硬件系統(tǒng)測試應(yīng)考慮按以下方法進(jìn)行，通過測試確保所開發(fā)的硬件符合硬件安全要求。1）功能性測試，即采用黑盒測試技術(shù)針對被測硬件的接口規(guī)格說明進(jìn)行測試；（2）非功能性測試，即對硬件的性能或可靠性進(jìn)行測試。2.3.2 軟件設(shè)

4、計要求基于GB/T34590-6相關(guān)規(guī)定，進(jìn)行軟件安全要求的定義、軟件架構(gòu)設(shè)計、軟件單元設(shè)計及實現(xiàn)、軟件單元測試、軟件集成及測試、軟件安全要求與驗證，并滿足系統(tǒng)設(shè)計和軟件安全需求的要求。2.3.2.1 軟件安全要求的定義基于GB/T34590-6相關(guān)規(guī)定，軟件安全要求來源于技術(shù)安全要求和系統(tǒng)設(shè)計規(guī)范，軟件安全要求的定義考慮硬件的約束及對軟件的影響。軟件安全要求應(yīng)針對每個基于軟件模塊的功能，這些功能的失效可能導(dǎo)致違背分配到軟件的技術(shù)安全要求。軟件安全需求分析階段需滿足完整性、可測試性、可追溯性要求。2.3.2.2 軟件架構(gòu)設(shè)計基于GB/T34590-6相關(guān)規(guī)定，軟件架構(gòu)設(shè)計描述全部軟件組件及其在

5、層次結(jié)構(gòu)中的交互；靜態(tài)方面，如所有軟件組件間的接口和數(shù)據(jù)路徑；動態(tài)方面，如進(jìn)程順序和時序行為都得到描述。在軟件架構(gòu)設(shè)計應(yīng)考慮軟件架構(gòu)設(shè)計的可驗證性、可配置軟件的適用性、軟件單元設(shè)計及實現(xiàn)的可行性、軟件集成測試中軟件架構(gòu)的可測性及軟件架構(gòu)的課維護(hù)性。軟件架構(gòu)設(shè)計需遵循高類聚、低耦合的要求具有模塊化、封裝性和簡單性屬性。軟件架構(gòu)設(shè)計中，應(yīng)使用FFI(FreeFromInterface,例如：TimeProtection,MemoryProtection.Dataprotection)來避免軟件要素間的相互干擾。2.3.2.3 軟件單元設(shè)計及實現(xiàn)基于GB/T34590-6相關(guān)規(guī)定，基于軟件架構(gòu)設(shè)計開

6、發(fā)軟件單元的詳細(xì)設(shè)計。軟件單元的詳細(xì)設(shè)計分別按照建?；蚓幋a指南,以模型或直接以源代碼的形式實現(xiàn)。在進(jìn)入軟件單元測試前對詳細(xì)設(shè)計和實現(xiàn)進(jìn)行靜態(tài)驗證。軟件單元的實現(xiàn)包含源代碼的生成和轉(zhuǎn)換為目標(biāo)代碼。2.3.2.4 軟件單元測試軟件單元測試目的是要證明軟件單元滿足軟件單元設(shè)計規(guī)范且不包含非預(yù)期的功能。軟件單元測試是根據(jù)軟件單元設(shè)計規(guī)范，建立軟件單元測試流程，并按照該流程執(zhí)行測試。在單元測試過程中，為了評估測試用例的完整性并證明沒有非預(yù)期的功能，應(yīng)確定軟件單元層面的要求覆蓋度，同時對覆蓋度進(jìn)行測量，如果認(rèn)為已實現(xiàn)的結(jié)構(gòu)覆蓋率不充分，應(yīng)增加額外的測試用例或給出接受的理由。2.3.2.5 軟件集成及測試基

7、于GB/T34590-6相關(guān)規(guī)定，按照軟件架構(gòu)設(shè)計，對軟件要素之間特有的集成層次和接口進(jìn)行測試，軟件要素的集成和測試的步驟直接對應(yīng)著軟件的分層架構(gòu)。軟件集成應(yīng)完成各個軟件單元分層集成到軟件組件，直到整個嵌入式軟件被集成，并考慮與軟件集成相關(guān)的功能依存關(guān)系和軟件集成和軟硬件集成之間的依存關(guān)系。在軟件集成測試過程中，為了評估測試用例的完整性并證明沒有非預(yù)期的功能，應(yīng)確定軟件集成層面的要求覆蓋度，同時對覆蓋度進(jìn)行測量，如果認(rèn)為已實現(xiàn)的結(jié)構(gòu)覆蓋率不充分，應(yīng)增加額外的測試用例或給出接受的理由。2.3.2.6 軟件安全要求驗證基于GB/T34590-6相關(guān)規(guī)定，軟件安全要求驗證的目的是證明嵌入式軟件在目標(biāo)

8、環(huán)境下滿足軟件安全要求。軟件安全要求驗證中的測試環(huán)境可為硬件在環(huán)，測試臺架，或者整車環(huán)境?？煽紤]使用工具(例如：traceabilitymatrix)確保和評估軟件安全要求的覆蓋率，可以復(fù)用已有的測試用例。如果覆蓋率不充分，應(yīng)增加測試用例或給出可以接受的理由。2.4.3 功能和操作設(shè)計2.4.3.1 上下電操作設(shè)計整車控制系統(tǒng)應(yīng)能控制B級電壓電路的通斷順序，通電時，應(yīng)先接通低壓、后接通高壓，斷電時，應(yīng)先斷開使能信號使高壓部件停止工作，后斷開低壓控制信號切斷高壓。整車上高壓時應(yīng)檢測制動踏板和檔位信號，斷電時只需斷開電源開關(guān)即可。2.4.3.2 檔位操作設(shè)計換擋操作應(yīng)在踩下制動踏板制動有效的情況下?lián)Q擋有效。2.4.3.3 充電操作設(shè)計當(dāng)充電槍和整車連接時，整車不能發(fā)出扭矩驅(qū)動車輛行駛。2.4.3.4 轉(zhuǎn)向操作設(shè)計車輛在行駛過程中，出現(xiàn)需要整車主動斷B級高壓電的車輛異常情況時，應(yīng)能通過聲光報警通知駕駛員，且在車速大于5km/h時應(yīng)保持轉(zhuǎn)向系統(tǒng)維持助力狀態(tài)或至少保持轉(zhuǎn)向助力狀態(tài)30s后再斷B級電。2.4.3.5 制動優(yōu)先設(shè)計車輛行駛過程中，當(dāng)制動踏板和加速踏板同時有效時，車輛應(yīng)只響應(yīng)制動踏板信號。2.4.3.6 車輛故障等級顯示及處理機(jī)制針對不同故障等級，各主機(jī)廠依據(jù)自身情況制定不同的故障處理機(jī)制，可參考下表：故障級別三級故障二級故障一級故障說明嚴(yán)重故障較嚴(yán)重故障警告故