在网上看到这么一张图，是某日系零部件巨头（D）开发中的下一代EPS产品的驱动电路拓扑：

从其结构来看，相当于是有两组并联的全桥驱动电路和逻辑上的两个永磁同步电机。当然，逻辑上的两个永磁同步电机在物理上只有一个壳体，两组三相的线圈，共六个抽头。

在NormalOperation状态下，

• 两组驱动电路可以各提供50%的助力

• 当一路驱动电路或电机绕组发生故障时

• 可将故障的这一路驱动电路Disable掉

• 由另一路来实现部分助力的功能

类似的设计，不光是日本的D家，德国的B家和Z家，都有类似的方案在设计过程中，在不久的将来即将面世。

在以往的设计中，常见的硬件拓扑结构，往往只有一组全桥+一组电机三相线圈，为何现在大家在新一代的设计中都不约而同的采用了双驱动电路的冗余架构呢？器件的增加意味着成本的增加，是这些厂商吃饱了撑的吗？肯定不是。一切的一切，都得从整车对转向系统的功能需求谈起。

随着驾驶自动化程度的不断提高，对转向系统的要求也在不断变化。一个显著的区别是

• 在L2之前的阶段，对转向系统的要求是驾驶员的手是放在方向盘上的

• L3之后，可以允许驾驶员的手可以脱离开方向盘了

就这一个区别，导致了转向系统的设计要发生颠覆性的变化

这是为什么呢?

我们还是从一个叫做ISO 26262或者其前身ISO 61508的功能安全协议谈起。

在这个安全协议的指导原则下，任何车载系统做设计的时候，绕不开下图：

为什么要采用双驱动电路拓扑结构的问题，应该是在3.Concept Phase解决的问题，至于怎么做，做的好不好，那是后面的事情。

在概念设计阶段，最重要的几件事情：

• 产品功能定义

• Hazard Analysis and Risk Asess

• 功能安全目标

1）功能定义

接下来，就是要分析EPSc_1功能失效有几种模式，无外乎：

• F01：丢失助力

• F01：过助力

• F01：欠助力

• F01：反向助力

• F01：乱助力

• F01：锁死

• ……

我们还得定义

• 不同的场景来分析这些不同功能失效的危害，

• 以及该场景是否与对应的失效模式关联，

比如这种

有了失效模式定义和场景的定义，我们就可以做失效危害分析了：

2）危害分析

首先要定义三个维度：

• 严重度(Severity)

• 暴露可能性(Exposure:发生频率)

• 可控性(Controllability)

在ISO26262标准里，对这三个维度推荐的定义是这样的：

根据上表，工程师个体之见对上述三个指标主观上都会存在偏差，很难达成统一的共识，

因此在公司内部，一般有一套完整的Guideline

1. 来定量的考核什么样的后果隶属于哪个级别的严重度

2. 对发生频率和可控性也有定量的考核指标

最后得到这么一个表格，从而决定该功能的安全等级：

上面讲的是开发流程的问题，如何一步一步的去确定某功能的安全等级。

回到我们最初的问题，为什么要有双驱动回路的拓扑结构：

• 在L2阶段，针对失去助力这一条，不同的公司有不同的定义，

• 一般来说严重度定义为S1或S2

• 暴露可能性大家基本都是E4

• 可控性一般都是C1或C2

• 这个失效模式定义为ASIL B，ASIL A和QM的都有

• 在L3阶段，针对失去助力这一条，我们设想一个场景，

• 自动驾驶的车辆在高速行驶过程中正在做转向动作

• 此时电机突然失去助力，后果是什么情形，大家可以自己设想一下

• 在这种整车应用场景下

• 严重度必须是S3

• 暴露性必须是E4

• 可控性必须是C3

• 这个功能的安全等级上升到ASIL D。

既然如此，必须有应对的措施来规避上述场景下的问题，于是双驱动电路架构变应运而生。

写在最后的话：

• 其实支持自动驾驶功能的EPS为什么需要使用双驱动电路架构这个问题很容易想明白，完全不必费如此多口舌。

• 笔者写此文，是为举一反三，提供一种安全件设计的基本思路。

• 底盘电子无小事，任何设计都要经过反复推敲，大胆假设，小心求证，马虎不得。

• 欢迎大家评论补充，批评指正。

• 如咨询功能安全开发流程，出门向左，TUV系两大神（陈林兄和董博士）咨询欢迎您。

主编同志在这里补充下：以上由金工辛苦撰写，我只想把有关EPS的召回事件和基本原因给罗列下：

• EPS电路板里面损坏

• The steering column assembly housing may contact the power steering printed circuit board causing the circuit board to wear.

• Contamination on the Electric Power Steering (EPS) control circuit board

• the Electronic Power Steering (EPS) circuit board may be damaged

• A component of the EPS ECU may have been damaged during the manufacturing process.

• EPS里面的继电器损坏

• A relay in the Power Steering Control Module of the electronic power steering system could experience a short circuit

• due to insufficient distance between terminals in the relay and moisture contamination of relay coil windings.
  

• 连接不好

• steering column intermediate shaft universal joint connections

• 电流输出不稳定

• Variations in electrical current may occur within the electric power steering assistance system

• 传感器器感知错误

• steering torque sensor that may not be able to properly detect driver steering input

• The electronic power steering (EPS) electronic control unit (ECU) may sense a discrepancy in the steering input signals

小结：

1）吃这碗饭疏为不易，在德系和日系零部件商重点在底盘电子+ADAS两块发力的时候，我们需要的更耐心和细心的跟随

2）我个人以为，未来需要多元交叉的人才体系支撑