可用于自动驾驶的全冗余架构转向传感器研究

于 伟

（海拉（上海）管理有限公司，上海 200001）

0 引言

随着社会科技和生产的迅猛发展，汽车工业已经成熟并普及到人们的日常生活。近年来，人工智能技术有了飞跃式发展，将智能技术和汽车工业相结合的产业即自动驾驶车辆的开发如火如荼。自动驾驶技术不仅可以克服司机驾驶技术差、长途长距离开车疲累造成的交通事故，而且能实现车辆自动按照法律法规要求通行，按照某种层面的统一秩序来提高通行效率，进而提高整个社会效益。

转向系统是车辆必备的三大系统之一，是实现自动驾驶的核心。自动驾驶技术因为减少了司机的参与，甚至没有人工的干预，对系统的健壮性和安全性提出了更高的要求，如表1所示。

表1 自动驾驶等级划分对转向系统的要求

美国汽车工程师协会（SAE）依据失效率fit（Failureinstance/time）的大小，将自动辅助驾驶从低到高分为L1～L5共五个等级。划分等级的依据如下：定义1 000套转向系统运行1 h出现了1次突然失去助力的失效为1 fit。一般情况下，L2的fit值要大于100，L3的fit值为10，L4/L5的fit值为1。要实现公路上的自动驾驶，系统至少需要满足L3的安全等级，失效率达到10 fit，和飞机的失效率相当；当整车和系统达到了L4或L5的安全等级后，车辆就完全实现了在全路段、全天候下的自动驾驶。针对公路上实现自动驾驶最低要求的L3安全等级，转向系统EPS在发生单点或有限多点失效时必须仍是安全的，这是当下需要解决的问题[1]。

解决这个问题最简单的方案是使用两套EPS系统独立工作，当检测到一套系统出现错误或者故障时，另一套系统能在预设的较短时间内全面接管工作。但这种方案存在显而易见的缺陷：（1）成本高，甚至高于2倍的单个系统的价格；（2）体积更大，甚至在物理结构上无法实现；（3）两套系统间的切换需要时间响应的策略，否则会发生指令冲突，导致整个系统无法工作。

举例说明：当主系统的某个零件或子模块发生故障时，主系统需要由控制器（MCU）对检测到的故障信息进行确认，只有在有效确认是故障并且将故障对应到故障类型和危害等级后，保存故障代码，启动独立的仲裁程序，向备用系统发送启动申请，传递工况信息后，备用系统才能接管工作。实验经验证明，这个流程在10 ms内完成才是安全可行的，以车速为120 km/h计，10 ms行驶的距离为0.333 m。因此，从技术角度讲，设计两套系统，当主系统发生故障时由备用系统接管几乎是难以实现的。

本文提出了“全冗余”设计的概念以应对自动驾驶的需求，转向系统不仅要满足整车的转向电气功能和性能，更重要的是满足功能安全ASIL-D的要求，如表2所示。作为车辆三大系统之一的转向系统，必须做全冗余设计，才能满足自动驾驶高层级的需求。

表2 功能安全对转向系统的要求

转向系统中，除了控制器、机械结构件和机械执行件外，就是转向传感器了。转向传感器作为转向系统的核心电子器件，必然要满足转向系统的功能安全要求，因此转向传感器必须是全冗余架构。本文从转向传感器的结构、测量原理和全冗余架构的实现方式三个方面进行阐述。

1 转向传感器的结构

转向系统的基本结构如图1所示，其所有基本控制模块，输入要么需要方向盘力矩信号，要么需要方向盘转角信号（方向盘转速通过转角信号计算得到），这两个信号是通过转向传感器来获取的。

图1 转向系统结构示意图

本文所述转向传感器能够测量方向盘连接的输入轴和与执行结构连接的输出轴之间的扭矩以及输入轴的绝对角度。转向传感器结构示意图如图2所示，转向传感器除壳体塑料件外，主要由两部分组成：扭矩测量部分（含输入轴转子、输出轴转子）和角度测量部分用的磁齿轮，这两部分共用同一块PCB板，完成信号的采集、处理和电信号的输出。PCB板上主要有CIPOS线圈和专用芯片负责扭矩部分，霍尔芯片负责角度部分。

图2 转向传感器结构示意图

2 转向传感器的测量原理

转向传感器的扭矩测量本质上是测量输入轴和输出轴之间的角度差，用这两者的角度差值乘以扭杆的刚性系数即得到扭矩值，如图3所示。

图3 转向传感器扭矩测量结构示意图

海拉的CIPOSR专利[2]的平面化设计能够有效简化输入轴和输出轴同时测量角度的架构。PCB板上的扭矩测量部分主要由CIPOS专用芯片、激励线圈、接收线圈组成。测量时，CIPOS专用芯片向激励线圈施以特定频率的电流，这个交变电流产生感应磁场，当转子叶片切割这个感应磁场时，接收线圈内产生的感应电流会有相应的变化。输入轴转子和输出轴转子采用不同的周期信号设计：输入轴转子叶片数为18片，对应输入轴角度信号为20°/周期；输出轴转子叶片数为9片，对应输入轴角度信号为40°/周期；实际转向系统中设计的产生扭矩的角度差在±6°以内。

由图2可以看出，输入轴带动齿轮组进而带动磁齿轮转动。角度的测量基于霍尔效应，由PCB板上的角度霍尔芯片感应磁齿轮的旋转输出角度值。由于齿轮组的齿比关系，方向盘转动一圈360°对应于磁齿轮的296°。

转向系统要求方向盘能实时区分正反方向的绝对角度以及在上电时刻的真实机械角度，由于单一的角度信号输出是有周期的，且实际驾驶过程中方向盘的工作角度大于360°，因此需要将输入轴的40°和角度测量的296°做游标算法[3]，得到在±738°的范围内的唯一确定值来反映方向盘的绝对角度。如图4所示，图4（a）中灰色曲线为输入轴角度，以40°为周期，深灰色曲线为296°周期的角度测量值；图4（b）中浅灰色曲线为两者游标算法后的结果。

图4 方向盘绝对角度的游标算法结果示意图

3 全冗余的实现方式

为满足自动驾驶对转向系统的功能安全AISL-D的要求，转向系统必须全冗余，即两个控制器、两个电机[4]。由于两个电机在一个转向管柱中物理上不能实现，因此采用一个电机定子、一个双绕组线圈的转子实现电气全冗余。相应的转向传感器也要全冗余，由于物理安装方式的限制不能安装两个传感器，因此转向传感器采用图5所示结构实现电气全冗余。

图5 转向传感器电气全冗余架构示意图

如图5所示，采用四颗CIPOS专用芯片和一颗双晶圆即两个独立霍尔单元的角度霍尔芯片，可作为两个独立工作的转向传感器，输出信号给两个独立的转向控制器，或者一个双核独立工作的转向控制器。即便是作为两套独立的测量系统，但因为是全冗余的转向传感器，在原本同一测量系统的两路扭矩信号的同步性校验的基础上，还能实现四路扭矩信号的两两校验；更进一步，四路扭矩信号可与任一霍尔角度信号组成一套转向传感器。同时，电源和地均作为两套独立的电源接入设计，一套接整车电源和地，一套接控制器的电源和地，避免了电源的共因失效（单点失效）。因此，这个全冗余架构不仅两套测量系统能独立工作，并且能互相完成校验；甚至在校验并识别出某一路工作异常时，能选取正常工作的信号组成一套测量系统继续工作，使得转向系统无缝处理故障，保持正常工作，保障安全驾驶。

从自动驾驶等级L3的安全要求这个起点讨论，车辆处于自动驾驶状态下检测到系统发生故障后，必须由司机迅速掌控：首先车辆必须有预设的确定性措施让司机意识到需要接管控制；其次，需要让司机迅速认识到车况、路况和工况，采取必要、正确、有效的动作确保车辆安全；最后，系统必须保证正常工作，能完全执行司机的操作意图。因此，对控制器也进行全冗余设计，设计两个能独立工作的控制器，同时两者之间又有通信，能够协同工作。独立工作的控制单元是指两者各自运行不同的程序，且运算后的扭矩指令互相进行校验，与此同时对两个控制单元的工作时钟做同步性校验，对解算后的电机位置、扭矩和转角信号做校验，这样才能确保在单点失效或者预设的有限多点同时失效后系统仍然能正常工作，保证系统有足够的时间来唤醒司机人工接管车辆，并执行司机的控制意图。

所以，对于转向传感器的接口即转向控制器来讲，是两套独立运行的测量系统接入两个独立的控制单元。正常工作时，这两部分独立运行，可以对四路扭矩信号和两路霍尔角度信号进行同步性监测和两两校验。两个控制器最后得出的控制结果（指令）也能相互校验。当某个单元的控制器出现异常，甚至当某个控制器异常并带有一路转向传感器异常时，仍有一个控制器带一套转向传感器的测量系统维持正常驾驶，异常部分可以在事后处理，不仅避免了跛行模式的尴尬，最重要的是避免了失去转向功能带来的灾难性后果。

4 结语

本文提出了一种全冗余架构的转向传感器，阐述了其结构和测量原理，着重讲述了如何实现全冗余的技术架构以满足自动驾驶和功能安全ASIL-D的需求，不仅顺应了当前的市场发展趋势，还有着深厚的技术储备能满足将来的市场需求。