基于自动驾驶车辆的供电网络系统丨厚势汽车
厚势按：文章分析了自动驾驶系统在车辆单路主电源供电网络上存在的风险，研究并提出了满足自动驾驶功能安全的车辆供电网络系统解决方案。详细介绍了方案的工作模式、控制诊断策略以及相关零部件的技术要求，同时也提供了相关零部件的具体设计方案。
本文来自 2018 年 4 月 10 日出版的《 上海汽车》，作者是泛亚汽车技术中心有限公司的章毅青和仇宗来。
随着高精传感器、图像识别、人工智能等技术突飞猛进的发展，基于这些技术的自动驾驶汽车俨然已成为时下的热门话题，某些汽车厂商已经量产推出了具备部分自动驾驶功能的车型。人们在享受自动驾驶汽车带来便利的同时，也同样担忧自动驾驶汽车的安全性。
目前业内都在重点关注自动驾驶系统的自身硬件和软件算法是否满足相应的功能安全要求，同时也在持续提升和优化软硬件及算法，不断提高自动驾驶系统的安全性。但是，从车辆供电系统这个角度来分析，目前绝大多数传统车辆只有单路主电源的供电系统，当这些车辆单路供电网络因故障无法提供电源时，整车电器负载包括自动驾驶系统就无法正常工作，而对此时正处于自动驾驶模式的车辆，就存在失去控制的风险。
本文通过对现有车辆的供电网络进行功能安全分析，研究提出符合自动驾驶车辆功能安全要求的供电网络系统及其控制策略，并制定系统相关零部件的产品技术要求，同时也一并给出了相应的解决方案。
1. 自动驾驶供电网络的功能安全
自动驾驶有不同的等级，NHTSA（美国高速公路安全管理局）和 SAE（美国机动车工程师学会）给出了自动驾驶的分级，2 个组织的分类略有差异，具体见表 1。
表 1 自动驾驶等级
由上述定义等级可知，在 SAE 2 级及以上自动驾驶情况下，人类驾驶者可以逐步有条件地不参与驾驶过程，而被自动驾驶系统取代。例如，
自动驾驶系统（基于各种摄像头、雷达和传感器）通过发出指令控制转向电机对车辆进行转向，取代原来驾驶员操纵方向盘对车辆进行转向；
发出指令控制发动机节气门对车辆进行加速，控制 EBCM 系统或 iBooster 系统对车辆进行制动，从而取代驾驶员脚踩加速踏板或制动踏板对车辆进行加速或制动。
对比人工驾驶，自动驾驶在解放驾驶员手脚和眼睛的同时，也对车辆在自动驾驶下的安全性提出了更高的要求。比如在车辆驾驶安全和自动驾驶电器负载失去电源供电时，整个自动驾驶系统就无法正常运行，那车辆在自动驾驶模式下就存在安全隐患。
图 1 车辆电源网络故障
所以不仅需要对自动驾驶系统的相关软硬件和算法进行功能安全分析评估，也要对自动驾驶系统的整个供电网络进行相关功能安全分析评估。在自动驾驶模式 Hands Off 状态下，当车辆电源网络出现故障（如图 1 所示），车辆即失去自动转向、自动制动和自动推进力且无法提醒驾驶员，此时车辆和人员处于危险状态，车辆危险状态对应分析的车辆安全完整性等级 ASIL 如表 2 所示。
表 2 功能安全分析
通过功能安全分析评估，在 2 级及以上自动驾驶模式 Hands Off 状态下，当车辆电源出现故障导致车辆驾驶安全负载和自动驾驶负载无法工作。为了提醒驾驶员立即接管驾驶并确保接管期间的驾驶安全，需要有备用电源对这些负载进行供电，确保车辆驾驶安全。
2. 车辆双电源系统及控制策略设计
2.1 车辆双电源系统
图 2 车辆双电源系统框图
车辆双电源系统结构如图 2 所示，在驾驶安全电器负载和自动驾驶电器负载两端并联双电源控制模块及备用电源。
2.2 车辆双电源系统的工作模式及主要诊断策略
2.2.1 车辆双电源系统的工作模式
2.2.1 车辆双电源系统的工作模式
主电源供电模式：双电源控制模块开关 S1 闭合，开关 S2 断开，车辆电器负载由主电源进行供电；
备用电源供电模式：当电压检测 1 检测到电压小于 11 V，即将开关 S1 断开，开关 S2 闭合，车辆驾驶安全和自动驾驶电器负载由备用电源进行供电，确保车辆在人工驾驶接管之前，或者车辆自动制动之前的驾驶安全；
Auto-start 稳压模式：当车辆 Auto-start 时，即开关 S1 断开，开关 S2 闭合时，车辆驾驶安全和自动驾驶电器负载由备用电源进行稳压供电，因此也可以将 Auto-start 过程中需要稳压的负载接在双电源控制模块输出端；
能量回收及备用电源充电模式：双电源控制模块开关 S1 和 S2 闭合，车辆电器负载由主电源进行供电，并同时给备用电源进行充电，并通过检测备用电源 SOC 值来判断是否充满，备用电源充满后，开关 S2 断开。
2.2.2 车辆双电源系统的主要诊断策略
2.2.2 车辆双电源系统的主要诊断策略
双电源控制模块通过电压检测 1、检测 2 对模块自身和备用电源状态进行监控，并同时对 CAN 总线接收和传送相关信息，如表 3 所示，由自动驾驶系统判断是否开启或关闭自动驾驶模式。另外为确保 CAN 总线传送消息的正确性，还需要同时通过硬线信号 Fault Detection 将双电源控制模块和备用电源故障状态信息传送给自动驾驶控制系统。只有当 CAN 总线信号和硬线信号都确认双电源控制模块和备用电源状态正常时，车辆才能进入自动驾驶模式。
表 3 双电源控制模块接收和传送 CAN 消息
3. 车辆双电源系统零部件
双电源系统对比单电源系统增加一个双电源控制模块和备用电源。由于双电源系统控制模块和备用电源主要保护车辆驾驶安全和自动驾驶电器负载，因此首先要对这些电器负载在自动驾驶模式下进行功能定义和功率计算。表 4 是自动驾驶模式下所必须能正常使用的驾驶安全和自动驾驶电器负载清单，这些负载必须由车辆双电源系统进行供电，确保驾驶安全。
表 4 驾驶安全和自动驾驶电器负载清单
3.1 双电源控制模块技术要求
3.1.1 功能安全等级
3.1.1 功能安全等级
当失去电源供电时，自动驾驶车辆在驾驶员接管驾驶之前，是属于危险状态，对应所需要的功能安全等级 ASIL D，所以双电源控制模块的功能安全等级为 ASIL D。
3.1.2 功率
3.1.2 功率
双电源控制模块功率为 1.8 kW。
3.1.3 开关 S1 和 S2
3.1.3 开关 S1 和 S2
图 3 漏极电流-漏极电阻-温升
双电源控制模块功率为 1.8 kW，则开关 S1 和 S2 需要支持持续 150 A 的输出（环境温度 T_e = 80℃）。用 3 个 Power Mosfet（各承受I_D = 50 A）组成 1 个开关 S1 或 S2，参考英飞凌AUIRF8739L2TR，该款 Power Mosfet 热阻抗 R_th 为 21 ℃/W（Mosfet 与 PCB 之间安装散热片），漏极电阻 R_DS = 0.6 mΩ，如图 3 所示：
Power Mosfet 功耗：P = I_D^2 × R_DS = 50 × 50 × 0.6 = 1.5 W；
Power Mosfet 温升：T_j = P × R_th = 1.5 × 21 = 31.5 ℃；
Power Mosfet 壳体温度：T_c = Te + T_j = 80 + 31.5 = 111.5 ℃。
图 4 壳体温度-漏极电流
如图 4 所示，壳体温度 111.5 ℃ 对应能够承受最大 I_D = 350 A，且此壳体温度下对Power Mosfet 寿命不会产生影响，所以用 3 个该款 Power Mosfet 组成的开关 S1、S2 符合技术要求。
3.1.4 DC/DC电路
3.1.4 DC/DC电路
在能量回收及备用电源充电模式中主电源电压范围为 12.8～15.5 V，当主电源给备用电源充电时，基于备用电源特性（一般为超级电容或蓄电池），需要对主电源电压进行 DC/DC 降压，可以采用 Buck 电路。而在 Auto-start 稳压模式中，备用电源电压范围为 12～12.8 V，为满足Auto-start 过程中对先前的主电源进行电压跟随，需要对备用电源进行 DC/DC 升压，可以采用 Boost 电路。
图 5 LM5157 简明电路图
因此 DC/DC 可以采用 Buck-Boost 电路满足备用电源充电和 Auto-start 稳压模式，可以参考德州仪器 LM5157 降压-升压控制器及简明电路图。如图 5 所示，通过 4 个 Mosfet 和 1 个电感完成 Buck-Boost 电路。当需要 Buck 降压电路时（V1 输入，V2 输出），控制器导通 2 号Mosfet，关断 3 号 4 号 Mosfet，PWM 开关信号控制导通和关断 1 号 Mosfet；当需要 Boost 升压电路时（V2 输入，V1 输出），控制器导通 1 号和 2 号 Mosfet，关断 4 号 Mosfet，PWM 开关信号控制导通和关断 3 号 Mosfet。
3.2 备用电源选型和技术要求
3.2.1 超级电容介绍
3.2.1 超级电容介绍
图 6 超级电容原理图
超级电容属于一种新型的储能元件，目前已经应用于车辆的制动能量回收系统。超级电容是双电层电容器，电解液和电极的界面之间距离极短，利用电荷的集中排列的物理现象形成「双电子层」。所以相比较其他二次电池，超级电容在充放电过程中不发生化学反应，仅仅是电荷和离子之间的移动，如图 6 所示。
3.2.2 超级电容的优缺点
3.2.2 超级电容的优缺点
超级电容相比较传统的铅酸蓄电池有如下优点。
功率密度高：超级电容内阻小，功率密度可达 10 kW/kg，远远高于蓄电池，是一般化学电池的数十倍。
充放电循环寿命长：因为充放电过程中没有发生电化学反应，不存在高度极化效应，所以即使经过 10 万次左右的充放电后，超级电容的性能也没有明显下降。
工作温度较宽：工作温度在 -40～80 ℃。
绿色环保：没有重金属等有害化学物质，而且使用寿命长，所以是一种绿色环保能源。
3.2.3 基于应用工况的超级电容选型
3.2.3 基于应用工况的超级电容选型
基于本文中驾驶安全和自动驾驶电器负载的备用电源，超级电容选型主要考虑以下工况：
车辆运行在自动驾驶模式下，时速 120 km/h，当主电源发生故障，超级电容提供电量确保车辆能够紧急制动停车（安全限定 0.3 g，g = 9.8m/s^2）；
制动能量回收过程，完成对超级电容的充电；
Auto-start 过程中，对驾驶安全和自动驾驶电器负载进行稳压。
需要选定的超级电容参数如下：C 为额定容量 (F)；U 为额定电压 (V)。
工况 1
工况 1
计算车辆紧急制动刹车时间公式为：
式中：T 为车辆紧急制动刹车时间 (s)；V1 为车辆开始刹车速度(m/s)；V0 为车辆结束刹车速度 (m/s)；a 为车辆制动减速度 (m/s^2)。
计算超级电容提供电能的公式为：
式中：W 为超级电容需要提供的能量 (J)；P 为驾驶安全和自动驾驶电器负载功率 (W)；T 为车辆紧急制动刹车时间 (s)。
计算超级电容容量的公式为：
式中：W 为超级电容需要提供的能量 (J)；C 为超级电容的额定容量(F)；U 为超级电容的额定电压 (V)。
在 12 V 的车辆电器系统中，超级电容的额定电压要大于 12 V，小于 15 V。即
12 V ≤ U ≤ 15 V
先将 V1 = 120 km/h、V0 = 120 km/h 和 a = 2.94 m/s^2 代入公式 (1)，计算得 T = 12 s，取安全余量，定义T = 15 s。再将 T = 15 s、P = 1800 W 代入公式 (2)，计算得 W = 27000 J。最后将 W = 27000 J、U = 12 V 和 U = 15 V 代入公式 (3)，计算得 C = 375 F(U=12V) 和 C = 240F (U = 15 V)。
工况 2
工况 2
计算车辆制动能量回收过程中的电能公式为：
式中：W 为制动能量回收过程中发电机输出电能 (J)；I 为制动能量回收过程中超级电容充电电流 (A)；U 为制动能量回收过程中发电机输出电压 (V)；T 为制动能量回收中发电机工作时间 (s)。
一个 NEDC 循环测试中减速制动时间为 178 s，即 T = 178 s；制动能量回收过程中，为最大限度提高电能回收，车辆会将发电机输出电压提高至 15 V，即 U = 15V；发电机输出电流平均估算为 70A，整车电器消耗和主电源充电合计估算电流为 40 A，超级电容可以得到充电电流为 30 A，即 I = 30 A。先将 T = 178 s、U = 15 V 和 I = 30 A 代入公式 (4)，计算得W = 80100 J；再将 W = 80100 J 代入公式 (3)，计算得 C = 356 F（U = 15 V）。
工况 3
工况 3
Auto-start 整个过程约为 0.5 s，超级电容给驾驶安全和自动驾驶电器负载的供电时间小于工况 1 的供电时间，因此基于工况 3 的超级电容容量需求小于工况 1。
基于需要满足上述 3 种工况，所以超级电容容量至少为 375 F。参考日本贵弥功 DXE 系列超级电容产品介绍，可以选取 10 个额定电压 2.5 V，额定容量 1200 F 的单个超级电容组成超级电容组，组合方式为 5 串 2 并，即组成额定电压为 12.5 V，额定容量为 480 F 的超级电容组，可以满足工况要求。
4. 结语
本文分析了自动驾驶系统在车辆主电源单路供电网络系统上存在的风险，研究并给出了符合自动驾驶系统功能安全性的车辆双电源双路供电网络系统解决方案。
车辆双电源双路供电网络系统方案，首要功能是在主电源供电网络出现故障时，备用电源会立即进行供电，确保自动驾驶车辆的安全。同时该方案也能兼顾车辆制动能量回收和起停功能，改善车辆油耗。
本文中制定了车辆双电源双路供电网络的控制和诊断策略，并基于系统方案要求，制定了系统零部件双电源控制模块和备用电源的产品技术要求，也同时提供具体的零部件解决方案。
编辑整理：厚势分析师拉里佩
转载请注明来自厚势和厚势公号：iHoushi
-END-