汽车安全设计自动防故障功能

安全气囊在汽车辅助约束系统（SRS）中发挥着关键的作用。目前，乘用车安装安全气囊已经成为一种标準。大家都知道在汽车产生碰撞时，安全气囊和安全带可降低车内人员头部和上身撞击车内元件的机率。它们还可透过使撞击力更均匀地分佈来降低人员受伤的风险。但是现在，许多人已经认识到能给人带来安全的辅助约束系统也有可能会危及车内人员的生命安全。因此，在开发安全系统时，必须全面考虑系统的各种特性，以确保达到所需的安全水準。为了解决这方面的问题，英飞凌开发出了具有丰富特性的气囊触发晶片，可帮助系统实现自动故障防护功能。

亚洲的汽车安全气囊系统市场预计将继续成长，这主要得益于中国市场的成长。未来五年，该市场的增幅将达到25%。此外，韩国出口欧美的汽车装备了越来越多的安全气囊，这主要是因为欧美地区实施的新安全法规。目前，韩国的乘用车已经100%装配正面安全气囊，头部安全气囊的增幅预计到2013年将达到44%。中国市场目前的正面安全气囊安装率只有62%，因此我们预计该领域将会迎来迅速成长。另外，随着中国车辆出口的不断成长，安全问题也越来越受到关注，因此我们预计今后四年，侧面和头部安全气囊也将不断成长。

目前，随着欧美新法规的实施，安全气囊系统预计将变得更加完善。塬始设备製造商将面临着价格压力，需要应对平衡成本、创新与可靠性的挑战。相关研究显示，目前平均售价为105美元的正面安全气囊预计4年之后成本将降低15%。业界认为可靠应用是汽车安全气囊系统最重要的问题，因此，本文将探讨在较差的执行条件下（例如泄漏和低压）如何平衡安全要素和系统成本。

近30年来，欧洲路面的车辆增加了叁倍，但道路却只增加了二倍。随着交通量的日益增大，现代汽车呈现出为驾驶员和乘客提供越来越高的安全性和舒适性的态势。

在提高汽车安全性和舒适性方面，电子技术与其他化学技术和机械技术发挥了重要作用。如今GPS系统、自动镜、自动灯、电动座椅、电子喷射装置和其他上百个功能都成为汽车不可或缺的一部份。但除了舒适性以外，用户还希望为自己和家人购买具备更高安全性的汽车。

因此，安全系统开始发挥作用。目前，汽车提供诸如ABS、ESC、ASR、安全气囊、行人保护等主动与被动安全系统。今后，由于道路还远不能达到百分之百安全，因此该市场可望持续成长。

塬来的安全系统採用分离式组件提供所需功能，但近些年来，所有系统都採用了整合方式。目前多数RCU（安全防护控制单元）都是由MCU（主控单元）、通讯介面、电源、感测器介面和燃爆电路构成。本文涵盖RCU的燃爆电路部份。下文将探讨安全气囊系统的安全性和应用IC的相关安全特性。

图1：安全气囊的ECU简图。

气囊安全性

开发安全系统时必须全面考虑系统的各种特性，以确保达到所需的安全水準。从系统的角度出发，安全气囊控制器必须具备两个安全特性：1. 在事故条件下的触发；2. 防止意外触发。

上述两种特性都必须遵照相关标準（即IEC 61508）的具体要求，确保达到相应的安全水準。

安全系统的相关安全标準提出了‘自动防故障’理念。当安全系统出现故障时，其设计应该确保故障不会损坏相邻的系统或对人员造成伤害。

乍看之下，有人可能会觉得第一个特性比第二个特性更重要。然而，事实并非如此。当安全系统检测到意外事故时，如果因为某种故障无法完成气囊的触发，就会造成人员伤亡，儘管如此绝大多数车主仍希望永远无需触发安全气囊。另一方面，在RCU安装到汽车上之后，从汽车测试期到使用週期结束，随时都可能产生安全气囊意外触发。如果出现这种情况会对相关人员造成伤害（工厂工人、汽车驾驶员或修车厂技工）。

整体而言，应尽可能确保在产生意外事故时实现安全气囊的正确触发，同时也必须努力防止安全气囊的意外触发。

为了使大家能够更好地瞭解安全气囊系统以及如何实现故障防护功能，有必要介绍一下整个系统的执行塬理（参见图2）。

通常情况下，汽车卫星感测器介面获取外部感测器（加速度或压力感测器）发送的数据并对其进行分析。这些感测器依据功能或所属类型（前端碰撞加速度感测器、侧面碰撞压力感测器或侧面碰撞加速度感测器）的不同而分佈于汽车的前端、车门内或B柱上。如果出现碰撞事故，感测器承受的绝对加速度或压力就会大幅提高，使主微控制器得知产生了碰撞事故。这时主微控制器必须依据该感测器的数据、板载感测器的数据、座椅的位置和其他参数，决定是否触发安全气囊。

如果决定触发安全气囊，主微控制器就会向燃爆介面发送指令。与此同时，备用系统（通常为备用8位元微控制器）也必须依据更基础的数据（即仅板载感测器数据）做出决定，让指定硬体线路允许燃爆IC触发气囊。

触发是使电流流过燃爆管（通常在1.2A至1.75A之间）实现的。燃爆管在此作为电阻仅为几欧姆的电阻器，因此要想节省能量必须控制电流。如果电流流经燃爆管达到一定时间（通常0.5ms至2ms），安全气囊就将完成触发。

从产生感测器资讯、发送感测器资讯、分析所有参数、做出决策、将决策传输至触发IC到最终确保电流仅在需要时通过燃爆管，在这整个流程中必须确保有可靠的自动防故障性能。

下文将针对触发气囊流程的最后两步展开分析。

　触发IC的安全特性

英飞凌现有的触发IC具备多种可确保自动防故障功能的特性。其中包括：

1. CrosSave

2. 泄漏检测

3. 启动软硬体进行触发

4. 电阻测量

5. 开关测试

6. 高侧供电（HSS）诊断

7. 板载电压测量

上述特性中，前叁种专用于防止意外触发，剩下的用于确保在需要时完成触发。下文将论述所有这些特性。

CrosSave

为了在可能出现的‘生产故障’（缺陷晶片、ESD损坏等）条件下，实现自动防故障功能，安全气囊系统需要具备冗余或多样化特性。每个燃爆管配备两个开关（参见图2）。这两个开关确保电流只有在规定的条件下流入燃爆管。

图2：气囊驱动晶片的简化结构图。

这种特性可透过叁种方式实现：採用单片IC整合高侧（HS）和低侧（LS）开关；採用两个相同的IC，但透过PCB设计使高侧开关和低侧开关分离（交叉耦合）；或者採用两种不同的技术，将两个不同的晶片整合至一个封装内（CrosSaveTM）。

採用单片IC时，如果晶片产生故障，就会带来危险。因为两个开关都整合在一个晶片上，因而无法实现自动防故障功能。

第二和第叁种方式分离了两个开关，一旦出现故障，只是一个开关会受损，仍能实现自动防故障功能。哪种方式更加安全则需要进一步探讨。

CrosSave（参见图3）具备单一封装优势，与其他解决方案相较，节省了板卡空间，降低了设计难度，同时始终确保了系统的自动防故障功能。

图3：CrosSave的分离式晶片概念。

一方面，交叉耦合採用冗余性实现自动防故障功能。冗余系统对于共因故障（CCF）的保护较差。另一方面，CrosSave採用多样性策略，对于CCF保护较佳，但有较高的耦合係数。

总之，这两种解决方案与单片系统相较，能够提供更加安全的性能。

泄漏检测

为了确保只在规定条件下产生燃爆，必须进行泄漏检查。泄漏测量可防止打开一个开关进行测试时（参见4.5节）产生燃爆情况。由于燃爆管通常位于汽车的前端或侧部，而RCU位于中控台下，因此需要较长的线束，这很有可能成为泄漏源。

泄漏通常在燃爆管的馈入路径和返迴路径进行测试，并在这些位置和接地端及电池端存在泄漏时实现检测。

启动软硬体进行触发

防止意外触发的特性要求获得多个外部软体指令以及多条硬体线路必须处于预定义状态，方可进行触发。

MCU必须採用两个不同的SPI指令独立打开两个开关（高侧开关和低侧开关）。因此，即使出现通讯故障和SPI指令被错译为燃爆指令，仍然需要获得第二个指令，才能成功燃爆。

对于英飞凌的TLE77xx燃爆系列IC而言，利用以前的额外指令UNLOCK即可进行燃爆。否则，开关将被打开，电流限值将设定为约40mA（诊断电流限值），这不足以点燃燃爆管。

如上文所述，硬体线路也必须达到预定义的电压，才能进行燃爆。不同厂商的产品的这种特性有所不同。TLE77xx燃爆IC系列具备四条硬体线路：HSENQ、LSEN、FLENH和FLENL。通常前两条与MCU连接，另外两条与备用安全引擎（即8位元微控制器）连接。

HSENQ和LSEN即使在诊断电流限值条件下执行，也能打开高侧开关和低侧开关。这些线路必须与MCU连接，目的是进行下文所述的开关测试。

另一方面，FLENH和FLENL也能促使燃爆电流（1.2A.。.1.75A）流经高侧开关和低侧开关。因此，只有MCU和安全引擎一致认为产生碰撞事故时，才能从储能器中获得燃爆电流触发安全气囊。

电阻测量

燃爆管在整个使用週期内可能会产生老化，导致在产生碰撞事故条件下无法完成触发，因此需要定期测量电阻，确保燃爆管处于正常的工作状态。如果电阻值超出安全範围，燃爆管关闭，警报灯点亮，向司机发出警报，直至汽车修理完毕。电阻是利用小电流（诊断电流）进行测量的。

通常利用燃爆IC的类比输出埠获得电阻值。

开关测试

当然，为了确保正确完成触发，燃爆IC必须对开关进行自检。这些开关能够防止意外触发（可能产生），但另一方面，当产生碰撞事故时需要同时启动这两个开关（高侧开关和低侧开关）才能完成触发。如果其中一个产生故障，RCU就无法执行其中的一种功能。

开关测试方法与泄漏测量类似。由于打开高侧开关会出现流向电池的泄漏电流，打开低侧开关会出现流向接地线的泄漏电流，因此，应先进行泄漏测量，然后再打开其中一个开关。

按照4.3节所述作业，不仅需要软体指令，而且需要从MCU侧将硬体输入线路设为合适的值。

高侧供电测试（HSS）

对于採用高侧开关的系统，通常需要产生高压以驱动MOSFET闸极。TLE77xx燃爆IC系列的高压由储能器提供，如果储能器的电压过低，高压就由外部电容（高侧供电电容CHSS）提供。

这些IC能够监控外部电容的状态，防止在必要时因电容故障无法完成触发。

要完成该测试需要利用TLE77xx燃爆IC系列的电流源从高侧供电电容获得电流。由于该电流是恆定的，只需在固定的间隔时间内两次测量电压，即可得出电容值。因此当电容过度老化时，需要向驾驶员发出警报，提醒更换电容。

板载电压测量

最后，IC通常还具备测量电路板上所有电压的特性。低压预示着出现故障（MCU和其他IC无法正常执行，无法完成触发等）。为了避免出现这些故障，RCU採用的多数触发IC都能测量外部电压，包括VCC5、VBOOST和VBAT，甚至能够测量IC的内部电压，检测可能存在的故障。

测量结果通常利用IC类比埠和MCU类比数位转换器进行输出。

本文小结

本文探讨了安全气囊系统的相关安全问题。透过介绍安全系统在故障条件下如何避免造成人员伤亡来说明系统的安全特性。所有这些特性都会使安全气囊系统变得更加安全，同时保护车内人员在车祸中免受致命伤害。