王海滨，周宇星，朱明，张元才

（上海汽车集团股份有限公司 技术中心，上海201804）

引 言

在现代的汽车电子控制器开发中，普遍采用了国际知名供应商开发的硬件控制器和包括Bootloader、符合OSEK标准的实时操作系统，以及底层硬件驱动等底层软件，并提供相应的软件接口层给上层控制策略应用软件。但根据底层软件因不同的硬件设计而不同的特点，以及考虑到代码执行效率的原因，多采用定点手写代码来完成。

而随着微电子技术的不断进步和电子芯片价格的不断下降，越来越多的控制器已支持32位带浮点数运算单元的解决方案，这就为基于模型的控制算法的开发提供了广阔空间。

1 ISO 26262三层安全架构

1.1 架构简介

在最新的ISO 26262（汽车行业功能安全标准）中对控制器的三层安全架构要求如下：

①Level1实现动力系统管理功能，如转换动力系统请求扭矩、零部件监控、输入／输出变量诊断及在错误确认时控制系统响应。

②Level2负责监控Level1功能软件缺陷，如监控计算的扭矩值或车辆的加速度值，如果检测到此类错误将触发系统错误。

③Level3监控模块独立于Level2和Level1，通过应答机制监控Level2和Level1层软件是否正常运行，如错误发生将触发独立于功能控制器的系统错误。

1.2 ISO 26262在扭矩监控软件的应用

根据ISO 26262三层安全架构的阐述，第二层负责监控第一层与安全相关的功能，与安全相关的输入变量的值在被第一层软件读取的同时也要被第二层监控软件读取，且要有冗余备份。例如，通过监控计算的或车辆加速时的扭矩输出，当第二层监控模块计算扭矩与第一层功能层计算扭矩不一致时，会引起控制系统故障响应。……