苏晨曦，周文华，郭修其，高 维

(1.浙江大学能源工程学院，浙江 杭州 310027；2.宁波高发汽车控制系统股份有限公司，浙江 宁波 315000)

0 引言

传统机械液力式自动变速器的换挡操作是通过拉索组合，将换挡指令输入自动变速器，自动变速器对应切换到相应的档位[1]。电子换挡器的优势在于驾驶员的操作命令会首先由控制器进行判断，根据当前的车辆的工况判断是否可以进入目标档位，从而防止档位识别错误、信号传输错误、档位状态与当前汽车工况不符等故障，避免对变速器造成损伤[2]。档位请求的方式从纯机械触发到CAN信号传递的转变，提升了换挡过程的舒适性和可靠性的同时，也带来了电气设计所面临的安全性问题，例如元器件失效、传感器失效等因素导致错误换挡，甚至会危害人身安全。基于此，电子换挡控制器的设计者应该将这些故障发生的概率控制在可以接受的范围内。

1 硬件电路设计

国际标准化组织(ISO)为提高汽车电子、电气产品功能安全，发布了ISO26262《道路车辆功能安全标准》[3]。该标准提供了决定风险等级的具体评估方法——汽车安全完整性等级(ASIL)，通过使用ASIL方法来确定获得可接受的残余风险的必要安全需求[4]。在本项目中，故障导致的危害事件为非预期加速或动力丢失，根据项目对安全具体指标分析确定其安全完整性等级为C(表1)。

表1 危险事件风险评估

为满足功能安全等级ASIL C的要求，硬件设计对关键电路主要采取的技术路线包括：1)数字电路MCU采用Infineon公司AURX系列的TC234型号单片机，其双核架构通过合理配置可以满足安全完整性等级ASIL D的要求；……