ISO 26262是当今使用最广泛的汽车功能安全标准,其为E/E系统功能安全开发过程提供了方法和指导,与安全相关的E/E系统在设计过程中均应遵循此标准。AMT电控系统是电动汽车动力传动中至关重要的一部分,对整车的安全性起着举足轻重的作用,倘若AMT电控系统出现功能失效则可能造成人员伤亡。AMT电控系统的核心在于对TCU的设计,将ISO 26262标准与TCU的设计过程相结合并对其开展系统性的安全设计具有重要意义。本课题即依据ISO 26262标准对AMT电控系统中的TCU进行设计,使其安全性得以提高,具体内容如下:(1)AMT电控系统概念设计:首先,明确了AMT电控系统的组成要素、接口、工作原理等,为后续的设计工作打下基础。随后,通过分析AMT电控系统中潜在的危害事件并为其评分,确定了系统设计应符合的ASIL等级和安全目标。依据安全目标,利用故障树分析方法确定了AMT电控系统功能安全需求并将其分配给系统中的组成要素。TCU作为AMT电控系统的组成要素之一,最终通过概念设计阶段明确了分配到TCU的功能安全需求及ASIL等级。(2)TCU安全措施设计:首先,结合目前已有的典型TCU架构,依据功能安全需求及各个模块中可能出现的失效模式,提出了充足的安全措施和技术手段用于实现TCU功能安全需求并覆盖各种失效模式。同时,利用FMEA方法验证了提出的安全措施对功能安全需求的实现、对失效模式的覆盖作用都是有效的。最后,制定出TCU技术安全需求和TCU功能安全架构。(3)TCU硬件设计:首先,依据技术安全需求,为TCU选择了所需的硬件元器件,并分析这些元器件是否对实现技术安全需求有利。随后,进行了TCU硬件原理图设计,详细描述了技术安全需求在硬件设计过程中的实现方法。最后,利用ISO26262标准推荐的方法验证硬件架构指标和随机硬件失效率指标,以保证TCU在硬件层面上实现技术安全需求。(4)TCU软件设计:首先,明确了对进行功能安全软件设计有利的编程语言和工具。随后,依据技术安全需求中对软件设计的要求,确定TCU软件安全架构及其包含的软件单元并对软件单元进行了详细设计。最后,对所设计的软件单元进行了功能测试和注入故障测试,验证了所设计软件单元满足AMT电控系统功能需求以及技术安全需求。最终,利用硬件、软件设计实现了技术安全需求,进而保证了TCU功能安全需求得到了满足、安全目标得到了实现。将TCU与AMT电控系统中其他要素组合,可以提高系统的功能安全性。