杨福宇专栏|特斯拉突然加速与刹车失灵的可能原因探讨！

杨福宇老师多年研究CAN总线在汽车中的应用，文章非常有实用价值，为了方便汽车行业的工程师关注杨老师的研究成果，本公众号特别开设了《杨福宇专栏》，敬请期待更多精彩内容。杨老师邮箱：yfy812@163.com,欢迎交流探讨！

对于特斯拉突然加速、刹车失灵事件需要抽丝剥茧，理清头绪。所谓失灵是指它达不到应有的预期效果，并不是严格的学术用语。这篇文章的结论是：

1.当发生某种CAN故障时，驾驶员踏了刹车踏板，也有可能在LOG数据和EDR数据中见不到刹车踏板的开度信号；

2.当发生某种CAN故障时，如果没有对应的对抗措施，驾驶员同时误踏2块踏板时，原设计的刹车优先手段会失效，车仍会加速向前，将见不到道路上车的刹车印迹，这是可以通过实验加以验证的；

3.当发生某种CAN故障时，驾驶员刹车动作后的响应会延迟，这是可以通过实验设计加以验证的。

这是我一家之言，希望大咖们指教。

 

（/auto/ibooster_292000p12j_en_low.pdf/p2/4）

 

TESLA的ESP是包括了再生制动功能的，BOSCH在介绍有再生制动功能的IBOOSTER和ESP时有一段话，我引用这段英文是因为这段话十分重要，它修正了我们传统上对IBOOSTER的理解。“驾驶员踩刹车踏板时，踏板的行程传感器测到了驾驶员的刹车请求。ESP要求再生电机有一个与踏板行程相应的刹车力矩以此使车减速。驾驶员踩动（由IBOOSTER来的）而移到刹车系统的油量被ESP暂时分到低压储存区，即不在轮子刹车部分产生刹车力矩。如果再生电机不能通过减速满足刹车请求（例如在车停以前），那么在低压储存区的油将移到轮刹区，并通过常规办法刹车。”因此在刹车第一阶段全靠再生电机的消耗，刹车踏板的需求信号要通过CAN传递到ESP，再传到INVERTER。第2阶段是同时有再生制动与刹车钳制动，这段话的模糊部分是缺少进入第2阶段的时间限定：因为只要时间无限长，再生制动总能使车停下来。全部靠再生制动虽有回收能量多的好处，但是当电池充不进电时就会耽搁刹车，比较可能的是隔一段时间进行一次修正，分配回收量与油压刹车的量，它由ESP进行分配。这个时间是多少不清楚，BOSCH没说，可能是100-200ms。IBOOSTER上的刹车踏板与IBOOSTER刹驾驶员缸压力有关系（IBOOSTER本地的开环控制），但是IBOOSTER上的刹驾驶员缸压力与刹车钳的真正控制刹车效果的压力没有物理上的关系，因为ESP根据再生制动实况作过修正。先把此段模糊搁下，CAN出故障时，驾驶员的刹车请求传不到，ESP就无法作出正确的分配，刹车缸压力与驾驶员动作就没有因果关系了。

把主油缸压力解读为驾驶员的操作结果，只有在CAN正常时才可能适用。CAN的接插件老化造成接触不良、电磁干扰持续时间、CAN协议的软件隐患均可能使通信有较长时间的失效，因而CAN是必需考虑的失效因素。本文就是基于CAN故障发生时作可能的突然加速、刹车失灵的分析。

 

一．第一种CAN故障位置 

(文档/屏幕截图2021-04-20 101939，原文/auto/从Model S 到 Model 3，特斯拉电子电气架构的演变)

 

图1是model3的通信的一部分，我们可以看到IBOOSTER与ESP、INVERTER之联系。加速踏板是在inverter处，刹车踏板在ibooster处，控制刹车油压分配的在ESP处。（有传言说刹车踏板的信号是由传感器连到VCU上再传回ibooster，这是不能成立的，刹车踏板位移传感器一般要有冗余，把2个传感器6根线远远地拉过去，受干扰更多，再用CAN把信号传回来有什么意义？至于是否让此传感器请求立即应用是用软件可办到的事）。

EDR的数据接收也是直接或简接地从此CAN总线上获取，由于这是逆向工程得到的图，EDR具体在那里尚不清楚。

如果ibooster的CAN输出有故障，总线的其余部分的通信是不受影响的，但是刹车踏板的信号将会在EDR中见不到，也到达不了控制马达的inverter和控制刹车油压分配的ESP处。如果车本身有故障而已经加速、或者驾驶员由于疏忽同时踏了二块踏板，那么由于刹车踏板的信号到不了inverter，就不可能实现刹车优先功能，也是无阻止加速的功效的。

 

以上分析涉及刹车优先能否实现，揭示了是否有对抗CAN失效的设计，即设计的可信赖性，这个分析是可以验证的：切断IBOOSTER的CAN输出，人为造成故障。然后同时踩下二块踏板