Belt博士调查报告：为什么特斯拉Model 3会突然加速？_风闻

来源：无人车

1

“意外加速”事件背景

特斯拉Model 3突然加速事件的EDR(Event Data Recorder,即事故数据记录器)数据揭示了EDR数据、司机证词和特斯拉自己对事故日志数据的分析之间的一些不一致之处。为了解释这些不一致之处，我们对特斯拉的驱动电机控制系统和制动系统的设计进行了检验。由此得出的解释表明，车辆突然加速的原因在于制动系统及其与再生系统的相互作用。

现在将描述此事件的EDR数据。该事件涉及一名司机进入她家的车道，意图将车停在车库。当车辆接近一个90°右转弯进入车道的终点时，司机将她的右脚悬停在刹车踏板上，准备完全打开车库门。突然，汽车的驱动电机加速，导致汽车向前跳跃并转向左侧。与此同时，她踩下了刹车踏板，但没能及时停车，车撞到了两扇车库门之间的砖墙上，车的右前角受了轻伤。这款车是2019年特斯拉Model 3，只有一个后驱动电机。在整个事件中，车辆处于HOLD状态，使用标准再生系统(图1)。

图2显示了事故期间的车辆路径。街道和车道都是平坦的，在同一水平线上。图3显示了油门踏板(%)、后电机转速(RPM)和车辆速度(MPH)的碰撞前数值的EDR数据。加速器踏板数据显示，在撞车前一秒达到了80%。车速数据显示，撞车前车速为6英里/小时，撞车时车速为14英里/小时。仅这一点就可能表明，司机踩下了油门踏板，导致了撞车。然而，撞车前的加速计数据却告诉我们一个不同的故事。

图3.EDR数据数据中的油门踏板(%)、后电机转速(RPM)和车速(MPH)

图4显示了撞车前的加速度计数据。纵向加速度计数据显示，车辆在碰撞前1s有-0.5 g的快速减速。由于Model 3的再生能力被限制在-0.2 g(2018年10月25日软件更新2018.42 v9将再生能力提高到-0.3 g)，这种更高的-0.5 g减速可能不是由车辆的再生系统造成的。相反，它只能是由车辆的制动系统造成的。这一结论与特斯拉的高分辨率日志数据所描述的一致，并且与驾驶员的描述是一致的，虽然EDR数据显示未踩下制动踏板。

图4 碰撞前的加速度数据，使用的是ISO 8855坐标,其中纵向x轴指向前方，y轴指向驾驶员左侧，z轴指向上。右转时方向盘角度为正。

加速踏板数据与纵向加速度数据的比较表明，加速踏板数据的增加和减少与纵向加速度数据的减少和增加是一致的，纵向加速度数据的减少和增加是由制动踏板的踩下确定的。这表明油门踏板可能已经与制动踏板同时被踩下了。但是，特斯拉经常公开表示，如果发生这种情况，制动踏板信号的优先级更高，油门信号不会得到响应。另外刹车踏板在结构上比油门他们高，在踩下刹车踏板的同时，油门踏板无法被踩到88%的开度。

因此这种情况下，驾驶员踩了制动踏板是确定的，那是什么原因导致驱动电机加速呢?

图4中的纵向加速数据还显示，在驱动电机加速之前，当车辆驶入车道时，没有证据表明发生了再生制动能量回收。这一观察结果得到了图3的车速数据的支持，图中显示在驱动电机加速之前，车速保持在6mph不变。然而司机坚持：在整个事故过程中，车辆一直处于HOLD模式，使用标准再生系统。如果司机是正确的，那么为什么在这两个传感器的数据中没有明显的制动能量回收?

我们再把时间对齐一下，比较加速计数据，则更加明显，如图6所示。方向盘数据和横摆率数据相互吻合，表明车辆向右转入车道。在转弯到约76°时，驱动电机加速使车辆加速前进，方向盘数据和横摆率数据均改变方向，向左转向。 突然的加速似乎导致向左转向。偏航数据中方向的这种变化使驾驶员的证词、EDR数据和日志数据之间的矛盾，如图5所示。

进一步查看方向盘角度数据和偏航角速度数据，可以发现在方向盘角度趋于平稳甚至减小时，偏航角速度仍在增加。这表明前轮打滑正在引起过度转向，这可能会激活车辆的稳定性控制系统。车辆稳定性控制系统对转向过度状态的正常响应是制动外侧前轮，为了在与转向过度方向相反的方向上产生横摆力矩。在这种情况下，在向右转向过度期间，左前轮将被制动，从而使车辆向左偏航。这正是观察到的。这似乎解释了司机的证词，即车辆“向左转弯”，造成了她的车辆右前角的损坏。

横向加速度数据也显示出横向加速度的增加和减少，与纵向加速度的增加和减少相对应，正如人们所期望的，在向右转弯时向前加速。侧倾数据还显示了一个向左的侧倾，然后又向右的侧倾，这与横向加速度数据一致。EDR数据综合起来表明,一系列事件都是从向右转开始，没有产生触发制动能量回收，然后驾驶员踩下制动踏板，与此同时，驱动电机加速引起车辆向前加速，从而产生转向过度 这种情况会激活电子稳定系统，该系统会制动左前轮，使车辆转向左侧。

有趣的是，车辆的纵向（向前）加速度持续增加，直到车辆撞向车库为止，即使在撞车前半秒内油门踏板读数变为零。 通常人们的印象是在油门踏板读数变为零后，车辆的速度将保持恒定甚至降低，并且当释放油门踏板时，纵向加速度应该停止，甚至随着制动能量回收的作用而变为负值。同样后部电动机速度数据显示，即使松开油门踏板，驱动电机的速度仍保持较高。这表明，在发生碰撞时，驱动电机仍在产生扭矩，以使车辆向前加速，这是在松开油门踏板后的半秒内的情况。怎么会这样呢？

最后，EDR数据显示，在事故发生期间没有刹车，但是纵向加速度计数据和特斯拉日志数据都证实了驾驶员是有踩刹车的。同样EDR数据显示ABS系统没有激活，而加速度计数据和日志数据都验证了ABS系统确实激活了。

正如前面所说，这一些列的事件的发生都从向右转开始，没有产生触发制动能量回收，然后驾驶员踩下制动踏板，与此同时，驱动电机加速引起车辆向前加速，从而产生转向过度 这种情况会激活电子稳定系统，该系统会制动左前轮，使车辆转向左侧。然而，关于这事如何发生的，还有很多疑问？

1、当驾驶员声称当时车辆处于HOLD模式且驾驶员未踩下加速踏板时，为什么在转弯期间车速数据和纵向加速度数据中似乎没有制动能量回收？

2、为什么在踩下刹车的同时，后驱动电机的速度却在增加?

3、如果驾驶员将脚踩在制动踏板上以产生-0.5 g的纵向加速度，那么驾驶员又如何同时踩下油门踏板以使驱动电机加速呢？特斯拉曾多次书面声明，当同时踩下油门踏板和制动踏板时，响应刹车踏板，而不是油门踏板。因此，驱动电机的加速不可能是由于驾驶员踩下油门踏板而引起的，而一定是由车辆本身引起的。

4、为什么在加速踏板读数降至零后，驱动电机的速度仍然很高，车辆仍然继续向前加速?

5、为什么当汽车的速度增加时，即使司机在向右转弯，汽车还是向左行驶?

6、为什么EDR数据显示驾驶员没有踩刹车踏板，但是驾驶员坚称她确实踩了刹车踏板，而且特斯拉的日志数据也证明了这一点?

7、如果司机从未踩过加速踏板，那为什么EDR数据显示他踩过加速踏板?

8、为什么EDR数据显示ABS系统没有启动，而加速度计数据和日志数据的信件都证实了ABS系统启动?

为了寻找这些问题的答案，我们对特斯拉的驱动电机控制系统和制动系统的设计进行了研究。

2

特斯拉驱动电机控制系统

为了方便不熟悉特斯拉单踏板驾驶(OPD)系统的读者，我们将从描述该系统如何运行开始。该系统允许通过改变油门踏板的行程来控制加速和再生制动。在再生制动期间，车辆的减速时驱动电机充当发电机，为动力电池充电。对于特斯拉声称和驾驶员要求的单次电池充电获得高里程至关重要，这种充电是必不可少的。因为较少的刹车动作难以给电池充足够多的电，除非司机踩刹车踏板，这对司机来说是很累的，对其他车辆来说也是危险的。

图7显示了特斯拉的单踏板驾驶系统是如何运行的。当油门踏板踩在地板上时，驾驶员会得到100%的加速。当油门踏板放松时，驾驶员的加速度就会减小。随着加速踏板进一步放松，车辆由加速转为轻度减速，为电池充电，这种减速充电称之为能量再生。

当加速踏板完全释放时，驾驶员得到最大的减速与最大的再生能量。在旧软件中，最大的减速度是0.2 g，更新软件后是0.3 g。0.3 g的减速水平感觉就像一辆挂一挡减速的燃油车。所有特斯拉司机都喜欢单踏板驾驶，因为当你把脚放在油门踏板上时，扭矩可以在最大正扭矩和负制动扭矩之间连续调节。驾驶员需要踩下刹车踏板的唯一时间是当他想要完全停止或当他需要在高于0.3 g的水平下进行紧急刹车时。

图8表示Tesla驱动电机控制系统的第一步——油门踏板map将油门踏板行程转换为电机的扭矩值，油门踏板map是一个二维的map，x轴为车速，y轴为油门踏板的行程。空白区域通过插值来计算扭矩值。油门踏板位置信号是由双油门踏板位置传感器计算得到的8bit整数。Model 3的扭矩值为8bit整数，Model S和Model x的扭矩值为16bit整数，扭矩值的周期为100ms。

图9是特斯拉驱动电机控制系统的第二步——控制器将油门踏板map转换为扭矩和磁场磁通命令来驱动电机，该map图也包括一个二维查找表，并通过踏板map扭矩图和车辆速度进行访问，未标出数值的区域，可以通过二维插值得到。第一象限中的正向电机转矩命令使在正向行驶的同时从电池中汲取能量。在100%的电机转矩下，加速度大小可以从0g到1.0g不等。虚线显示了一个典型的加速度剖面，它可以是第一象限内的任何复合曲线。第四象限中的负转矩命令可实现再生制动以及相关的驱动电池充电。如下所述，它受到几个因素的限制，仅占可用电动机转矩曲线的一小部分。

图10更详细地显示了图9的电机扭矩图的红色再生部分。最大制动扭矩受最大减速度-0.2gs到-0.3gs的限制，以避免在低附路面上突然施加再生时车辆不稳定。在这个最大负转矩时，随着电机转速的增加，其反电动势也会增加，直到它等于励磁电压，此时电机转速不能增加。为了进一步提高电动机速度，可通过与反向速度w成比例地减小电动机的励磁电流来减小电动势。由于转矩与电动机电流成正比，因此在该弱磁区域中转矩减小为1/w。功率与转矩乘以车速w成正比，并且在此弱磁区域中保持恒定。

在低于最大制动转矩的任何给定转矩下，随着电动机速度的降低，再生功率和制动转矩将与电动机速度成比例地降低。减小的速率受最大再生功率的限制，最大再生功率必须保持小于电池充电电路确定的某个最大值，如图10中的虚线所示。如果通过另一种设计增加了此最大功率，则最终受反电动势电压限制，反电动势电压必须保持在一定的最小值以上才能有效地进行电池充电，如图10中的三角形线所示。在此最小电动势电压以下，只有通过从电池中汲取功率才能实现制动转矩。重要的是要注意，电动机仍将在前进制动象限（第四象限）的所有区域中运行。仅通过在给定速度下限制扭矩请求，才能在所需的再生制动区域（图10中的红色区域）内运行。

在上述限制所述的再生制动区域内，通过向驱动电机提供适当的扭矩和磁场通量命令，可以获得任何所需的制动扭矩和再生功率。随着车辆速度(与电机速度成正比)的降低，车辆减速沿此区域的任何路径进行。在车辆速度低于5mph时，感应电机不能产生任何有效的制动扭矩或再生动力，因为它们的转子磁场受到感应电流的限制。然而，带有嵌入式永磁体转子的电机仍然可以产生足够大的转子磁场，允许运行在5mph以下。特斯拉在其Model 3车型中引入永磁(IPM)电机，并计划在其Model S和Model X系列的所有新版本中使用永磁电机。

图11是EPA标准中的典型的城市道路工况(如图12所示)下，驱动电动机扭矩图中使用的工作点。运行点用红色表示，并清楚地显示了所使用的正加速扭矩和负制动扭矩。在低速时，制动力矩随车速的线性变化很明显。

众所周知，很多特斯拉汽车都有双驱动电机。图13显示了双驱动电机的特斯拉Model 3从100km/h减慢到0km/h时的表现。当车速下降时，所有的再生扭矩和动力都仅由后驱动电机提供，最大制动扭矩为-0.3gs，是软件更新为2018.42 v9的Model 3的最大扭矩。图14显示了与图13相同的情况，除了路面上有雪导致路面和轮胎之间打滑。当出现滑移时，我们发现后电机的部分制动转矩被传递给前电机，且两转矩之和在原始最大值附近保持不变。为什么会这样？

这种行为的原因是，再生扭矩是一个制动操作。而当刹车扭矩作用于后轮时，由于雪、冰、雨或碎石而发生打滑，后轮可能会因缺乏牵引力而锁住。没有后轮的牵引力，车辆可能会变得不稳定，并进入绕其垂直轴进入危险的旋转状态，这是无法控制的。因此，政府法规要求汽车制造商使用一定数量的前轮制动，以防止这种不稳定的发生。

政府法规基于制动力分布曲线，如图15所示。当任何给定的车辆制动时，施加的减速度都会导致车辆向前倾斜，将重量从后轮传递到前轮，从而改变水平制动力。在车轮上。由于减轻了后轮的重量，它们的牵引能力降低了，并且在施加制动时，它们往往会在较低的减速度值时更快地锁定。但是，将过多的重量转移到前轮会导致前轮也锁死。可以根据减速度值，车辆质量，质心位置，轴距，和道路的摩擦系数。如果将这些值绘制为一条曲线，并且在前后制动力为正交轴的平面上，我们将获得如图15所示的理想I形曲线。在曲线I上方，后轮将首先锁定，这是不安全的情况政府法规明确禁止。低于I曲线的任何工作点均被认为是安全的，但低于M曲线的点定义了车辆的最小后方制动力。斜线显示了沿I曲线的每个点的减速度值。β曲线显示了与当今大多数ICE车辆中使用的线性制动比例阀相关的工作点。

根据图15，我们现在可以解释图13和图14所示的特斯拉Model 3汽车的再生行为。图13的再生行为如图15中的点A所示，位于减速值为0.3 g的直线上。在A点，所有的制动都是由后轮提供的，这使它深入到不允许的区域，在那里后轮将首先锁住。只有后轮在路上有100%的牵引力，或者没有打滑，这是可以容忍的。如果出现滑移，则为了使车辆在相同的减速值下保持稳定，必须减小后轮制动力，同时增加前轮制动力，以将操作点移动到图15中I曲线(或以下)的B点。在点B，前后制动力大致相等，分别为0.2g和0.1g。这对应于图14中出现滑移时特斯拉模型3的再生行为。(图15并不是特斯拉Model 3所特有的，所以不应该期望与图14一致)。

现在我们可以解释这个再生力分配函数是如何在特斯拉的牵引控制系统完成。图16显示了牵引控制器作为驱动电机控制系统的一部分。车辆扭矩命令生成功能包含如图8所示的油门踏板map，该map将油门踏板值转换为车辆总扭矩请求。最优扭矩分割功能包含两个驱动电机扭矩图，将车辆总扭矩请求转换为两对电机扭矩和磁链命令，分别对应于前、后两个电机，如图9所示。最佳的扭矩分割是在它们最有效的运行点运行电机，如图11所示。这可能涉及在某些操作点仅使用一个电机，然而，只有在车轮不打滑的情况下，才提供可接受的车辆稳定性。在出现车轮打滑的情况下，牵引力控制系统将最佳扭矩分离功能中的两个扭矩重新分配为两个新的前扭矩和后扭矩，以便在图15的I型曲线上或以下运行。这达到了理想的车辆稳定性。

关于图16，还必须注意两点。首先，它提供了从前到后的扭矩重新分配，以便在加速和再生减速时都可以进行牵引力控制。但是，它没有为其他车辆稳定目的（例如转向过度或转向不足）提供更一般的差速（即横向）轮滑控制。这些更通用的车轮打滑控制功能由车辆的制动系统提供。第二，车辆扭矩指令生成功能具有来自车辆稳定性控制系统（VSC）的输入。这是出乎意料的，但不是错误，因为该系统在特斯拉的十项专利中有四项出现在它身上。除了油门踏板之外，这似乎还使VSC系统有权控制车辆的电动机扭矩。

图17为特斯拉牵引控制器功能框图。控制器由四部分组成。第一部分包含牵引控制的第一阶段，该阶段使用基于PID的反馈控制系统独立地使车轮滑移最小化。

当前轮或后轮发生滑移时，该驱动桥上的扭矩减小，并转移到另一个车轮滑移较低的驱动桥上。这可以从图17得到的下列方程中看出：

两个轴都不滑动时，δ1=0，δ2=0，我们得到：

正如预期一样，输出扭矩C_torque1和C_torque2与输入扭矩C_torque1e和C_torque2e相等。

假设δ1=1，δ2=0，表明驱动桥1出现打滑，我们得到：

无滑移的输出从C_torque2e增加到C_torque2e + K2 C_ torque1，将扭矩从1轴转移到2轴。另一轴减小至K1 • C_ torque1e。

在牵引力控制的第二阶段，使用高通滤波器和第二个基于PID的反馈控制器分别独立地将电动机速度的快速扰动最小化。电动机速度快速扰动可能是由于，例如在过度的车轮打滑事件期间，电动机轴上的负载转矩突然大幅度降低，或者是由于一个或两个卡死的车轮突然增大了电动机轴上的负载转矩而引起的。

在第一级和第二级之间是一个瞬态转矩升压前馈控制电路，如图所示为动态升压，它给每个轴增加一定数量的转矩。所增加的转矩量与第一级牵引力控制后的驾驶员转矩请求与组合转矩命令C_torque之间的差成正比。比例常数K1<0和K2<0可以调整为两个轴的不同值。前馈力矩在不影响牵引力控制和车辆稳定性的前提下，提高了车辆性能、车辆对驾驶员要求的响应和驾驶性能。当完全满足转矩要求时，前馈转矩为零，有效车轮滑移率误差为零，最大转矩限制不生效。在车轮打滑导致轴上扭矩减少的情况下，前馈控制的一个效果是增加对另一个轴的扭矩命令，该轴具有更好的轮胎-路面抓地力。前馈控制也向发生车轮滑移的轴增加转矩指令，但由于前馈路径增益相对较小，车轮滑移率误差反馈回路仍占主导地位，将车轮滑移率误差降至最小。

在牵引控制第二阶段结束后，在上一节中，扭矩限制器分别对第二阶段基于C_maxtorque1和C_maxtorque2发出的扭矩命令进行限制。当转矩为负时，此阶段确保在图10所示的电机转矩图的再生部分运行。扭矩限制器的输出是扭矩命令C_torque1和C_torque2。

该控制器仅提供对车轮纵向滑移的牵引力控制，而纵向滑移可以通过从前到后的扭矩再分配来最小化。它不提供基于车轮横向滑移的稳定控制功能，而横向滑移可以通过从左到右的扭矩再分配来解决，比如转向过度和转向不足。这些额外的稳定控制功能必须由车辆的制动系统提供。

在讨论特斯拉的制动系统之前，必须提到的是，特斯拉的某些车辆，包括第1节所述的Model 3，都只有一个后驱动电机。在这种情况下，由于没有前驱动马达，所以再生扭矩无法从后驱动轮传递到前驱动轮。但是，图15的车辆稳定性要求仍然必须适用。在这种情况下，唯一的解决方案是将一些再生转矩从经历打滑的后驱动轴传递到前轮摩擦制动器。

3

制动系统

所有特斯拉汽车上使用的制动系统由三个主要部件组成：

1、制动助力器以及其相关的电子控制模块包含制动力分配功能；

2、制动调制器单元及其相关的电子控制模块，其中包含用于ABS和ESC的打滑控制功能。

3、四个车轮的盘式制动器的制动器和刹车片以及车轮速度传感器。

还有一个完全独立的驻车制动系统，它有自己的控制器、制动执行器和刹车片，这将不在这里讨论。

制动助力器用于特斯拉的制动系统是博世的iBooster如图18至21所示。它使用一个电动马达来提供刹车助力。

除了提供动力增强的电动机外，Bosch iBooster还包括具有PID反馈控制和大功率驱动晶体管的增压电动机控制器，为前后制动执行器提供制动压力的串联主缸，两个制动踏板行程传感器，启用双冗余传感器输出和可编程电子控制单元。它还使用外部制动灯/ STOP开关来感应制动踏板的踩下，以激活制动灯并控制相关的车辆功能。控制单元将驾驶员施加在制动踏板上的力转换为制动液上的液压压力，并将电子指令传递给制动执行器模块中的电磁阀，从而使它们能够控制制动液从主缸到主缸的传递。具有适当制动力分配功能的前后制动执行器。出于安全考虑，iBooster设计为在因任何原因失去助力时允许驾驶员手动应用制动器。

Tesla制动系统中使用的制动调制器单元是Bosch的ESP hev II模块，如图23所示。它是Bosch最新的ESP 9.0 ABS调制器的特殊版本，特别适用于混合动力电动汽车。图24显示，该单元包括十二个以上各种类型的电动电磁阀，两个液压泵，用于操作压力泵的电动机，具有反馈控制的PID控制器以及用于操作电动机的大功率驱动晶体管，蓄能器 ，压力传感器以及用于向泵和电磁阀发出命令的整体电子控制模块。控制模块通过高速CAN总线从iBooster接收命令。命令的响应时间为1ms，以在紧急情况下实现快速制动操作。

图25显示了iBooster和ESP hev II制动调制器如何一起工作以实现制动操作。当电源关闭时，阀门显示在其正常的操作位置，这使加压的制动液从主缸转移到车轮，以允许正常的手动刹车操作。除了通过制动踏板对制动器进行机械激活外，该系统还允许在不依赖于制动踏板的情况下进行电激活，方法是关闭来自主缸的隔离阀，并激活压力泵，为车轮提供所需的制动压力。这种电激活可以在任意一个通道上单独进行，而另一个通道手动操作或同时在两个通道上进行。当在任何一个通道上使用电激活时，驾驶员可以感觉到电激活压力泵提供的制动压力，因为它通过压力释放阀反馈到主缸，如图25中右侧通道所示。在混合动力汽车中，通常需要防止驾驶员感受到电激活的制动压力，以隐藏与制动混合操作相关的手动操作制动压力的变化。因此，博世为此修改了现有的ESP 9.0调制器，将制动液从一个通道返回到流体储层，而不是如图25中左侧通道所示的主缸。这可以防止驾驶员在这个通道中感受到电激活的制动压力。这还需要一种特殊的泄压阀，如图25中黄色所示。总之，这些ESP hev II的修改支持混合动力汽车的刹车混合操作。特斯拉汽车使用ESP hev II，左侧通道位于后轮，右侧通道位于前轮。这允许左手通道电子混合(即替代)摩擦制动压力和再生制动压力在任何数量不超过0.3 g，限制由调制器单元的电动泵提供的最大压力。

图25中的调制器无法支持的一种操作是，当驾驶员将摩擦制动力施加到前轮时，来自后电动机的再生制动力转换为前轮上的摩擦制动力。这对于只有一个后部驱动马达（例如Tesla Model 3）的车辆至关重要。因此，博世对ESP 9.0调制器进行了另一种修改，采用的是电控柱塞形式，如图26所示。马达推动活塞，该活塞将制动液从储存室中排出，从而增加制动压力，就像主缸响应驾驶员推动的活塞增加制动压力一样。双驱动机动车辆不需要此修改，因此未知所有特斯拉车辆是否都使用此修改，还是只有后驱动电机的车辆会这样做，因为这确实增加了调制器的成本。

通过使用如图25或26所示的ESP调制器单元，当制动踏板满足如图27所示的政府要求时，可以实现摩擦刹车的制动力分配。在这种情况下，iBooster向ESP调制器提供如何将车辆的总制动力分配到前轮和后轮的指令，而ESP调制器通过适当控制调制器电磁阀和调制器压力泵来执行这些指令。指令是通过高速CAN总线提供的。指令可以设计为提供任何给定的减速路径，在图27的无阴影(白色)部分。蓝色虚线就是这种路径的一个例子。在后轮驱动的车辆中，这条路径很可能遵循图27所示的理想I曲线。从起点到路径上任何一点的距离给出了减速值z(也称为制动强度或制动严重程度)，它与TMC压力或总制动力成正比。这种制动力分配操作与图15中再生制动力矩的制动力分配不同，其作用于制动踏板下压时的总制动力(即摩擦制动和再生制动)，而不是应用于再生制动时，只有没有刹车踏板被压下，如图15所示。

摩擦制动应用，无论是手动还是电动，在前后轮之间正确分配制动力，仅是ESP hev单元执行功能的一半；另一半功能是防滑控制功能，提供电子车辆稳定性。这些防滑控制功能包括：

1.防抱死制动系统（ABS）。ABS控制器持续监控和比较来自每个车轮上的四个速度传感器的信号。当施加制动器且车轮即将抱死时，ABS调节器将不稳定车轮上的制动压力降低到足以防止车轮抱死的程度。一旦车轮稳定下来，ABS控制器就会增加制动压力，从而始终保持最佳制动力。

2.动态牵引力控制（DTC）。DTC可防止电机扭矩过度到达车轮。其原理与ABS相似，但发生在加速过程中，而不是像ABS那样在减速过程中进行。当车辆只有一侧在低牵引力路面上行驶时，此功能提供了更好的牵引力控制。在松软路面或深雪中加速或上坡时，此功能尤其有用。

DTC增强了特斯拉驱动电机控制系统中牵引力控制器的操作，该系统通过模仿传统差速锁的功能，同时消除同一轴上两个车轮的扭矩。

3.动态制动控制（DBC）。DBC通过自动增加制动压力，在紧急制动情况下帮助驾驶员——如果满足指示紧急制动事件的触发条件，当驾驶员踏板力不足时，DBC使用ABS压力泵增加制动压力。它在3英里/小时以上的任何速度下都会激活。

液压制动压力被设置得驾驶员给到的制动压力快得多，并保持在最佳的ABS工作压力。以下情况下会触发：

a）在踏板力不足的情况下快速踩下制动踏板时。

b）当一个车轮达到ABS控制阈值后，缓慢踩下制动踏板且随后减速要求很高。即开始时需要轻微制动，但随后发生需要尽可能短的停车距离的情况。

4.自动紧急制动（AEB）。当预测到前方碰撞的可能性很高时，AEB会使车辆减速，而无需驾驶员使用制动踏板。AEB使用摩擦制动系统作为执行机构，其被设计为不会过早触发，因为驾驶员可能会因此而受到干扰，从而导致事故。因此，在许多情况下，AEB将减轻碰撞而不是避免碰撞。

5.转弯制动控制（CBC）。如果车辆转弯而未有ABS介入，则CBC可以激活。当制动时检测到横向加速度超过0.6g时，CBC可防止制动力积聚到内侧后轮或外侧前轮。CBC控制器通过关闭进气阀来实现这一点，不增加所需车轮的制动卡钳处的制动压力。从而防止车辆进入可能导致转向不足或转向过度的不稳定状态。此功能仅在踩下制动器时起作用。

6.电子稳定控制系统（ESC）。电子稳定控制系统在转弯过程中保持对车辆的控制。除了车轮转速传感器外，它还使用横摆率和加速度传感器。ESC使用来自转向角传感器的输入计算车辆的预期路径，并将其与来自横摆率传感器的车辆测量转动率进行比较。这使其能够在转弯过程中监控转向不足或转向过度事件。

在转向不足时，后内侧车轮将制动，产生正的横摆扭矩，帮助车辆转弯；

在转向过度时，前外侧车轮将制动，产生负的横摆扭矩，帮助转弯，以及后轴重新获得牵引力。

电子稳定控制系统还控制和限制发动机功率，以支持转弯时轮胎的侧向抓地力。当未应用制动器或横向加速度小于0.6g时，此功能起作用。

7.发动机阻力扭矩控制（EDC）。EDC可防止来自发动机的减速扭矩（即阻力扭矩）锁定后驱车轮，这可能会产生车轮打滑，从而导致车辆在低摩擦路面上减速时绕其纵轴旋转。

最后一个拖动控制功能可能会让读者感到特别有趣，因为它赋予了ESP hev II模块对驱动电机扭矩的权力。这解释了从图16所示的车辆稳定控制系统向驱动电机转矩控制器的输入。但是这个权力不应该足以引起突然加速，因为它被限制增加电机扭矩只有0.2到0.3 g s来抵消一个负的再生扭矩使它等于零。然而，这种权力的驱动电机转矩需要进一步审查专利，以确定该功能如何运行。德尔福的US6535809专利解释说，检查刹车开关是为了确定负扭矩的原因是发动机再生扭矩，而不是摩擦刹车，德国博世专利DE10238224B4显示，在车轮打滑被中和后，MSR控制将继续一个预定的超限时间，而当通过弯道时，这个超限时间比直行时更长，最好在1 - 3s之间最后，许多专利被发现解释了MSR在过弯时比在直行时更敏感。

所有这些滑差控制功能都作为制动系统分包商（在本例中为Bosch）内置在调制器控制单元中的软件，包含在ESP hev II调制器中。该软件是调制器分包商的专有软件，车辆制造商不可对其进行修改。该软件在ESP hev II模块控制单元的本地控制下执行，该控制单元充当CAN总线上的主站，并且该功能始终处于打开状态。这与制动力分配功能相反，该功能作为iBooster控制器的从属设备运行，并且仅在手动制动期间有效。尽管某些汽车制造商为驾驶员提供了关闭某些稳定性控制功能的能力，但特斯拉却没有。

4

制动系统技术要求汇总

特斯拉汽车目前在国际市场上销售，因此必须遵守政府法规。这些法规规定了制动系统必须如何工作，以及其ABS的功能必须如何与再生系统相互作用。必须满足下列政府规定文件：

1.联合国欧洲经济委员会（UN/ECE）第13-H号法规（2017年），附件1至9，“乘用车和轻型商用车制动系统的技术要求、试验方法和限值”;

2.联合国欧洲经济委员会（UN/ECE）第140号法规“关于就电子稳定控制（ESC）系统认证乘用车的统一规定”，2018/1592;

3.美国法规49 CFR 571.126联邦标准第126号;轻型车辆的电子稳定控制系统;

4.“ID4EV-电动汽车的智能动力学”，这是一项基于用户需求和SOTA分析的电动汽车需求和规范研究，由欧洲经济委员会(ECE)在第七框架计划下共同资助的一个欧洲研究项目进行;

5.“再生制动系统的研究”,由B. J. Robinson, C. Visvikis, T. Gibson和I. Knight of the Transport Research Laboratory出版的项目报告No. 1。英国运输技术和标准部的PPR582, 2011年。

6.“带防抱死制动器、牵引力控制和电子稳定控制的通用、常规、液压制动系统的功能安全评估”，作者：C.Becker，D.Arthur和J.Brewer，Volpe国家运输中心，DOT报告编号：DOT HS 812 574，Volpe报告编号：DOT-VNTSC-NHTSA-16-08，2018年;

这些规定及其相关文件提供了以下要求(以下部分列举):

1.“A类电再生制动系统”是指不属于现役制动系统的电再生制动系统;(2.17.2) 29(特斯拉的再生制动系统是A类)。

2.当倒车时或当司机已禁用ESC时，在20km /h以下不需要运行。

3.ESC应在车辆启动后2分钟内进行启动自检。

4.有缺陷的刹车灯开关(又名STOP灯开关)可以触发ESC OFF指示灯。一个烧坏的刹车灯泡也可以触发ESC OFF指示灯。

5.再生制动系统在释放加速器控制装置时产生减速力，应根据以下规定产生上述信号（即制动灯信号或刹车灯信号）。在所有情况下，最迟应在减速度降至0.7m/s2以下时关闭信号。

6.ESC必须保持激活的能力，即使防抱死制动系统或牵引控制系统也被激活。

7.如果安装了防抱死制动系统，其ECU必须包含再生制动系统的控制。通过自动系统使恢复失效是明确允许的。因此，电子稳定控制系统可以关闭再生制动，如果需要。在再生制动系统与防抱死制动系统连接的情况下，需按照规定的测试程序，对装有防抱死系统的车辆进行测试。

8.12V直流供电网络。如果ABS、ESC或类似系统采取了纠正措施（例如，在车轮过度打滑、转向不足或转向过度的情况下），则会只使用摩擦制动器。最先进的制动系统控制器不能使恢复制动扭矩适应驾驶条件。

9.如果ABS激活，再生扭矩应被控制或关闭，直到制动结束(BLS =关闭)。

10.ECE R 13-H(再生制动系统的附加部分):再生制动应考虑车辆的负载(底盘水平)和附着水平。为了避免车轮过度打滑，保证车辆的稳定性和转向能力，必须采用ABS控制器进行控制。

11.当车轮开始抱死时，防抱死制动系统启动。这种情况最容易发生在摩擦系数较低的表面，如冰。然而，当ABS激活时，再生制动通常被关闭，以保护正常的ABS功能。在这种情况下，摩擦制动器需要补偿再生制动的损失，以保持相同的减速水平。将再生制动与ABS集成的策略，特别是转换为摩擦制动的时间，可能会影响车辆的制动性能和踏板感觉。如果装有再生制动的车辆装有防抱死制动系统，则要求防抱死制动系统控制再生制动和摩擦制动，以使系统在发生抱死时减小车轮扭矩。但是，对于如何控制这一点没有要求，因此理论上可以用与行车制动系统相同的方式对其进行调节，或者干脆断开。如果突然断开，还有一个普遍要求，即摩擦制动器应补偿减速的变化，否则会因断开而重新停止，这可能会影响踏板的感觉。负责授予车辆型式认证的英国政府机构车辆认证机构（VCA）将此要求解释为：当再生部件断开时，必须提供补偿。但另一种解释是可以想象的，即这种补偿（摩擦制动在1秒内达到其最终值的75%）仅在再生制动系统在断开前提供制动力矩的情况下才需要。在这方面，条例的措辞有点含糊不清。

12.一位OEM利益相关者(即制造商)表示，再生系统与ABS系统之间的互动不太可能有任何问题，因为当车轮速度/滑移传感器检测到即将发生的轮锁时，控制算法会简单地关闭再生系统，而传统的制动系统，由ABS控制、接管。

13.电子稳定控制系统。关于再生制动与电子稳定控制系统之间的相互作用及其对车辆稳定性的影响的研究很少。Hancock和Assidian（2005）研究了再生制动对转弯过程中车辆稳定性的影响。本研究采用一辆混合动力运动型多功能车的整车模型（在计算机仿真中）。根据后桥的大小，可以减少再生电机的摩擦系数。在高表面上安装中等尺寸的电机时，稳定性的降低由ESC系统控制，而不会大幅增加ESC制动压力。然而，在低幅（摩擦）路面上，稳定性降低更为严重，ESC无法补偿。为了防止再生制动导致车轮打滑，提出了两种解决方案：第一，一旦任一后轮的纵向滑移超过规定的临界值，则转换为摩擦制动；第二，锁定中央联轴器。从稳定性的角度来看，这两种解决方案都是有效的，但后者还有一个额外的优势，即最大限度地回收能量。然而，作者建议进一步研究评估对ABS/ESC性能的潜在影响。

14.防抱死制动系统。美国国家公路交通安全管理局（NHTSA）收到了来自丰田普锐斯车主的1200多起投诉，指控其在不平路面上的制动性能瞬间降低。丰田直接接到了近200宗投诉。该公司进行了刹车测试，试图重现这一现象，发现制动力在防抱死制动系统激活后降低。进一步的调查显示，许多司机都经历过这种现象，特别是在冬季，司机可能会保持固定的踏板行程。在这些情况下，丰田发现“相对于驾驶员对给定踏板力的期望值，车辆的停车距离可能会增加。”这种情况是ABS软件的结果，该软件允许改变制动力。尽管ABS按设计运行，但丰田还是自愿召回了普锐斯（Prius）和雷克萨斯HS250H（lexushs250h）的ABS控制单元。看来，在这个特殊的系统中，从再生制动到常用制动（即液压制动）的过渡被驾驶员视为制动力的变化。在某些情况下，驾驶员需要更用力地踩下制动踏板以保持相同的减速度。

15.电子制动功能要求：

前后轮之间的制动力比例，以最大限度地提高制动效果。

左右车轮之间的制动力比例，以最大限度地提高制动效果。

控制制动液压力，以防止ABS事件期间车轮在制动时抱死。

在牵引力控制系统（TCS）事件中提供选择性车轮制动。

控制每个车轮的制动液压力，以在电子稳定控制（ESC）事件期间，包括在极端动态操纵和恶劣道路条件下，提供车辆控制。

提供制动力以支持其他高级制动功能（例如，坡道保持）。

实施制动请求以支持其他车辆系统。

使用可用的传感器和型号测量并提供车速。

与转向系统和其他车辆系统协调横摆角速度稳定。

与内部子系统和外部车辆系统通信。

请求驱动电机控制器/电子节气门控制器增加扭矩，以防止突然减速时车轮抱死。

当需要支持牵引力控制系统（TCS）或电子稳定控制（ESC）事件时，请求ACS/ETC减小油门。

值得注意的是，要求15.11和15.12规定制动系统可以分别要求驱动电机在响应突然减速或牵引控制/电子稳定控制事件时增加或减少扭。

综上所述，这些要求表明，不受摩擦制动系统控制的再生与制动调制器模块的滑移控制功能不相容。这种不兼容不仅适用于使用制动踏板激活再生的B类车辆(因此必须将再生扭矩与摩擦制动扭矩混合)，也适用于特斯拉等使用油门踏板单踏板驾驶的A类车辆。这种不兼容性的出现是因为制动调制器中的滑移控制算法需要知道在算法处于激活状态时作用在车辆上的所有制动力，而当再生引起的制动力不在它们的控制之下时，它们就失去了有效性。这就是为什么法规要求制动系统必须控制所有的制动力，包括再生造成的制动力。这就是为什么当这些算法被激活时，再生必须被关闭，因为关闭再生将车辆上的力降低到正常情况下的制动系统力。这是所有有内燃机的车辆的情况，这是算法最初开发时假定的情况。

5

Model 3突然加速原因分析

我们现在可以回答第二节中提出的一些列问题。如果我们以略微不同的顺序回答这些问题，将有助于更好地解释所发生的事件。

1、当驾驶员声称当时车辆处于HOLD模式且驾驶员未踩下加速踏板时，为什么在转弯期间车速数据和纵向加速度数据中似乎没有制动能量回收？

答：即使Model 3能够以低于6 mph的速度在右转弯时进行再生，但EDR车辆速度数据和纵向加速度数据中似乎没有再生，这是因为当驱动器进入其转弯时ESP hev II模块关闭了再生功能 。在转弯过程中关闭再生是Model 3 的正常操作，也是任何具有再生能力的电动汽车的正常操作，因为ABS算法必须知道在算法的时间点上车辆所受的所有力。但由于这些力不是由ESP hev II模块控制，算法无法知道再生力。因此ESP hev II模块除关闭再生外别无选择。

5、为什么当汽车的速度增加时，即使司机在向右转弯，汽车还是向左行驶?

答：车辆向左转向是因为在右转弯时车速的增加导致向右转向过度，从而激活了ESP hev II模块中的电子稳定控制（ESC）功能。该功能通过制动外侧前轮产生反扭矩来减少向右的过度转向。由于在这种情况下，外部前轮是左前轮，因此制动会导致车辆随着电动机速度的增加而向左转。

2、为什么在踩下刹车的同时，后驱动电机的速度却在增加?

答：这是由于在转弯时感应到施加了负加速度，因此ESP hev II模块中的EDC / MSR功能已被激活。从纵向加速度计数据中可以清楚地看到该负加速度。而且我们知道EDC / MSR功能目前处于激活状态，因为它是在这种情况下适用的正确功能，并且因为ESP hev II模块中的其他功能在启用之前和之后都处于激活状态。因此在此期间激活其他一些ECP hev II模块功能是合理的。

现在，EDC / MSR功能旨在减少由发动机产生的拖曳扭矩引起的负加速度，或者在这种情况下，旨在减少由驱动电机引起的再生扭矩。并不旨在减少摩擦制动产生的负加速度。因此它会检查刹车灯开关（即STOP灯开关），以确定产生负加速度的原因。如果开关显示未踩下制动踏板，则表明负加速度是由再生转矩引起的，并通过向驱动电机发送减小负再生转矩的请求来作出响应。该请求一直持续到负再生转矩减小到零为止。但是，如果开关检查显示踩下了制动踏板，则EDC / MSR功能不起作用，ESP hev II模块中的另一个功能会减小负制动扭矩。

在此事件中可能发生的是制动开关故障。结果是当驾驶员踩下制动踏板以产生0.5 g s的负加速度时，制动开关未显示出踩下了制动踏板。因此，当EDC / MSR功能检测到负加速度时，它检查制动开关以找出原因，并得到错误的读数，表明未踩下制动踏板。结果得出结论，负的0.5 g加速度是由驱动电机产生的再生扭矩引起的，而不是像真实情况那样由制动系统引起的。这导致它向驱动电机发送请求，以通过增加驱动电机扭矩来减小负扭矩。由于驱动电机扭矩已经为零，因为在转弯初期已被ESP hev II模块切断了再生，因此增加驱动电机扭矩的要求导致驱动马达扭矩从0增加到RPM，对应于正向0.5gs扭矩。这是我们在纵向加速度数据中看到的，由于CAN总线上的命令延迟而导致的时间延迟只有几百毫秒。在这种情况下，发生的故障是制动灯开关故障导致制动踏板的作用类似于油门踏板。踩下制动踏板的力越强，产生的驱动电动机扭矩就越大。

众所周知，刹车灯开关(即STOP灯开关)会出现故障，导致在踩刹车踏板时刹车灯不能打开。在过去的10年甚至更久的时间里，由于这些故障发生了多次召回，涉及数十万辆汽车。

还需要指出的是，虽然大多数刹车灯开关都是双冗余的，两个开关中的一个打开，另一个关闭，但这种情况下的EDC/MSR算法可能只检查两个开关中的一个来做出决定。这可能会增加刹车开关故障的可能性，从而导致在评估负加速度的来源时出现错误。

3、如果驾驶员将脚踩在制动踏板上以产生-0.5 g的纵向加速度，那么驾驶员又如何同时踩下油门踏板以使驱动电机加速呢？特斯拉曾多次书面声明，当同时踩下油门踏板和制动踏板时，响应刹车踏板，而不是油门踏板。因此，驱动电机的加速不可能是由于驾驶员踩下油门踏板而引起的，而一定是由车辆本身引起的。

答：从对问题二的回答来看，很明显，司机的脚确实踩在了刹车踏板上，踩下刹车踏板是汽车驱动电机加速产生突然加速的原因之一。然而，突然加速的主要原因是制动开关故障，导致EDC/MSR功能错误地将负加速度理解为来自驱动电机而不是制动踏板。

4、为什么在加速踏板读数降至零后，驱动电机的速度仍然很高，车辆仍然继续向前加速?

即使在油门踏板读数降回零后，驱动电机的速度仍然很高，因为EDC/MSR功能通常会继续施加补偿力矩，即使在最初的负阻力力矩降至零后。这就是EDC/MSR算法的工作原理，正如博世专利DE10238224B4在第四节中提到的那样。这种行为的目的是，EDC/MSR功能在高速公路上通过弯道时最常用。延迟允许车辆在正加速被移除之前离开弯道，这是良好的驾驶实践。

6、为什么EDR数据显示驾驶员没有踩刹车踏板，但是驾驶员坚称她确实踩了刹车踏板，而且特斯拉的日志数据也证明了这一点?

答：数据显示刹车踏板没有被踩下。但驾驶员可能确实踩下了刹车踏板，因为驾驶员一直坚称踩下了制动踏板——这是有可能的，特斯拉的调查分析也支持驾驶员的观点。这可能恰巧印证了问题二当中给出的假设：制动灯开关存在故障。

7、如果司机从未踩过加速踏板，那为什么EDR数据显示他踩过加速踏板?

大多数人100%相信，如果加速踏板数据不为零，那么司机是踩了加速踏板，而不是刹车踏板。对他们来说，这是所有所谓突然加速事件的原因。然而，在这起事故中，EDR数据显示，加速度计检测到负0.5 g纵向加速度，这只能是由司机踩刹车踏板造成的，因为这个加速度超过了负0.3 g的最大再生加速度。在负0.5 g加速度的同时，EDR数据显示油门踏板数据变得非零，这将产生正的纵向加速度。因此，驾驶员的脚必须在加速踏板数据变为非零的同时踩在制动踏板上，这怎么可能？

为了回答这个问题，让我们首先更详细地阐明正在发生的事情。图30显示了此事件中涉及的事件序列。驾驶员的脚既可以踩在刹车踏板上，也可以踩在油门踏板上，但不能同时踩在两种踏板上。这解释了图30中的异或(XOR)函数。按下刹车踏板产生0.5 g s的负加速度，这被纵向加速度计记录。制动调制器中的EDC/MSR算法也检测到了这种负加速度，在检查制动灯开关缺陷后，将负加速度解释为驱动电机拖动力矩。因此向驱动电机发出正电机转矩请求，以抵消负拖动转矩。该请求通过CAN总线传递到驱动电机控制系统中的车辆扭矩命令生成函数的VSC输入(图16)，在那里它成为了对驱动电机扭矩图的正向扭矩请求。

考虑到这一系列事件，现在要问的问题是:如果司机从未踩过油门踏板，那么为什么EDR数据显示在这起事故中踩过油门踏板?如果油门踏板EDR数据来源于图30中位置1，大多数人会认为非零的油门踏板数据是没有意义的，因为没有踩下油门踏板。因此，它应该保持为零，这导致了本次事件中EDR数据的矛盾。另一方面，如果我们相信1号位置的非零加速踏板数据是正确的，这让我们相信油门踏板被踩下了，我们就无法解释纵向加速度计记录的负0.5 g加速度是如何产生的。

对于该事件中油门踏板数据不为零的另一种解释是，油门踏板数据实际上是从图30中的位置2获得的。当踩下油门踏板或EDC/MSR功能发出正向扭矩命令时，这将产生非零的油门踏板数据。2号位置完全符合NHTSA关于EDR加速踏板%数据来源的规定，因为该规定允许在内燃机中记录加速踏板%数据或油门位置数据。如果EDR油门踏板数据来自事故中的2号位置，EDR油门踏板数据与本次事故的纵向加速度计数据不存在矛盾。

8、为什么EDR数据显示ABS系统没有启动，而加速度计数据和日志数据的信件都证实了ABS系统启动?

答：ABS系统这个术语有两种含义。在某些情况下，它可以指ESP hev II模块及其第四节中列出的所有初始功能。在其他情况下，它可以指ESP hev II模块中包含的功能之一;即ABS功能，产生一个开/关制动力调制，以防止车轮锁住存在滑移。据信，后一种含义适用于EDR系统记录的ABS激活指标。如果是这种情况，表明ABS系统未能接合的EDR数据是正确的，这意味着带有ON/OFF调制的ABS算法没有被激活。然而，ESP hev II模块的其他功能仍然可以激活，当然也激活了，如ESC功能、EDC/MSR功能，可能还有弯角制动控制(CBC)功能。防抱死系统的警告灯是否啮合是一个有趣的信息。但这对于理解在这次事件中发生了什么并不重要。更重要的是，在此事件中，ESP hev II模块的三个功能确实被激活。

现在，我们已经回答了EDR数据提出的所有问题。这仅使用一个假设即可完成；也就是说，刹车灯开关的故障导致ESP hev II模块中的EDC / MSR功能对其遇到的负加速度的来源做出错误的决定，从而导致EDC / MSR功能向驱动器发出请求电机具有较大的正转矩。该假设得到以下方面的支持：

1）即使驾驶员坚持认为自己确实踩下了制动踏板，并且即使日志数据也证实了这一点，但EDR数据表明仍未踩下制动踏板。

2）在过去10年里，几乎所有制造商的数十万辆乘用车都受到了刹车灯开关缺陷的影响。如果对我们最初的突然加速事件的这种解释是正确的，那么它也应该解释其他特斯拉的突然加速事件。

    END