Toyota finalmente presenta una (vera) auto elettrica: ecco la bZ4X, con volante steer-by-wire

[schwalbe]

frncr scordi che molte funzioni, o meglio attuatori, son previsti che in caso di rottura vanno in safe. La pinza del freno che nomini, per anomalie o rotture, frena col comando del guidatore e non si apre. L'impianto è sempre stato sdoppiato per aver metà dei freni in caso di guasto, anche se rimane un solo punto non ridondante che è la rottura del pedale.

Nel caso del volante non più collegato fisicamente, che safe mode attui?
Non c'è risposta, quindi come per gli aerei che menzionavamo prima, l'unica è che non si guasti. Ma siccome i guasti avvengono, ci vuole ridondanza almeno tripla per aver sempre una coppia di attuatori/sensori in accordo fra di loro e in grado di agire. Nelle auto, per ragioni di costo, lo si farà o si ragionerà per statistica: ovvero se ne capita pochi, una piccola parte di questi saranno gravi, quindi risparmiamo e pace all'anima di chi ne perisce...


Sì, !Fazz, il primo è stato l'F-16 col joystick sulla console. Da questa esperienza è stato subito visto che ci vuole anche il force feedback perché parte delle sensazioni utili nel pilotaggio di un qualsiasi mezzo è dato dallo sforzo, o meglio dalle sue variazioni, dei comandi durante l'uso.
E come nei videogiochi, trasportare fedelmente queste sensazioni è parte della buona riuscita di un sistema rispetto ad un altro.

Ed è vero che il FBW fa volare aerei instabili (ma iper-reattivi, che è lo scopo che si vuol raggiungere nel militare) solo con l'ausilio del computer. Va al di là delle nostre capacità.

Trasportando il tutto all'auto non c'è questo pericolo. Potrebbe interessare solo le competizioni, ma è vietato da regolamento in molte categorie.

[LMCH]

Spero solo che il sistema drive-by-wire abbia un feedback aptico adeguato in modo da impedire manovre suicide (con un motorino elettrico collegato allo sterzo che "resiste" (senza bloccare) a rotazioni del volante potenzialmente pericolose in base alla velocità.
E minimo ridondanza tripla su sensori, attuatori e logica, naturalmente.

[zappy]

Originariamente inviato da pin-head

È sia intelligente (molto più che avere pulsantini sparsi in giro e lucette tipo albero di natale) che sicuro.
Quando salirai su una model 3 o Y e girerai un po’, capirai.

tu invece evidentemente non sei in grado di capire.
buona serata.

Originariamente inviato da schwalbe

frncr scordi che molte funzioni, o meglio attuatori, ...

l'ho detto io e l'ha detto frncr. NO, non è così.
l'ho già ripetuto più volte e non ripeterò ulteriormente.

[schwalbe]

Originariamente inviato da zappy

l'ho detto io e l'ha detto frncr. NO, non è così.
l'ho già ripetuto più volte e non ripeterò ulteriormente.

Puoi dirlo finché ti pare, ma se non hanno cambiato i regolamenti adesso, certi componenti critici son progettati in maniera che in caso di rottura devono andare verso la sicurezza, e non il contrario.
L'ABS quando è nato era previsto che in caso di malfunzionamento ti rimane la frenata non assistita, e non che non frena più.

[Raid5]

Ma su un'auto elettrica è il caso di specificare che la velocità massima è limitata elettronicamente? Avete paura che qualcuno possa pensare che ci sia un limitatore meccanico?

[kreijack]

Originariamente inviato da WarDuck

In generale comunque mi sembra che il circuito frenante e l'ABS non vengano controllati dalla centralina principale della vettura ma vi sia un circuito dedicato, correggetemi se sbaglio.

Senz'altro si; ed immagino che la centralina a sua volta sia "supervisionata" da un'altra logica che controlla la coerenza della gestione. In un azienda in cui ho lavorato la parte esecutiva e quella di controllo erano scritti in linguaggi differenti ed usavano (per design) algoritmi differenti.
Ma forse quello è il minore dei problemi.L'elettronica è abbastanza robusta e stabile. Anche se quando impazzisce, lo fa in modi spettacolari.

Di contro la meccanica (ed i sensori) sono intrinsecamente meno affidabili: i primi soffrono dell'usura ed i secondi della deriva.

Per i primi si può lavorare sul dimensionamento e sui test di vita, mentre sui secondi in genere si ricorre alla ridondanza; meglio con sensori funzionanti su principi diversi (p.e. misuro la pressione in un punto e la correlo con la portata in un altro).

Il vantaggio della meccanica è che la rottura definitiva è anticipata da rumori anomali che un "orecchio attento" riesce ad intercettare per tempo.

Un altra cosa da tenere conto è che la ridondanza non serve se poi si lasciano punti di failure non ridondati: provate a pensare che succede se salta il regolatore di tensione dell'alternatore ? Al mio capo successe e fu un esperienza mistica: la macchina brillò tutta di una luce intensa, molto intensa... per qualche secondo, poi tutto spento; ovviamente stava in marcia, sotto l'acqua e di notte!
Il giorno dopo la buttò perché tutto l'impianto elettrico era andato !

Infine una considerazione: rispetto ai vecchi impianti composti da una pompa in cui al massimo poteva esserci una perdita sulla tenuta (che comunque tipicamente era progressiva e dava comunque dei preavvisi). Questi nuovi impianti hanno moltissimi componenti in più; senz'altro saranno sicuri, ma è tutto da vedere quanto saranno affidabili...

[pin-head]

Originariamente inviato da zappy

tu invece evidentemente non sei in grado di capire.
buona serata.

Potrei dire lo stesso.

[Pino90]

Originariamente inviato da Sp3cialFx

ma poi non ho capito tutte queste supposizioni, ok che ormai con i complottisti vale tutto, ma "se si rompe ma se si rompe in modo tale che non capisce che si è rotto" a me pare una cosa totalmente assurda;

Sono un ingegnere certificato dal TÜV su ISO 26262 e IEC 61508, il mio lavoro è occuparmi di sistemi safety critical (vedere norme a riguardo, per farsi una idea ISO 12100 o IEC61508 in ambito industriale oppure ISO 26262 in ambito automotive).

Il punto dei sistemi safety critical è che se si rompono non perdi la funzione di sicurezza che implementano, !fazz ha fatto degli esempi utili tipo l'ABS che se si rompe non perdi la funzione di sicurezza (frenare).

Questi sistemi critici sono tutti almeno ridondanti o con un hardware failure tolerance molto alto (praticamente tutto quello che va in una macchina implementa le due cose). Questo significa che la combinazione di due guasti insieme ti permette di non perdere la funzione di sicurezza.

Occhio che parliamo di elettronica e del software che ci sta sopra, se cambia l'ambiente esterno un sistema di sicurezza non ci può fare niente (esempio pratico se si trancia il cavo di controllo). Questo ovviamente accade anche in un sistema meccanico, se perdi il liquido del servosterzo o se si sgancia un braccio (cioè cambia l'ambiente operativo) non ci puoi fare niente e hai perso la funzione di sicurezza.

La cosa è complessa ma insomma è talmente costoso certificare un sistema safety critical che se l'hanno introdotto significa che è sicuro, i costi di validazione e verificazione rappresentano normalmente fra il 50 e l'80% del budget di un progetto intero quindi mica bruscolini, se sono arrivati a certificarlo è ok.

Originariamente inviato da leoben

Alfa Romeo su Stelvio e Giulia ha il brake by wire fin dalla nascita di questi due modelli.
Il sistema prevede comunque un'attuazione meccanica in caso di malfunzionamento, ma ho paura che si torni al discorso che faceva zappy (cioè deve accorgersi di essere guasto).



Potrebbe anche guastarsi nel senso opposto, portando l'acceleratore a manetta.
Ok che i freni avranno maggior potenza frenante rispetto alla spinta del motore, ma se ti succede in prossimità di una curva quando sicuramente non te lo aspetti...

Anche l'acceleratore è un sistema critico, nello specifico c'è un doppio controllo indipendente della posizione dell'acceleratore e una ridondanza meccanica per rilevare i guasti. Quella ECU la sviluppa Magneti Marelli, non posso dire molto ma so bene di cosa parlo e che si rompa perdendo la funzione di sicurezza è praticamente impossibile (10^-4 di probabilità parliamo di un sistema ASIL C).

Occhio che il fatto che sia elettronica non significa meno sicura, gli acceleratori delle macchine sono quasi tutti elettronici da quando esiste l'iniezione diretta e non ci sono stati particolari problemi, è molto più probabile una rottura al motore che controlla la farfalla di aspirazione che causa l'accelerazione incontrollabile del motore.

PS A me successe con una moto non mia che si bloccò il cavo dell'acceleratore, tutto meccanico moto a carburatori, me la sono vista brutta.

Originariamente inviato da !fazz

l'autodiagnosi dell'elettronica è fattibilissima e si usa da anni in ambito industriale, generalmente si fà duplicando o triplicando l'hw e confrontando continuamente i risultati ed i valori delle varie uscite; con una ridondanza doppia in caso di guasto il sistema si deve mettere automaticamente in fail mode mentre con una tripla ridondanza in logica 2 su 3 (aka vince la maggioranza) il sistema può operare anche con uno dei 3 sottosistemi guasti

Grazie !fazz, poi qua si apre un mondo e dipende da che tipo di rischio si sta mitigando con quel sistema. Ad esempio l'auto con l'ABS rotto può viaggiare così come con l'airbag, lo stato fail safe di un acceleratore rotto è di non accelerare perché se si perde anche l'altra ridondanza sono dolori.
Per questo i sistemi più critici sono tutti ASIL-D con ridondanza diversa per mitigare gli errori sistemici (ad esempio bug della CPU o del codice) e separata, possibilmente con sistemi anche tecnologicamente diversi - ad esempio un sistema puramente meccanico accoppiato ad uno ridondante elettronico.

L'autodiagnosi e il mantenimento della funzione di sicurezza sono tipo la base dell'elettronica industriale e automotive.

Per il resto quoto schwalbe, ho fatto 3 anni nell'aerospace e le complessità raggiunte anche dai più banali sistemi sono pazzesche.

[Pino90]

Tornando IT bella la macchina, spero che sulla stessa piattaforma sviluppino altri modelli un po' più tradizionali e meno SUV.
Il volante quadrato non mi piace, per il resto questa è per una volta un'auto che potrei comprare e che è "normale", e non grida "sono elettrica" a squarciagola.

[leoben]

Grazie Pino90 per la spiegazione molto esaustiva e soprattutto rassicurante

[Qarboz]

Originariamente inviato da Pino90

Sono un ingegnere certificato dal TÜV su ISO 26262 e ISO 61508, il mio lavoro è occuparmi di sistemi safety critical (vedere norme a riguardo, per farsi una idea ISO 12100 o IEC61508 in ambito industriale oppure ISO 26262 in ambito automotive).

I miei rispetti

Originariamente inviato da Pino90

[...]
i costi di validazione e verificazione rappresentano normalmente fra il 50 e l'80% del budget di un progetto intero
[...]

[Uncle Scrooge]

Il problema più grosso dello sterzo totalmente elettronico è che se la macchina ti si pianta in mezzo alla strada in città (magari ad un incrocio) non puoi nemmeno spingerla a mano per accostarti al ciglio della strada perché le ruote non sterzano.

Insomma è una macchina che non può essere nemmeno spinta a mano o trainata con un cavo in caso di necessità se non c'è un po' di energia residua nelle batterie.

[zappy]

Originariamente inviato da Uncle Scrooge

Il problema più grosso dello sterzo totalmente elettronico è che se la macchina ti si pianta in mezzo alla strada in città (magari ad un incrocio) non puoi nemmeno spingerla a mano per accostarti al ciglio della strada perché le ruote non sterzano.

Insomma è una macchina che non può essere nemmeno spinta a mano o trainata con un cavo in caso di necessità se non c'è un po' di energia residua nelle batterie.

verrà inserita una manovella da infilare da qualche parte per sterzare in caso di emergenza