动力总成的电子控制，特别是从物理机械方面转向线控，这个一向是各家众矢之的。做这个的好处是，门槛太高，别人根本做不进去；坏处是，一旦出事故，给道路安全局细查，请出NASA这样的安全大家来，对丰田来说也是一次挑战。如前所述，我们只有通过细致的分析和整理，才能下判断，到底做好的地方在哪里，做的不好的地方在哪里。限于本人知识层面的原因，面对这么多材料，本身也有个吸收和思考过程，这里先抛砖引玉出来。

　　基本框图如下，第二代与第一代相比，真正去除了物理连接

　　功能设计：

　　节气门位置传感器 节流位置传感器安装在节气门体以检测节流阀的开口角度。节气门控制电机 直流马达具有优异的响应和最小的功率消耗用于节气门控制电机。对ECM进行方向的占空比控制和流向节气门电流，来控制电机以便调整节气门的开度角。

　　1）故障安全加速踏板位置传感器

　　加速器踏板位置传感器包括两个（主，次）传感器电路。如果在任一个传感器电路的故障，则ECM检测由这两个传感器电路电压差的异常信号，并切换到（Limp Home）跛行模式，剩余的电路用于计算加速器踏板压下角度，以便根据跛行模式控制操作车辆。

　　如果这两个电路有故障，则ECM通过从这两个传感器电路的电压检测异常信号和中止节气门控制。此时，车辆可以其怠速范围内被驱动。

　　2）故障安全节气门位置传感器

　　节流位置传感器包括两个（主，次）传感器电路。如果在任一方或双方的传感器电路的故障，则ECM检测由这两个传感器电路之间的电压差的异常信号，切断向节气门控制电动机的电流，并切换到跛行模式。回位弹簧的力使节流阀返回并停留在规定的开度角。

　　此时，车辆可以被驱动在跛行模式，而发动机输出通过燃料喷射（间歇燃料切断）和点火正时根据所述油门开度的控制调节。

　　如果对ECM检测节气门控制电机系统故障影响。

　　用Exponent里面报告框图更清楚一些，如下

　　在UA报告里面(P50页)有一个更系统的System Function Flow Diagram，这是非发布的信息，留在报告里面难得，大家可以去参考一下。

　　在主报告里面，有顶层的故障树、鱼骨图和FMEA，这里挑故障树和系统问题概览来考虑

　　故障树

　　系统问题概览

　　在软件和系统安全里面，原本刹车就是作为一个重要的量在顶层策略里面独立出来的

　　这个图可能更清晰一些

　　这篇文章有些走马观花，后续文章从两个角度来看解析

　　1）丰田是怎么来设计系统的

　　2）Expotent和NASA是怎么来评估的

　　我想写这个系列文章，主要目的还是让大家有空看看，你在做这个系统的时候，遇到这样的问题，如何考虑问题，设计系统和对付各种不安全的情况，越做越大的同时，风险也在累积。