CN117162949B - 一种asil-b mcu实现asil-c汽车备用电源的方法 - Google Patents

Abstract

本发明公开了一种ASIL‑B MCU实现ASIL‑C汽车备用电源的方法，属于汽车备用电源技术领域。该系统包括ASIL‑B功能安全等级的MCU与数字电路组成的监控回路用于监视电网失效，生成第一开关控制信号；所述MCU采用通知的方式输出CAN报文信号给冗余电路，冗余电路生成第二开关控制信号，以保证在所述MCU异常情况下输出正确的控制信号；所述第一开关控制信号和第二开关控制信号经过逻辑或门后输出到送电开关。本发明采用ASIL‑B级别的MCU与ASIL‑A级别的硬件回路共同组成满足ASIL‑C级别功能安全目标的备用电源系统设计，从而降低物料成本和开发周期，特别是降低了软件开发的复杂冗余和校核难度。

Description

一种ASIL-B MCU实现ASIL-C汽车备用电源的方法

技术领域

本发明涉及汽车备用电源技术领域，特别涉及一种ASIL-B MCU实现ASIL-C汽车备用电源的方法。

背景技术

备用电源系统供电对象包括制动系统ECU、EPB系统、车门自动解锁系统和紧急呼叫系统，其中对制动系统ECU供电需要满足客户要求的ASIL（汽车安全完整性等级） C等级要求。

BMS(Battery Management System-电池管理系统）的功能架构如图1所示，将传感器测量到的电压、电流及温度信号作为BMS的输入信号，分别记为S1、S2、S3，这3个输入信号是由相互独立的传感器分别检测出的；MCU将运算后的输入信号，转化为触发信息并发送给执行器。其安全目标为计算电池SOF（State of function）并判断是否满足对制动系统ECU供电输出能力要求，由于制动系统ECU供电需要满足客户要求的ASIL-C等级要求，则BMS的ASIL等级要求为ASIL-C，那么BMS的各个部分均继承BMS的ASIL，即传感器、 MCU、执行器都需要按照 ASIL-C的等级开发。在通常的技术实现中，核心元件一般需要采用满足ASIL-C等级的零部件，比如微控制单元MCU，但实际上由于处理器芯片供应商元件的可选择性，只能选择更高等级的ASIL-D元件向下覆盖，其架构一般需要采用具有冗余硬件的设计。但采用ASIL-D级别的MCU，会造成系统包括软硬件的过设计，增加物料和开发成本。而如果可以采用ASIL-B级别的MCU，其功能安全架构可以大大简化，因此如果能用ASIL-B等级的MCU实现满足ASIL-C等级的功能安全目标，那么从物料成本和开发周期上来说是有优势的，特别是降低了软件开发的复杂冗余和校核难度。

发明内容

针对现有技术的问题，本发明的目的在于提供一种使用ASIL-B等级核心处理器元件来实现ASIL-C等级功能安全目标的汽车12V备用电源系统。ASIL-C功能安全目标是：当电网失效时，备用电源应在2ms内输出制动系统ECU。基于功能安全的分解原则，可以将原来的ASIL-C功能安全目标，分解为如下两个级别较低的子目标：

A.设置硬件组件监视12V电网，当电网失效时，备用电源应在2ms内输出制动系统ECU-ASIL-A(C) 。

B. 设置软硬件(MCU)组件监视12V电网，当电网失效时，备用电源应在2ms内输出制动系统ECU-ASIL-B(C)。

为了达到上述目的，本发明提供了一种ASIL-B MCU实现ASIL-C汽车备用电源的方法，包括：

ASIL-B功能安全等级的MCU与数字电路组成的监控回路用于监视主电源电网失效，生成第一开关控制信号；

同时所述MCU输出的CAN报文信号采用通知的方式给冗余电路，所述冗余电路生成第二开关控制信号，以保证在所述MCU异常情况下输出正确的控制信号；

所述第一开关控制信号和第二开关控制信号经过逻辑或门后输出到送电开关。

进一步的，所述MCU包括接收整车CAN报文的CAN FD模块，所述接收整车CAN报文的CAN FD模块接收整车CAN报文并进行译码，输出备用电源的使能/取消信号和低压网络电压恢复信号，其作为CAN报文信号发送给所述冗余电路。

进一步的，所述监控回路的数字电路包括第二单稳态触发器Q2、第二整车上电信号判断模块和第二低压网络电压采集模块；

所述第二整车上电信号判断模块接收整车上电IG ON信号；所述第二低压网络电压采集模块采集低压供电网络电压BIN电压；所述第二整车上电信号判断模块的输出信号和第二低压网络电压采集模块的输出信号通过逻辑与门相与后，输入所述第二单稳态触发器Q2的CLK信号端口；所述第二单稳态触发器Q2的CLR端口输入来自于三个信号相与后的输出，作为取消输出的条件，所述三个信号分别为：

A2:所述第二低压网络电压采集模块采集的电压恢复信号和所述低压网络电压恢复信号相与后的信号并取反；

B2:所述输出备用电源的使能/取消信号；

C2:所述第二单稳态触发器Q2的Q输出端口的输出超过T2时间后的信号并取反；

所述第二单稳态触发器Q2的Q输出端口的输出为所述第一开关控制信号。

进一步的，所述第二低压网络电压采集模块的输出信号送入逻辑与门前经过高频的硬件电压比较器和延时滤波；所述第二整车上电信号判断模块延时要求1s；所述第二低压网络电压采集模块在1-1.5ms内作出判断，2ms内输出，所述T2为60s。

进一步的，所述冗余电路包括第一整车上电信号判断模块、第一低压网络电压采集模块、第一单稳态触发器Q1、第三单稳态触发器Q3和第四单稳态触发器Q4；

所述第一整车上电信号判断模块接收整车上电IG ON信号；所述第一低压网络电压采集模块采集低压供电网络电压BIN电压；

所述MCU输出的使能/取消信号送入所述第三单稳态触发器Q3的D端口，所述MCU输出的使能/取消信号变化时产生正脉冲输入所述第三单稳态触发器Q3的CLK端口，所述第三单稳态触发器Q3在上电时通过硬件电路预置为1；

所述第一低压网络电压采集模块采集的电压恢复信号与所述MCU输出的低压网络电压恢复信号相与生成第一信号；所述第一信号送入所述第四单稳态触发器Q4的D端口，所述第一信号变化时产生正脉冲输入所述第四单稳态触发器Q4的CLK端口；

所述第一整车上电信号判断模块和第一低压网络电压采集模块的输出信号通过逻辑与门相与后，输入所述第一单稳态触发器Q1的CLK信号端口；所述第一单稳态触发器Q1的CLR端口输入来自于三个信号相与后的输出，作为取消输出的条件，所述三个信号分别为：

A1:所述第三单稳态触发器Q3的Q输出端口的信号；

B1:所述第一单稳态触发器Q1的Q输出端口的输出超过T1时间后的信号并取反；

C1:所述第四单稳态触发器Q4的Q非输出端口的输出信号；

所述第一单稳态触发器Q1的Q输出端口的输出为所述第二开关控制信号。

进一步的，所述第一低压网络电压采集模块的输出信号送入逻辑与门前经过高频的硬件电压比较器和延时滤波；所述第一整车上电信号判断模块延时要求1s；所述第一低压网络电压采集模块在1-1.5ms内作出判断，2ms内输出；所述T1为60s。

进一步的，所述的逻辑或门选用符合ASIL-C等级要求的硬件；所述冗余电路选用ASIL-A级别的数字电路实现。

进一步的，所述冗余电路还包括故障模拟模块，所述MCU还包括供电输出回采模块；所述故障模拟模块的输入为所述MCU在每次整车上电后发送的故障注入指令，输出给所述第一低压网络电压采集模块；通过所述供电输出回采模块回采所述第一单稳态触发器Q1输出，用于检测所述冗余电路是否正常工作。

进一步的，所述MCU还包括回采备用电源的使能信号模块，在每次整车上电后，采集所述第三单稳态触发器Q3的Q输出端口的信号，比较其与所述输出备用电源的使能/取消信号，如果不一致，会向整车发送报警信号。

本发明的有益效果：

本发明可以实现用ASIL-B等级的MCU满足ASIL-C等级的功能安全目标，从物料成本和开发周期上来说是有优势的，特别是降低了软件开发的复杂冗余和校核难度。

附图说明

图1是本发明实施例BMS功能架构示意图。

图2是本发明实施例ASIL-B MCU实现ASIL-C汽车备用电源的方法架构示意图。

图3是本发明一实施例电路示意图。

具体实施方式

下面结合附图和实施例对本发明做进一步的解释。

本发明实施例针对如下两个安全子目标分解为两个回路，监控回路和冗余电路，采用 ASIL-B级别的MCU，与ASIL-A级别的硬件共同组成满足ASIL-C级别功能安全目标的备用电源系统设计。

设置硬件组件监视12V电网，当电网失效时，备用电源应在2ms内输出制动系统ECU-ASIL-A(C) 。

设置软硬件(MCU)组件监视12V电网，当电网失效时，备用电源应在2ms内输出制动系统ECU-ASIL-B(C)。

如图2、图3所示，本发明实施例提供的ASIL-B MCU实现ASIL-C汽车备用电源的方法包括：

S101、ASIL-B功能安全等级的MCU与数字电路组成的监控回路用于监视主电源电网失效，生成第一开关控制信号。

其中，MCU包括接收整车CAN报文的CAN FD模块，所述接收整车CAN报文的CAN FD模块接收整车CAN报文并进行译码，输出备用电源的使能/取消信号和低压网络电压恢复信号，其作为CAN报文信号发送给所述冗余电路。

监控回路的数字电路包括第二单稳态触发器Q2、第二整车上电信号判断模块和第二低压网络电压采集模块；

第二整车上电信号判断模块（ IG Monitoring Module2）：作为备用电源供电判断的输入条件之一，接收整车上电 IG ON信号，同时根据客户要求，整车下电IG OFF延时1s，以扩大备用供电覆盖范围。

第二低压网络电压采集模块（ BIN Monitoring Module2）：作为备用电源供电判断的输入条件之二，采集BIN电压（低压供电网络的电压值，即12V电压），并在1-1.5ms内作出判断，2ms内输出（包括判断和输出的时间），是备用电源的核心模块之一。第二低压网络电压采集模块的输出信号送入逻辑与门前经过高频的硬件电压比较器和延时滤波。

第二单稳态触发器Q2：第二整车上电信号判断模块的输出信号和第二低压网络电压采集模块的输出信号通过逻辑与门相与后，输入第二单稳态触发器Q2的CLK信号端口；第二单稳态触发器Q2的CLR端口输入来自于三个信号相与后的输出，作为取消输出的条件，三个信号分别为：

A2:第二低压网络电压采集模块采集的电压恢复信号和低压网络电压恢复信号相与后的信号并取反；

B2:输出备用电源的使能/取消信号；

C2:第二单稳态触发器Q2的Q输出端口的输出超过T2时间后的信号并取反。

第二单稳态触发器Q2在上电时就通过硬件电路预置为0。

第二单稳态触发器Q2的Q输出端口的输出为第一开关控制信号。

S102、MCU输出的CAN报文信号采用通知的方式给冗余电路，冗余电路生成第二开关控制信号，以保证在MCU异常情况下输出正确的控制信号。

冗余电路包括第一整车上电信号判断模块、第一低压网络电压采集模块、第一单稳态触发器Q1、第三单稳态触发器Q3和第四单稳态触发器Q4。

第一整车上电信号判断模块（ IG Monitoring Module1）：作为备用电源供电判断的输入条件之一，接收整车上电IG ON信号，同时根据客户要求，IG OFF延时1s，以扩大备用供电覆盖范围。

第一低压网络电压采集模块（ BIN Monitoring Module1）：作为备用电源供电判断的输入条件之二，采集BIN电压，并在1-1.5ms内作出判断，2ms内输出（包括判断和输出的时间），是备用电源的核心模块之一。第一低压网络电压采集模块的输出信号送入逻辑与门前经过高频的硬件电压比较器和延时滤波。

第三单稳态触发器Q3：MCU输出的使能/取消信号送入第三单稳态触发器Q3的D端口， MCU输出的使能/取消信号变化时产生正脉冲输入第三单稳态触发器Q3的CLK端口，第三单稳态触发器Q3在上电时通过硬件电路预置为1。

第四单稳态触发器Q4：第一低压网络电压采集模块采集的电压恢复信号与MCU输出的低压网络电压恢复信号相与生成第一信号；第一信号送入所述第四单稳态触发器Q4的D端口，第一信号变化时产生正脉冲输入第四单稳态触发器Q4的CLK端口。

第一单稳态触发器Q1：第一整车上电信号判断模块和第一低压网络电压采集模块的输出信号通过逻辑与门相与后，输入所述第一单稳态触发器Q1的CLK信号端口；所述第一单稳态触发器Q1的CLR端口输入来自于三个信号相与后的输出，作为取消输出的条件，所述三个信号分别为：

A1:第三单稳态触发器Q3的Q输出端口的信号；

B1:第一单稳态触发器Q1的Q输出端口的输出超过T1时间后的信号并取反；

C1:第四单稳态触发器Q4的Q非输出端口的输出信号。

第一单稳态触发器Q1在上电时就通过硬件电路预置为0。

第一单稳态触发器Q1的Q输出端口的输出为第二开关控制信号。

S103、第一开关控制信号和第二开关控制信号经过逻辑或门后输出到送电开关。

其中，逻辑或门选用符合ASIL-C等级要求的硬件；所述冗余电路选用ASIL-A级别的数字电路实现。

冗余电路还包括故障模拟模块，MCU还包括供电输出回采模块；故障模拟模块的输入为MCU在每次整车上电后发送的故障注入指令，输出给第一低压网络电压采集模块；通过供电输出回采模块回采第一单稳态触发器Q1输出，用于检测冗余电路是否正常工作。其工作原理是：每次上电，在诊断阶段，稳定1s后MCU需要控制硬件在组合逻辑回路进行故障注入, 通过发送故障注入指令给故障模拟模块实现，t= T3 ms时（从故障注入指令开始计算）供电输出回采模块采集第一单稳态触发器Q1的输出电压Um1，Um1≥Uahbg_on,表示备用电源满足整车的供电要求，否则向整车发送报警信号；其中Uahbg_on表示备用电源输出电压的欠压门限。

MCU还包括回采备用电源的使能信号模块，在每次整车上电后，采集第三单稳态触发器Q3的Q输出端口的信号，比较其与输出备用电源的使能/取消信号，如果不一致，会向整车发送报警信号。

本发明实施例实现ASIL-C等级的关键点为：

因为数字电路无法接收整车发动的CAN(Control area network-控制区域网络）信号，必须共用ASIL-B等级的MCU接收的CAN信号作为一部分输入；为了防止低等级的MCU影响高等级的功能安全目标，首先选用的MCU其失效模式为静默（silence）失效，即在失效时不会乱发信号，只是不发信号；其次MCU接收的CAN信号传递给数字电路采用“通知”的方式--即通过上升沿触发D触发器的方式，而不是RS锁存器的电平控制方式，确保了MCU的CAN接收模块失效时，无法输入错误信号（即只有MCU正常工作时，才能通过时钟信号CLK输入到硬件逻辑电路）；最后，D触发器在上电时就通过硬件电路预置为1，也排除了刚上电时CAN收发器发送错误信号的可能。通过“通知”的方式，实现了两路的解耦，满足高内聚低耦合的原则。

尽管本发明的内容已经通过上述优选实施例作了详细介绍，但应当认识到上述的描述不应被认为是对本发明的限制。在本领域技术人员阅读了上述内容后，对于本发明的多种修改和替代都将是显而易见的。因此，本发明的保护范围应由所附的权利要求来限定。

Claims (7)

1.一种ASIL-B MCU实现ASIL-C汽车备用电源的方法，其特征在于：

ASIL-B功能安全等级的MCU与数字电路组成的监控回路用于监视主电源电网失效，生成第一开关控制信号；

同时所述MCU输出的CAN报文信号采用通知的方式给冗余电路，所述冗余电路生成第二开关控制信号，以保证在所述MCU异常情况下输出正确的控制信号；

所述第一开关控制信号和第二开关控制信号经过逻辑或门后输出到送电开关；

所述MCU包括接收整车CAN报文的CAN FD模块，所述接收整车CAN报文的CAN FD模块接收整车CAN报文并进行译码，输出备用电源的使能/取消信号和低压网络电压恢复信号，其作为CAN报文信号发送给所述冗余电路；

所述冗余电路包括第一整车上电信号判断模块、第一低压网络电压采集模块、第一单稳态触发器Q1、第三单稳态触发器Q3和第四单稳态触发器Q4；

所述第一整车上电信号判断模块接收整车上电IG ON信号；所述第一低压网络电压采集模块采集低压供电网络电压BIN电压；

所述MCU输出的使能/取消信号送入所述第三单稳态触发器Q3的D端口，所述MCU输出的使能/取消信号变化时产生正脉冲输入所述第三单稳态触发器Q3的CLK端口，所述第三单稳态触发器Q3在上电时通过硬件电路预置为1；

所述第一低压网络电压采集模块采集的电压恢复信号与所述MCU输出的低压网络电压恢复信号相与生成第一信号；所述第一信号送入所述第四单稳态触发器Q4的D端口，所述第一信号变化时产生正脉冲输入所述第四单稳态触发器Q4的CLK端口；

所述第一整车上电信号判断模块和第一低压网络电压采集模块的输出信号通过逻辑与门相与后，输入所述第一单稳态触发器Q1的CLK信号端口；所述第一单稳态触发器Q1的CLR端口输入来自于三个信号相与后的输出，作为取消输出的条件，所述三个信号分别为：

A1:所述第三单稳态触发器Q3的Q输出端口的信号；

B1:所述第一单稳态触发器Q1的Q输出端口的输出超过T1时间后的信号并取反；

C1:所述第四单稳态触发器Q4的Q非输出端口的输出信号；

所述第一单稳态触发器Q1的Q输出端口的输出为所述第二开关控制信号。

2.根据权利要求1所述的ASIL-B MCU实现ASIL-C汽车备用电源的方法，其特征在于：所述监控回路的数字电路包括第二单稳态触发器Q2、第二整车上电信号判断模块和第二低压网络电压采集模块；

所述第二整车上电信号判断模块接收整车上电IG ON信号；所述第二低压网络电压采集模块采集低压供电网络电压BIN电压；所述第二整车上电信号判断模块的输出信号和第二低压网络电压采集模块的输出信号通过逻辑与门相与后，输入所述第二单稳态触发器Q2的CLK信号端口；所述第二单稳态触发器Q2的CLR端口输入来自于三个信号相与后的输出，作为取消输出的条件，所述三个信号分别为：

A2:所述第二低压网络电压采集模块采集的电压恢复信号和所述低压网络电压恢复信号相与后的信号并取反；

B2:所述输出备用电源的使能/取消信号；

C2:所述第二单稳态触发器Q2的Q输出端口的输出超过T2时间后的信号并取反；

所述第二单稳态触发器Q2的Q输出端口的输出为所述第一开关控制信号。

3.根据权利要求2所述的ASIL-B MCU实现ASIL-C汽车备用电源的方法，其特征在于：所述第二低压网络电压采集模块的输出信号送入逻辑与门前经过高频的硬件电压比较器和延时滤波；所述第二整车上电信号判断模块延时要求1s；所述第二低压网络电压采集模块在1-1.5ms内作出判断，2ms内输出，所述T2为60s。

4.根据权利要求1所述的ASIL-B MCU实现ASIL-C汽车备用电源的方法，其特征在于：所述第一低压网络电压采集模块的输出信号送入逻辑与门前经过高频的硬件电压比较器和延时滤波；所述第一整车上电信号判断模块延时要求1s；所述第一低压网络电压采集模块在1-1.5ms内作出判断，2ms内输出；所述T1为60s。

5.根据权利要求1所述的ASIL-B MCU实现ASIL-C汽车备用电源的方法，其特征在于：所述的逻辑或门选用符合ASIL-C等级要求的硬件；所述冗余电路选用ASIL-A级别的数字电路实现。

6.根据权利要求1所述的ASIL-B MCU实现ASIL-C汽车备用电源的方法，其特征在于：所述冗余电路还包括故障模拟模块，所述MCU还包括供电输出回采模块；所述故障模拟模块的输入为所述MCU在每次整车上电后发送的故障注入指令，输出给所述第一低压网络电压采集模块；通过所述供电输出回采模块回采所述第一单稳态触发器Q1的Q输出端口的输出，用于检测所述冗余电路是否正常工作。

7.根据权利要求1所述的ASIL-B MCU实现ASIL-C汽车备用电源的方法，其特征在于：所述MCU还包括回采备用电源的使能信号模块，在每次整车上电后，采集所述第三单稳态触发器Q3的Q输出端口的信号，比较其与所述输出备用电源的使能/取消信号，如果不一致，会向整车发送报警信号。