CN105416206A - 一种电动汽车整车控制器及控制方法 - Google Patents

Abstract

本发明涉及一种电动汽车整车控制器，整车控制器分别与蓄电池、电池包高压继电器电连接，该整车控制器包括：主处理器、从处理器、与所述高压继电器线圈端连接的驱动输出模块；所述主处理器与所述从处理器通过SPI总线连接，所述从处理器监测主处理器；所述主处理器与驱动输出模块连接，以使所述主处理器通过所述驱动输出模块对所述高压继电器进行控制；所述从处理器与所述蓄电池连接，用于监控蓄电池电压；所述从处理器与所述驱动输出模块连接，以禁能驱动输出模块。利用本发明，提高了整车与人身的安全性。

Description

一种电动汽车整车控制器及控制方法

技术领域

本发明涉及新能源汽车安全技术领域，具体涉及一种能够满足高标准功能安全要求的电动汽车整车控制器及控制方法。

背景技术

近年来新能源汽车发展迅速，与传统汽车动力总成系统相比新能源汽车的动力总成系统已经从发动机控制器转移到以整车控制器为核心的整车控制系统当中。整车控制器的主要功能是实现驾驶员意图识别(整车加速、制动)、动力电池高压接触器控制驱动、多动力(若有)耦合控制(如混合动力系统动力耦合传动)以及整车安全与故障诊断。

符合ISO26262一定功能安全等级要求的整车控制器硬件系统，成为实现整车动力控制系统至关重要的安全目标，国内现有新能源汽车整车控制器硬件仅支持功能安全等级为ASIL(AutomotiveSafetyIntegrityLevel，汽车安全完整性等级)B的技术方案，已经无法满足欧洲市场准入对整车动力控制系统ASILC的功能安全等级要求。

现有整车控制器硬件技术方案基于嵌入式平台实现整车控制需求的功能性能要求，少数技术方案考虑系统功能安全要求，例如申请号为201310125670.1的发明专利申请公开了一种电动汽车整车控制器，通过配置主从处理芯片的SPI和PWM硬件通信连接，由此实现对主处理器运行状态的监控；通过从处理器对关键信号(油门踏板等信号)的采集实现对关键信号的冗余监控；通过从处理器对CAN通讯通道切换实现主处理器失效时对整车CAN通讯的管理，由此实现提高整车控制器安全等级目的。

上述现有方案具有如下缺点：

1、现有技术方案虽然采用主、从处理器对关键信号进行冗余采集，但是无法对整车控制器被控对象(油门踏板、制动踏板开度传感器等)电子电路本身故障的失效模式进行冗余监控；

2、现有技术方案并没有提供具体的硬件配置方案，以提高整车控制器实现某功能(如油门踏板开度信息获取功能)的有效性；

3、现有技术方案缺乏失效发生(主处理器故障、CAN通路故障)时整车控制器通过冗余关断路径切断整车高压，以杜绝主处理器失效所导致的可能危及人身安全的高压系统故障。

发明内容

本发明提供一种满足高标准功能安全要求的电动汽车整车控制器，以实现对关键信号的硬件冗余监控、对高压继电器的冗余控制、对主处理器的监测，从而提高整车与人身的安全性。

为实现上述目的，本发明提供了如下技术方案：

一种电动汽车整车控制器，所述整车控制器分别与蓄电池、电池包高压继电器电连接，所述整车控制器包括：主处理器、从处理器、与所述高压继电器线圈端连接的驱动输出模块；

所述主处理器与所述从处理器通过SPI总线连接，所述从处理器监测所述主处理器；

所述主处理器与所述驱动输出模块连接，以使所述主处理器通过所述驱动输出模块对所述高压继电器进行控制；

所述从处理器与所述蓄电池连接，用于监控所述蓄电池电压；

所述从处理器与所述驱动输出模块连接，以禁能所述驱动输出模块。

优选地，所述整车控制器还包括：信号采集电路、电源电路、复位电路、CAN通信电路；

所述信号采集电路分别与所述主处理器、所述从处理器连接，用于关键信号的采集；

所述电源电路分别与所述蓄电池、所述主处理器、以及所述从处理器连接，用于接收蓄电池电源KL15，并为所述主处理器、所述从处理器供电；

所述复位电路分别与所述电源电路、所述主处理器、以及所述从处理器连接，所述复位电路接收到所述电源电路、所述从处理器的复位信号后，对所述主处理器进行复位；

所述CAN通信电路分别与所述主处理器及所述从处理器连接，用于所述主处理器与整车的CAN总线通信。

优选地，所述信号采集电路还与被测对象连接，所述被测对象包括：制动开关、制动踏板开度传感器、加速踏板开度传感器。

优选地，所述电源电路包括：第一线性稳压器、第二线性稳压器、第一电压跟随器、第二电压跟随器；

所述第一线性稳压器具有第一复位端口与喂狗信号输入端口，所述第一线性稳压器分别与第一电压跟随器、所述主处理器、以及所述驱动输出模块连接，为第一电压跟随器、所述主处理器、以及所述驱动输出模块提供第一电源VCC1；所述第一线性稳压器接收主处理器的喂狗信号，当喂狗信号异常时，向所述第一复位端口输出复位信号；

所述第二线性稳压器分别与所述第二电压跟随器、所述从处理器连接，为所述第二电压跟随器、所述从处理器提供第二电源VCC2；

所述第一电压跟随器分别与第一线性稳压器、所述主处理器连接，用于根据所述主处理器提供的第一参考电压ADJ1将第一电源VCC1转换为第三电源VCC3；

所述第二电压跟随器分别与第二线性稳压器、所述从处理器连接，用于根据所述从处理器提供的第二参考电压ADJ2将第二电源VCC2转换为第四电源VCC4；

其中，第三电源VCC3为所述制动踏板开度传感器、以及所述加速踏板开度传感器供电；第四电源VCC4也为所述制动踏板开度传感器、以及所述加速踏板开度传感器供电。

优选地，所述从处理器包括：SPI通信电路、输入模块、冗余关断模块、微处理器；

所述SPI通信电路连接在所述主处理器与所述微处理器之间，用于实现所述微处理器与所述主处理器的SPI通信，以使所述微处理器通过SPI通信监测所述主处理器、所述信号采集电路、所述驱动输出模块；

所述输入模块分别与所述蓄电池、所述信号采集电路以及微处理器连接，用于采集蓄电池电压、信号采集电路的信号；

所述冗余关断模块分别与电源电路、复位电路、CAN通信电路、驱动输出模块、以及微处理器连接，用于为电源电路提供所述第二参考电压ADJ2、控制复位电路、禁能CAN通信电路、禁能驱动输出模块；

所述微处理器，用于获取所述SPI通信电路与所述输入模块的信息，并根据所述SPI通信电路与所述输入模块的信息向所述冗余关断模块输出控制信号。

优选地，所述冗余关断模块具有从处理器电压参考端口、第二复位端口、CAN模块使能端口，冗余关断模块包括高压关断模块；

所述从处理器电压参考端口与所述电源电路连接，所述冗余关断模块通过所述从处理器电压参考端口提供所述第二参考电压ADJ2；

所述第二复位端口与所述复位电路连接，所述冗余关断模块通过所述第二复位端口向所述复位电路输出复位信号；

所述CAN模块使能端口与CAN通信电路连接，所述冗余关断模块通过所述CAN模块使能端口对CAN通信电路进行禁能操作；

所述高压关断模块与所述驱动输出模块连接，所述冗余关断模块通过所述高压关断模块对驱动输出模块进行禁能操作。

优选地，所述驱动输出模块包括：

高电平驱动芯片、低电平驱动芯片；

所述高电平驱动芯片分别与所述主处理器、所述从处理器、以及所述高压继电器线圈端一端连接，以控制所述高压继电器的接通与断开；

所述低电平驱动芯片分别与所述主处理器、以及所述高压继电器线圈端另一端连接，以控制所述高压继电器的接通与断开。

一种电动汽车整车控制器控制方法，所述方法包括：

从处理器采集蓄电池电压；

所述从处理器检测蓄电池电压是否在第一电压范围，如果是，通过与主处理器SPI通信检测关键信号、驱动输出模块是否正常；否则，禁能驱动输出模块；

如果检测到关键信号和/或驱动输出模块异常，禁能驱动输出模块。

优选地，所述方法还包括：

如果从处理器检测到蓄电池电压不在第一电压范围，禁能CAN通信电路；

如果从处理器检测到蓄电池电压在第一电压范围后，通过与主处理器SPI通信检测是否正常；

如果主处理器运行状态异常，所述从处理器向复位电路输出复位信号，以使主处理器复位。

优选地，所述方法还包括：

如果从处理器检测到蓄电池电压不在第一电压范围，禁能CAN通信电路；

如果从处理器检测到蓄电池电压在第一电压范围后，向电源电路输出第二参考电压ADJ2；

当所述电源电路接收到所述第二参考电压ADJ2，打开第一线性稳压器的喂狗信号输入端口，以检测主处理器的喂狗信号是否异常；

如果喂狗信号异常时，所述电源电路向复位电路输出复位信号，以使所述主处理器复位。

优选地，所述方法还包括：

从处理器计算所述主处理器的复位次数，如果所述复位次数等于设定阈值，提示主处理器故障。

本发明的有益效果在于：

本发明提供的电动汽车整车控制器，主处理器与从处理器通过SPI总线连接，从处理器监测主处理器；主处理器与驱动输出模块连接，以使所述主处理器通过所述驱动输出模块对所述高压继电器进行控制；所述从处理器与所述蓄电池连接，用于监控蓄电池电压；所述从处理器与所述驱动输出模块连接，以禁能驱动输出模块，通过本发明，提高了出现人身危害状况下整车控制器对高压部件的控制；通过处理器对蓄电池、主处理器工作状态、驱动输出模块的监测，实现对主处理器、驱动输出模块失效状态下的冗余关断操作。

附图说明

图1是本发明实施例电动汽车整车控制器的一种结构示意图。

图2是本发明实施例电动汽车整车控制器的另一种结构示意图。

图3是本发明实施例电动汽车整车控制器中电源电路结构与连接关系示意图。

图4是本发明实施例中主处理器、从处理器分别与高电平驱动芯片TLE6288R的连接示意图。

图5是本发明实施例中高电平驱动电路、低电平驱动电路与高压继电器的线圈端连接示意图。

图6是本发明实施例连接在从处理器的微处理器与驱动输出模块之间的三极管开关电路的结构示意图。

图7是本发明实施例电动汽车整车控制器的第三种结构示意图。

图8是本发明实施例电动汽车整车控制器控制方法的一种流程图。

附图符号：

11喂狗信号输入端口

17第一复位端口

110制动开关

120制动踏板开度传感器

130加速踏板开度传感器

具体实施方式

为了使本领域技术人员能更进一步了解本发明的特征及技术内容，下面结合附图和实施方式对本发明实施例作详细说明。

针对上述现有技术的问题，本发明实施例提供了一种电动汽车整车控制器及控制方法，以提高整车与人身的安全性。

如图1是本发明实施例电动汽车整车控制器的一种结构示意图，本发明实施例中，整车控制器分别与蓄电池、电池包高压继电器电连接，其特征在于，所述整车控制器包括：主处理器、从处理器、与所述高压继电器线圈端连接的驱动输出模块；所述主处理器与所述从处理器通过SPI总线连接，所述从处理器监测所述主处理器；所述主处理器与驱动输出模块连接，以使所述主处理器通过所述驱动输出模块对所述高压继电器进行控制；所述从处理器与所述蓄电池连接，用于监控所述蓄电池电压；所述从处理器与所述驱动输出模块连接，以禁能所述驱动输出模块。

需要说明的是，电池包高压继电器具体可以有总正继电器、总负继电器、以及预充继电器；驱动输出模块在未被从处理器禁能时，可以通过接收主处理器的信号实现对总正继电器、总负继电器、以及预充继电器的通断控制，当驱动输出模块被从处理器禁能后，与驱动输出模块连接的总正继电器、总负继电器、以及预充继电器均断开。

具体的，主处理器与从处理器除了通过SPI总线通信，也可以通过PWM或其他通信方式进行通信。

为了完善整车控制器的功能，如图2是本发明实施例的另一种结构示意图，与图1所示的结构示意图不同的是，图2所示的结构示意图中增加了信号采集电路、电源电路、复位电路、CAN通信电路、以及被测对象，其中，所述驱动输出模块包括高电平驱动芯片与低电平驱动芯片。

具体地，如图2所示是本发明实施例电动汽车整车控制器的另一种结构示意图，整车控制器还包括：信号采集电路、电源电路、复位电路、CAN通信电路。

所述信号采集电路分别与所述主处理器、所述从处理器连接，用于采集关键信号，图2所示实施中，所述信号采集电路还与被测对象连接，所述被测对象包括：制动开关110、制动踏板开度传感器120、加速踏板开度传感器130，其中，制动开关110包含制动测试开关线路和制动灯开关线路，如图3所示二者的高低电平逻辑状态是互斥关系，以此作为驾驶员是否踩踏制动踏板的双路硬线数字量信号冗余，由此从信号采集电路获取的关键信号具体可以有加速踏板开度信号、制动踏板开度信号、制动开关/灯信号。

所述复位电路分别与所述电源电路、所述主处理器、以及所述从处理器连接，所述复位电路接收到所述电源电路、所述从处理器的复位信号后，对所述主处理器进行复位。

所述CAN通信电路分别与所述主处理器及所述从处理器连接，用于所述主处理器与整车的CAN总线通信。

所述电源电路分别与所述蓄电池、所述主处理器、以及所述从处理器连接，用于接收蓄电池电源KL15，并为所述主处理器、所述从处理器供电，具体地，如图3所示，为本发明实施例电动汽车整车控制器中电源电路的结构与连接关系示意图，图3所示实施例中，电源电路包括：第一线性稳压器、第二线性稳压器、第一电压跟随器、第二电压跟随器。

所述第一线性稳压器具有第一复位端口17与喂狗信号输入端口11，所述第一线性稳压器分别与第一电压跟随器、所述主处理器、以及所述驱动输出模块连接，为第一电压跟随器、所述主处理器、以及所述驱动输出模块提供第一电源VCC1；所述第一线性稳压器接收主处理器的喂狗信号，当喂狗信号异常时，向所述第一复位端口17输出复位信号；需要说明的是，第一线性稳压器通过喂狗信号输入端口11得到来自主处理器特定频率(比如2KHz或4KHz)的方波信号即喂狗信号，由此方波信号实现电源电路对主处理器的程序运行状态监控，当主处理器软件跑飞或硬件损坏造成主处理器不能发出特定频率的喂狗信号，第一线性稳压器通过第一复位端口17使能复位电路，从而使与电路复位连接的主处理器复位。

所述第二线性稳压器分别与所述第二电压跟随器、所述从处理器连接，为所述第二电压跟随器、所述从处理器提供第二电源VCC2。

所述第一电压跟随器分别与第一线性稳压器、所述主处理器连接，根据所述主处理器提供的第一参考电压ADJ1将第一电源VCC1转换为第三电源VCC3。

所述第二电压跟随器分别与第二线性稳压器、所述从处理器连接，根据所述从处理器提供的第二参考电压ADJ2将所述第二电源VCC2转换为第四电源VCC4。

其中，第三电源VCC3为所述制动踏板开度传感器、以及所述加速踏板开度传感器提供电源，第四电源VCC4也为所述制动踏板开度传感器、以及所述加速踏板开度传感器供电；需要说明的是，制动踏板开度传感器、加速踏板开度传感器均具有两路供电，增加了电源的冗余供给；并且电源电路采用电压跟随器产生隔离的第三电源VCC3、第四电源VCC4，可以防止对外供电传感器供电被外部传感器污染造成整车控制器内部供电失效的情况。

综上所述，电源电路接收蓄电池的电源KL15可以为9V至16V之间的任一电压值；第一电源VCC1、第二电源VCC2均有电源电路确定，可以为5V；第一参考电压ADJ1由主处理器确定，可以为5V；第二参考电压ADJ2由从处理器确定，可以为5V；第三电源VCC3由第一参考电压ADJ1与电源电路联合确定，当第一参考电压ADJ1为5V时，第三电源VCC3也为5V，但是第三电源VCC3是与第一电源VCC1完全隔离的；第四电源VCC4由第二参考电压ADJ2与电源电路联合确定，当参考电压ADJ2为5V时，第四电源VCC4也为5V，但是第四电源VCC4是与第二电源VCC2完全隔离的。

图2至图3所示实施例中，所述驱动输出模块包括：高电平驱动芯片、低电平驱动芯片。

图5是本发明实施例中高电平驱动电路、低电平驱动电路与高压继电器的线圈端连接示意图，由图5所示：

所述高电平驱动芯片分别与所述主处理器、所述从处理器、以及所述高压继电器线圈端一端(如图5中高压继电器线圈端R1的一端)连接，以控制所述高压继电器的接通与断开；

所述低电平驱动芯片分别与所述主处理器、以及所述高压继电器线圈端另一端连接(如图5中高压继电器线圈端R1的另一端)，以控制所述高压继电器的接通与断开。

进一步地，低电平驱动芯片一般为“常闭”状态，即常态下接整车GND，当需要闭合高压继电器时，整车控制器可以通过输出控制信号与SPI通信相结合的方式使低电平驱动芯片驱动高压继电器吸合，相应的，低电平驱动芯片可以为L99MC6，由于L99MC6实现驱动方式现有技术中已进行了详细的介绍，本实施例不再复叙。

进一步地，高电平驱动芯片可以为TLE6288R。如图4是本发明实施例中主处理器、从处理器分别与高电平驱动芯片TLE6288R的连接示意图。

需要说明的是，TLE6288R具有三个输出通道可以实现对三路高压继电器的通断控制，具体的，如图5中，可以通过控制高压继电器线圈端(如图5中高压继电器线圈端R1、高压继电器线圈端R2、高压继电器线圈端R3)实现对高压继电器通断的控制，图4以对一路高压继电器线圈端(如图5中高压继电器线圈端R1)控制为例，其中TLE6288R的供电电源为第一电源VCC1，图4中第一电源VCC1为5V；SOUT1为高电平驱动芯片的第一输出端，根据DOU1管脚输入电压值，为高压继电器的线圈端的一端提供HSD信号，其中HSD信号可以是高电平12V也可以低电平OV，IN1是第一信号输入端，从此端输入的第一信号与TLE6288R的SPI通信报文中相应的串行数据位进行与/或运算后最终决定第一输出端SOUT1是否输出高电平；DIGA1是第一输出诊断端，当第一通道出现过载或过温失效出现时通过第一输出诊断端DIGA1反馈给主处理器；SCLK、SI、SO和CS是TLE6288R的SPI端口及片选信号，本实施例中，主处理器与SCLK、SI、SO和CS连接，实现主处理器与TLE6288R的SPI通信；FSIN是TLE6288R的禁止输出引脚，本实施例中，从处理器与FSIN管脚连接实现对TLE6288R的禁止输出控制，即对高电平驱动芯片禁能。

具体地，以TLE6288R通过第一输出端SOUT1输出12V为例，1)在TLE6288R处于正常状态时，当需要第一输出端SOUT1输出12V高平时，主处理器将57引脚输出高电平同时通过56引脚使能SPI相应的报文高电平(已通过SPI配置输出IN1与SPI数据位进行“与”运算)，从而接通DOU1与第一输出端SOUT1连接，使第一输出端SOUT1输出12V高电平；2)当从处理器通过与主处理器SPI通信发现主处理器和/或TLE6288R状态异常需要关断高压继电器时，通过49引脚将TLE6288R的FSIN引脚拉低，TLE6288R关断所有输出，第一输出端SOUT1无法输出高电平，与SOUT1引脚连接的高压继电器线圈端断开。

本发明实施例中，从处理器包括：SPI通信电路、输入模块、冗余关断模块、微处理器。

其中，所述SPI通信电路连接在所述主处理器与所述微处理器之间，用于实现所述微处理器与所述主处理器的SPI通信，以使所述微处理器通过SPI通信监测所述主处理器、所述信号采集电路、所述驱动输出模块。

所述输入模块分别与所述蓄电池、所述信号采集电路以及微处理器连接，用于采集蓄电池电压、信号采集电路的信号；所述微处理器，用于获取所述SPI通信电路与所述输入模块的信息，并根据所述SPI通信电路与所述输入模块的信息向所述冗余关断模块输出控制信号。

需要说明的是，所述输入模块获取当前蓄电池电压值后，对电源KL15值进行相关处理，得出电源KL15电压值V，所述微处理器判断电源KL15的值V是否满足大于9V并且小于16V，如果满足，则微处理器确定蓄电池供电正常；否则，微处理器向冗余关断模块发出控制信号，以禁能CAN通信电路、驱动输出模块；更进一步地，所述输入模块获取采集电路的采集结果，微处理器将获取的采集结果通过SPI通信与主处理器进行校核，如果校核结果一致，微处理器确定关键信号正常；否则，微处理器向冗余关断模块发出控制信号，以禁能驱动输出模块。

所述冗余关断模块分别与电源电路、复位电路、CAN通信电路、驱动输出模块、以及微处理器连接，用于为电源电路提供所述第二参考电压ADJ2、控制复位电路、禁能CAN通信电路、禁能驱动输出模块；具体地，所述冗余关断模块具有从处理器电压参考端口、第二复位端口、CAN模块使能端口，所述冗余关断模块包括高压关断模块。

进一步地，所述从处理器电压参考端口与所述电源电路连接，所述冗余关断模块通过所述从处理器电压参考端口提供所述第二参考电压ADJ2；所述第二复位端口与所述复位电路连接，所述冗余关断模块通过所述第二复位端口向所述复位电路输出复位信号；所述CAN模块使能端口与CAN通信电路连接，所述冗余关断模块通过所述CAN模块使能端口对CAN通信电路进行禁能操作；所述高压关断模块与所述驱动输出模块连接，所述冗余关断模块通过所述高压关断模块对驱动输出模块进行禁能操作。

更进一步地，所述高压关断模块为：三极管开关电路。如图6所示，为本发明实施例中连接在微处理器与驱动输出模块之间的三极管开关电路的结构示意图，此电路由三极管T1与电阻R2组成，本实施例中，三极管T1的集电极与驱动输出模块连接，用于实现从处理器对高电平驱动芯片的禁能操作；若高电平驱动芯片为TLE6288R时，三极管T1的集电极与所述TLE6288R的FSIN引脚连接，以实现对TLE6288R的禁能操作。

本发明实施例中，主、从处理器独立供电，由此实现主处理器控制系统与从处理器的监控系统的电源供给冗余，避免共用电源时，电源电路失效引起的整车控制系统失效。制动开关采用两路互斥特性的数字量信号冗余采集方式，制动踏板开度传感器和加速踏板开度传感器采用完全独立的传感电路和供电电源，将关乎整车和人身安全的制动开关、加速踏板、制动踏板信号各自独立供电，由此实现关键信号采集的完全冗余；从而最大限度的提高了整车与人身安全。

为了进一步实现整车控制器诊断冗余故障，图7是本发明实施例电动汽车整车控制器的另一种结构示意图，与图2不同的是，在图7所示实施例中增加了仪表，当整车控制器出现异常时，整车控制器可以通过仪表警示驾驶员或操作人员，(比如，仪表上面具有代表不同故障种类的警示灯)而且整车控制器还可以通过CAN通信模块记录异常情况，从而实现整车故障警示。

需要说明的是，所述整车控制器出现异常可以包括以下几点：主处理器软件跑飞或硬件损坏、驱动输出模块异常、蓄电池电压异常、CAN通讯行为异常等。

具体地，由图1至图7所示实施例可知，整车控制器可以实现以下功能：

(一)冗余监控

A)整车控制器通过从处理器对整车控制器电源供给的蓄电池电压进行冗余监控。

具体地，从处理器对电源KL15值进行相关处理后，进行电压模拟量采集，从而监控电源KL15电压值V；如果16V<V<24V，整车控制器1分钟内保持正常工作状态，超过1分钟控制器软件关断输出，并通过仪表提醒驾驶员；如果9V<V<16V，整车控制器正常工作；6V<V<9V，整车控制器软件关断输出，仅保持主从处理器和CAN通讯模块整车工作；如果0V<V<6V，整车控制器停止工作。

B)从处理器通过与主处理器的SPI通信实现冗余监控，具体有以下两方面：

a)主处理器与从处理器分别与信号采集电路连接，获取采集电路的采集结果，从处理器将获取的采集结果与主处理器进行校核，其中采集结果可以有一些关键信号，比如蓄电池电压、加速踏板开度信号、制动踏板开度信号、制动开关/灯信号；当主/从处理器通过SPI通信发现采集结果与从/主处理器采集结果不一致时，主、从处理器将同时使能仪表相应警示灯给驾驶员预警同时切断整车高压。

b)通过软件问答机制，使得从处理器对主处理器运行状态进行监控；当从处理器发现主处理器运行状态异常时，从处理器首先通过第二复位端口使能复位电路，从而使与电路复位连接的主处理器复位；如果主处理器复位后仍然不能正常运行从处理器将使能仪表相应警示灯给驾驶员预警，同时切断整车高压。

(二)监控关断

A)电源电路对主处理器监控关断，电源电路通过喂狗信号输入端口得到来自主处理器特定频率的方波信号，由此实现电源电路对主处理器的程序运行状态监控，当主处理器软件跑飞或硬件损坏造成主处理器不能发出特定频率的方波信号，电源电路通过第一复位端口17使能复位电路，从而使与电路复位连接的主处理器复位。

B)从处理器对主处理器监控关断，从处理器通过SPI总线与主处理器进行通讯，当从处理器通过问答机制(如针对关键信号的采集结果比对)发现主处理器状态异常、或主处理器通过驱动芯片的诊断反馈硬线(如图4中TLE6288R的第一输出诊断端DIGA1)发现驱动输出模块异常时，从处理器通过第二复位端口使能复位电路，从而使与电路复位连接的主处理器复位；当主处理器复位后仍在相同信号出现匹配异常，整车控制器记录错误CAN报文，并使能仪表，以对驾驶员进行提示预警。

C)从处理器对CAN通讯电路的冗余关断，当整车控制器的CAN通讯行为异常(如：主处理器异常且多次复位后CAN通讯仍然异常、CAN通讯电路异常且主处理器无法进行控制、主处理器与CAN通讯电路的控制线路异常等失效模式)时可以通过从处理器对CAN通讯电路进行禁能操作，从而关断整车控制器的CAN通讯功能，同时从处理器将使能仪表相应警示灯给驾驶员预警同时通过高压继电器切断整车高压。

D)从处理器对高电平驱动芯片冗余关断，在主处理器异常时可以通过从处理器的第二复位端口对复位电路进行拉低禁能操作，再次拉高电平后主处理器复位重启。在整车高压系统异常时可以通过从处理器的高压关断模块对与高压继电器连接的高电平驱动芯片进行关断操作，由此使电池包中高压继电器开路，避免高压异常对人和车的危害。

综上所述，本发明实施例提供的电动汽车整车控制器，能够对关键信号进行冗余监控；能够对整车高压部件的双边冗余控制；能够对主处理器、CAN通信模块、高压继电器在失效状态下的冗余关断，利用本发明通过合理的对整车控制器内部电源分配、对整车控制器外部的冗余监控、对驱动输出模块的驱动、对整车控制器外部电路的关断等设计提高了整车控制器的功能安全性，能够识别多种失效模式，提高了用户乘车安全性与体验性。

相应的，本发明实施例还提供了一种电动汽车整车控制器控制方法，该方法包括：

步骤101：从处理器采集蓄电池电压，检测蓄电池电压是否在第一电压范围；如果是，执行步骤102；否则，执行步骤104。

步骤102：通过与主处理器SPI通信检测关键信号、驱动输出模块是否正常，执行步骤103；

步骤103：如果从处理器检测到关键信号和/或驱动输出模块异常，禁能驱动输出模块。

需要说明的是，关键信号具体可以有加速踏板开度信号、制动踏板开度信号、制动开关/灯信号。

需要说明的是，电源电路接收蓄电池的电源KL15可以为第一电压范围(9V，16V)之间的任一电压值；从处理器检测蓄电池的电源KL15不在(9V，16V)之间时，确定蓄电池电压异常。

进一步地，当关键信号和/或驱动输出模块异常时，主处理器也可以通过控制驱动输出模块，关闭高压继电器。

更进一步地，当从处理器与主处理器通过SPI通信检测到关键信号不一致时，可以对输出关键信号的被测对象进行禁能操作，其中，所述被测对象如图2或图3所示，可以包括：制动开关110、制动踏板开度传感器120、加速踏板开度传感器130。

步骤104：禁能驱动输出模块。

需要说明的是，当蓄电池电压异常时，从处理器可以通过禁能驱动输出模块与CAN通信电路，即让驱动输出模块与CAN通信电路停止工作，实现对整车控制器的保护，以使整车控制器安全性较高。

本发明实施例中，本发明实施例提供的电动汽车整车控制器控制方法，通过从处理器监测蓄电池电压，确定蓄电池供电是否正常，如果不正常则禁能驱动输出模块与CAN通信电路；在蓄电池供电正常的情况下，从处理器通过与主处理器的SPI通信，确定关键信号、驱动输出模块、以及主处理器运行状态是否正常，并采取相应的冗余关断操作，通过本发明实施例，提高了整车与人身安全性。

更进一步地，本发明实施例还提供了另一种电动汽车整车控制器控制方法，该方法包括：

步骤201：从处理器采集蓄电池电压，检测蓄电池电压是否在第一电压范围；如果是，通过与主处理器SPI通信检测关键信号、驱动输出模块、主处理器运行状态是否正常，执行步骤202和/或步骤203；否则，执行步骤204。

步骤202：如果从处理器检测到关键信号和/或驱动输出模块异常，禁能驱动输出模块。

步骤203：如果从处理器检测到主处理器运行状态异常，从处理器向复位电路输出复位信号，以使主处理器复位。

步骤204：禁能驱动输出模块与CAN通信电路。

本发明实施例中，本发明实施例提供的电动汽车整车控制器控制方法，通过从处理器监测蓄电池电压，确定蓄电池供电是否正常，如果不正常则禁能驱动输出模块与CAN通信电路；在蓄电池供电正常的情况下，从处理器通过与主处理器的SPI通信，确定关键信号、驱动输出模块、以及主处理器运行状态是否正常，如果主处理器的运行状态不正常，从处理器通过控制复位电路复位主处理器。通过本发明实施例，提高了整车与人身安全性，并提高了主处理器的工作效率。

更进一步地，本发明实施例还提供了第三种电动汽车整车控制器控制方法，该方法包括：

步骤301：从处理器采集蓄电池电压，检测蓄电池电压是否在第一电压范围；如果是，执行步骤302；否则，执行步骤303。

步骤302：从处理器向电源电路输出第二参考电压ADJ2；

步骤303：当所述电源电路接收到所述第二参考电压ADJ2，打开第一线性稳压器的喂狗信号输入端口11，以检测主处理器的喂狗信号是否异常；如果喂狗信号异常执行步骤304；否则，继续检测主处理器的喂狗信号是否异常。

步骤304：所述电源电路向复位电路输出复位信号，以使所述主处理器复位。

具体地，电源电路通过喂狗信号输入端接收主处理器的喂狗信号，当喂狗信号异常时，通过第一复位端口向复位电路输出复位信号，以使主处理器复位。

步骤305：禁能驱动输出模块与CAN通信电路。

需要说明的是，禁能驱动输出模块与CAN通信电路就是使驱动输出模块与CAN通信电路停止工作，当蓄电池电压异常时，从处理器可以通过禁能驱动输出模块与CAN通信电路实现对整车控制器的保护，以使整车控制器安全性较高。

本发明实施例中，电源电路通过对主处理器喂狗信号的监控，实现在主处理器异常时，对主处理器进行复位操作，以使控制器安全性更高。

需要说明的是，从处理器为了更好的监测主处理器，可以通过监测并计算主处理器的复位次数，实现主处理器报错，具体地，从处理器计算主处理器的复位次数，如果所述复位次数等于设定阈值，提示主处理器故障。

需要说明的是，设定阈值可以由具体的整车控制器确定，比如设定阈值为3。当复位信号的输出次数超过3次时，从处理器通过仪表提示主处理器故障。

综上所述，本发明实施例提供的整车控制器及控制方法，采用从处理器与电源电路共同监测主处理器的工作状态，使主处理器工作状态异常时，从处理器与电源电路均可以复位主处理器；本发明还通过从处理器监测蓄电池电压，确定蓄电池供电是否正常，如果不正常则禁能驱动输出模块与CAN通信电路；还通过主、从处理器之间的SPI实现对关键信号的监控，从而本发明实施例提高了整车控制器的功能安全性，能够识别多种失效模式，提高了用户乘车安全性与体验性。

以上对本发明实施例进行了详细介绍，本文中应用了具体实施方式对本发明进行了阐述，以上实施例的说明只是用于帮助理解本发明的系统及方法；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (11)

1.一种电动汽车整车控制器，所述整车控制器分别与蓄电池、电池包高压继电器电连接，其特征在于，所述整车控制器包括：主处理器、从处理器、与所述高压继电器线圈端连接的驱动输出模块；

所述主处理器与所述从处理器通过SPI总线连接，所述从处理器监测所述主处理器；

所述主处理器与所述驱动输出模块连接，以使所述主处理器通过所述驱动输出模块对所述高压继电器进行控制；

所述从处理器与所述蓄电池连接，用于监控所述蓄电池电压；

所述从处理器与所述驱动输出模块连接，以禁能所述驱动输出模块。

2.根据权利要求1所述的电动汽车整车控制器，其特征在于，所述整车控制器还包括：信号采集电路、电源电路、复位电路、CAN通信电路；

所述信号采集电路分别与所述主处理器、所述从处理器连接，用于关键信号的采集；

所述电源电路分别与所述蓄电池、所述主处理器、以及所述从处理器连接，用于接收蓄电池电源KL15，并为所述主处理器、所述从处理器供电；

所述复位电路分别与所述电源电路、所述主处理器、以及所述从处理器连接，所述复位电路接收到所述电源电路、所述从处理器的复位信号后，对所述主处理器进行复位；

所述CAN通信电路分别与所述主处理器及所述从处理器连接，用于所述主处理器与整车的CAN总线通信。

3.根据权利要求2所述的电动汽车整车控制器，其特征在于，所述信号采集电路还与被测对象连接，所述被测对象包括：制动开关、制动踏板开度传感器、加速踏板开度传感器。

4.根据权利要求3所述的电动汽车整车控制器，其特征在于，所述电源电路包括：第一线性稳压器、第二线性稳压器、第一电压跟随器、第二电压跟随器；

所述第一线性稳压器具有第一复位端口与喂狗信号输入端口，所述第一线性稳压器分别与第一电压跟随器、所述主处理器、以及所述驱动输出模块连接，为第一电压跟随器、所述主处理器、以及所述驱动输出模块提供第一电源VCC1；所述第一线性稳压器接收主处理器的喂狗信号，当喂狗信号异常时，向所述第一复位端口输出复位信号；

所述第二线性稳压器分别与所述第二电压跟随器、所述从处理器连接，为所述第二电压跟随器、所述从处理器提供第二电源VCC2；

所述第一电压跟随器分别与第一线性稳压器、所述主处理器连接，用于根据所述主处理器提供的第一参考电压ADJ1将第一电源VCC1转换为第三电源VCC3；

所述第二电压跟随器分别与第二线性稳压器、所述从处理器连接，用于根据所述从处理器提供的第二参考电压ADJ2将第二电源VCC2转换为第四电源VCC4；

其中，第三电源VCC3为所述制动踏板开度传感器、以及所述加速踏板开度传感器供电；第四电源VCC4也为所述制动踏板开度传感器、以及所述加速踏板开度传感器供电。

5.根据权利要求4所述的电动汽车整车控制器，其特征在于，所述从处理器包括：SPI通信电路、输入模块、冗余关断模块、微处理器；

所述SPI通信电路连接在所述主处理器与所述微处理器之间，用于实现所述微处理器与所述主处理器的SPI通信，以使所述微处理器通过SPI通信监测所述主处理器、所述信号采集电路、所述驱动输出模块；

所述输入模块分别与所述蓄电池、所述信号采集电路以及微处理器连接，用于采集蓄电池电压、信号采集电路的信号；

所述冗余关断模块分别与电源电路、复位电路、CAN通信电路、驱动输出模块、以及微处理器连接，用于为电源电路提供所述第二参考电压ADJ2、控制复位电路、禁能CAN通信电路、禁能驱动输出模块；

所述微处理器，用于获取所述SPI通信电路与所述输入模块的信息，并根据所述SPI通信电路与所述输入模块的信息向所述冗余关断模块输出控制信号。

6.根据权利要求5所述的电动汽车整车控制器，其特征在于，所述冗余关断模块具有从处理器电压参考端口、第二复位端口、CAN模块使能端口，冗余关断模块包括高压关断模块；

所述从处理器电压参考端口与所述电源电路连接，所述冗余关断模块通过所述从处理器电压参考端口提供所述第二参考电压ADJ2；

所述第二复位端口与所述复位电路连接，所述冗余关断模块通过所述第二复位端口向所述复位电路输出复位信号；

所述CAN模块使能端口与CAN通信电路连接，所述冗余关断模块通过所述CAN模块使能端口对CAN通信电路进行禁能操作；

所述高压关断模块与所述驱动输出模块连接，所述冗余关断模块通过所述高压关断模块对驱动输出模块进行禁能操作。

7.根据权利要求1至6任一项所述的电动汽车整车控制器，其特征在于，所述驱动输出模块包括：

高电平驱动芯片、低电平驱动芯片；

所述高电平驱动芯片分别与所述主处理器、所述从处理器、以及所述高压继电器线圈端一端连接，以控制所述高压继电器的接通与断开；

所述低电平驱动芯片分别与所述主处理器、以及所述高压继电器线圈端另一端连接，以控制所述高压继电器的接通与断开。

8.一种电动汽车整车控制器控制方法，其特征在于，所述方法包括：

从处理器采集蓄电池电压；

所述从处理器检测蓄电池电压是否在第一电压范围，如果是，通过与主处理器SPI通信检测关键信号、驱动输出模块是否正常；否则，禁能驱动输出模块；

如果检测到关键信号和/或驱动输出模块异常，禁能驱动输出模块。

9.根据权利要求8所述的电动汽车整车控制器控制方法，其特征在于，所述方法还包括：

如果从处理器检测到蓄电池电压不在第一电压范围，禁能CAN通信电路；

如果从处理器检测到蓄电池电压在第一电压范围后，通过与主处理器SPI通信检测是否正常；

如果主处理器运行状态异常，所述从处理器向复位电路输出复位信号，以使主处理器复位。

10.根据权利要求8所述的电动汽车整车控制器控制方法，其特征在于，所述方法还包括：

如果从处理器检测到蓄电池电压不在第一电压范围，禁能CAN通信电路；

如果从处理器检测到蓄电池电压在第一电压范围后，向电源电路输出第二参考电压ADJ2；

当所述电源电路接收到所述第二参考电压ADJ2，打开第一线性稳压器的喂狗信号输入端口，以检测主处理器的喂狗信号是否异常；

如果喂狗信号异常时，所述电源电路向复位电路输出复位信号，以使所述主处理器复位。

11.根据权利要求10所述的电动汽车整车控制器控制方法，其特征在于，所述方法还包括：

从处理器计算所述主处理器的复位次数，如果所述复位次数等于设定阈值，提示主处理器故障。