CN111061243B - 电子控制器程序流监控系统及方法 - Google Patents

Abstract

本发明提供了一种电子控制器程序流监控系统及方法，包括内部看门狗模块、外部看门狗模块、外部看门狗答案生成模块和程序流监控模块，内部看门狗模块生成一问题，程序流监控模块根据问题生成程序流监控答案，并将程序流监控答案发送至内部看门狗模块和外部看门狗答案生成模块；内部看门狗模块检验程序流监控答案是否错误，若是，则关闭电子控制器；内部看门狗模块向外部看门狗答案生成模块发送一预设值；外部看门狗答案生成模块根据预设值和程序流监控答案生成外部看门狗的答案，并将外部看门狗答案发送至外部看门狗模块；外部看门狗模块通过外部看门狗的答案检验程序流监控答案与预设值是否有错误，若是，则关闭电子控制器。

Description

电子控制器程序流监控系统及方法

技术领域

本发明涉及汽车控制器技术领域，特别涉及一种电子控制器程序流监控系统及方法。

背景技术

随着汽车系统复杂性的提高，软件和机电设备的应用，来自系统失效和随机硬件失效的风险也日益增加，安全将是汽车电子控制器(如发动机控制器，电机驱动控制器，整车控制器等)研发中越来越重要的指标。基于这种需要，第一版车用功能安全国际标准ISO26262已于2011年11月正式颁布，第二版也有望于2018年实施。标准规定需要对功能安全所涉及到的硬件进行诊断，保证故障被检测到，并且错误响应是可控的。

目前多数的控制和诊断功能都基于单片机软件实现，单片机硬件的失效可能直接导致违背安全目标的事件发生，因此需要对单片机内部的各种硬件单元进行监控。对于单片机内部的程序执行过程和时钟，现有的方案大多是使用外部智能看门狗芯片，以周期问答的方式对电子控制器的软件的执行时序进行监控，这就是程序流监控。如图1所示，使用独立时钟晶振的智能看门狗芯片周期性产生并发送问题给单片机，当单片机接收到问题后，对问题进行解码然后输入给程序流监控模块，程序流监控模块根据输入的问题产生相应的答案，经编码后发给外部智能看门狗。看门狗对答案进行监控，如果单片机出现故障，程序未按规定的时序运行或者软件计算结果异常，则答案就会不正确或未在规定的时间内传给看门狗芯片，外部智能看门狗的错误计数器会增加。当错误计数器超过阈值时，会触发信号去重启单片机和关断安全相关输出(如节气门，高压油泵或电机等)。

智能看门狗芯片虽然可以实现安全监控的功能，但是其内部功能复杂，导致软硬件开发周期长，硬件成本高，同时满足要求可供选择的看门狗芯片种类稀少。

发明内容

本发明的目的在于提供一种电子控制器程序流监控系统及方法，以解决现有的智能看门狗芯片开发成本高的问题。

为解决上述技术问题，本发明提供一种电子控制器程序流监控系统，所述电子控制器程序流监控系统包括内部看门狗模块、外部看门狗模块、外部看门狗答案生成模块和程序流监控模块，其中：

所述内部看门狗模块生成一问题，并将所述问题发送至所述程序流监控模块；

所述程序流监控模块根据所述问题生成程序流监控答案，并将所述程序流监控答案发送至所述内部看门狗模块和所述外部看门狗答案生成模块；

所述内部看门狗模块检验所述程序流监控答案是否错误，若是，则关闭电子控制器；

所述内部看门狗模块向所述外部看门狗答案生成模块发送一预设值；

所述外部看门狗答案生成模块根据所述预设值和所述程序流监控答案生成外部看门狗的答案，并将所述外部看门狗答案发送至外部看门狗模块；

所述外部看门狗模块通过外部看门狗的答案检验所述程序流监控答案与所述预设值是否有错误，若是，则关闭电子控制器。

可选的，在所述的电子控制器程序流监控系统中，所述内部看门狗模块包括问题生成模块、基值生成模块、预设值生成模块和答案验证模块，其中：

所述问题生成模块生成所述问题，并将所述问题发送至所述程序流监控模块、所述基值生成模块和所述预设值生成模块；

所述基值生成模块根据所述问题生成一基值，并将所述基值发送至所述答案验证模块；

所述答案验证模块比较所述基值和所述程序流监控答案，若两者不满足特定关系，则检验所述程序流监控答案错误；

所述预设值生成模块根据所述问题生成所述预设值，并将所述预设值发送至所述外部看门狗答案生成模块。

可选的，在所述的电子控制器程序流监控系统中，所述内部看门狗模块位于所述单片机内部。

可选的，在所述的电子控制器程序流监控系统中，所述外部看门狗模块位于所述单片机外部。

可选的，在所述的电子控制器程序流监控系统中，所述内部看门狗模块对所述电子控制器的程序流进行监控。

可选的，在所述的电子控制器程序流监控系统中，所述外部看门狗模块对所述电子控制器的时钟进行监控。

可选的，在所述的电子控制器程序流监控系统中，所述程序流监控模块结合所述电子控制器内部的应用程序生成程序流监控答案。

本发明还提供一种电子控制器程序流监控方法，所述电子控制器程序流监控方法包括：

内部看门狗模块生成一问题，并将所述问题发送至程序流监控模块；

所述程序流监控模块根据所述问题生成程序流监控答案，并将所述程序流监控答案发送至所述内部看门狗模块和外部看门狗答案生成模块；

所述内部看门狗模块检验所述程序流监控答案是否错误，若是，则关闭电子控制器；

所述内部看门狗模块向所述外部看门狗答案生成模块发送一预设值；

所述外部看门狗答案生成模块根据所述预设值和所述程序流监控答案生成外部看门狗的答案，并将所述外部看门狗答案发送至外部看门狗模块；

所述外部看门狗模块通过外部看门狗的答案检验所述程序流监控答案与所述预设值是否有错误，若是，则关闭电子控制器。

在本发明提供的电子控制器程序流监控系统及方法中，通过程序流监控模块将程序流监控答案发送至内部看门狗模块和外部看门狗模块，对于其内部看门狗模块已具备生成问题和检验程序流监控答案(随机数产生和检验)功能的单片机，可以合理地应用此技术和单片机的片内资源，将程序流监控与之相结合，简化对于外部看门狗模块的功能需求，从而用较为便宜的窗口型看门狗代替智能型看门狗，在满足功能需求的同时，节约软硬件开发成本和硬件成本。

附图说明

图1是现有的电子控制器程序流监控系统及方法示意图；

图2是本发明一实施例中的电子控制器程序流监控系统示意图；

图中所示：10-内部看门狗模块；11-基值生成模块；12-预设值生成模块；13-答案验证模块；14-问题生成模块；20-外部看门狗模块；21-外部看门狗答案生成模块；30-程序流监控模块。

具体实施方式

以下结合附图和具体实施例对本发明提出的电子控制器程序流监控系统及方法作进一步详细说明。根据下面说明和权利要求书，本发明的优点和特征将更清楚。需说明的是，附图均采用非常简化的形式且均使用非精准的比例，仅用以方便、明晰地辅助说明本发明实施例的目的。

本发明的核心思想在于提供一种电子控制器程序流监控系统及方法，以解决现有的智能看门狗芯片开发成本高的问题。

为实现上述思想，本发明提供了一种电子控制器程序流监控系统及方法，所述电子控制器程序流监控系统包括内部看门狗模块、外部看门狗模块、外部看门狗答案生成模块和程序流监控模块，其中：所述内部看门狗模块生成一问题，并将所述问题发送至所述程序流监控模块；所述程序流监控模块根据所述问题生成程序流监控答案，并将所述程序流监控答案发送至所述内部看门狗模块和所述外部看门狗答案生成模块；所述内部看门狗模块检验所述程序流监控答案是否错误，若是，则关闭电子控制器；所述内部看门狗模块向所述外部看门狗答案生成模块发送一预设值；所述外部看门狗答案生成模块根据所述预设值和所述程序流监控答案生成外部看门狗的答案，并将所述外部看门狗答案发送至外部看门狗模块；所述外部看门狗模块通过外部看门狗的答案检验所述程序流监控答案与所述预设值是否有错误，若是，则关闭电子控制器。

<实施例一>

本实施例提供一种电子控制器程序流监控系统，如图2所示，所述电子控制器程序流监控系统包括内部看门狗模块10、外部看门狗模块20、外部看门狗答案生成模块21和程序流监控模块30，其中：所述内部看门狗模块10生成一问题，并将所述问题发送至所述程序流监控模块30；所述程序流监控模块30根据所述问题生成程序流监控答案，并将所述程序流监控答案发送至所述内部看门狗模块10和所述外部看门狗答案生成模块21；所述内部看门狗模块10检验所述程序流监控答案是否错误，若是，则关闭电子控制器；所述内部看门狗模块10向所述外部看门狗答案生成模块21发送一预设值；所述外部看门狗答案生成模块21根据所述预设值和所述程序流监控答案生成外部看门狗的答案，并将所述外部看门狗答案发送至外部看门狗模块20；所述外部看门狗模块20通过外部看门狗的答案检验所述程序流监控答案与所述预设值是否有错误，若是，则关闭电子控制器。

具体的，在所述的电子控制器程序流监控系统中，所述内部看门狗模块10包括基值生成模块11、预设值生成模块12、答案验证模块13和问题生成模块14，其中：所述问题生成模块14生成所述问题，并将所述问题发送至所述程序流监控模块30、所述基值生成模块11和所述预设值生成模块12；所述基值生成模块11根据所述问题生成一基值，并将所述基值发送至所述答案验证模块13；所述答案验证模块13比较所述基值和所述程序流监控答案，若两者不满足特定关系，则检验所述程序流监控答案错误；所述预设值生成模块12根据所述问题生成所述预设值，并将所述预设值发送至所述外部看门狗答案生成模块21；所述外部看门狗模块20通过外部看门狗的答案检验所述程序流监控答案与所述预设值是否有错误。

进一步的，在所述的电子控制器程序流监控系统中，所述内部看门狗模块10位于所述单片机内部。所述外部看门狗模块20位于所述单片机外部。所述内部看门狗模块10对所述电子控制器的程序流进行监控。所述外部看门狗模块20对所述电子控制器的时钟进行监控。所述程序流监控模块30结合所述电子控制器内部的应用程序生成程序流监控答案。

综上，上述实施例对电子控制器程序流监控系统的不同构型进行了详细说明，当然，本发明包括但不局限于上述实施中所列举的构型，任何在上述实施例提供的构型基础上进行变换的内容，均属于本发明所保护的范围。本领域技术人员可以根据上述实施例的内容举一反三。

<实施例二>

本实施例还提供一种电子控制器程序流监控方法，所述电子控制器程序流监控方法包括：内部看门狗模块10生成一问题，并将所述问题发送至程序流监控模块30；所述程序流监控模块30根据所述问题生成程序流监控答案，并将所述程序流监控答案发送至所述内部看门狗模块10和外部看门狗答案生成模块21；所述内部看门狗模块10检验所述程序流监控答案是否错误，若是，则关闭电子控制器；所述内部看门狗模块10向所述外部看门狗答案生成模块21发送一预设值；所述外部看门狗答案生成模块21根据所述预设值和所述程序流监控答案生成外部看门狗的答案，并将所述外部看门狗答案发送至外部看门狗模块20；所述外部看门狗模块20通过外部看门狗的答案检验所述程序流监控答案与所述预设值是否有错误，若是，则关闭电子控制器。

随着技术的更新换代，单片机内部集成的功能越来越强大，内部看门狗也开始拥有复杂的算法和喂狗机制。通过将程序流监控与内部看门狗结合，利用内部看门狗实现对程序流的监控，外部看门狗仅仅实现时钟的监控，从而弱化外部看门狗的功能需求，这样就可以将现有解决方案中的智能看门狗芯片替换成普通的带窗口模式的看门狗，有效得利用了现有的单片机资源，减少了开发成本和硬件成本，降低了单个控制器节点的复杂性。

为满足功能安全的要求，目前主流的单片机芯片(如英飞凌的TC275、ST的SPC574K)都设计了复杂的内部看门狗功能，通常是一个伪随机数算法，要求电子控制器经过一定的算法才能计算得到喂狗对应的数据。假设其算法为：

y=f(x)

基于同一个x，只有当电子控制器反馈的y与内部看门狗计算得到的y相同，内部看门狗的计数器才会清零，否则会导致看门狗溢出，触发电子控制器复位。

由于单片机内核计算单元与内部看门狗的硬件单元具有独立性，基于上述内部看门狗算法，设计了利用内部看门狗来实现程序流监控的控制流程，如图2所示，利用内部看门狗的伪随机数算法，循环产生一个随机“问题”，“问题”输入给程序流监控模块，同时利用两个表格获取得到一个“基值”与“预设值”。程序流监控模块嵌套于应用程序的中间，最后输出的“程序流监控答案”与“基值”一块输入给内部看门狗模块。为了避免内部看门狗模块与单片机内核之间共用时钟和电源造成的共因失效，“程序流监控答案”与“预设值”同样会经过编码周期性发送给窗口型外部看门狗模块。如果单片机异常导致程序执行时序错误，或者是没有执行，会导致程序流监控答案异常，甚至不会喂内部和外部看门狗，从而触发电子控制器复位和关闭输出。通过上述方法，可以使用较为便宜的不带问答的窗口型看门狗替代智能看门狗，满足功能安全要求的同时，降低软硬件的开发成本和硬件成本。

在本发明提供的电子控制器程序流监控系统及方法中，通过程序流监控模块30将程序流监控答案发送至内部看门狗模块10和外部看门狗答案生成模块21，对于其内部看门狗模块10已具备生成问题和检验程序流监控答案(随机数产生和检验)功能的单片机，可以合理地应用此技术和单片机的片内资源，将程序流监控与之相结合，简化对于外部看门狗模块20的功能需求，从而用较为便宜的窗口型看门狗代替智能型看门狗，在满足功能需求的同时，节约软硬件开发成本和硬件成本。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的系统而言，由于与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

上述描述仅是对本发明较佳实施例的描述，并非对本发明范围的任何限定，本发明领域的普通技术人员根据上述揭示内容做的任何变更、修饰，均属于权利要求书的保护范围。

Claims (4)

1.一种电子控制器程序流监控系统，其特征在于，所述电子控制器程序流监控系统包括内部看门狗模块、外部看门狗模块、外部看门狗答案生成模块和程序流监控模块，其中：

所述内部看门狗模块生成一问题，并将所述问题发送至所述程序流监控模块；

所述程序流监控模块根据所述问题生成程序流监控答案，并将所述程序流监控答案发送至所述内部看门狗模块和所述外部看门狗答案生成模块；

所述内部看门狗模块检验所述程序流监控答案是否错误，若是，则关闭电子控制器；

所述内部看门狗模块向所述外部看门狗答案生成模块发送一预设值；

所述外部看门狗答案生成模块根据所述预设值和所述程序流监控答案生成外部看门狗的答案，并将所述外部看门狗答案发送至外部看门狗模块；

所述外部看门狗模块通过外部看门狗的答案检验所述程序流监控答案与所述预设值是否有错误，若是，则关闭电子控制器；

其中，所述内部看门狗模块位于一单片机内部，所述外部看门狗模块位于所述单片机外部，所述内部看门狗模块对所述电子控制器的程序流进行监控，所述外部看门狗模块对所述电子控制器的时钟进行监控。

2.如权利要求1所述的电子控制器程序流监控系统，其特征在于，所述内部看门狗模块包括问题生成模块、基值生成模块、预设值生成模块和答案验证模块，其中：

所述问题生成模块生成所述问题，并将所述问题发送至所述程序流监控模块、所述基值生成模块和所述预设值生成模块；

所述基值生成模块根据所述问题生成一基值，并将所述基值发送至所述答案验证模块；

所述答案验证模块比较所述基值和所述程序流监控答案，若两者不满足特定关系，则检验所述程序流监控答案错误；

所述预设值生成模块根据所述问题生成所述预设值，并将所述预设值发送至所述外部看门狗答案生成模块。

3.如权利要求1所述的电子控制器程序流监控系统，其特征在于，所述程序流监控模块结合所述电子控制器内部的应用程序生成程序流监控答案。

4.一种电子控制器程序流监控方法，其特征在于，所述电子控制器程序流监控方法包括：

内部看门狗模块生成一问题，并将所述问题发送至程序流监控模块；

所述程序流监控模块根据所述问题生成程序流监控答案，并将所述程序流监控答案发送至所述内部看门狗模块和外部看门狗答案生成模块；

所述内部看门狗模块检验所述程序流监控答案是否错误，若是，则关闭电子控制器；

所述内部看门狗模块向所述外部看门狗答案生成模块发送一预设值；

所述外部看门狗答案生成模块根据所述预设值和所述程序流监控答案生成外部看门狗的答案，并将所述外部看门狗答案发送至外部看门狗模块；

所述外部看门狗模块通过外部看门狗的答案检验所述程序流监控答案与所述预设值是否有错误，若是，则关闭电子控制器；

其中，所述内部看门狗模块位于一单片机内部，所述外部看门狗模块位于所述单片机外部，所述内部看门狗模块对所述电子控制器的程序流进行监控，所述外部看门狗模块对所述电子控制器的时钟进行监控。

Images