CN112648084A - 一种基于功能安全的双燃料发动机控制器 - Google Patents

Abstract

本发明公开了一种基于功能安全的双燃料发动机控制器，基础芯片不仅为整个系统提供电压支持，还监控电压运行状态，并且通过SPI通讯方式和CAN通讯方式与传感器单元、主控单元通讯。主控单元输出信号反馈到信号输入端，可以核验输入信号的一致性，若输入信号出现偏差或输出信号异常，主控单元可进入降级运行模式，使整个控制器处于安全状态，其内部集成了两个CPU，若其中一个CPU出现故障，另一个CPU仍然可以控制主控单元正常运行，仍然能够并输出稳定的控制信号。本发明充分考虑信号传输偏差对控制器可能带来的风险，可以安全的应用在双燃料发动机上，使发动机平稳安全的运行，保障人员的生命和财产安全。

Description

一种基于功能安全的双燃料发动机控制器

技术领域

本发明属于双燃料发动机控制功能安全技术领域，具体涉及一种基于功能安全的双燃料发动机控制器。

背景技术

双燃料发动机控制器是汽车电子电气系统的重要组成部分，若发动机控制器发生故障，会对车辆人员的生命和财产安全构成严重威胁。因此在进行双燃料发动机控制器开发的过程中，需要考虑控制器硬件的安全性，避免因硬件故障和硬件失效而造成的安全事故。在进行控制器开发的过程中，不仅需要实现产品的基本功能，还需要参照ISO26262标准进行开发和设计，充分考虑功能设计的安全性和完整性，提高产品的安全完整性等级。

双燃料发动机控制器和传感器多采用独立供电的方式或使用一个集中的电源芯片供电，这两种供电方式稳定性较差，没有采取有效的方式对电压进行监控，若出现欠压或过压状况时，控制器不能快速准确的检测到电压故障，容易造成整个控制器的输出信号的不准确，容易导致安全事故。

双燃料发动机控制器在采集信号时，传感器信号要先经过信号调理模块电路的滤波和滤波，然后输入给控制器，采集信号的方式较为单一，若信号发生故障，很难有效的被检测，没有完整的信号校对和监控机制，从而造成控制器的不稳定。

双燃料发动机控制器基本是直接输出信号给执行器，若输出信号出现偏差，没有一种安全有效的方式使得控制器停止输出偏差信号，进入降级运行状态。

发明内容

根据上述描述的现有技术存在的缺点，本发明设计和提供了一种基于功能安全的双燃料发动机控制器和控制方法，本发明提高了双燃料发动机控制器的安全完整性等级，使用基础芯片提供电压并监控过压和欠压情况，采取了三种信号传输方式同时对信号的准确性进行核验，提供了一种控制器降级运行的模式，使控制器运行稳定，可靠性较好。

为了实现上述目的，本发明设计了一种基于功能安全的双燃料发动机控制器，所述控制器包括CAN收发器、CAN控制器、传感器单元、信号处理模块、基础芯片、主控单元；

传感器单元上配置了SPI通讯接口；

基础芯片内部集成了电源转换器、电压监控模块、第二CAN控制器、SPI通讯接口；

主控单元内部集成了第三CAN控制器，集成了两个CPU并且分别带有诊断芯片，配置了SPI通讯接口，可与基础芯片通讯，主控单元连接硬件看门狗芯片；

所述基础芯片的SPI通讯接口分别与传感器单元和主控单元相连；

所述传感器单元一端与信号处理模块相连，通过信号处理模块接收到凸轮轴、曲轴信号，传感器单元另一端与第一CAN控制器连接，第一CAN控制器通过光电隔离模块连接第一CAN收发器，第一CAN收发器两端分别与CAN_H总线和CAN_L总线相连；

所述基础芯片集成的第二CAN控制器通过光电隔离模块与第二CAN收发器相连接，第二CAN收发器两端分别与CAN_H总线和CAN_L总线相连；

所述主控单元集成的第三CAN控制器通过光电隔离模块与第三CAN收发器相连接，第三CAN收发器的两端分别与CAN_H总线和CAN_L总线相连；

所述主控单元的信号输出端通过反馈元件连接信号输入端，若信号输出出现偏差，主控单元可及时进行调整和监控；所述主控单元的输出信号需要反馈到信号输入端，若信号值大于预先设定的阀值，则控制器进行降级运行状态，持续输出预先设定的固定信号值。

进一步，所述基础芯片接收输入信号，电压监控模块可同时监控各部件的欠压或者过压状态，电源转换器将输入电压转换成各部件需要的电压，第二CAN控制器控制第二CAN收发器传输CAN信号。

进一步，所述基础芯片通过甲醇-柴油双燃料发动机蓄电池取电，内部集成了一个具有内部场效应晶体管的同步降压模式电源转换器，将蓄电池电压转换成6V前置稳压器输出，为其他线性稳压器提供前置电压输出，基础芯片为各部件提供电压，同时监控各部件电压状态，确保各部件电压工作在正常状态；甲醇-柴油双燃料发动机的曲轴和凸轮轴传感器均为磁电式，磁电式传感器不需要接电源，因此不需要基础芯片供电，基础芯片为自身和主控单元提供3.3V电压支持，为CAN收发器提供5V电压支持；所述基础芯片作为SPI通讯中的主设备，还需要把从传感器单元中接收到的曲轴或凸轮轴转速传感器信号传递给主控单元，主控单元通过三种信号传输方式接收传感器信号并比对信号一致性。

进一步，所述三种信号传输方式，分别是传感器输出信号，SPI信号，和CAN信号，主控单元比对传感器输出信号、传感器输出信号、CAN信号的一致性，同时与基础芯片输出SPI信号进行对比，若信号一致，结合其他传感器输入信号和双燃料发动机控制策略输出控制信号，当信号不一致时，若传感器输出信号与SPI信号或CAN信号中有一路信号一致，可维持在正常工作状态，若传感器输出信号和SPI信号和CAN信号均不一致，且SPI信号和CAN信号传输的信号内容一致，那么主控单元持续输出预先设定好的平稳的控制信号或停止输出控制信号。

进一步，所述主控单元内部可分别诊断CPU的运行状态，若其中一个CPU出现硬件故障，另外一个CPU仍能正常工作，主控单元连接有硬件看门狗芯片，当程序发生跑飞或产生系统故障，硬件看门狗芯片可输出复位信号主控单元及时复位，消除主控单元硬件故障的影响。

进一步，所述主控单元的信号输出端通过反馈元件连接信号输入端，在甲醇-柴油双燃料发动机中，若甲醇喷射量过大，在低速工况时喷射量过大，发动机无法启动，在中高速工况时喷射量过大发动机将无法启动，因此，对于重要的输出信号，假如为甲醇喷射驱动电路输出信号，信号输出端需要连接主控单元的信号输入端口，主控单元对此信号进行检测，若检测发现此信号异常，需要使控制器进入降级运行模式，输出预先设定好的平稳的信号值或停止输出控制信号。

本发明解决了双燃料发动机运行过程中可能会产生的传感器电压不稳定、主控单元电压不稳定的问题，通过基础芯片可以同时监控传感器电压和主控单元电压，区别于传统控制器开发中的传感器、主控单元单独供电，提高了控制器整体的安全性，同时可以对供电电压进行监控，使系统稳定运行，同时本发明采取了三种信号采集和传递方式，充分提高了信号在传输过程中的稳定性，消除信号误差可能造成的发动机运行不稳定的风险，SPI通讯和CAN通信采集的数据可以进行实时的分析和对比，保障信号传输的稳定。

附图说明

图1本发明的基本结构连接图；

图2是基础芯片内部结构图；

图3是主控单元内部结构图。

具体实施方式

为了使本发明目的、技术方案描述的更加清楚详细，下面结合具体的实施例进行详细的技术说明

需要说明的是，本发明设计的控制器可应用于任一双燃料发动机的智能控制中。

本实施例中，双燃料发动机为甲醇-柴油双燃料发动机，输入控制器的其中一个传感器信号为曲轴或凸轮轴信号。

如图1所示，所述控制器包括3个CAN收发器、CAN控制器、传感器单元、信号处理模块、基础芯片、主控单元。

传感器单元上配置了SPI通讯接口，传感器单元可配置有SPI的接口的8位单片机，传感器单元首先通过信号处理模块接收到凸轮轴、曲轴信号，曲轴传感器和凸轮轴位置传感器输出信号通过信号处理模块连接传感器单元，由于此两种传感器均为磁电式传感器，信号处理模块可以是一种双路正弦波转方波处理电路，同时可以对信号起滤波作用，传感器单元解析方波信号，再通过SPI通讯方式把发动机转速、喷油时刻、点火时刻等信号传递给基础芯片。

如图2所示，所述基础芯片内部集成了电源转换器、电压监控模块、第二CAN控制器，配置有SPI通讯接口，基础芯片为传感器、传感器单元、CAN收发器、主控单元供电，基础芯片通过甲醇-柴油双燃料发动机蓄电池取电，内部集成了一个具有内部场效应晶体管的同步降压模式电源转换器，可将蓄电池电压转换成6V前置稳压器输出，为其他线性稳压器提供前置电压输出，电源转换器集成多个具有内部场效应晶体管的线性稳压器，可将6V前置电压调节成3.3V电压为基础芯片和主控单元供电，具有可调电压的线性稳压器可为各种传感器供电，另外本甲醇-柴油双燃料发动机传感器信号均为磁电式，不需要额外提供源支持，电压监控模块监控电源电压和稳压器输出电压，需要配置相应的基础芯片寄存器状态，若电压稳定正常运行将相应的寄存器标志位清零，若电压出现欠压或者过压情况将相应的寄存器标志位设置为1，将单片机对方波信号进行解析处理，第二CAN控制器将发动机转速等相关转换成CAN报文发送到CAN总线上。

如图3所示，所述主控单元内部集成了CAN控制器，集成了两个CPU并且分别带有诊断芯片，配置有SPI通讯接口，CAN控制器主要是接收CAN总线上来单片机单元发送的CAN报文，SPI通讯接口与基础芯片相连接，基础芯片为SPI通讯中的主设备，传感器单元和主控单元为SPI通讯的两个从设备，因此主控单元可通过SPI通讯的方式接收来自传感器单元中的双燃料发动机信号，主控单元集成了两个CPU为双核架构，两个CPU同时接收输入信号，执行相同的运算，输出控制信号时要先比对一致性，若信号一致输出给执行器，若信号不一致，诊断单元会对CPU进行状态判断，选择CPU状态正常的信号输出，若两个CPU工作状态均异常，主控单元进行降级运行模式，直到其中一个CPU或两个CPU均处于正常工作状态。

所述基础芯片的SPI通讯接口分别与传感器单元和主控单元相连，基础芯片为传感器、传感器单元、CAN收发器、主控单元供电，基础芯片为SPI通讯中的主设备，传感器单元和主控单元为SPI中的从设备，基础芯片同时接收来自传感器单元的SPI信号和CAN报文，同时将两种输入信息进行比对，通过SPI通讯方式发送给主控单元，另外，基础芯片作为SPI通讯中的主设备，还需要把从传感器单元中接收到的曲轴或凸轮轴转速传感器信号传递给主控单元，主控单元通过三种信号传输方式接收传感器信号并比对信号一致性，甲醇-柴油双燃料发动机的曲轴和凸轮轴传感器均为磁电式，磁电式传感器不需要接电源，因此不需要基础芯片供电，基础芯片为基础芯片和主控单元提供3.3V电压支持，为CAN收发器提供5V电压支持。

所述传感器单元一端与信号处理模块相连，另一端与第一CAN控制器连接，第一CAN控制器连接第一CAN收发器，第一CAN收发器两端分别与CAN_H总线和CAN_L总线相连，此信号处理模块为一种双路正弦波转方波处理电路，曲轴或凸轮轴传感器输出的信号经过传感器单元解析后转换成CAN报文经其集成的CAN控制器发送到到CAN总线上。

所述基础芯片、主控单元分别与第二、第三CAN收发器相连接，第二、第三CAN收发器的两端分别与CAN_H总线和CAN_L总线相连，基础芯片和主控单元接收来自CAN总线传感器单元发送上的报文信息，在这个CAN总线中，只有传感器单元发送报文，主控单元和基础芯片都只接收来自CAN总线的报文。

所述的所有CAN控制器和CAN收发器连接有光电隔离器，光电隔离器选用高速光耦芯片，具有隔离和抗干扰的双重作用。

所述主控单元的信号输出端通过反馈元件连接信号输入端，在甲醇-柴油双燃料发动机中，若甲醇喷射量过大，在低速工况时喷射量过大，发动机无法启动，在中高速工况时喷射量过大发动机将无法启动，因此，对于重要的输出信号，如甲醇喷射驱动电路输出信号，信号输出端需要连接主控单元的信号输入端口，主控单元对此信号进行检测，若检测发现此信号异常，需要使控制器进入降级运行模式，输出预先设定好的平稳的信号值或停止输出控制信号。

主控单元可接收到三路信号，分别是传感器输出信号，SPI信号，和CAN信号，主控单元比对传感器输出信号、传感器输出信号、CAN信号的一致性，同时与基础芯片输出SPI信号进行对比，若信号一致，结合其他传感器输入信号和双燃料发动机控制策略输出控制信号，当信号不一致时，若传感器输出信号与SPI信号或CAN信号中有一路信号一致，可维持在正常工作状态，若传感器输出信号和SPI信号和CAN信号均不一致，且SPI信号和CAN信号传输的信号内容一致，那么主控单元持续输出预先设定好的平稳的控制信号或停止输出控制信号。

综上，本发明的一种基于功能安全的双燃料发动机控制器，控制器包括3个CAN收发器、3个光电隔离器、CAN控制器、传感器单元、信号处理模块、基础芯片、主控单元。基础芯片不仅为整个系统提供电压支持，还监控电压运行状态，并且通过SPI通讯方式和CAN通讯方式与传感器单元、主控单元通讯。主控单元输出信号反馈到信号输入端，可以核验输入信号的一致性，若输入信号出现偏差或输出信号异常，主控单元可进入降级运行模式，使整个控制器处于安全状态，其内部集成了两个CPU，若其中一个CPU出现故障，另一个CPU仍然可以控制主控单元正常运行，仍然能够并输出稳定的控制信号。本发明充分考虑信号传输偏差对控制器可能带来的风险，应用了三种传输方式对数据进行传输、校验，符合ISO26262标准的ASIL-D等级要求，可以安全的应用在双燃料发动机上，使发动机平稳安全的运行，保障人员的生命和财产安全。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示意性实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

尽管已经示出和描述了本发明的实施例，本领域的普通技术人员可以理解：在不脱离本发明的原理和宗旨的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由权利要求及其等同物限定。

Claims (6)

1.一种基于功能安全的双燃料发动机控制器，其特征在于，所述控制器包括CAN收发器、CAN控制器、传感器单元、信号处理模块、基础芯片、主控单元；

传感器单元上配置了SPI通讯接口；

基础芯片内部集成了电源转换器、电压监控模块、第二CAN控制器、SPI通讯接口；

主控单元内部集成了第三CAN控制器，集成了两个CPU并且分别带有诊断芯片，配置了SPI通讯接口，可与基础芯片通讯，主控单元连接硬件看门狗芯片；

所述基础芯片的SPI通讯接口分别与传感器单元和主控单元相连；

所述传感器单元一端与信号处理模块相连，通过信号处理模块接收到凸轮轴、曲轴信号，传感器单元另一端与第一CAN控制器连接，第一CAN控制器通过光电隔离模块连接第一CAN收发器，第一CAN收发器两端分别与CAN_H总线和CAN_L总线相连；

所述基础芯片集成的第二CAN控制器通过光电隔离模块与第二CAN收发器相连接，第二CAN收发器两端分别与CAN_H总线和CAN_L总线相连；

所述主控单元集成的第三CAN控制器通过光电隔离模块与第三CAN收发器相连接，第三CAN收发器的两端分别与CAN_H总线和CAN_L总线相连；

所述主控单元的信号输出端通过反馈元件连接信号输入端，若信号输出出现偏差，主控单元可及时进行调整和监控；所述主控单元的输出信号需要反馈到信号输入端，若信号值大于预先设定的阀值，则控制器进行降级运行状态，持续输出预先设定的固定信号值。

2.根据权利要求1所述的一种基于功能安全的双燃料发动机控制器，其特征在于，所述基础芯片接收输入信号，电压监控模块可同时监控各部件的欠压或者过压状态，电源转换器将输入电压转换成各部件需要的电压，第二CAN控制器控制第二CAN收发器传输CAN信号。

3.根据权利要求2所述的一种基于功能安全的双燃料发动机控制器，其特征在于，所述基础芯片通过甲醇-柴油双燃料发动机蓄电池取电，内部集成了一个具有内部场效应晶体管的同步降压模式电源转换器，将蓄电池电压转换成6V前置稳压器输出，为其他线性稳压器提供前置电压输出，基础芯片为各部件提供电压，同时监控各部件电压状态，确保各部件电压工作在正常状态；甲醇-柴油双燃料发动机的曲轴和凸轮轴传感器均为磁电式，磁电式传感器不需要接电源，因此不需要基础芯片供电，基础芯片为自身和主控单元提供3.3V电压支持，为CAN收发器提供5V电压支持；所述基础芯片作为SPI通讯中的主设备，还需要把从传感器单元中接收到的曲轴或凸轮轴转速传感器信号传递给主控单元，主控单元通过三种信号传输方式接收传感器信号并比对信号一致性。

4.根据权利要求3所述的一种基于功能安全的双燃料发动机控制器，其特征在于，所述三种信号传输方式，分别是传感器输出信号，SPI信号，和CAN信号，主控单元比对传感器输出信号、传感器输出信号、CAN信号的一致性，同时与基础芯片输出SPI信号进行对比，若信号一致，结合其他传感器输入信号和双燃料发动机控制策略输出控制信号，当信号不一致时，若传感器输出信号与SPI信号或CAN信号中有一路信号一致，可维持在正常工作状态，若传感器输出信号和SPI信号和CAN信号均不一致，且SPI信号和CAN信号传输的信号内容一致，那么主控单元持续输出预先设定好的平稳的控制信号或停止输出控制信号。

5.根据权利要求1所述的一种基于功能安全的双燃料发动机控制器，其特征在于，所述主控单元内部可分别诊断CPU的运行状态，若其中一个CPU出现硬件故障，另外一个CPU仍能正常工作，主控单元连接有硬件看门狗芯片，当程序发生跑飞或产生系统故障，硬件看门狗芯片可输出复位信号主控单元及时复位，消除主控单元硬件故障的影响。

6.根据权利要求5所述的一种基于功能安全的双燃料发动机控制器，其特征在于，所述主控单元的信号输出端通过反馈元件连接信号输入端，在甲醇-柴油双燃料发动机中，若甲醇喷射量过大，在低速工况时喷射量过大，发动机无法启动，在中高速工况时喷射量过大发动机将无法启动，因此，对于重要的输出信号，假如为甲醇喷射驱动电路输出信号，信号输出端需要连接主控单元的信号输入端口，主控单元对此信号进行检测，若检测发现此信号异常，需要使控制器进入降级运行模式，输出预先设定好的平稳的信号值或停止输出控制信号。

Images