CN116859814B - 一种双mcu的安全控制方法及系统 - Google Patents

Abstract

本发明公开了一种双MCU的安全控制方法及系统，涉及安全控制技术领域，系统包括电压限制配置模块、参考电压模块、窗口比较器模块、反相处理模块和MCU控制模块。方法包括配置窗口比较器的电压上限U_上限和电压下限U_下限，并进行稳压处理；根据比较结果，判断窗口比较器输出信号；对窗口比较器输出信号进行反相处理；若新输出的电平信号为高电平信号，则控制MCU正常工作；否则，停止工作或复位。本发明将信号对MCU进行复位或对重要信号进行驱动，防止电源失效，控制失效的情况产生。

Description

一种双MCU的安全控制方法及系统

技术领域

本发明涉及安全控制技术领域，尤其是涉及一种双MCU的安全控制方法及系统。

背景技术

在目前的安全控制系统上，大多数的系统采用的是双MCU的控制系统，同时为了考虑，电源的失效，导致系统MCU失控的情况，会使用两个电源系统分别对两个MCU进行供电，但是，这样带来的问题是，两个电源系统会造成成本和体积的增加，以及就算两个MCU进行独立供电，但是两个MCU之间互相的信息交互电平还是依赖各自的电源系统，这样就有可能会在其中一个电源失效，会将这个失效通过交互端口传递给对方MCU，造成系统失控，没有起到双MCU安全保护机制。

公开号为CN113110124A的中国专利公开了一种双MCU的控制方法及控制系统，其中，双MCU的控制方法包括：主MCU输出第一脉冲信号；从MCU输出第二脉冲信号；其中，第二脉冲信号与第一脉冲信号频率相同，主MCU接收第二脉冲信号并根据接收到的第二脉冲信号监视从MCU是否延时，从MCU接收第一脉冲信号并根据接收到的第一脉冲信号监视主MCU是否延时。该专利的主MCU和从MCU接收同样的输入数据，但是输出的脉冲信号为异步脉冲信号，且主MCU接收第二脉冲信号并根据接收到的第二脉冲信号监视从MCU是否延时，从MCU接收第一脉冲信号并根据接收到的第一脉冲信号监视主MCU是否延时，两个MCU在处理输入数据的过程中输出脉冲信号供对方监视，其虽然缩短了双MCU的安全响应时间，但仍存在双MCU安全保护性差、电源失效等问题。

公开号为CN106154894A的中国专利公开了一种基于双MPU的整车控制器及其安全监控方法，整车控制器包括主电源模块、监控电源模块、主MCU、继电器驱动模块和监控MCU，主MCU和监控MCU之间通过SPI总线连接，主电源模块与主MCU连接并为其供电，监控电源模块与监控MCU连接并为其供电，主电源模块输出端与监控MCU的模拟量输入端口连接，监控电源模块输出端与监控MCU的模拟量输入端口连接；主MCU的复位引脚与监控MCU相连，监控MCU的复位引脚与主MCU相连；主MCU与继电器驱动模块的输入端连接，监控MCU与继电器驱动模块的使能端相连接。虽然该专利通过两个MCU的相互监督及协同工作，相对于单MCU整车控制器在整车控制的可靠性和安全性方面有了很大的提高，但是其使用两个电源系统分别对两个MCU进行供电，造成成本和体积的增加。

因此，需要设计一种双MCU安全保护性差、电源失效、使用成本高等问题的双MCU的安全控制方法及系统。

发明内容

为了解决现有技术存在的双MCU安全保护性差、电源失效、使用成本高等问题，本发明提供了一种双MCU的安全控制方法及系统。

为了实现上述本发明的目的，本发明采用的技术方案如下：

一种双MCU的安全控制系统，采用一种双MCU的安全控制方法，包括电压限制配置模块、参考电压模块、窗口比较器模块、反相处理模块和MCU控制模块，电压限制配置模块将信号传输至窗口比较器模块，参考电压模块将信号传输至窗口比较器模块，窗口比较器模块将信号传输至反相处理模块，反相处理模块将信号传输至MCU控制模块，MCU控制模块控制MCU执行器件。

基于上述技术方案，更进一步地，所述电压限制配置模块包括电压上限U_上限配置单元，电压上限U_上限配置单元包括第一电阻、第二电阻和第一电容，第一电阻一端连接电源，第一电阻另一端连接第二电阻，且与第二电阻并联设有第一电容，第一电容和第二电阻连接端延伸接地。

基于上述技术方案，更进一步地，所述电压限制配置模块包括电压下限U_下限配置单元，电压下限U_下限配置单元包括第三电阻、第四电阻和第二电容，第三电阻一端连接电源，第三电阻另一端连接第四电阻，且与第四电阻并联设有第二电容，第二电容和第四电阻连接端延伸接地。

基于上述技术方案，更进一步地，所述参考电压模块包括第一集成块、第三电容、第四电容和第五电容，第一集成块的输入端连接第三电容一端，第三电容另一端接地，第一集成块的输出端连接第四电容和第五电容的一端，第四电容和第五电容的另一端接地。

基于上述技术方案，更进一步地，所述窗口比较器模块包括第一运放和第二运放，第一运放的反相输入端和第二运放的同相输入端共同连接第六电容和第五电阻，第五电阻接电源，与第六电容并联设有第六电阻，第六电阻一端和第六电容一端共同接地，第二运放的反相输入端与第一电阻连接。

基于上述技术方案，更进一步地，所述窗口比较器模块还包括第七电阻和第七电容，第七电阻一端和第七电容一端共同连接第一运放的正饱和电压，第七电阻另一端连接电源，第七电容另一端接地。

基于上述技术方案，更进一步地，所述反相处理模块包括第一场效应管和第二场效应管，第一场效应管的栅极连接第二运放的输出端，第一场效应管的源极接地，第一场效应管的漏极连接第八电阻，第八电阻连接电源；第二场效应管的栅极连接第一运放的输出端，第二场效应管的源极接地，第二场效应管的漏极连接第八电阻。

基于上述技术方案，更进一步地，所述第一场效应管还包括第八电容和第九电阻，第八电容一端连接第二运放输出端和第一场效应管的栅极，第八电容的另一端接地；第九电阻一端与第二运放和第一场效应管的栅极连接，第九电阻的另一端与第一场效应管的源极共同接地。

基于上述技术方案，更进一步地，所述第二场效应管还包括第九电容和第十电阻，第九电容一端连接第一运放输出端和第二场效应管的栅极，第九电容的另一端接地；第十电阻一端与第一运放和第二场效应管的栅极连接，第十电阻的另一端与第二场效应管的源极共同接地。

基于上述技术方案，更进一步地，所述MCU控制模块包括第二集成块、第三场效应管、第四场效应管、第五场效应管和第六场效应管，第二集成块的引脚连接反相处理模块的输出端和第一MCU的输出端，第二集成块的另一个引脚连接第三场效应管的源极，第三场效应管的源极接地，第三场效应的漏极连接第六场效应管的栅极，第六场效应管的漏极接地，第六场效应管的源极接第五场效应管的漏极，第五场效应管的源极接电源，第五场效应管的栅极接第四场效应管的漏极，第四场效应管的源极接地，第四场效应管的栅极接第二MCU的输出端。

基于上述技术方案，更进一步地，所述MCU控制模块还包括第十电容和第十一电阻；第十电容一端连接第二集成块输出端和第三场效应管的栅极，第十电容的另一端接地；第十一电阻一端连接第二集成块输出端和第三场效应管的栅极，第十一电阻的另一端与第三场效应管的源极共同接地。

基于上述技术方案，更进一步地，所述MCU控制模块还包括第十一电容和第十二电阻；第十一电容一端连接第二MCU的输出端和第四场效应管的栅极，第十一电容的另一端接地；第十二电阻一端连接第二MCU的输出端和第四场效应管的栅极，第十二电阻的另一端与第四场效应管的源极共同接地。

基于上述技术方案，更进一步地，所述MCU控制模块还包括第十三电阻、第十四电阻、第十五电阻和第十六电阻；第十三电阻一端连接第四场效应管的漏极，第十三电阻另一端连接第十四电阻一端和第五场效应管的栅极，第十四电阻另一端连接电源和第五场效应管的源极，第五场效应管的漏极和第六场效应管之间连接第十五电阻一端，第十五电阻另一端连接第六场效应管栅极和第十六电阻一端，第十六电阻另一端连接第三场效应管的漏极。

一种双MCU的安全控制方法，包括以下步骤：

步骤S1：配置窗口比较器的电压上限U_上限和电压下限U_下限，并对电压上限U_上限和电压下限U_下限进行稳压处理；

步骤S2：将实时电压U_实时与窗口比较器的电压上限U_上限、电压下限U_下限对比，根据比较结果，判断窗口比较器输出信号为低电平信号或高电平信号；

步骤S3：对窗口比较器输出信号进行反相处理，使原输出的低电平信号处理为新输出高电平信号，原输出的高电平信号处理为新输出的低电平信号；

步骤S4：若新输出的电平信号为高电平信号，则控制MCU正常工作；否则，停止工作或复位。

基于上述技术方案，更进一步地，所述步骤S1，稳压处理的过程为：设定一个稳定的参考电压以及误差范围，对参考电压进行校准。

基于上述技术方案，更进一步地，所述步骤S2，当若U_下限≤U_实时≤U_上限，窗口比较器输出低电平信号，否则输出高电平信号。

与现有技术相比，本发明的有益效果具体体现在：

本发明通过设置两个运放以及多个场效应管等器件；使用不同的电阻，结合参考电压模块，配比不同的电阻得到窗口比较器模块的上限和下限，通过窗口比较器模块使输入在范围内的情况下输出得到0，当高于上限或低于下限时，输出为1，并根据实际情况，使用多个场效应管组合进行反相作用，得到正常范围内为1，异常范围为0，因此，可将此信号对MCU进行复位或对重要信号进行驱动，这样可以防止电源失效，控制失效的情况产生。将现有技术中的双电源双MCU控制方案改进为双MCU单电源方案，本发明解决了原双MCU双电源由电源失效造成两个MCU交互电平变化造成控制失效的问题。

附图说明

图1为本发明双MCU的安全控制系统的模块框图；

图2为本发明双MCU的安全控制系统的结构示意图；

图3为本发明双MCU的安全控制系统的部分电路图；

图4为本发明双MCU的安全控制系统中MCU控制模块的电路图；

图5为本发明双MCU的安全控制系统中参考电压模块的电路图；

图6为本发明双MCU的安全控制方法的逻辑框图。

具体实施方式

下面结合附图和具体实施方式对本发明做进一步阐述和说明。本发明中各个实施方式的技术特征在没有相互冲突的前提下，均可进行相应组合。为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明的具体实施方式做详细的说明。在下面的描述中阐述了很多具体细节以便于充分理解本发明。但是本发明能够以很多不同于在此描述的其它方式来实施，本领域技术人员可以在不违背本发明内涵的情况下做类似改进，因此本发明不受下面公开的具体实施例的限制。本发明各个实施例中的技术特征在没有相互冲突的前提下，均可进行相应组合。

在本发明的描述中，需要理解的是，当一个元件被认为是“连接”另一个元件，可以是直接连接到另一个元件或者是间接连接即存在中间元件。相反，当元件为称作“直接”与另一元件连接时，不存在中间元件。在本发明的描述中，需要理解的是，术语“第一”、“第二”仅用于区分描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括至少一个该特征。

实施例1

如图1和图2所示，一种双MCU的安全控制系统，包括电压限制配置模块、参考电压模块、窗口比较器模块、反相处理模块和MCU控制模块，电压限制配置模块将信号传输至窗口比较器模块，参考电压模块将信号传输至窗口比较器模块，窗口比较器模块将信号传输至反相处理模块，反相处理模块将信号传输至MCU控制模块，MCU控制模块控制MCU执行器件执行相应的动作。

具体而言，结合图3，电压限制配置模块包括电压上限U_上限配置单元和电压下限U_下限配置单元，其中，电压上限U_上限配置单元包括第一电阻、第二电阻和第一电容，第一电阻一端连接电源，该电源可选择3.3V的DVCC电源，第一电阻另一端连接第二电阻和第二运放的反相输入端，且与第二电阻并联设有第一电容，第一电容和第二电阻连接端延伸共同接地。电压下限U_下限配置单元包括第三电阻、第四电阻和第二电容，第三电阻一端连接电源，该电源可选择3.3V的DVCC电源，第三电阻另一端连接第四电阻和第一运放的同相输入端，且与第四电阻并联设有第二电容，第二电容和第四电阻连接端延伸共同接地。其中，图3中的R28为第一电阻，R31为第二电阻，C137为第一电容，R32为第三电阻，R33为第四电阻，C139为第二电容。

具体而言，结合图5，参考电压模块包括第一集成块、第三电容、第四电容和第五电容，第一集成块的输入端连接第三电容一端，第一集成块的接地端与第三电容的另一端连接共同接地，第一集成块的输出端连接第四电容和第五电容的一端，第四电容的另一端连接第五电容和1.8V的电源VCC，而该1.8V的电源VCC与第五电容连接的电源为同一个，第五电容的另一端接地。其中，图5中的U3为第一集成块，C21为第三电容，C22为第四电容，C23为第五电容；且第一集成块的输入端为图5中的第3引脚，接地端为第1引脚，输出端为第2引脚。

具体而言，结合图3，窗口比较器模块包括第一运放和第二运放，第一运放的同相输入端连接第三电阻、第四电阻和第二电容三者的共同连接端，第二运放的反相输入端与第一电阻连接，第一运放的反相输入端和第二运放的同相输入端共同连接第六电容和第五电阻，第五电阻接电源，该电源可选择1.8V的电源VCC，与第六电容并联设有第六电阻，第六电阻一端和第六电容一端共同接地。窗口比较器模块还包括第七电阻和第七电容，第七电阻一端和第七电容一端共同连接第一运放的正饱和电压，第七电阻另一端连接电源，第七电容另一端接地。其中，图3中，U4A为第一运放，U4B为第二运放，C27为第六电容，R29为第五电阻，R159为第六电阻，R35为第七电阻，C29为第七电容。

具体而言，结合图3，反相处理模块包括第一场效应管和第二场效应管，第一场效应管的栅极连接第二运放的输出端，第一场效应管的源极接地，第一场效应管的漏极连接第八电阻，第八电阻连接电源，该电源可选择3.3V的电源DVCC；第二场效应管的栅极连接第一运放的输出端，第二场效应管的源极接地，第二场效应管的漏极连接第八电阻。其中，第一场效应管还包括第八电容和第九电阻，第八电容一端连接第二运放输出端和第一场效应管的栅极，第八电容的另一端接地；第九电阻一端与第二运放共同和第一场效应管的栅极连接，第九电阻的另一端与第一场效应管的源极共同接地。第二场效应管还包括第九电容和第十电阻，第九电容一端连接第一运放输出端和第二场效应管的栅极，第九电容的另一端接地；第十电阻一端与第一运放和第二场效应管的栅极连接，第十电阻的另一端与第二场效应管的源极共同接地。其中，图3中，C26为第八电容，R26为第八电阻，R30为第九电阻，Q4A为第一场效应管，Q4B为第二场效应管，C28为第九电容，R34为第十电阻。

具体而言，结合图4，MCU控制模块包括第二集成块、第三场效应管、第四场效应管、第五场效应管和第六场效应管，第二集成块的多个引脚对应连接反相处理模块的输出端和第一MCU的输出端MOTOR_ON，具体的，第二集成块包括引脚1、引脚2、引脚3、引脚4、引脚5和引脚6，其中，第二集成块的引脚4连接第三场效应管的源极，并且，引脚4还通过第十七电阻连接引脚1和第一MCU的输出端MOTOR_ON，引脚3接MGND，引脚2连接反相处理模块的输出信号SUPERVISOR，第三场效应管的源极接地，第三场效应的漏极连接第六场效应管的栅极，第六场效应管的漏极接地，第六场效应管的源极接第五场效应管的漏极，第五场效应管的源极接电源，第五场效应管的栅极接第四场效应管的漏极，第四场效应管的源极接地，第四场效应管的栅极接第二MCU的输出端MOTOR_ON_MINOR。MCU控制模块还包括第十电容和第十一电阻；第十电容一端连接第二集成块输出端和第三场效应管的栅极，第十电容的另一端接地；第十一电阻一端连接第二集成块输出端和第三场效应管的栅极，第十一电阻的另一端与第三场效应管的源极共同接地。MCU控制模块还包括第十一电容和第十二电阻；第十一电容一端连接第二MCU输出端和第四场效应管的栅极，第十一电容的另一端接地；第十二电阻一端连接第二MCU输出端和第四场效应管的栅极，第十二电阻的另一端与第四场效应管的源极共同接地。MCU控制模块还包括第十三电阻、第十四电阻、第十五电阻和第十六电阻；第十三电阻一端连接第四场效应管的漏极，第十三电阻另一端连接第十四电阻一端和第五场效应管的栅极，第十四电阻另一端连接电源和第五场效应管的源极，第五场效应管的漏极和第六场效应管之间连接第十五电阻一端，第十五电阻另一端连接第六场效应管栅极和第十六电阻一端，第十六电阻另一端连接第三场效应管的漏极。进一步的，第二集成块的引脚5悬空，引脚6连接3.3V的电源DVCC，引脚6还通过第十二电容接MGND。其中，图4中，U11为第二集成块，C94为第十电容，R90为第十一电阻，Q6A为第三场效应管，Q6B为第四场效应管，C88为第十一电容，R79为第十二电阻，R74为第十三电阻，R71为第十四电阻，R72为第十五电阻，R75为第十六电阻，Q7为第五场效应管，Q8为第六场效应管；R87为第十七电阻。

实施例2

基于实施例1的一种双MCU的安全控制系统，结合图6，实施一种双MCU的安全控制方法，包括以下步骤：

步骤S1：配置窗口比较器的电压上限U_上限和电压下限U_下限，并对电压上限U_上限和电压下限U_下限进行稳压处理；具体而言，稳压处理的过程为：设定一个稳定的参考电压以及误差范围，对参考电压进行校准。其中，该误差范围可设为±3%参考电压；且该参考电压可由软件内部ADC定时去进行校准，保证该电压的稳定；该电压的稳定由稳压器生成，该稳压器的特点是高电源纹波抑制比，输出电压噪声较低，使得设置的上限电压值和下限电压值较为准确。

步骤S2：将实时电压U_实时与窗口比较器的电压上限U_上限、电压下限U_下限对比，根据比较结果，判断窗口比较器输出信号为低电平信号或高电平信号；其中，当若U_下限≤U_实时≤U_上限，窗口比较器输出低电平信号，否则输出高电平信号。具体而言，结合图3，U4A的反相输入端和U4B的正向输入端连接，电压为：a=1.8×（R159/（R159+R29）），根据运放的虚短原理，可得3.3V的电源DVCC的上限配置为：U_上限=（a×（R28+R31））/R31；3V3_DVCC的下限配置为：U_下限=（a×（R33+R32））/R33。当U_上限<3V3_DVCC<U_下限时，U4A的第1引脚和U4B的第7引脚输出为0，当3V3_DVCC＜U_下限，U4A的第1引脚输出为1；当3V3_DVCC>U_上限时，U4B的第7引脚输出为1，其中，U4A和U4B构成U4。本系统再次经过两个场效应管进行反相并构成一个逻辑与门，达到必须电源电压在指定的范围内才能输出高电平，否则任意一个不达到指定范围，只能输出低电平。

步骤S3：对窗口比较器输出信号进行反相处理，使原输出的低电平信号处理为新输出高电平信号，原输出的高电平信号处理为新输出的低电平信号；

步骤S4：若新输出的电平信号为高电平信号，则控制MCU正常工作；否则，停止工作或复位。具体而言，经过反相与门处理过的信号，系统由MCU控制模块控制的MCU执行器件，例如输液电机的驱动控制，原定的由两个MCU进行复合控制，可在此基础上增加一个电源比较的输出控制，这样就能达到，在电源异常的情况下，电机仍旧停止的安全状态，如图4，其中的SUPERVISOR信号为反相处理模块输出的信号，再结合MOTOR_ON和MOTOR_ON_MINOR这两个MCU的输出控制信号，这样三个信号共同正常才可以驱动电机，任何一个输出为0，都会导致电机的停止。该信号也可直接对MCU进行复位控制，在电源异常的情况下，一直对MCU进行重启复位，也能够保证系统处于一个安全状态，这样大大的增加了双MCU的控制安全性，降低了由电源的不稳定造成MCU控制失效的情况发生。

最后应当说明的是，以上内容仅用以说明本发明的技术方案，而非对本发明保护范围的限制，本领域的普通技术人员对本发明的技术方案进行的简单修改或者等同替换，均不脱离本发明技术方案的实质和范围。

Claims (12)

1.一种双MCU的安全控制系统，其特征在于，包括电压限制配置模块、参考电压模块、窗口比较器模块、反相处理模块和MCU控制模块，电压限制配置模块将信号传输至窗口比较器模块，参考电压模块将信号传输至窗口比较器模块，窗口比较器模块将信号传输至反相处理模块，反相处理模块将信号传输至MCU控制模块，MCU控制模块控制MCU执行器件；

所述反相处理模块包括第一场效应管和第二场效应管，第一场效应管的栅极连接第二运放的输出端，第一场效应管的源极接地，第一场效应管的漏极连接第八电阻，第八电阻连接电源；第二场效应管的栅极连接第一运放的输出端，第二场效应管的源极接地，第二场效应管的漏极连接第八电阻；

所述第一场效应管还包括第八电容和第九电阻，第八电容一端连接第二运放输出端和第一场效应管的栅极，第八电容的另一端接地；第九电阻一端与第二运放和第一场效应管的栅极连接，第九电阻的另一端与第一场效应管的源极共同接地；

所述第二场效应管还包括第九电容和第十电阻，第九电容一端连接第一运放输出端和第二场效应管的栅极，第九电容的另一端接地；第十电阻一端与第一运放和第二场效应管的栅极连接，第十电阻的另一端与第二场效应管的源极共同接地；

所述MCU控制模块包括第二集成块、第三场效应管、第四场效应管、第五场效应管和第六场效应管，第二集成块的引脚连接反相处理模块的输出端和第一MCU的输出端，第二集成块的另一个引脚连接第三场效应管的源极，第三场效应管的源极接地，第三场效应的漏极连接第六场效应管的栅极，第六场效应管的漏极接地，第六场效应管的源极接第五场效应管的漏极，第五场效应管的源极接电源，第五场效应管的栅极接第四场效应管的漏极，第四场效应管的源极接地，第四场效应管的栅极接第二MCU的输出端。

2.根据权利要求1所述的一种双MCU的安全控制系统，其特征在于，所述电压限制配置模块包括电压上限U_上限配置单元，电压上限U_上限配置单元包括第一电阻、第二电阻和第一电容，第一电阻一端连接电源，第一电阻另一端连接第二电阻，且与第二电阻并联设有第一电容，第一电容和第二电阻连接端延伸接地。

3.根据权利要求2所述的一种双MCU的安全控制系统，其特征在于，所述电压限制配置模块包括电压下限U_下限配置单元，电压下限U_下限配置单元包括第三电阻、第四电阻和第二电容，第三电阻一端连接电源，第三电阻另一端连接第四电阻，且与第四电阻并联设有第二电容，第二电容和第四电阻连接端延伸接地。

4.根据权利要求1所述的一种双MCU的安全控制系统，其特征在于，所述参考电压模块包括第一集成块、第三电容、第四电容和第五电容，第一集成块的输入端连接第三电容一端，第三电容另一端接地，第一集成块的输出端连接第四电容和第五电容的一端，第四电容和第五电容的另一端接地。

5.根据权利要求3所述的一种双MCU的安全控制系统，其特征在于，所述窗口比较器模块包括第一运放和第二运放，第一运放的反相输入端和第二运放的同相输入端共同连接第六电容和第五电阻，第五电阻接电源，与第六电容并联设有第六电阻，第六电阻一端和第六电容一端共同接地，第二运放的反相输入端与第一电阻连接。

6.根据权利要求5所述的一种双MCU的安全控制系统，其特征在于，所述窗口比较器模块还包括第七电阻和第七电容，第七电阻一端和第七电容一端共同连接第一运放的正饱和电压，第七电阻另一端连接电源，第七电容另一端接地。

7.根据权利要求1所述的一种双MCU的安全控制系统，其特征在于，所述MCU控制模块还包括第十电容和第十一电阻；第十电容一端连接第二集成块输出端和第三场效应管的栅极，第十电容的另一端接地；第十一电阻一端连接第二集成块输出端和第三场效应管的栅极，第十一电阻的另一端与第三场效应管的源极共同接地。

8.根据权利要求1所述的一种双MCU的安全控制系统，其特征在于，所述MCU控制模块还包括第十一电容和第十二电阻；第十一电容一端连接第二MCU的输出端和第四场效应管的栅极，第十一电容的另一端接地；第十二电阻一端连接第二MCU的输出端和第四场效应管的栅极，第十二电阻的另一端与第四场效应管的源极共同接地。

9.根据权利要求1所述的一种双MCU的安全控制系统，其特征在于，所述MCU控制模块还包括第十三电阻、第十四电阻、第十五电阻和第十六电阻；第十三电阻一端连接第四场效应管的漏极，第十三电阻另一端连接第十四电阻一端和第五场效应管的栅极，第十四电阻另一端连接电源和第五场效应管的源极，第五场效应管的漏极和第六场效应管之间连接第十五电阻一端，第十五电阻另一端连接第六场效应管栅极和第十六电阻一端，第十六电阻另一端连接第三场效应管的漏极。

10.一种双MCU的安全控制方法，采用权利要求1-9任意一项所述的一种双MCU的安全控制系统，其特征在于，包括以下步骤：步骤S1：配置窗口比较器的电压上限U_上限和电压下限U_下限，并对电压上限U_上限和电压下限U_下限进行稳压处理；步骤S2：将实时电压U实时与窗口比较器的电压上限U_上限、电压下限U_下限对比，根据比较结果，判断窗口比较器输出信号为低电平信号或高电平信号；步骤S3：对窗口比较器输出信号进行反相处理，使原输出的低电平信号处理为新输出高电平信号，原输出的高电平信号处理为新输出的低电平信号；步骤S4：若新输出的电平信号为高电平信号，则控制MCU正常工作；否则，停止工作或复位。

11.根据权利要求10所述的一种双MCU的安全控制方法，其特征在于，所述步骤S1，稳压处理的过程为：设定一个稳定的参考电压以及误差范围，对参考电压进行校准。

12.根据权利要求11所述的一种双MCU的安全控制方法，其特征在于，所述步骤S2，若U_下限≤U_实时≤U_上限，窗口比较器输出低电平信号，否则输出高电平信号。