一种安全控制器
技术领域
本实用新型涉及控制领域,尤其涉及一种安全控制器。
背景技术
控制器vehicle control unit(简称VCU)是非道路机器设备必然搭载的设备,是实现机器设备控制策略的核心部件,犹如大脑之于人体。VCU硬件采用标准化核心模块电路和VCU专用电路(传感器采集等)设计;处理器技术的发展,VCU从基于16位向32位处理器芯片逐步过渡,32位已成为业界的主流产品。但是随着软件与硬件的复杂程度增加,人们对机器设备安全性的要求也越来越高,引入了安全功能性标准IEC 61508 SIL2作为系统安全功能性要求和安全完整性要求。
但现有的控制器硬件采用标准化核心模块电路(16/32位主处理器、电源、存储器、CAN)集成输出模块,因此,整个输出都由单一芯片控制,由于单一芯片限于成本因素必然导致每小时失效概率无法满足IEC 61508 SIL2等级要求的10-7至10-6。
实用新型内容
本实用新型实施例提供一种安全控制器,主要旨在解决现有技术中因控制器的输出由单一芯片控制,导致控制器架构不满足IEC 61508 SIL2等级要求的问题,通过本实用新型对控制器架构进行改进,能够有效降低控制器输出控制的失效概率,从而提升控制器的安全等级,使控制器架构满足IEC 61508 SIL2等级要求。
本实用新型实施例提供了一种安全控制器,所述控制器具体包括:
主控芯片、从属芯片、所述主控芯片的PWM驱动电路和信号拉低电路;
所述主控芯片的PWM输出端口通过所述PWM驱动电路输出PWM驱动信号;
所述从属芯片通过其PWM控制输出端口控制所述PWM驱动电路的PWM驱动信号的输出;
所述主控芯片与所述从属芯片之间通过串行外设接口通信连接;
所述PWM驱动电路的输入端与所述主控芯片的PWM输出端口电连接,所述从属芯片的PWM控制输出端口与所述信号拉低电路的输入端电连接,所述信号拉低电路的输出端与所述PWM驱动电路的输入端电连接,所述PWM驱动电路用于输出PWM驱动信号,所述信号拉低电路用于输出低电平信号。
有益效果:相较于现有技术,本实用新型主要通过改进控制器的芯片架构,具体包括主控芯片、从属芯片、所述主控芯片的PWM驱动电路和信号拉低电路,所述主控芯片与所述从属芯片之间通过串行外设接口通信连接,当所述主控芯片与所述从属芯片之间的通讯校验异常或者通讯异常的情况下,所述从属芯片通过所述信号拉低电路输出低电平信号,利用场效应管开关电路切断所述主控芯片的PWM驱动电路,从而切断所述主控芯片的PWM驱动信号输出,由从属芯片完成对主控芯片PWM驱动信号输出的控制,通过这种芯片架构方式将有效降低主控芯片PWM输出控制的失效概率,使得安全系数得到提升,使控制器架构满足IEC 61508 SIL2等级要求,同时,针对目前大部分不满足IEC 61508 SIL2等级要求而对控制器架构进行的改进,以期不更换微机控制系统Saia-Burgess Controls(简称SBC)的低成本升级改造方案。
本实用新型的这些方面或其他方面在以下实施例的描述中会更加简明易懂。
附图说明
为了更清楚地说明本实用新型实施例或现有技术中的技术方案,下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍,显而易见地,下面描述中的附图仅仅是本实用新型的一些实施例,对于本领域普通技术人员来讲,在不付出创造性劳动的前提下,还可以根据这些附图获得其他的附图。
图1为本实用新型实施例提供的一种安全控制器的结构示意图;
图2为本实用新型实施例提供的一种安全控制器的主控芯片针脚定义的结构示意图;
图3为本实用新型实施例提供的一种安全控制器的从属芯片针脚定义的结构示意图。
具体实施方式
为了使本技术领域的人员更好地理解本实用新型方案,下面将结合本实用新型实施例中的附图,对本实用新型实施例中的技术方案进行清楚、完整地描述,显然,所描述的实施例仅仅是本实用新型一部分的实施例,而不是全部的实施例。基于本实用新型中的实施例,本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例,都应当属于本实用新型保护的范围。
下面结合附图对本申请的实施例进行描述。
根据本实用新型的一个方面,提供了一种安全控制器,如图1所示,图1为一种安全控制器的结构示意图,具体包括:
主控芯片1、从属芯片2、所述主控芯片的PWM驱动电路100和信号拉低电路200;
所述主控芯片1的PWM输出端口通过所述PWM驱动电路100输出PWM驱动信号;
所述从属芯片2通过其PWM控制输出端口控制所述PWM驱动电路100的PWM驱动信号的输出;
所述主控芯片1与所述从属芯片2之间通过串行外设接口通信连接;
所述PWM驱动电路100的输入端与所述主控芯片1的PWM输出端口电连接,所述从属芯片2的PWM控制输出端口与所述信号拉低电路200的输入端电连接,所述信号拉低电路200的输出端与所述PWM驱动电路100的输入端电连接,所述PWM驱动电路100用于输出PWM驱动信号,所述信号拉低电路200用于输出低电平信号。
需要说明的是,现有的控制器Vehicle control unit(简称VCU)的硬件采用标准化核心模块电路(16/32位主处理器、电源、存储器、CAN)集成输出模块,因而,整个控制器的输出都由单一芯片控制,但由于单一芯片限于成本因素必然导致每小时失效概率无法满足IEC 61508 SIL2等级要求。本实用新型实施例采用双芯片架构,包括主控芯片1和从属芯片2,所述主控芯片1和所述从属芯片2之间通过串行外设接口Serial Peripheral Interface(简称SPI)通信连接,SPI是一种高速的,全双工,同步的通信总线,并且在芯片的管脚上只占用四根线,节约了芯片的管脚,同时为PCB(PrintedCircuit Board,印制电路板)的布局上节省空间,提供方便,正是出于这种简单易用的特性,如今越来越多的芯片集成了这种通信协议。
随着处理器技术的发展,VCU从基于16位向32位处理器芯片逐步过渡,32位已成为业界的主流产品。具体的,所述主控芯片1可以采用三十二位针脚,用于输出PWM驱动信号,可以提高控制器的安全系数,所述从属芯片2可以采用八位针脚,作为安全芯片,主要用于控制所述PWM驱动电路的PWM驱动信号的输出,采用八位针脚,可以节约控制器芯片架构的成本。
优选的,如图2所示,所述主控芯片1采用FujitsuCortexM3-32bit。
优选的,如图3所示,所述从属芯片2采用NXP mc9s08pa8vtg-8bit。
需要说明的是,Fujitsu Cortex M3-32bit是富士通公司Cortex M3系列的单片机产品,NXP mc9s08pa8vtg-8bit是恩智浦公司的芯片产品,属于现有的技术产品,以上Fujitsu Cortex M3-32bit和NXP mc9s08pa8vtg-8bit均可从市面上购得,其产品说明书中对图2和图3芯片中的各个针脚的名称和功能均有清楚、详细的解释和说明,且关于上述Fujitsu Cortex M3-32bit和NXP mc9s08pa8vtg-8bit的产品说明书也可向其生产厂家获取到,所以本实用新型实施例中不再针对上述Fujitsu Cortex M 3-32bit和NXPmc9s08pa8vtg-8bit涉及的图2和图3中的针脚的名称和功能进行赘述了。
具体的,所述从属芯片2作为安全芯片,所述主控芯片1和所述从属芯片2之间通过串行外设接口Serial Peripheral Interface(简称SPI)进行通信,通过所述从属芯片2完成对所述主控芯片1PWM(PulseWidthModulation,脉宽调制)驱动信号输出的控制。主控芯片1采用32位的富士通单片机Fujitsu CortexM3-32bit,可以进一步的提高控制器的安全系数。
优选的,如图3所示,所述从属芯片2的PWM控制输出端口为NXP mc9s08p a8vtg-8bit的第十四针脚,所述NXP mc9s08pa8vtg-8bit的第十四针脚用于输出PWM控制信号,所述PWM控制信号用于控制所述信号拉低电路200输出低电平信号。
信号拉低电路200输出低电平信号,具体实施包括,主控芯片1与从属芯片2之间通过SPI通信,并进行通讯校验,当所述主控芯片1与所述从属芯片2之间的校验异常或者通讯异常的情况下,从属芯片2输出PWM控制信号,所述PWM控制信号用于控制所述信号拉低电路200输出低电平信号,用于切断主控芯片的PWM驱动电路100,从而切断所述主控芯片的PWM输出,完成从属芯片2对主控芯片1PWM输出的控制,通过本实用新型实施例可以有效降低主控芯片PWM输出控制的失效概率,使得安全系数得到提升,使控制器架构满足IEC 61508SIL2等级要求,同时,针对目前大部分不满足IEC 61508 SIL2等级要求而对控制器架构进行的改进,以期不更换微机控制系统Saia-Burgess Controls(简称S BC)的低成本升级改造方案。
需要说明的是,上述主控芯片1与从属芯片2之间涉及的通讯校验的原理举例说明:从属芯片2在计数器设定的时间之内,等待来自于主控芯片的seed请求,其中,seed种子为7位十六进制数,所有位数值相同,从0X0000000至0XFFFFFFF所以共有17种搭配,因此,计数器通常设定为2s。如果从属芯片2在2s内没有接收到来自于主控芯片1的seed请求,此时从属芯片2将跳转到超时模式。如果从属芯片2在2s内接收到来自于主控芯片1的seed请求,将seed以及0XFFFFFFF发送给主控芯片1,主控芯片将进行异或操作,以此来验证微处理器的逻辑操作并将其传送给从属芯片2,从属芯片2接收到来自主控芯片1的ok指令,如果不能接受那么将设定为超时模式,这个状态将分析结果,通常如果结果为ok,那么将进入下一个逻辑状态,但是如果是ko状态,那么意味着校验没有成功,并且将创建ERROR_RESULT_SEQUENCE,意味着微控制器暂时断开连接,其时钟不再同步,此时,主控芯片1和从属芯片2之间的通讯校验出现错误,判断主控芯片1和从属芯片2之间的通讯校验异常或通讯异常,或者,在主控芯片1和从属芯片2之间的通讯校验出现错误次数达到一定阈值的情况下,判断主控芯片1和从属芯片2之间的通讯校验异常或通讯异常,至于阈值的具体值设定,可根据实际的应用场景自定义,本实用新型不做任何限定。本实用新型主要保护的是主控芯片和从属芯片的双芯片架构,利用该双芯片架构,通过主控芯片和从属芯片之间的通讯校验,由从属芯片来完成对主控芯片的PWM驱动信号的输出控制,上述主控芯片1和从属芯片2之间的通讯校验的原理只是示例性的说明,还可以包括其他的通讯校验原理,本实用新型对此不作限定。
优选的,如图1所示,所述信号拉低电路200包括所述信号拉低电路200包括第一电阻R1、第二电阻R2、反相器以及第一电源VCC1;
所述NXP mc9s08pa8vtg-8bit的第十四针脚分别与所述第一电阻(R1)和所述第二电阻(R2)电连接,所述第一电阻(R1)的另一端连接所述第一电源(VCC1),所述第二电阻(R2)的另一端接地,所述NXP mc9s08pa8vtg-8bit的第十四针脚还与所述反相器的输入端电连接,所述反相器的输出端与所述主控芯片(1)的PWM驱动电路(100)的输入端电连接。
需要说明的是,其中第二电阻R2因为接地,可作为下拉电阻,与上接的第一电阻R1一起将电路节点的电平向低方向(地)拉,使从属芯片2通过该信号拉低电路可以输出一个低电平信号,在主控芯片1和从属芯片2之间的通讯校验异常或通讯异常的情况下,所述NXPmc9s08pa8vtg-8bit的第十四针脚输出PWM控制信号,所述PWM控制信号用于控制所述下拉电阻,以便使所述下拉电阻与输出低电平信号,上接的第一电阻R1一起将电路节点的电平向低方向拉,从而使信号拉低电路200的输出端输出一个低电平信号。
优选的,所述主控芯片1的PWM驱动电路100具体包括:
场效应管开关电路,所述场效应管开关电路包括场效应管(Q)、第三电阻(R3)、第四电阻(R4)、第五电阻(R5)、第二电源(VCC2)和稳压二极管;所述第四电阻(R4)一端分别与所述主控芯片(1)的PWM输出端口和所述反相器的输出端电连接,另一端与所述所述场效应管(Q)的栅极电连接,所述场效应管(Q)的漏极与所述第三电阻(R3)一端电连接,所述第三电阻(R3)另一端通过所述稳压二极管连接所述第二电源(VCC2),所述第五电阻(R5)与所述第四电阻(R4)并联,所述场效应管(Q)的源极和所述第五电阻(R5)接地;
PWM输出接口电路,所述PWM输出接口电路包括第六电阻(R6)和PWM输出端;所述场效应管(Q)的源极与所述第六电阻(R6)一端电连接,所述第六电阻(R6)另一端连接所述PWM输出端;
PWM电流输出反馈电路,所述PWM电流输出反馈电路包括第七电阻(R7)、第八电阻(R8)、电流监控器、第一电容(C1)、第二电容(C2)、第三电源(VCC3)和PWM电流输出端;所述第七电阻(R7)和所述第六电阻(R6)并联,并与所述电流监控器的输入端电连接,所述电流监控器的电源端分别与所述第一电容(C1)一端、所述第三电源(VCC3)电连接,所述第一电容(C1)另一端接地,所述电流监控器的输出端通过所述第八电阻(R8)连接所述第二电容(C2)一端,所述第二电容(C2)另一端接地,所述第八电阻(R8)还与所述PWM电流输出端电连接,所述电流监控器的接地端接地。
需要说明的是,所述第三电阻R3为上拉电阻,当场效应管Q截止时,可将输出电压Uo上拉至第二电源VCC2(高电平),可以理解为输出结构的上拉电阻,所述第四电阻R4为限流电阻,可防止输入电压Ui变换的瞬间导致电流超额而损坏场效应管Q,所述第五电阻R5接地,可作为下拉电阻,用来确保无输入信号(即悬空)时场效应管Q处于截止状态。
具体的,所述场效应管开关电路的基本原理如下:当输入信号电压Ui,即从属芯片2通过该信号拉低电路输出的信号,若为低电平信号时,说明此时判断到主控芯片1和从属芯片2之间的通讯校验异常或通讯异常,那么场效应管Q处于截止状态,输出电压Uo由第三电阻R3上拉至第二电源VCC2(高电平),此时,场效应管Q相当于一个处于断开状态的开关,从而将所述主控芯片1的PWM驱动电路100切断,切断所述主控芯片的PWM输出,由从属芯片完成对主控芯片PWM输出的控制,通过这种芯片架构方式将有效降低主控芯片PWM输出控制的失效概率,使得安全系数得到提升,使控制器架构满足IEC 61508 SIL2等级要求,同时,针对目前大部分不满足IEC 61508 SIL2等级要求而对控制器架构进行的改进,以期不更换微机控制系统Saia-Burgess Controls(简称SBC)的低成本升级改造方案;若为高电平信号时,说明此时判断到主控芯片1和从属芯片2之间的通讯校验正常或通讯正常,场效应管Q处于导通状态,输出电压Uo被场效应管Q下降至低电平,此时,场效应管Q相当于一个处于闭合状态的开关,从而使所述主控芯片1的PWM输出端与PWM驱动电路100正常连通。
需要说明的是,在所述PWM电流输出反馈电路中,所述第一电容(C1)和所述第二电容(C2)可以包括极性电容和无极电容,具体的,在所述PWM电流输出反馈电路中,使用极性电容抑或无极电容,本领域技术人员可结合图1整个电路的连接关系及本领域的常识,在实际的应用场景下,可自行选择,本实用新型专利不作任何限定。如果所述第一电容(C1)和所述第二电容(C2)为极性电容时,即电解电容,则在所述PWM电流输出反馈电路中,所述电流监控器的电源端分别与所述第一电容(C1)的负极、所述第三电源(VCC3)电连接,所述第一电容(C1)正极接地,所述电流监控器的输出端通过所述第八电阻(R8)连接所述第二电容(C2)的负极,所述第二电容(C2)的正极接地。如果所述第一电容(C1)和所述第二电容(C2)为无极电容时,其电容两端可任意选择连接在所述PWM电流输出反馈电路中,即所述电流监控器的电源端分别与所述第一电容(C1)一端、所述第三电源(VCC3)电连接,所述第一电容(C1)另一端接地,所述电流监控器的输出端通过所述第八电阻(R8)连接所述第二电容(C2)一端,所述第二电容(C2)另一端接地。
有益效果:相较于现有技术,本实用新型主要通过改进控制器的芯片架构,具体包括主控芯片、从属芯片、所述主控芯片的PWM驱动电路和信号拉低电路,所述主控芯片与所述从属芯片之间通过串行外设接口通信连接,当所述主控芯片与所述从属芯片之间的校验异常或者通讯异常的情况下,所述从属芯片通过所述信号拉低电路输出低电平信号,利用场效应管开关电路切断所述主控芯片的PWM驱动电路,从而切断所述主控芯片的PWM驱动信号输出,由从属芯片完成对主控芯片PWM驱动信号输出的控制,通过这种芯片架构方式将有效降低主控芯片PWM输出控制的失效概率,使得安全系数得到提升,使控制器架构满足IEC61508 SIL2等级要求,同时,针对目前大部分不满足IEC 61508 SIL2等级要求而对控制器架构进行的改进,以期不更换微机控制系统Saia-Burgess Controls(简称SBC)的低成本升级改造方案。
以上对本实用新型实施例进行了详细介绍,本文中应用了具体个例对本实用新型的原理及实施方式进行了阐述,以上实施例的说明只是用于帮助理解本实用新型的方法及其核心思想;同时,对于本领域的一般技术人员,依据本实用新型的思想,在具体实施方式及应用范围上均会有改变之处或者等同替换,其均应涵盖在本实用新型的权利要求保护范围当中,综上所述,本说明书内容不应理解为对本实用新型的限制。