CN211698644U

CN211698644U - 一种具有功能安全与信息安全的增程器控制器

Info

Publication number: CN211698644U
Application number: CN201921792203.3U
Authority: CN
Inventors: 胡波; 林吉坤; 陈军; 胡世伟; 张甜; 赵岩; 陈�光; 李旭; 汤玉清
Original assignee: Wanxiang Group Corp
Current assignee: Wanxiang Group Corp
Priority date: 2019-10-23
Filing date: 2019-10-23
Publication date: 2020-10-16
Anticipated expiration: 2029-10-23

Abstract

本实用新型公开了一种具有功能安全与信息安全的增程器控制器。为了克服现有技术只考虑功能安全而为考虑信息安全的问题；本实用新型采用包括：主控芯片，内部包括硬件故障处理单元、硬件加/解密模块、密匙存储模块和通讯模块；CAN收发器，具有CAN防火墙功能；信号处理电路，冗余设计，包括转速检测模块、温度检测模块、电流检测模块和电压检测模块；系统电源监控芯片，连接系统电源，与主控芯片SPI通讯连接，为信号处理电路和CAN收发器供电，连接有HCU，HCU连接电机组。既能保证了系统的硬件拥有高的安全等级和系统的功能安全，又能避免CAN总线注入攻击、重放攻击的黑客行为，防止信息泄露，保证系统的信息安全。

Description

一种具有功能安全与信息安全的增程器控制器

技术领域

本实用新型涉及一种增程器控制器领域，尤其涉及一种具有功能安全与信息安全的增程器控制器。

背景技术

随着电动汽车技术的发展，汽车电子电器的集成度和复杂度越来越高。增程式电动汽车是一种在电池电量不足的情况下使用其它能源，如汽油，进行电能补给的电动汽车。为了能准确地控制电动汽车的运行状态，需要保证对信号采集、处理和传输的正确性。所以，对增程器控制器的功能安全和信息安全有着一定的要求。

例如，一种在中国专利文献上公开的“一种符合功能安全要求的整车扭矩控制方法”，其公告号“CN 107985079A”，包括扭矩处理模块、扭矩安全监控模块、控制器监控模块和输出比较判断模块，所述扭矩安全监控模块包括安全扭矩计算模块、故障信息处理模块和CAN线传输模块，驾驶员通过踏板操作向VCU提出请求扭矩信号；VCU采集油门踏板开度信号、档位信号、传动轴转速信号以及制动踏板开度信号，通过解析上述信号得到初始扭矩和修正扭矩，进而得到扭矩控制值和监控扭矩，并实时判断是否存在开路失效或者短路失效和安全机制失效，根据判断结果最终输出实际扭矩值T2或是整车以最低怠速扭矩运行。该方法值考虑了功能安全，没有信息安全的设置，容易造成控制器难以抵御通过车辆网的黑客行为。

实用新型内容

本实用新型主要解决现有技术只考虑功能安全而为考虑信息安全的问题；提供一种具有功能安全与信息安全的增程器控制器，保证了功能安全，又保证了信息安全，防止黑客的攻击。

本实用新型的上述技术问题主要是通过下述技术方案得以解决的：

本实用新型包括：

主控芯片，内部包括硬件故障处理单元、硬件加/解密模块、密匙存储模块和通讯模块；

CAN收发器，具有CAN防火墙功能；

信号处理电路，与主控芯片相连，包括转速检测模块、温度检测模块、电流检测模块和电压检测模块；

系统电源监控芯片，连接系统电源，与主控芯片连接，为信号处理电路和CAN收发器供电，连接有HCU，HCU连接电机组。

信号处理电路检测电机组的转速、检测油箱的温度和控制芯片，包括HCU、发电机控制器和发动机控制器的输出电压和输出电流；将检测到的信号发送给主控芯片，主控芯片根据检测信号与内部程序发送控制信号，信号处理电路、主控芯片、系统电源监控该芯片、HCU和电机组构成一个闭环控制系统，电机组为被控对象，保证了增程器控制的精确性。主控芯片内部的故障处理单元判断芯片硬件是否故障，如果故障，主控芯片则给系统电源监控芯片发送故障信号，系统电源监控芯片控制系统进入预先定义好的安全状态，从而使得系统实现功能安全等级达到ASIL-D的芯片监控功能。

利用主控芯片内的硬件加/解密模块和具有CAN防火墙功能的收发器实现远程软件更新包的解密、软件安全启动和CAN网络的防火墙信息安全；从而避免CAN总线注入攻击、重放攻击的黑客行为。

作为优选，所述的主控芯片的通讯端与CAN收发器相连接，CAN收发器连接上位机。CAN收发器能够与上位机连接，如LABVIEW，将信号处理电路检测到的数据以文本的形式发送给上位机，方便使用者的数据读取，提高了用户体验，也方便数据的记录和保存。使用具有CAN防火墙功能的CAN收发器，提高了信息的安全度，避免了信息的泄露和黑客的攻击。

作为优选，所述的转速检测模块包括磁电式转速传感器、光耦U1、电容C1、电阻R1、电阻R2、电阻R3和开关管；转速传感器的输出端连接开关管的控制端，开关管的输出端接地，开关管的输入端连接光耦U1中发光二极管的阴极，光耦U1中发光二极管的阳极连接电阻R1的第一端，电阻R1的第二端连接电源；光耦U1中光三极管的集电极连接电阻R2的第一端，电阻R2的第二端连接电源；光耦U1中光三极管的发射极连接电阻R3的第一端，电阻R3的第二端接地；电容C1的第一端连接电阻R3的第一端，电容C2的第二端连接电阻R3的第二端；光耦U1中光三极管的发射极连接主控芯片的转速信号输入端。

使用磁电式转速传感器检测电机组的转速，开关管为NPN的三极管Q1，三极管Q1的基极为控制端，三极管Q1的集电极为输入端，三极管Q1的发射极为输出端。磁电式转速传感器发送高低电平信号，当发送高电平时，导通三极管Q1，从而导通光耦U1中的发光二极管，发光二极管发光，从而使光耦U1中的光三极管导通，输出高电平信号给主控芯片的转速信号输入端。当发送低电平时，使得光耦U1截止，主控芯片的转速信号输入端接收低电平。主控芯片接收连续变换的高低电平信号，通过主控芯片的计时器，使用M法能够计算出电机组的转速。使用光耦U1隔离电机组和主控芯片，防止电磁干扰。

作为优选，所述的信号处理电路冗余设计。如，转速检测模块中有两个转速检测的电路，使用的光耦的型号为TLP521-2，芯片有两组光耦，一组作转速检测模块的电路检测电机组的转速，一组作为冗余，作为备用，防止主用的信号处理电路故障后影响系统的功能，保证了系统的功能安全，提高容错性。

作为优选，所述的电机组包括发电机、发动机和步进电机，所述的HCU通过CAN总线分别连接发电机控制器和发动机控制器，发动机控制器连接发动机，发电机控制器连接发电机；发动机连接步进电机和发电机。HCU通过CAN总线与发电机控制器和发动机控制器通讯，信号传递速度快，保证了控制时的响应速度。分别控制发电机和发动机，提高了针对性，保证了控制的准确。

作为优选，所述的主控芯片的型号为NXP SPC5746D。该主控芯片内部有硬件故障处理单元，硬件故障处理单元能够检测芯片的程序流与指令测试、监控芯片的内存和定时器、监控芯片内部的A/D模数转换模块和通信模块的硬件故障，保证硬件的功能安全。该主控芯片内部还有硬件加/解密模块、密匙存储模块和通讯模块，硬件加/解密模块通过读取密匙存储模块的密匙，执行非对称加密如RSA等算法进行下载程序包的解密；硬件加/解密模块是针对系统启动，通过加/解密算法先验证bootloade的合法性，从而实现安全的启动方式；集成密匙存储模块，密匙是加解密算法的钥匙，安全合理的存储密匙。其中的算法和执行方法是该芯片的现有技术手段，没有对算法进行升级，使用简单，保证了信息安全。

作为优选，所述的CAN收发器的型号为TJA115x。该CAN收发器具有CAN防火墙功能，保护了CAN网络的信息安全，避免CAN总线注入攻击、重放攻击的黑客行为，保护系统的安全性。

作为优选，所述的系统电源监控芯片与主控芯片通过SPI总线通讯连接。使用SPI总线通讯，当主控芯片检测到芯片的硬件故障时，通过SPI总线告知系统电源监控芯片，系统电源监控芯片控制系统进入预先定义好的安全状态，从而使得系统实现功能安全等级ASIL-D的芯片监控功能。

本实用新型的有益效果是：

1.通过使用系统电源监控芯片与主控芯片构成的监控架构，保证了系统的硬件拥有高的安全等级和系统的功能安全。

2.通过使用有加/解密模块的主控芯片和具有CAN防火墙功能的收发器，避免CAN总线注入攻击、重放攻击的黑客行为，防止信息泄露，保证系统的信息安全。

3.构成闭环系统，使用闭环控制，保证了控制的准确性，拥有良好的控制效果。

4.信息处理电路冗余设置，提高系统的容错性，保证功能的正常使用。

附图说明

图1是本实用新型的一种电路原理连接结构框图。

图2是本实用新型的一种转速检测模块电路图。

图中1.主控芯片，2.CAN收发器，3.信号处理电路，31.转速检测模块，32.温度检测模块，33.电流检测模块，34.电压检测模块，4.系统电源监控芯片，5.HCU，6.电机组，7.上位机。

具体实施方式

下面通过实施例，并结合附图，对本实用新型的技术方案作进一步具体的说明。

实施例：

本实施例的一种具有功能安全与信息安全的增程器控制器，如图1所示，包括依次连接的信号处理电路3、主控芯片1、系统电源监控芯片4和HCU5；增程器控制器还包括与主控芯片1通讯端连接的CAN收发器2。HCU5连接有电机组6，电机组6包括发电机、发动机和步进电机， HCU5通过CAN总线分别连接发电机控制器和发动机控制器，发动机控制器连接发动机，发电机控制器连接发电机；发动机连接步进电机和发电机。

信号处理电路3检测电机组6的转速、检测油箱的温度和控制芯片，包括HCU、发电机控制器和发动机控制器的输出电压和输出电流；将检测到的信号发送给主控芯片1，主控芯片1根据检测信号与内部程序发送控制信号，信号处理电路3、主控芯片1、系统电源监控芯片4、HCU5和电机组6构成一个闭环控制系统，电机组6为被控对象，闭环控制电机组5的转矩和转速，保证了增程器控制的精确性，使得电机处于最优的运行状态，节省油耗，降低经济成本。

系统电源监控芯片的型号为NXP SPC560P34L1。系统电源监控该芯片4与主控芯片1通过SPI总线通讯连接。系统电源监控芯片4连接有系统电源，系统电源监控芯片4分别为信号处理电路3和CAN收发器供电。

当主控芯片检测到芯片的硬件故障时，通过SPI总线告知系统电源监控芯片，系统电源监控芯片控制系统进入预先定义好的安全状态，从而使得系统实现功能安全等级ASIL-D的芯片监控功能。

信号处理电路3包括转速检测模块31、温度检测模块32、电流检测模块33和电压检测模块34。

温度检测模块32检测油箱的温度，包括温度传感器，温度传感器设置在油箱中。

电流检测模块33和电压检测模块34分别检测控制器输出的电流和电压。

如图2所示，转速检测模块31包括磁电式转速传感器、光耦U1、电容C1、电阻R1、电阻R2、电阻R3和开关管，开关管为NPN的三极管Q1。转速传感器的输出端连接三极管Q1的基极，三极管Q1的发射极接地，三极管Q1的集电极连接光耦U1中发光二极管的阴极，光耦U1中发光二极管的阳极连接电阻R1的第一端，电阻R1的第二端连接电源；光耦U1中光三极管的集电极连接电阻R2的第一端，电阻R2的第二端连接电源；光耦U1中光三极管的发射极连接电阻R3的第一端，电阻R3的第二端接地；电容C1的第一端连接电阻R3的第一端，电容C2的第二端连接电阻R3的第二端；光耦U1中光三极管的发射极连接主控芯片1的转速信号输入端。

使用磁电式转速传感器检测电机组的转速，磁电式转速传感器发送高低电平信号，当发送高电平时，导通三极管Q1，从而导通光耦U1中的发光二极管，发光二极管发光，从而使光耦U1中的光三极管导通，输出高电平信号给主控芯片的转速信号输入端。当发送低电平时，使得光耦U1截止，主控芯片的转速信号输入端接收低电平。主控芯片接收连续变换的高低电平信号，通过主控芯片的计时器，使用M法能够计算出电机组的转速。使用光耦U1隔离电机组和主控芯片，防止电磁干扰。

信号处理电路3冗余设计，如，转速检测模块中有两个转速检测的电路，使用的光耦的型号为TLP521-2，芯片有两组光耦，一组作转速检测模块的电路检测电机组的转速，一组作为冗余，作为备用，防止主用的信号处理电路故障后影响系统的功能，保证了系统的功能安全，提高容错性。

主控芯片1的型号为NXP SPC5746D。该芯片内部包括硬件故障处理单元、硬件加/解密模块、密匙存储模块和通讯模块。

硬件故障处理单元，即图中的FCCU，能够检测芯片的程序流与指令测试、监控芯片的内存和定时器、监控芯片内部的A/D模数转换模块和通信模块的硬件故障，保证硬件的功能安全。

硬件加/解密模块通过读取密匙存储模块的密匙，执行非对称加密如RSA等算法进行下载程序包的解密；硬件加/解密模块是针对系统启动，通过加/解密算法先验证bootloade的合法性，从而实现安全的启动方式；集成密匙存储模块，密匙是加解密算法的钥匙，安全合理的存储密匙。

其中的算法和执行方法是该芯片的现有技术手段，没有对算法进行升级，使用简单，保证了信息安全。

CAN收发器2为具备CAN防火墙功能的收发器，其型号为TJA115x。该CAN收发器具有CAN防火墙功能，能实现远程软件更新包的解密、软件安全启动和CAN网络的防火墙信息安全，避免CAN总线注入攻击、重放攻击的黑客行为，保护系统的安全性。

CAN收发器2能连接上位机7。如LABVIEW，将信号处理电路3检测到的数据以文本的形式发送给上位机7，方便使用者的数据读取，提高了用户体验，也方便数据的记录和保存。也能够给通过上位机发7发送数据给主控芯片，如设置需求功率，更改闭环控制的目标。使用具有CAN防火墙功能的CAN收发器2，提高了信息的安全度，避免了信息的泄露和黑客的攻击。

信号处理电路3检测系统的数据，如转速检测模块32检测电机组的实时转速数据，发送给主控芯片1，主控芯片1中的程序进行PID控制，通过SPI总线输出控制信号给系统电源监控芯片4，系统电源监控芯片4再发送该控制信号给HCU5，HUC5通过CAN总线将目标速度发送给发电机控制器，将目标转矩发送给发动机控制器，分别控制发电机和发动机。

通过系统电源监控芯片3和主控芯片1构成的监控架构，主控芯片1内部的硬件故障处理单元检测主控芯片1的程序流与指令测试、监控主控芯片1内存和定时器、A/D模数转换模块和通信模块的硬件故障，如有故障则通过SPI总线告知系统电源监控芯片3，系统电源监控芯片3控制系统进入预先定义好的安全状态，从而使得系统实现功能安全等级ASIL-D的芯片监控功能。

利用主控芯片1内部的硬件加/解密模块和具有CAN防火墙功能的收发器2实现远程软件更新包的解密、软件的安全启动和CAN网络的防火墙的信息安全功能，从而避免CAN总线注入攻击、重放攻击的黑客行为。

本实用新型通过使用系统电源监控芯片与主控芯片构成的监控架构，保证了系统的硬件拥有高的安全等级和系统的功能安全。通过使用有加/解密模块的主控芯片和具有CAN防火墙功能的收发器，避免CAN总线注入攻击、重放攻击的黑客行为，防止信息泄露，保证系统的信息安全。构成闭环系统，使用闭环控制，保证了控制的准确性，拥有良好的控制效果。信息处理电路冗余设置，提高系统的容错性，保证功能的正常使用。

Claims

1.一种具有功能安全与信息安全的增程器控制器，其特征在于，包括：

主控芯片（1），内部包括硬件故障处理单元、硬件加/解密模块、密匙存储模块和通讯模块；

CAN收发器（2），具有CAN防火墙功能；

信号处理电路（3），与主控芯片（1）相连，包括转速检测模块（31）、温度检测模块（32）、电流检测模块（33）和电压检测模块（34）；

系统电源监控芯片（4），连接系统电源，与主控芯片（1）连接，为信号处理电路（3）和CAN收发器（2）供电，连接有HUC（5），HUC（5）连接电机组（6）。

2.根据权利要求1所述的一种具有功能安全与信息安全的增程器控制器，其特征在于，所述的主控芯片（1）的通讯端与CAN收发器（2）相连接，CAN收发器（2）连接上位机（7）。

3.根据权利要求1所述的一种具有功能安全与信息安全的增程器控制器，其特征在于，所述的转速检测模块（31）包括磁电式转速传感器、光耦U1、电容C1、电阻R1、电阻R2、电阻R3和开关管；转速传感器的输出端连接开关管的控制端，开关管的输出端接地，开关管的输入端连接光耦U1中发光二极管的阴极，光耦U1中发光二极管的阳极连接电阻R1的第一端，电阻R1的第二端连接电源；光耦U1中光三极管的集电极连接电阻R2的第一端，电阻R2的第二端连接电源；光耦U1中光三极管的发射极连接电阻R3的第一端，电阻R3的第二端接地；电容C1的第一端连接电阻R3的第一端，电容C2的第二端连接电阻R3的第二端；光耦U1中光三极管的发射极连接主控芯片（1）的转速信号输入端。

4.根据权利要求1或3所述的一种具有功能安全与信息安全的增程器控制器，其特征在于，所述的信号处理电路（3）冗余设计。

5.根据权利要求1所述的一种具有功能安全与信息安全的增程器控制器，其特征在于，所述的电机组（6）包括发电机、发动机和步进电机，所述的HUC（5）通过CAN总线分别连接发电机控制器和发动机控制器，发动机控制器连接发动机，发电机控制器连接发电机；发动机连接步进电机和发电机。

6.根据权利要求1或2所述的一种具有功能安全与信息安全的增程器控制器，其特征在于，所述的主控芯片（1）的型号为NXP SPC5746D。

7.根据权利要求1或2所述的一种具有功能安全与信息安全的增程器控制器，其特征在于，所述的CAN收发器（2）的型号为TJA115x。

8.根据权利要求1所述的一种具有功能安全与信息安全的增程器控制器，其特征在于，所述的系统电源监控芯片（4）与主控芯片（1）通过SPI总线通讯连接。