CN216508228U - 基于异构双看门狗的安全输出控制电路及汽车 - Google Patents

Abstract

本实用新型实施方式提供一种基于异构双看门狗的安全输出控制电路及汽车，属于安全输出电路控制技术领域。控制电路，包括：控制单元、第一看门狗单元、驱动单元、第二看门狗单元及继电器单元；控制单元与第一看门狗单元及第二看门狗单元分别连接，第一看门狗单元的输出端与驱动单元的控制端连接，驱动单元的输入端用于与电源连接，驱动单元的输出端与第二看门狗单元的输入端连接，第二看门狗单元的输出端与继电器单元连接。本实用新型通过控制单元分别向两个看门狗单元发送不同的喂狗信号，当任意一路喂狗信号异常时，均能切断继电器单元的供电，以断开对外输出的电源，从而有效解决了现有看门狗安全输出电路存在的共因失效的问题。

Description

基于异构双看门狗的安全输出控制电路及汽车

技术领域

本实用新型涉及安全输出电路控制技术领域，具体地涉及一种基于异构双看门狗的安全输出控制电路及一种汽车。

背景技术

在设计系统架构时，为了保证在设备发生故障、错误、失效的情况下减轻以至避免损失，通常会定义系统的安全侧，对于安全输出一般定义没有输出为安全侧，这就要求不能因为系统本身的故障导致非预期的安全输出。现有技术中，当系统发生故障时，通常使用看门狗电路自动切断对外输出的电源，导向安全侧。但是现有的看门狗安全输出电路中，喂狗信号往往来自同一控制器，导致存在共因失效的可能，不利于系统安全。

实用新型内容

本实用新型实施方式的目的是提供一种基于异构双看门狗的安全输出控制电路及汽车，以解决现有的看门狗安全输出电路存在共因失效的问题。

为了实现上述目的，在本实用新型的第一方面，提供一种基于异构双看门狗的安全输出控制电路，包括：

控制单元、第一看门狗单元、驱动单元、第二看门狗单元及继电器单元；

所述控制单元与所述第一看门狗单元及所述第二看门狗单元分别连接，所述第一看门狗单元的输出端与所述驱动单元的控制端连接，所述驱动单元的输入端用于与电源连接，所述驱动单元的输出端与所述第二看门狗单元的输入端连接，所述第二看门狗单元的输出端与所述继电器单元连接；

所述控制单元用于向所述第一看门狗单元发送第一喂狗信号以及向所述第二看门狗单元发送第二喂狗信号，所述第一看门狗单元用于当所述第一喂狗信号异常时控制所述驱动单元断开所述第二看门狗单元与所述电源的连接，所述第二看门狗单元用于当所述第二喂狗信号异常时断开所述驱动单元与所述继电器单元的连接。

可选地，所述第一看门狗单元为电源管理芯片PMIC。

可选地，所述控制单元与所述第一看门狗单元通过SPI接口连接。

可选地，所述驱动单元为光耦继电器；所述第一看门狗单元用于当所述第一喂狗信号正常时向所述光耦继电器的控制端发送第一电平信号以控制所述光耦继电器的输入端与输出端之间为通路；所述第一看门狗单元用于当所述第一喂狗信号异常时向所述光耦继电器的控制端发送第二电平信号以控制所述光耦继电器的输入端与输出端之间为断路。

可选地，所述第二看门狗单元为安全与门，所述安全与门包括与门及开关电路，所述与门的第一输入端及第二输入端分别与所述控制单元的第一输出端及第二输出端连接，所述与门的输出端与所述开关电路的控制端连接，所述开关电路的输入端与所述驱动单元的输出端连接，所述开关电路的输出端与所述继电器单元连接。

可选地，所述第二喂狗信号包括：

第一动态脉冲信号及第二动态脉冲信号；

所述控制单元通过所述第一输出端向所述安全与门发送第一动态脉冲信号，所述控制单元通过所述第二输出端向所述安全与门发送第二动态脉冲信号；

仅当所述第一动态脉冲信号及所述第二动态脉冲信号均为高电平信号时，所述与门的输出端输出高电平信号以控制所述开关电路的输入端与输出端之间为通路，否则，所述与门的输出端输出低电平信号以控制所述开关电路的输入端与输出端之间为断路。

可选地，所述继电器单元包括：

安全继电器；

所述安全继电器包括继电器线圈、至少一对常开触点及至少一对常闭触点；

所述开关电路的输出端与所述继电器线圈连接形成回路。

可选地，所述基于异构双看门狗的安全输出控制电路还包括：

继电器状态回采电路；

所述继电器状态回采电路与所述常闭触点及所述控制单元连接，用于采集所述常闭触点的开关状态并将所述常闭触点的开关状态发送至所述控制单元；

所述控制单元还用于在所述常闭触点的开关状态与逻辑状态不一致的情况下向所述第一看门狗单元发送故障信号；

所述第一看门狗单元还用于在接收到所述故障信号的情况下控制所述驱动单元断开所述第二看门狗单元与所述电源的连接。

可选地，所述控制电路还包括：

电压监测单元，所述电压监测单元用于采集所述控制单元的工作电压并将所述控制单元的工作电压发送至所述第一看门狗单元；

所述第一看门狗单元还用于在所述控制单元的工作电压异常的情况下控制所述驱动单元断开所述第二看门狗单元与所述电源的连接。

在本实用新型的第二方面，提供一种汽车，包括上述的基于异构双看门狗的安全输出控制电路。

本实用新型通过异构的双看门狗单元控制继电器单元，控制单元分别向两个看门狗单元发送不同的喂狗信号，当任意一路喂狗信号异常时，均能切断继电器单元的供电，以断开对外输出的电源，从而有效解决了现有看门狗安全输出电路存在的共因失效的问题。

本实用新型实施方式的其它特征和优点将在随后的具体实施方式部分予以详细说明。

附图说明

附图是用来提供对本实用新型实施方式的进一步理解，并且构成说明书的一部分，与下面的具体实施方式一起用于解释本实用新型实施方式，但并不构成对本实用新型实施方式的限制。在附图中：

图1是本实用新型优选实施例提供的一种基于异构双看门狗的安全输出控制电路的结构框图；

图2是本实用新型优选实施例提供的安全输出电路控制原理图；

图3是本实用新型优选实施例提供的驱动单元电路图；

图4是本实用新型优选实施例提供的第二看门狗单元电路图。

具体实施方式

以下结合附图对本实用新型的具体实施方式进行详细说明。应当理解的是，此处所描述的具体实施方式仅用于说明和解释本实用新型，并不用于限制本实用新型。

在本实用新型实施方式中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。

如图1所示，在本实施例的第一方面，提供一种基于异构双看门狗的安全输出控制电路，包括：控制单元U1、第一看门狗单元U2、驱动单元U3、第二看门狗单元U4及继电器单元；控制单元U1与第一看门狗单元U2及第二看门狗单元U4分别连接，第一看门狗单元U2的输出端与驱动单元U3的控制端连接，驱动单元U3的输入端用于与电源连接，驱动单元U3的输出端与第二看门狗单元U4的输入端连接，第二看门狗单元U4的输出端与继电器单元连接；控制单元U1用于向第一看门狗单元U2发送第一喂狗信号以及向第二看门狗单元U4发送第二喂狗信号，第一看门狗单元U2用于当第一喂狗信号异常时控制驱动单元U3断开第二看门狗单元U4与电源的连接，第二看门狗单元U4用于当第二喂狗信号异常时断开驱动单元U3与继电器单元的连接。

如此，本实用新型通过异构的双看门狗单元控制继电器单元，控制单元U1分别向两个看门狗单元发送不同的喂狗信号，当任意一路喂狗信号异常时，均能切断继电器单元的供电，以断开对外输出的电源，从而有效解决了现有看门狗安全输出电路存在的共因失效的问题。

具体的，如图2～图4所示，控制单元U1为MCU，第一看门狗单元U2可以为现有的看门狗芯片，在本实施例中，为了降低成本，同时减小电路体积，第一看门狗单元U2采用电源管理芯片PMIC，可利用PMIC中现有的看门狗单元而无需额外增加看门狗芯片，本实施例中，PMIC型号为mc33fs6523cae。驱动单元U3可以为开关元件构成的开关电路，例如由MOS管或三极管构成的开关电路，本实施例中，驱动单元U3为光耦继电器，其具体型号为Vo14642aabtr，PMIC的FS0B端与光耦继电器的ANODE端连接，光耦继电器的LOAD1端与LOAD2端连接后与24V电源WD_24V连接，光耦继电器的DC端与第二看门狗单元U4的输入端连接，用于向第二看门狗单元U4输出电压信号WD_BATT+。MCU通过SPI接口向PMIC发送第一喂狗信号，PMIC能够实时监测第一喂狗信号是否异常，当第一喂狗信号正常时，PMIC通过FS0B端向光耦继电器的控制端发送第一电平信号以控制光耦继电器的输入端与输出端之间为通路，以及当第一喂狗信号异常时向光耦继电器的控制端发送第二电平信号以控制光耦继电器的输入端与输出端之间为断路。其中，第一电平信号为高电平信号，第二电平信号为低电平信号，当光耦继电器的ANODE端输入为高电平信号时，光耦继电器的输入端LOAD1、LOAD2与输出端DC之间为通路，此时24V电源的输出经光耦继电器的DC端输出；当光耦继电器的ANODE端输入为低电平信号时，光耦继电器的输入端LOAD1、LOAD2与输出端DC之间为断路，此时光耦继电器的DC端无输出。

第二看门狗单元U4为安全与门，安全与门包括与门及开关电路，与门的第一输入端及第二输入端分别与控制单元U1的第一输出端及第二输出端连接，与门的输出端与开关电路的控制端连接，开关电路的输入端与驱动单元U3的输出端连接，开关电路的输出端与继电器单元连接。MCU的两个输出端分别与与门的两个输入端连接，并持续的向与门的两个输入端发送第一动态脉冲信号及第二动态脉冲信号，第一动态脉冲信号及第二动态脉冲信号构成第二喂狗信号。当第一动态脉冲信号及第二动态脉冲信号均为高电平信号时，与门的输出端输出高电平信号以控制开关电路的输入端与输出端之间为通路，否则，与门的输出端输出低电平信号以控制开关电路的输入端与输出端之间为断路。本实施例中，第一动态脉冲信号及第二动态脉冲信号均为PWM信号，MCU的两个输出端PWM1及PWM2分别输出两路PWM信号WD_PLUSE1及WD_PLUSE2，根据与门的特性，当MCU输出的两路PWM信号均为高电平信号时，与门的输出端输出高电平信号，此时开关电路的输入端与开关电路的输出端之间为通路，反之，当MCU输出的两路PWM信号中的任一路PWM信号异常时，与门的输出端输出低电平信号，此时开关电路的输入端与开关电路的输出端之间为断路。可以理解的是，开关电路同样可以为由MOS管或三极管构成的开关电路。其中，安全与门也可以采用现有的安全与门芯片，本实施例中采用型号为Kd2cb24s24的安全与门作为第二看门狗单元U4。具体的，安全与门Kd2cb24s24的输入端24V+端与光耦继电器的DC端连接，安全与门的24V-端接地，安全与门的CPU2端CPU1端分别与MCU的PWM1端及PWM2端连接，用于接收两路PWM信号WD_PLUSE1及WD_PLUSE2，安全与门的两个接地端CH2_GND端及CH1_GND端连接后接地，安全与门的输出端VDO+与VDO-与继电器单元连接形成回路。其中，继电器单元为安全继电器K1，安全继电器K1包括继电器线圈KM、至少一对常开触点及至少一对常闭触点，本实施例中，安全继电器K1包括3对常闭触点及3对常开触点，安全继电器K1的A1端及A2端、A3端及A4端、B1端及B2端分别为3对常闭触点的两端，安全继电器K1的A5端及A6端、B3端及A4端、B5端及B6端分别为3对常开触点的两端。具体的，安全与门的输出端VDO+与VDO-分别与安全继电器K1的继电器线圈KM两端连接形成回路，安全与门的输出端VDO+与VDO-之间还连接有续流二极管D1。

为了进一步保证系统安全，控制电路还包括：继电器状态回采电路；继电器状态回采电路与常闭触点及控制单元U1连接，用于采集常闭触点的开关状态并将常闭触点的开关状态发送至控制单元U1；控制单元U1还用于若常闭触点的开关状态与逻辑状态不一致，向第一看门狗单元U2发送故障信号，第一看门狗单元U2接收到故障信号后控制驱动单元U3断开第二看门狗单元U4与电源的连接。具体的，以安全继电器K1的一对常闭触点的A1端及A2端为例，将常闭触点的A1端及A2端分别与MCU连接，MCU输出一脉冲信号WD_NODE至A2端，并通过A1端进行回采，MCU通过ADC端口对回采到的脉冲信号进行电压检测，根据回采到的脉冲信号电压判断安全继电器K1的逻辑状态，例如，令安全继电器K1的继电器线圈KM导通时的逻辑状态为1，继电器线圈KM失电时的逻辑状态为0，若安全继电器K1的当前逻辑状态为1，即安全继电器K1的当前状态应该为继电器线圈KM导通的状态，而MCU采集到的脉冲信号电压为5V，则说明安全继电器K1的实际状态为继电器线圈KM失电的状态，由于MCU采集到的脉冲信号电压与逻辑状态不一致，MCU判断安全继电器K1状态异常并向PMIC发送故障信号，以断开继电器线圈KM的供电，从而保证系统的安全。可以理解的，回采电路为现有技术，其有多种实现方式，本实施例不对回采电路的具体电路进行限定。

为了进一步保证系统的安全，控制电路还包括：电压监测单元，电压监测单元用于采集控制单元U1的工作电压并将控制单元U1的工作电压发送至第一看门狗单元U2，第一看门狗单元U2还用于若控制单元U1的工作电压异常，控制驱动单元U3断开第二看门狗单元U4与电源的连接。其中，电压监测单元可以采用现有的电压监测芯片，也可以采用PMIC中内置的电压监测单元，本实施例中，为了进一步降低成本，减小电路体积，通过PMIC中内置的电压监测单元监测MCU的供电电压，将PMIC的VCC端与MCU的VCC端连接，当PMIC检测到MCU的VCC端电压下降到设定值时，通过FS0B端发送低电平信号，以切断对安全继电器K1的继电器线圈KM的供电。本实施例中，MCU采用集成安全功能的MCU，MCU中内置有可编程的故障监控单元，并通过可采集故障的硬件故障安全接口监控MCU的状态，预先配置MCU的两个输出端ERROR0及ERROR1分别与PMIC的两个IO端连接，用于向PMIC内置的故障监测单元输出错误报告，PMIC的RSTb端及INTb端分别与MCU的RESET端及IRQ端连接。当PMIC接收到错误报告后，通过INTb端向MCU发送中断信号，MCU接收到中断信号进行故障处理，此时MCU不再向PMIC发送第一喂狗信号，若在外部中断后的预设时间内MCU恢复正常，并向PMIC发送第一喂狗信号，PMIC判断系统恢复正常，此时PMIC不作出安全响应；若在外部中断后的预设时间内MCU未恢复正常，其不能向PMIC继续发送第一喂狗信号，PMIC判断系统故障，此时PMIC驱动FS0B端输出低电平信号，此时安全继电器K1的常开触点B3端及B4端断开，安全输出电路部分无输出，系统处于安全状态，同时，PMIC可通过RSTb端向MCU的RESET端发送复位信号对MCU进行复位。

以本实施例中安全继电器K1的常开触点B3端及B4端用于控制安全输出电路为例，B3端与电源输出端VDO_BATT+连接，B4端与负载连接，当B3端与B4端闭合时，向负载输出来自电源的电压信号BATT+，本实施例的工作原理如下：

系统上电自检正常后，MCU向安全与门输出两路PWM信号WD_PLUSE1及WD_PLUSE2，通过控制PWM信号中高电平的占空比使得MCU输出的PWM信号维持在高电平状态，同时MCU通过SPI接口向PMIC输出喂狗信号。安全与门接收到两路高电平PWM信号后，使得安全与门的24V+端与安全与门的输出端VDO+导通，同时，PMIC接收到正确的喂狗信号后，PMIC将故障安全输出引脚FS0B保持在高电平状态。FS0B端输出的高电平信号驱动光耦继电器使得光耦继电器的输入端与输出端导通，由于光耦继电器的输入端与24V电源连接，此时光耦继电器的输出端输出来自24V电源的电压信号WD_BATT+，此时安全与门的输出端VDO+有电，安全继电器K1的继电器线圈KM得电，其常闭触点断开，常开触点闭合，此时安全继电器K1的B3端及B4端之间为通路，安全输出电路有电，系统能正常驱动安全输出，同时MCU通过回采A2端的开关量信号来确定安全继电器K1的工作状态。

若系统上电自检未通过，MCU不会向安全与门输出PWM信号WD_PLUSE1及WD_PLUSE2，同时不会通过SPI接口向PMIC输出喂狗信号，此时PMIC的FS0B端输出低电平信号，无法驱动光耦继电器，光耦继电器的输出端无电，此时，安全与门的输出端VDO+无电，安全继电器K1的继电器线圈KM为失电状态，安全继电器K1的B3端及B4端之间为断路，安全输出电路无电，系统不能正常驱动安全输出。

若MCU运行过程中出现故障不能正确输出WD_PLUSE1及WD_PLUSE2信号时，安全与门也无法正常工作，其输出端VDO+无电，安全继电器K1的继电器线圈KM为失电状态，安全继电器K1的B3端及B4端之间为断路，安全输出电路无电，系统不能正常驱动安全输出。

若MCU运行过程中出现故障不能通过SPI接口向PMIC输出喂狗信号时，PMIC的FS0B端输出低电平信号，无法驱动光耦继电器，光耦继电器的输出端无电，此时，安全与门的输出端VDO+无电，安全继电器K1的继电器线圈KM为失电状态，安全继电器K1的B3端及B4端之间为断路，安全输出电路无电，系统不能正常驱动安全输出。

同时，在MCU运行过程中，若PMIC监测到MCU供电异常，或MCU自检故障并不能恢复时，PMIC也会驱动FS0B端口使其变为低电平，此时系统不能正常的驱动安全输出，使系统处于安全状态。

在本实用新型的第二方面，提供一种汽车，包括上述的基于异构双看门狗的安全输出控制电路。

综上所述，本实用新型通过异构的双看门狗单元控制继电器单元，控制单元分别向两个看门狗单元发送不同的喂狗信号，当任意一路喂狗信号异常时，均能切断继电器单元的供电，以断开对外输出的电源，从而有效解决了现有看门狗安全输出电路存在的共因失效的问题。

以上结合附图详细描述了本实用新型的可选实施方式，但是，本实用新型实施方式并不限于上述实施方式中的具体细节，在本实用新型实施方式的技术构思范围内，可以对本实用新型实施方式的技术方案进行多种简单变型，这些简单变型均属于本实用新型实施方式的保护范围。

另外需要说明的是，在上述具体实施方式中所描述的各个具体技术特征，在不矛盾的情况下，可以通过任何合适的方式进行组合。为了避免不必要的重复，本实用新型实施方式对各种可能的组合方式不再另行说明。

Claims (10)

1.一种基于异构双看门狗的安全输出控制电路，其特征在于，包括：

控制单元、第一看门狗单元、驱动单元、第二看门狗单元及继电器单元；

所述控制单元与所述第一看门狗单元及所述第二看门狗单元分别连接，所述第一看门狗单元的输出端与所述驱动单元的控制端连接，所述驱动单元的输入端用于与电源连接，所述驱动单元的输出端与所述第二看门狗单元的输入端连接，所述第二看门狗单元的输出端与所述继电器单元连接；

所述控制单元用于向所述第一看门狗单元发送第一喂狗信号以及向所述第二看门狗单元发送第二喂狗信号，所述第一看门狗单元用于当所述第一喂狗信号异常时控制所述驱动单元断开所述第二看门狗单元与所述电源的连接，所述第二看门狗单元用于当所述第二喂狗信号异常时断开所述驱动单元与所述继电器单元的连接。

2.根据权利要求1所述的基于异构双看门狗的安全输出控制电路，其特征在于，所述第一看门狗单元为电源管理芯片PMIC。

3.根据权利要求1所述的基于异构双看门狗的安全输出控制电路，其特征在于，所述控制单元与所述第一看门狗单元通过SPI接口连接。

4.根据权利要求1所述的基于异构双看门狗的安全输出控制电路，其特征在于，所述驱动单元为光耦继电器；所述第一看门狗单元用于当所述第一喂狗信号正常时向所述光耦继电器的控制端发送第一电平信号以控制所述光耦继电器的输入端与输出端之间为通路；所述第一看门狗单元用于当所述第一喂狗信号异常时向所述光耦继电器的控制端发送第二电平信号以控制所述光耦继电器的输入端与输出端之间为断路。

5.根据权利要求1所述的基于异构双看门狗的安全输出控制电路，其特征在于，所述第二看门狗单元为安全与门，所述安全与门包括与门及开关电路，所述与门的第一输入端及第二输入端分别与所述控制单元的第一输出端及第二输出端连接，所述与门的输出端与所述开关电路的控制端连接，所述开关电路的输入端与所述驱动单元的输出端连接，所述开关电路的输出端与所述继电器单元连接。

6.根据权利要求5所述的基于异构双看门狗的安全输出控制电路，其特征在于，所述第二喂狗信号包括：

第一动态脉冲信号及第二动态脉冲信号；

所述控制单元通过所述第一输出端向所述安全与门发送第一动态脉冲信号，所述控制单元通过所述第二输出端向所述安全与门发送第二动态脉冲信号；

仅当所述第一动态脉冲信号及所述第二动态脉冲信号均为高电平信号时，所述与门的输出端输出高电平信号以控制所述开关电路的输入端与输出端之间为通路，否则，所述与门的输出端输出低电平信号以控制所述开关电路的输入端与输出端之间为断路。

7.根据权利要求5所述的基于异构双看门狗的安全输出控制电路，其特征在于，所述继电器单元包括：

安全继电器；

所述安全继电器包括继电器线圈、至少一对常开触点及至少一对常闭触点；

所述开关电路的输出端与所述继电器线圈连接形成回路。

8.根据权利要求7所述的基于异构双看门狗的安全输出控制电路，其特征在于，所述基于异构双看门狗的安全输出控制电路还包括：

继电器状态回采电路；

所述继电器状态回采电路与所述常闭触点及所述控制单元连接，用于采集所述常闭触点的开关状态并将所述常闭触点的开关状态发送至所述控制单元；

所述控制单元还用于在所述常闭触点的开关状态与逻辑状态不一致的情况下向所述第一看门狗单元发送故障信号；

所述第一看门狗单元还用于在接收到所述故障信号的情况下控制所述驱动单元断开所述第二看门狗单元与所述电源的连接。

9.根据权利要求1所述的基于异构双看门狗的安全输出控制电路，其特征在于，所述控制电路还包括：

电压监测单元，所述电压监测单元用于采集所述控制单元的工作电压并将所述控制单元的工作电压发送至所述第一看门狗单元；

所述第一看门狗单元还用于在所述控制单元的工作电压异常的情况下控制所述驱动单元断开所述第二看门狗单元与所述电源的连接。

10.一种汽车，其特征在于，包括权利要求1～9中任一项权利要求所述的基于异构双看门狗的安全输出控制电路。

Images