|
汽車(chē)設計中，越來(lái)越多的電子系統正在逐步替代機械功能——從引擎定時(shí)控制到剎車(chē)、方向盤(pán)控制，而電子系統相對容易發(fā)生故障，這就需要謹慎考慮系統的安全性，確保系統具備較高的故障容限。不應該在發(fā)生單點(diǎn)故障時(shí)將司機或乘客至于危險處境，至少能夠使汽車(chē)“跛行”到大路以外或最近的維修站。當電子設備發(fā)生故障時(shí)，為確保汽車(chē)的安全行駛需要利用監控電路開(kāi)啟備份電路，安全地接管系統操作。 在純機械系統的汽車(chē)時(shí)代，引擎依照機械方式產(chǎn)生的信號點(diǎn)燃空氣燃料混合器。機械分配器則選擇適當的火花塞，沿線(xiàn)傳遞信號。剎車(chē)系統則將作用在踏板上的壓力通過(guò)剎車(chē)軸、剎車(chē)總泵、液壓管傳送到制動(dòng)鉗。離合器和油門(mén)只是簡(jiǎn)單地受控于連接在踏板上的一條鋼纜。方向盤(pán)通過(guò)一個(gè)金屬舵輪、轉向軸、轉向齒輪箱以及轉向傳動(dòng)裝置，控制車(chē)輪的轉角。引擎控制也不同于我們如今使用的高度可靠的電子控制單元(ECU)，它沒(méi)有計算機輔助剎車(chē)系統、離合器、油門(mén)或操縱系統。當然，也不需要考慮?C失效、控制單元短路等狀況，出現故障失效的因素主要是機械裝置。但是，由于人們非常信任機械設備的可靠性，也很少考慮系統備份或故障容限問(wèn)題。當然，一旦系統的某個(gè)裝置出現故障，則很容易發(fā)生危險，即便沒(méi)有發(fā)生危險，汽車(chē)也只能被拋錨在出事地點(diǎn)，不得不求助拖車(chē)將汽車(chē)拖至維修中心。 為了提高汽車(chē)駕駛的舒適度和便利性，汽車(chē)制造商需要為汽車(chē)提供電子裝備，已獲得更高效率、更清潔的環(huán)境以及更高的汽車(chē)行駛安全性。早期的ECU只能在發(fā)生故障時(shí)停止運行，特別是電子裝置的工作取決于?C。如果?C失效時(shí)沒(méi)有備用方案來(lái)避免發(fā)生危及生命的事故，對于用戶(hù)和制造商都是無(wú)法接受的;設計中至少需要采用備用系統，將汽車(chē)就近行駛到維修站，由此，人們對故障容限的關(guān)注程度也迅速提高。根據實(shí)際需求，許多MCU開(kāi)始配備“跛行回家”管理模式。 跛行回家管理模式 “跛行回家”模式指的是ECU內部的一種冗余功能，在物理架構上這是完全獨立的一部分電路，可以從待機模式下開(kāi)啟進(jìn)入失效保護狀態(tài)。這一模式允許汽車(chē)在發(fā)生電子系統失效時(shí)駛出道路，雖然不能保持原有的行駛性能，但可以確保安全。 新一代引擎ECU都帶有監控器件，例如：看門(mén)狗定時(shí)器，用于測試ECU運轉是否正常。一旦檢測到工作異常，發(fā)現電子裝置或?C失效(軟件運行故障)，監控器件將開(kāi)啟“跛行回家”控制模式。例如，當汽車(chē)引擎故障燈點(diǎn)亮，汽缸只注入一半的燃料給發(fā)動(dòng)機，此時(shí)引擎產(chǎn)生非常低的熱量，但能夠以適中的速度開(kāi)動(dòng)汽車(chē)，借助剛好支持汽車(chē)行駛的能量將汽車(chē)開(kāi)回家或開(kāi)到汽車(chē)維修中心。 另外一個(gè)好的案例是新型汽車(chē)中的“車(chē)身控制計算機”，能夠控制車(chē)窗升降、前車(chē)燈/尾燈、轉向燈以及擋風(fēng)玻璃的雨刷、汽車(chē)的自動(dòng)換檔控制。監控電路對ECU的工作狀況進(jìn)行監測，發(fā)生電路單元或?C工作故障時(shí)，將激活待機電路，降級行駛，例如：降低遠光燈、尾燈/剎車(chē)燈的亮度，或者只保持第二檔行駛。當然，這種狀況下限制了汽車(chē)的最高速度，但汽車(chē)仍然保持工作，能夠以“跛行回家”模式安全行駛，把車(chē)開(kāi)到維修廠(chǎng)。 冗余 計算機控制應用稱(chēng)為“電控操作”，動(dòng)力系統內部和外部絕大多數機械控制系統已經(jīng)由機電控制所替代。例如，相互連接的ECU電控裝置已經(jīng)替代了方向盤(pán)到車(chē)輪之間的所有機械單元。司機移動(dòng)的方向盤(pán)位置將被檢測并轉換成數字電子信號，傳送給智能化機電傳動(dòng)裝置，最終控制車(chē)輪動(dòng)作。 電控剎車(chē)裝置也采用汽車(chē)計算機、伺服電機或機電制動(dòng)鉗替代了早期的剎車(chē)軸、剎車(chē)總泵等單元。一般意義上講，這些系統對安全性的要求更高，因而對故障容限的要求也更高。 工程師在這些應用中設計了備份電路，構建完整的冗余電子控制和監控單元，冗余系統在物理結構上應該完全獨立于主控單元，始終確保系統提供有效、安全的電控單元。ECU監控電路保持主系統的連續監測，必要時(shí)可靠地切換到備份系統。 高壓看門(mén)狗的優(yōu)勢 考慮到安全性問(wèn)題，汽車(chē)電子系統需要監控電路監測故障容限或安全性。MAX16997/MAX16998看門(mén)狗定時(shí)器可理想滿(mǎn)足這類(lèi)需求，通過(guò)對微控制器(IC)正常工作條件下產(chǎn)生的周期脈沖進(jìn)行檢測，偵測電路或?C的失效狀態(tài)，一旦發(fā)生故障可立即切換到備份/冗余系統。 MAX16997/MAX16998具有超時(shí)和窗式看門(mén)狗監測功能，器件帶有看門(mén)狗觸發(fā)器輸入(WDI)，提供漏極開(kāi)路?C 復位輸出(RESET)和漏極開(kāi)路冗余系統使能輸出(ENABLE)。 對于MAX16998，復位門(mén)限可以由介于低壓電源(例如：?C電源)、外部電壓監測輸入(RESETIN)和GND之間的外部電阻分壓器(圖1所示)設置。MAX16997可以在使能輸入端(EN)讀取KL15 (點(diǎn)火開(kāi)關(guān))的狀態(tài)，在汽車(chē)啟動(dòng)后使能內部的監控定時(shí)器(圖2)。這時(shí)，看門(mén)狗的超時(shí)周期延長(cháng)到標稱(chēng)周期的8倍，為?C留出足夠的開(kāi)啟時(shí)間。 圖1：MAX16998高壓看門(mén)狗定時(shí)器采用獨立的下游低壓電源(LDO)供電，為電池短路保護提供安全保護屏障，從而使器件能夠在故障條件下可靠地切換到冗余電路。 圖2：類(lèi)似于MAX16998，MAX16997能夠在故障狀態(tài)下安全地切換到冗余電路。它還具有高電平有效使能輸入(EN)，用于開(kāi)啟或關(guān)閉看門(mén)狗定時(shí)器。 可以利用外部電容(分別置于SRT和SWT輸入)獨立設置復位延時(shí)(MAX16998)和看門(mén)狗超時(shí)，看門(mén)狗窗口監測可以由工廠(chǎng)預置在可調節看門(mén)狗定周期的50%或75%。 18?A (典型值)超低工作電流使得MAX16997/MAX16998在汽車(chē)ECU應用中非常重要，因為這些電路始終處于開(kāi)啟狀態(tài)。另外，這些器件提供3mm x 3mm、8引腳MAX封裝，確保工作在-40°C至+125°C汽車(chē)級溫度范圍。 這些IC直接采用12V汽車(chē)電池供電，可以承受高達45V的電壓瞬變(IN和ENABLE引腳)，而典型的看門(mén)狗定時(shí)器則是采用下游的低壓電源(例如，5V)供電。因此，即使在下游電路斷電或發(fā)生與地短路時(shí)，MAX16997/MAX16998也能保持工作并且安全地切換到冗余電路(通過(guò)觸發(fā)ENABLE引腳)。為了使這些器件能夠支持更高的故障容限，器件在RESET、WDI、EN和RESETIN引腳提供故障保護，能夠承受20V的電壓(圖1和圖2)。由此可以看出，這些電路也提供了一個(gè)可靠的保護屏障，避免受下游電路故障失效的影響，備份電路應該從物理層面獨立于“常規”控制電路，發(fā)生故障時(shí)能夠安全地切換到備份模式。 MAX16997/MAX16998時(shí)序 上電后，當RESETIN引腳電壓(VRESETIN)高于上電復位門(mén)限(VPON)時(shí)，RESET將在復位時(shí)間(tRESET)內持續保持低電平，隨后便為高電平。同時(shí)，看門(mén)狗定時(shí)器開(kāi)始計時(shí)(tWP)。如果在規定的開(kāi)放時(shí)間窗口(tOW)內沒(méi)有產(chǎn)生WDI觸發(fā)信號，RESET將被再次置為低電平，復位?C。如果在連續的三次觸發(fā)中，觸發(fā)信號均處于關(guān)閉窗口(tCW)或在看門(mén)狗周期(tWP)結束之后，ENABLE信號將被置低。如果在連續的三次看門(mén)狗觸發(fā)信號中，WDI觸發(fā)信號又重新回到開(kāi)放的看門(mén)狗周期窗口內(tWDI)，ENABLE將重新回到高電平，系統切換到正常工作模式(圖3)。 圖3：MAX16998時(shí)序圖(窗式看門(mén)狗)。 看門(mén)狗超時(shí)與窗式看門(mén)狗 MAX16997/MAX16998A提供標準的看門(mén)狗超時(shí)周期，而MAX16998B/D則提供窗式看門(mén)狗功能(圖4)。根據實(shí)際應用對安全等級的要求選擇不同類(lèi)型的器件，調整看門(mén)狗超時(shí)確保在看門(mén)狗定時(shí)周期內將定時(shí)器清零，否則器件將產(chǎn)生復位信號。由此，可以利用這些看門(mén)狗檢測程序運行的失效狀態(tài)，例如，程序運行過(guò)緩或者是數字時(shí)鐘(例如，晶振產(chǎn)生的時(shí)鐘)速率降低;而窗式看門(mén)狗則需確保定時(shí)器在規定的時(shí)間窗口內將定時(shí)器清零，由此，它們可以檢測到一些額外的故障，例如，程序運行過(guò)快或時(shí)鐘過(guò)快，可以支持更高的安全等級。 圖4：MAX16998看門(mén)狗定時(shí)周期(窗式看門(mén)狗)。 圖4中的第三種情況說(shuō)明了在規定的時(shí)間窗口內觸發(fā)WDI的情況;第1種情況則是錯誤地觸發(fā)了WDI，信號過(guò)早地觸發(fā)WDI從而產(chǎn)生故障指示，導致故障發(fā)生的原因是程序運行過(guò)快或振蕩器時(shí)鐘頻率加快;第2種情況也是錯處觸發(fā)WDI的一種表現——看門(mén)狗觸發(fā)信號輸出延時(shí)過(guò)大，表明程序運行過(guò)緩或振蕩器時(shí)鐘頻率變慢。 本文小結 故障容限和汽車(chē)安全性成為汽車(chē)電子設計的關(guān)鍵因素，為了提高汽車(chē)工作效率，改善舒適度并降低風(fēng)險，需要高效管理系統的各個(gè)單元：硬件、軟件、傳感器、受動(dòng)裝置和操作單元。高壓看門(mén)狗定時(shí)器(如：MAX16997/MAX16998)為達到這一目標起到了關(guān)鍵作用。 |
