CN104071032A

CN104071032A - 用于可乘机器的控制系统和驱动控制单元

Info

Publication number: CN104071032A
Application number: CN201410182526.6A
Authority: CN
Inventors: 米崎圭一; 中村慎二; 高木智也
Original assignee: Japan Chuangshitong Co ltd; Denso Ten Ltd; Fujitsu Ltd
Current assignee: Japan Chuangshitong Co ltd; Denso Ten Ltd; Fujitsu Ltd
Priority date: 2013-03-29
Filing date: 2014-03-26
Publication date: 2014-10-01
Also published as: US20140297078A1; JP2014200126A; EP2784609A2; EP2784609A3

Abstract

用于可乘机器的控制系统和驱动控制单元。操作控制单元和驱动控制单元相互监测彼此的操作状态，当第一控制单元检测到另一(第二)控制单元的错误时，第一控制单元基于操作信号以比正常模式的速度更受限制的速度对驱动源执行驱动控制。

Description

用于可乘机器的控制系统和驱动控制单元

技术领域

这里讨论的实施方式涉及用于可乘机器(ridable machine)的控制系统和驱动控制单元。

背景技术

作为电动汽车的控制装置中确保针对错误的可靠性的技术的示例，JP4-150701A中公开了一种技术。JP4-150701A中公开的技术提供了一种利用多个马达独立地驱动右侧轮胎和左侧轮胎的车辆，其中，响应于指定给(oriented to)车辆的微处理器的故障，利用指定给右侧马达和左侧马达的微处理器来在使得马达的速度彼此同步的同时执行逐渐停止马达的控制。

然而，在JP4-150701A中公开的技术中，例如在第0032段所述，当指定给车辆的微处理器发生故障时，无法再识别油门和刹车的状态。由此，指定给马达的右侧微处理器和左侧微处理器仅能用于彼此同步地执行车辆的停止控制。因此，当车辆的微处理器发生故障时，不再能够控制车辆为了庇护行驶至安全区域。

发明内容

本发明的目标在于使得可乘机器进入安全区域的庇护行驶成为可能，甚至是在用于可乘机器的控制系统发生错误时。

根据本发明的一个方面，提供了一种用于可乘机器的控制系统。该控制系统可包括：驱动控制单元，其被构造为控制可乘机器的驱动源；以及操作控制单元，其被构造为根据所述可乘机器的操作信号来控制所述驱动控制单元。各控制单元相互监测彼此的操作状态，并且当控制单元中的第一控制单元检测到另一(第二)控制单元的错误时，第一控制单元基于所述操作信号以比正常模式中的速度更受限制的速度对驱动源执行驱动控制。

即使当用于可乘机器的控制系统中发生错误时，也能够安全地疏散所述可乘机器。

附图说明

图1是示出根据实施方式的车辆控制系统的示例的框图；

图2是用于描述图1所示的VCU和MCU之间的相互监测状态的示图；

图3是用于描述由图1所示的车辆控制系统执行的车辆行驶控制的示例的流程图；

图4是用于描述由图1所示的车辆控制系统执行的车辆行驶控制的示例的流程图；

图5是示出图1所示的车辆控制系统的修改示例的框图；以及

图6是用于描述由根据修改示例的车辆控制系统执行的车辆行驶控制的示例的流程图。

具体实施方式

下文中，将参照附图描述本发明的实施方式。然而，以下描述中的实施方式仅是示例，并不旨在排除下文未指定的各种修改和技术的应用。此外，在以下实施方式中使用的附图中，除非另行指明，否则，利用相同的附图标记指示的部分代表相同或相似的部分。

图1示出根据实施方式的车辆控制系统的示例的框图。例如，图1所示的车辆控制系统1用于诸如电动车辆(EV)和混合电动车辆(HEV)的下一代电动汽车(其是可乘机器的示例)。例如，车辆控制系统1设置有油门传感器10、刹车传感器20、车辆控制单元(VCU)30、马达控制单元(MCU)40、马达链模块(MTM)50、马达60、锂离子电池(LiB)单元70、点火(IG)电压源80以及IG开关90。

油门传感器10可操作为感测车辆的油门开度(踩下量)的信息(例如，电压信息)，并将所获取的信息发送给VCU30，作为油门传感器信号。

刹车传感器20可操作为感测车辆的刹车踩下量的信息(例如，电压信息)，并将所获取的信息发送给VCU30，作为刹车传感器信号。

油门传感器10和刹车传感器20在正常模式下利用从VCU30供给的电力来进行操作。油门传感器信号和刹车传感器信号是车辆的操作信号的示例。此外，通过油门传感器10和刹车传感器20获取的各个传感器信号除了输入至VCU30，还输入至MCU40，以防稍后描述的VCU30中出现错误的情形(参见图1的附图标记100)。

VCU30是操作控制单元的示例，其可操作为通过基于分别由油门传感器10和刹车传感器20获取的油门传感器信号和刹车传感器信号将诸如转矩命令值的行驶控制信号发送给MCU40，来控制车辆的行驶。

例如，VCU30可操作为计算行驶转矩并基于油门传感器信号给出再生命令，计算再生能量的量，给出命令，并且基于刹车传感器信号控制可驾驶性。例如，行驶控制信号可以由内置在VCU30中的微处理器等来生成。

此外，VCU30设置有向油门传感器10提供电力的油门传感器电源301以及向刹车传感器20提供电力的刹车传感器电源302。另外，VCU30设置有监测从LiB单元70供应给MTM50的电池电压(VDC)的功能。例如，VDC由从LiB单元70供应有电力的MTM50来测量，并通过MCU40发送给VCU30。

在图1所示的VCU30中，附图标记303代表相互监测器，附图标记304代表重置信号接收器。相互监测器303和重置信号接收器304将在下文描述。

MCU40是驱动控制单元的示例，其可操作为通过根据从VCU30接收到的行驶控制信号控制从MTM50供应至马达60的驱动电力，来控制马达60的驱电力。例如，MCU40基于转矩命令值、角度传感器(解角器)的传感器信号以及提供给马达60的电流传感器，对马达60执行反馈控制，使得马达60的转矩与VCU30命令的转矩命令值一致。

MTM50接收来自LiB单元70的电力电压(或电池电压)，根据由MCU40控制的驱动电力生成用于马达60的驱动电压(例如，直流200V至300V)，并将三相交流电力的驱动电力供应至马达60。例如，MTM50设置有包括IGBT等的逆变器(未示出)，并且使用该逆变器来生成用于马达60的驱动电力。

马达60是车辆的驱动源(例如，三相同步马达)的示例。马达60设置有解角器和上述的电流传感器。此外，一些类型的马达60可内置在MTM50中。

LiB单元70可操作为供应电力电压(电池电压)给MTM50。例如，通过串联或并联连接多个电池单元来构造LiB单元70。输入LiB单元70的电压、电流和温度的操作、安全控制、平衡电池单元之间的电压的控制、计算已使用能量和剩余电池容量的操作、估计劣化状态的操作等是由图1中未示出的电池控制单元(BCU)执行的。

IG电压源80将电力电压(例如，12V)供应给VCU30和MCU40。当IG开关90打开时，VCU30启动，接着启动命令通过诸如串行-并行接口(SPI)的通信接口从VCU30发送给MCU40，由此启动MCU40。

除了上述功能以外，根据本实施方式的MCU40设置有相互监测器401、重置信号生成器402、传感器电源403、传感器电源开关404以及庇护行驶模式控制器(下文称为“安全模式控制器”)405。此外，“安全模式”的意义将在下文描述。

例如，相互监测器401可操作为周期性地通过诸如SPI(参见图1的附图标记400)的通信接口收发针对VCU30的预定信号，以监测VCU30是否发生错误。

例如，如图2所示，VCU30和MCU40从相互监测器303和401给彼此发送具有预定振幅(例如，计数值在0至255的范围内)的脉冲链(例如，图2中的锯齿计数器信号)。在计数器信号中发生诸如计数停止和偏差的错误的情况下，检测错误的VCU30和MCU40中的一个确定其它控制单元(下文称为另一方)是错误的。

确定另一个中发生错误的MCU40或VCU30可操作为将重置信号(停止控制信号)从作为停止控制信号发送器的示例的重置信号生成器402或305(参见图2)发送给另一方。重置信号由VCU30中的重置信号接收器304接收，并且由MCU40中的重置信号接收器406接收。已经接收到重置信号的VCU30或MCU40停止其操作。

此外，当重置信号由重置信号接收器304接收到时，VCU30关闭油门传感器电源301和刹车传感器电源302。VCU30的重置信号生成器305和MCU40的重置信号接收器406未在图1中示出。

在检测到VCU30的错误并且重置信号被发送给VCU30的情况下，传感器电源403(参见图1)代替VCU30将电力供应给油门传感器10和刹车传感器20，以用于其操作。由此，传感器电源开关404通常处于关闭状态，并且在检测到VCU30的错误且重置信号被发送给VCU30时被控制为开启状态。

按照这种方式，在MCU40代替VCU30将电力供应给油门传感器10和刹车传感器20的情况下，VCU30的油门传感器电源301和刹车传感器电源302通过重置信号关闭。因此，即使VCU30的油门传感器电源301和刹车传感器电源302中的一个或二者发生错误，各传感器10和20可以稳定地被供应有电力，并且MCU40可以获取精确的传感器信号。

庇护行驶模式控制器405是速度限制控制器的示例，其可操作为代替VCU30，响应于传感器电源403供给的电力，基于各传感器10和20输入的传感器信号控制MTM50，由此以恒定的速度控制马达60。利用该构造，车辆可以按照恒定的速度行驶。因此，即使VCU30中发生错误，车辆可以在MCU40另选执行的控制下为了庇护行驶至安全区域。下文中，这种控制被称为“安全模式控制”或“庇护行驶模式”。

这里，由于车辆仅可用来为了庇护行驶，MCU40无需根据油门传感器信号和刹车传感器信号的值来线性地控制马达60的旋转速度。相反，MCU40可以基于油门传感器信号和刹车传感器信号的开启/关闭状态来将马达60的旋转速度(车辆的速度)保持为恒定低速状态。

“低速状态”意味着比正常模式更受限制的速度，例如足以执行车辆的庇护行驶的速度。例如，“低速”可被设置为几km/h或者几十km/h。下文中，这种速度被称为“安全速度(或庇护速度)”。在这种情况下，当在安全模式控制期间最大速度被限制为安全速度时，车辆的速度可以基于油门传感器信号和刹车传感器信号来被线性地控制，直到达到安全速度为止。

以下表1示出了控制逻辑的示例，其中，马达60(车辆)基于油门传感器信号和刹车传感器信号的开启/关闭状态来由MCU40(安全模式控制器405)进行控制。

[表1]

如表1中列出的，在安全模式控制期间，当油门传感器信号处于“开启”状态并且刹车传感器信号处于“关闭”状态时，车辆可以按照固定的速度行驶(庇护行驶)。此外，当刹车传感器信号处于“开启”状态时，刹车传感器信号优先于油门传感器信号，并且与油门传感器信号的开启/关闭状态无关地，马达60停止以使车辆停止。

在MCU40(安全模式控制器405)中，通过与预定阈值的比较来确定油门传感器信号和刹车传感器信号的开启/关闭状态。例如，假设油门传感器信号(电压)Va的阈值是Vth3，刹车传感器信号(电压)Vb的阈值是Vth4，当Va>Vth3时，MCU40确定油门传感器信号处于“开启”状态，并且当Vb>Vth4时确定刹车传感器信号处于“开启”状态。相反，当Va≤Vth3时，MCU40确定油门传感器信号处于“关闭”状态，当Vb≤Vth4时确定刹车传感器信号处于“关闭”状态。

例如，Va和Vth3之间的比较以及Vb和Vth4之间的比较可以分别利用比较器411和412(参见图1)来执行。比较器411和412的比较结果被发送给算术处理电路(例如作为安全模式控制器405的微计算机)，并且由算术处理单元根据表1中列出的逻辑来执行该控制。

此外，MCU40可以设置有监测LiB单元70的电池电压(LiB电压)和IG电压中的一个或二者的功能。例如，当所监测的LiB电压和所监测的IG电压中的一个或二者等于或小于各阈值时，MCU40可以与油门传感器信号和刹车传感器信号的开启/关闭状态无关地取代执行安全模式控制而使得马达60停止(车辆停止)。

例如，当LiB电压等于或小于阈值(Vth2)时，MCU40(安全模式控制器405)确定LiB单元70不具有足以执行庇护行驶的剩余电池容量或者LiB单元70中发生了一些类型的错误，并且对马达60(车辆)执行停止控制。

此外，当IG电压等于或小于阈值(Vth1)时，安全模式控制器405确定供应至VCU30和MCU40的各个电力电压中发生了一些类型的错误，并且对马达60(车辆)执行停止控制。

通过采取这些操作，能够改进安全模式控制的安全性，进而还能够防止意外的车辆行驶。

下文中，参照图3和图4所示的流程图来描述车辆控制系统1的车辆行驶控制的示例。

如图3所示，当车辆的IG开关打开时(处理P11)，MCU40通过SPI等来周期性地与VCU30进行通信，由此周期性地监测VCU30中是否发生错误(处理P12至P14)。

当从VCU30周期性地接收到信号时，MCU40执行正常模式控制，以根据来自VCU30的行驶控制信号控制MTM50。结果，马达60被控制在正常旋转速度，使得车辆按照正常模式行驶(处理P15)。

另一方面，当没有周期性地从VCU30接收到信号时，MCU40利用重置信号生成器402生成重置信号，并将该重置信号发送给VCU30(处理P16)。

当从MCU40接收到重置信号时，VCU30关闭油门传感器电源301和刹车传感器电源302，并且停止其操作(处理P17)。

在将重置信号发送给VCU30之后，MCU40执行庇护行驶模式(处理P18)。例如，如图4所示，MCU40执行打开传感器电源开关404的控制，以从传感器电源403向油门传感器10和刹车传感器20供应电力(处理P21)。

此后，MCU40通过使得安全模式控制器405将IG电压、LiB电压、油门传感器信号和刹车传感器信号与各阈值(Vth1至Vth4)进行比较，来检查各电压(处理P22至P25)。

当IG电压等于或小于阈值Vth1(处理P22中为否)时，MCU40(安全模式控制器405)结束处理。此外，当IG电压超过阈值Vth1但是LiB电压等于或小于阈值Vth2(处理P22中为是并且处理P23中为否)时，安全模式控制器405也结束处理。

尽管如图4所示，与阈值Vth1和Vth2的比较(电压检查)是按照IG电压和LiB电压的顺序执行的，但是这些比较也可以按照相反的顺序执行。另外，这些比较可以同时执行。此外，IG电压和LiB电压中的一个或二者的检查不是必须的并且可以跳过。

此外，当IG电压和LiB电压分别超过阈值Vth1和Vth2(处理P22和P33中为是)并且油门传感器信号等于或小于阈值Vth3(处理P24中为否)时，安全模式控制器405停止马达60的驱动(车辆停止)(处理P27)。

另外，当IG电压、LiB电压和油门传感器信号分别超过阈值Vth1、Vth2和Vth3(处理P22、P23和P24中为是)并且刹车传感器信号超过阈值Vth4(处理P25中为是)时，安全模式控制器405也停止马达60的驱动(车辆停止)(处理P27)。

此外，当IG电压、LiB电压和油门传感器信号分别超过阈值Vth1、Vth2和Vth3(处理P22、P23和P24中为是)并且刹车传感器信号等于或小于阈值Vth4(处理P25中为否)时，安全模式控制器405以恒定旋转频率控制马达60，以便使得车辆以固定的速度行驶(庇护行驶)(处理P26)。换句话说，安全模式控制器405与油门传感器信号所指示的油门踩下量无关地(与操作信号所指示的车辆的速度值无关地)以恒定旋转频率控制马达60，从而使得车辆以固定的速度行驶。

上述的处理P22至P27(基于电压检查的车辆行驶控制)可以周期性地重复。另外，在图4中，尽管与阈值Vth3和Vth4的比较(电压检查)是按照油门传感器信号和刹车传感器信号的顺序执行的，但是这些比较也可以按照相反的顺序执行。此外，这些比较可以同时执行。

如上所述，根据上述实施方式，即使VCU30中发生错误，MCU40代替VCU30来基于油门传感器信号和刹车传感器信号的开启/关闭逻辑以恒定的旋转频率控制马达60。因此，车辆可以安全庇护行驶。

(修改例)

图5是示出图1所示的车辆控制系统的修改示例的框图。图5所示的车辆与图1所示的构造相比的不同之处在于，在MCU40(例如，安全模式控制器405)中设置有逆变器错误确定器451。

逆变器错误确定器451可操作为比较MTM50的两端之间的电压VDC(例如，MTM50中设置的逆变器(未示出)的两端之间的电压)与LiB单元70的两端之间的电压(LiB电压)。例如，VDC可以通过如上所述的SPI通信来获得。此外，例如，LiB电压可以从监测LiB单元70的电池电压的电池监测模块(BTM)获取。LiB电压的信息被输入到VCU30和MCU40二者。在正常模式操作期间，VCU30监测LiB电压并根据监测的结果执行控制(例如，车辆速度限制等)。另一方面，在庇护行驶模式期间，MCU40检查LiB电压并根据检查结果执行控制。

例如，当VDC和LiB电压彼此不一致时，MCU40(安全模式控制器405)确定MTM50中发生逆变器的错误，并且不执行上述的安全模式控制。

图6示出了操作示例(图4的修改)。在图6中，与图4相比，增加了将LiB电压与电压VDC进行比较的处理P31。作为处理P31的比较结果，在LiB电压和电压VDC彼此不一致的情况下(处理P31中为否)，MCU40结束处理，而不执行安全模式控制。

因此，能够防止由于在MTM50中的逆变器的可能错误下执行安全模式控制导致的车辆的意外行驶。此外，当LiB电压与电压VDC彼此一致(处理P31中为是)时，如图4所示执行安全模式控制。

(其它)

已经关于示例描述了上述实施方式，在该示例中，当VCU30和MCU40中的一个发生错误时，具体地说，当VCU30发生错误时，MCU40代替VCU30执行安全模式控制，但是实施方式也适用于相反的情形。例如，当VCU30在相互监测期间检测到MCU40中发生错误时，VCU30可以代替MCU40执行安全模式控制。

此外，已经关于示例描述了上述实施方式，在该示例中，安全模式控制适用于诸如EV和HEV的汽车(车辆)，但是，这些实施方式通常可以适用于诸如轨道车辆和轮船的其它“可乘机器”。

根据上述技术，即使在用于可乘机器的控制系统中发生错误，也可以安全地疏散可乘机器。

Claims

1.一种用于可乘机器的控制系统，该控制系统包括：

驱动控制单元，其被构造为控制可乘机器的驱动源；以及

操作控制单元，其被构造为根据所述可乘机器的操作信号来控制所述驱动控制单元，其中，

各控制单元相互监测彼此的操作状态，并且

当一个控制单元检测到另一控制单元的错误时，检测到错误的控制单元基于所述操作信号来以比正常模式中的速度更受限制的速度对所述驱动源执行驱动控制。

2.根据权利要求1所述的控制系统，其中，

所述检测到错误的控制单元是所述驱动控制单元，

所述操作信号包括由所述可乘机器的油门传感器感测的油门传感器信号以及由所述可乘机器的刹车传感器感测的刹车传感器信号，并且

当所述油门传感器信号处于开启状态并且所述刹车传感器信号处于关闭状态时，所述驱动控制单元与所述油门传感器信号所指示的油门踩下量无关地以固定的速度对所述驱动源执行驱动控制。

3.根据权利要求2所述的控制系统，其中，

当所述刹车传感器信号处于开启状态时，所述驱动控制单元与所述油门传感器信号的开启/关闭状态无关地对所述驱动源执行停止控制。

4.根据权利要求2所述的控制系统，其中，

响应于检测到所述错误，所述驱动控制单元对所述操作控制单元执行停止控制。

5.根据权利要求3所述的控制系统，其中，

6.根据权利要求4所述的控制系统，其中，

所述驱动控制单元包括传感器电源，该传感器电源代替所述操作控制单元向各传感器提供电力。

7.根据权利要求5所述的控制系统，其中，

8.根据权利要求1所述的控制系统，其中，

所述检测到错误的控制单元监测所述可乘机器的点火电压和供应给所述驱动源的电池电压中的一个或二者，并且当所述点火电压和所述电池电压中的一个或二者等于或小于对应的预定阈值时，停止所述驱动控制。

9.根据权利要求1所述的控制系统，该控制系统还包括驱动模块，该驱动模块被构造为利用逆变器驱动所述驱动源，该逆变器被供应电池电压而得以驱动，其中，

当所述电池电压与所述逆变器的两端之间的电压彼此不一致时，所述检测到错误的控制单元停止所述驱动控制。

10.一种在用于可乘机器的控制系统中使用的驱动控制单元，所述控制系统包括驱动控制单元和操作控制单元，该驱动控制单元被构造为控制可乘机器的驱动源，该操作控制单元被构造为根据所述可乘机器的操作信号来控制所述驱动控制单元，所述驱动控制单元包括：

监测器，其被构造为监测所述操作控制单元的操作状态；以及

速度限制控制器，其被构造为在所述监测器检测到所述操作控制单元的错误时，与所述操作信号所指示的所述可乘机器的速度值无关地基于所述操作信号以预定速度对所述驱动源执行驱动控制。

11.根据权利要求10所述的驱动控制单元，其中，

当所述油门传感器信号处于开启状态并且所述刹车传感器信号处于关闭状态时，所述速度限制控制器以比正常模式中的速度更受限制的固定的速度对所述驱动源执行所述驱动控制。

12.根据权利要求11所述的驱动控制单元，其中，

当所述刹车传感器信号处于开启状态时，所述速度限制控制器与所述油门传感器信号的开启/关闭状态无关地对所述驱动源执行停止控制。

13.根据权利要求11所述的驱动控制单元，该驱动控制单元还包括停止控制信号发送单元，该停止控制信号发送单元被构造为响应于检测到所述错误，将停止控制信号发送给所述操作控制单元。

14.根据权利要求12所述的驱动控制单元，该驱动控制单元还包括停止控制信号发送单元，该停止控制信号发送单元被构造为响应于检测到所述错误，将停止控制信号发送给所述操作控制单元。

15.根据权利要求13所述的驱动控制单元，该驱动控制单元还包括传感器电源，该传感器电源被构造为代替所述操作控制单元向各传感器提供电力。

16.根据权利要求14所述的驱动控制单元，该驱动控制单元还包括传感器电源，该传感器电源被构造为代替所述操作控制单元向各传感器提供电力。

17.根据权利要求10所述的驱动控制单元，其中，

所述速度限制控制器监测所述可乘机器的点火电压和供应给所述驱动源的电池电压中的一个或二者，并且当所述点火电压和所述电池电压中的一个或二者等于或小于对应的预定阈值时，停止所述驱动控制。

18.根据权利要求10所述的驱动控制单元，其中，

所述驱动源由驱动模块利用逆变器来驱动，该逆变器被供应电池电压而得以驱动，并且

当所述电池电压与所述逆变器的两端之间的电压彼此不一致时，所述速度限制控制器停止所述驱动控制。