CN110764966B - 用于ecu安全监控系统工作模式的自适应方法及系统 - Google Patents

Abstract

本申请公开了一种用于ECU安全监控系统工作模式的自适应方法及系统，包括：安全监控芯片获取调试器接口电路的电平状态，存储为无符号变量，通过SPI指令将无符号变量发送至主芯片；接收主芯片发送的对比信号，与无符号变量进行校验；根据校验结果启用调试模式或产品模式，执行对应模式下的安全机制。通过将调试器接口电路获取的电平状态存储为无符号变量，发送至主芯片，再将此无符号变量与主芯片发送的对比信号进行校验，根据校验结果启用调试模式或产品模式，执行对应模式下的安全机制，能够在不更改硬件电路的情况下自动识别需要启用的工作模式，从而选择是否启用完整的安全机制，避免调试信息混乱，减少硬件变更的额外消耗、实验成本和人力成本。

Description

用于ECU安全监控系统工作模式的自适应方法及系统

技术领域

本申请涉及车辆控制系统领域，尤其涉及一种用于ECU安全监控系统工作模式的自适应方法及系统。

背景技术

电子控制单元(Electronic Control Unit，ECU)样件生产下线时，通常根据ECU设计成熟度分为产品ECU和调试ECU，应用两套不同的硬件电路设计，区别是否支持完整的安全监控系统功能。安全监控芯片某固定PIN针脚电路设计通过上拉电阻上拉到5V电源，安全监控系统配置为调试模式，看门狗故障累加器溢出不触发主芯片复位，而当针脚电路通过下拉电阻连接到地，启用产品模式，看门狗故障累加器溢出遵循安全机制触发不同的故障响应方式。上述方案通过采用两种不同硬件电路设计的方法，实现安全监控系统工作模式的切换。

虽然现有技术能够通过控制不同硬件电路设计的方法，实现安全监控系统软件功能的产品模式和调试模式切换，但在产品ECU实际实验测试过程中，尤其是产品模式ECU下线实验初期，一旦基础软件层代码迭代更新，需要对ECU密封外壳破坏手动修改电路切换为调试模式进行再次调试，破坏ECU气密性同时增加了ECU硬件的额外消耗量，进而增加了实验成本、人力成本。在ECU未进行密封时，也即需要通过接电阻或更改线路连接这种硬件上的更改方式来进行工作模式的切换，同样会造成硬件变更的额外消耗，增加实验成本和人力成本。并且，在新ECU样件调试初期，尤其是在BT功能还不完善或是操作系统任务等关键功能不完整不准确时，直接使用产品模式完整安全机制极易触发安全监控系统报出故障和触发软件复位，造成调试信息混乱，进而增加实验成本和人力成本。

综上所述，需要提供一种能够不通过硬件电路的更改，自动识别需要启用的工作模式，从而选择是否启用完整的安全机制，避免调试信息混乱，减少额外的消耗、减少实验成本和减少人力成本的用于ECU安全监控系统工作模式的自适应方法及系统。

发明内容

为解决以上问题，本申请提出了一种用于ECU安全监控系统工作模式的自适应方法及系统。

一方面，本申请提出一种用于ECU安全监控系统工作模式的自适应方法，包括如下步骤：

S1，获取调试器接口电路的电平状态，将其存储为无符号变量，通过SPI指令将无符号变量发送至主芯片；

S2，接收主芯片发送的对比信号，与所述无符号变量进行校验；

S3，根据校验结果启用调试模式或产品模式，执行对应模式下的安全机制。

进一步地，如上所述的用于ECU安全监控系统工作模式的自适应方法，执行对应模式下的安全机制，包括如下步骤：

S31，周期性执行S1至S2，若校验结果为假，则执行故障计数累加；

S32，根据当前启用模式和故障计数数值，执行故障响应策略后返回S1，或维持系统当前工作状态并执行S31。

进一步地，如上所述的用于ECU安全监控系统工作模式的自适应方法，

当所述无符号变量的值为1，且校验结果为真时，启用调试模式；

当所述无符号变量的值为0，且校验结果为真时，启用产品模式；

当校验结果为假时，启用产品模式。

进一步地，如上所述的用于ECU安全监控系统工作模式的自适应方法，

当故障计数超过阈值，且当前启用模式为调试模式时，记录故障信息，维持当前工作状态并执行S31；

当故障计数超过阈值，且当前启用模式为产品模式时，记录故障信息，执行故障响应策略后返回S1。

进一步地，如上所述的用于ECU安全监控系统工作模式的自适应方法，在所述记录故障信息后，还包括：故障计数清零。

进一步地，如上所述的用于ECU安全监控系统工作模式的自适应方法，所述对比信号为主芯片将接收到的所述无符号变量经过取反后得到。

进一步地，如上所述的用于ECU安全监控系统工作模式的自适应方法，所述接收主芯片发送的对比信号，与所述无符号变量进行校验，包括：

对所述无符号变量和接收到的所述对比信号进行异或运算效验。

进一步地，如上所述的用于ECU安全监控系统工作模式的自适应方法，若校验结果为真，执行S31。

进一步地，如上所述的用于ECU安全监控系统工作模式的自适应方法，所述故障响应策略包括：软件系统复位和切断驱动输出。

第二方面，本申请提出一种用于ECU安全监控系统工作模式的自适应系统，包括：

安全监控芯片，用于获取调试器接口电路的电平状态，将其存储为无符号变量，通过SPI指令将无符号变量发送至主芯片；接收主芯片发送的对比信号，与所述无符号变量进行校验；根据校验结果启用调试模式或产品模式，执行对应模式下的安全机制。

本申请的优点在于：通过将调试器接口电路获取的电平状态存储为无符号变量，发送至主芯片，再将此无符号变量与主芯片发送的对比信号进行校验，根据校验结果启用调试模式或产品模式，执行对应模式下的安全机制，能够在不进行硬件电路的更改的情况下，自动识别需要启用的工作模式，从而选择是否启用完整的安全机制，避免调试信息混乱，减少额外的消耗、减少实验成本和减少人力成本。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选事实方案的目的，而并不认为是对本申请的限制。而且在整个附图中，用同样的参考符号表示相同的部件。在附图中：

图1是本申请提供的一种用于ECU安全监控系统工作模式的自适应方法的步骤示意图；

图2是本申请提供的一种用于ECU安全监控系统工作模式的自适应方法的示意图；

图3是本申请提供的一种用于ECU安全监控系统工作模式的自适应方法的流程图；

图4是本申请提供的一种用于ECU安全监控系统工作模式的自适应系统的示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施方式。虽然附图中显示了本公开的示例性实施方式，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施方式所限制。相反，提供这些实施方式是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

根据本申请的实施方式，提出一种用于ECU安全监控系统工作模式的自适应方法，如图1所示，该方法包括：包括如下步骤：

S1，获取调试器接口电路的电平状态，将其存储为无符号变量，通过串行外设接口(Serial Peripheral Interface，SPI)指令将无符号变量发送至主芯片；

S2，接收主芯片发送的对比信号，与无符号变量进行校验；

S3，根据校验结果启用调试模式或产品模式，执行对应模式下的安全机制。

执行对应模式下的安全机制，包括如下步骤：

S31，周期性执行S1至S2，若校验结果为假，则执行故障计数累加；

S32，根据当前启用模式和故障计数数值，执行故障响应策略后返回S1，或维持系统当前工作状态并执行S31。

在步骤S2中，安全监控芯片将存储的无符号变量与接收到的主芯片发送的对比信号进行校验，当无符号变量的值为1且校验结果为真时，启用调试模式；当无符号变量的值为0且校验结果为真时，启用产品模式；当校验结果为假时，启用产品模式。

当故障计数超过阈值，且当前启用模式为调试模式时，记录故障信息，维持当前工作状态并执行S31；当故障计数超过阈值，且当前启用模式为产品模式时，记录故障信息，执行故障响应策略后返回S1。

在记录故障信息后，还包括：故障计数清零。

对比信号为主芯片将接收到的无符号变量经过取反后得到。

步骤S2中的接收主芯片发送的对比信号，与无符号变量进行校验，包括：

对无符号变量和接收到的对比信号进行异或运算效验。

在步骤S31中，若校验结果为真，执行S31。即，周期性执行S1至S2，若校验结果为真，则继续按照设定好的周期执行S1至S2，判断校验结果。

故障响应策略包括：软件系统复位和切断驱动输出。其中，软件系统包括安全监控芯片和主芯片的全部软件功能。

ECU的产品模式是安全监控系统的工作模式之一，用于样件量产后的软件安全机制，具备完整的故障检测、故障处理和响应策略。

ECU的调试模式是安全监控系统的工作模式之一，在软件检测安全相关故障发生时不产生实际故障处理和响应动作。

执行步骤S1至步骤S2的周期，可以根据需要进行设定。

安全机制表示指定电子系统、电器系统或要素达到安全目标的影响因素，故障检测或控制故障失效模式的解决方案。

安全监控系统遵循ISO26262功能安全要求，提供安全相关功能的电力、电子和软件元素等组成的安全相关系统在整个生命周期内的所有活动。

故障响应表示在允许范围内降低失效模式的影响，使达到系统安全状态的完整性故障检测的解决措施和方案，包含故障响应动作和响应时间。

下面，结合示意图，对本申请实施例进行进一步说明。

如图2所示，ECU中，包括：调试器接口电路，安全监控芯片和主芯片。

优选地，调试器接口电路的PIN7针脚与安全监控芯片的第一通用输入GPI1(General Purpose Input，GPI)针脚相连，安全监控芯片的SPI与主芯片的SPI相连，安全监控芯片的复位(Reset)针脚与主芯片的Reset针脚相连，主芯片的通用输出(GeneralPurpose Output，GPO)针脚与安全监控芯片的第二通用输入GPI2针脚相连。

通过安全监控芯片的GPI1针脚实现对于调试器接口电路PIN7电平的检测。

通过SPI指令，将安全监控芯片采集到的PIN7的电平状态发送至主芯片，主芯片通过GPO针脚输出对应的反向电平状态硬线传递(通过硬件信号传递，不受软件控制)给安全监控芯片的GPI2针脚。

安全监控芯片通过GPI2针脚接收由主芯片GPO针脚传递回的对比信号。

安全监控芯片针对GPI1的信号和GPI2的信号进行数字校验。若校验结果不正确，则安全监控芯片所有输出维持上一个工作循环状态。若校验结果正确，则在安全监控芯片中判断GPI采集到的PIN7的电平。若电平为高，使能复位针脚为常高(即进入调试模式，复位针脚为常高)。若电平为低，使能安全机制故障响应(即进入产品模式，执行故障响应策略)，当安全监控芯片检测到故障状态时，执行必要的响应措施，例如进行复位主芯片或是切断部分驱动输出。

安全监控系统安装在安全监控芯片上。

通过自动识别工作模式选择是否启用完整的安全机制。安全监控系统通过对调试器接口电路电平的监测，在产品模式下启用完整的故障响应机制，即复位功能或切断驱动输出功能。调试模式下，不启用完整安全机制，限制安全监控系统复位功能的使能。无需修改硬件电路设计区分是否启用完整的安全机制故障响应，达到工作模式自适应。

下面，结合流程图，对本申请实施例进行进一步说明。

如图3所示，ECU上电初始化，在引导装载程序(BootLoader，BT)和应用程序初始化模块中，优先读取调试器接口电路PIN7的电平状态，存储为无符号变量MoC_stPINx，初始化安全监控芯片的复位针脚ROT为高电平(默认ROT为低电平时触发软件复位功能)。

安全监控芯片通过16位SPI指令(包含奇偶校验位和数据位)发送MoC_stPINx给主芯片，主芯片解析SPI指令中的数据位，对数据位进行取反，通过GPO输出反码(对比信号)。

判断MoC_stPINx是否为1且对比信号是否为0，若MoC_stPINx为1且对比信号为0，则进入调试模式，ROT输出高电平。

判断MoC_stPINx是否为0且对比信号是否为1，若MoC_stPINx为0且对比信号为1，则进入产品模式。

进入调试模式或产品模式后，开始系统的周期性任务。安全监控芯片循环采集调试器接口电路PIN7的电平状态，存储为无符号变量MoC_stPINx，通SPI指令发送MoC_stPINx至主芯片。

安全监控芯片通过GPI2针脚接收主芯片GPO发送的对比信号，将对比信号与当前周期所采集到的原始数据，即MoC_stPINx，进行异或运算校验。

若校验结果为真(即1时)，表示校验通过，在ECU软件运行过程继续中轮询MoC_stPINx，进行其他相关安全功能的检查和校验，直至周期结束，开始下一个周期性任务。

若校验结果为假(即0时)，表示校验不通过，故障计数器加一。当故障计数器中的故障计数小于等于最大标定量时，在ECU软件运行过程继续中轮询MoC_stPINx，进行其他相关安全功能的检查和校验，直至周期结束，开始下一个周期性任务。当故障计数累加超过最大标定限制标定量时，当安全监控系统报出监控故障或数字校验失败计数器溢出，判断当前工作模式。

若当前模式为调试模式，则ROT针脚维持高电平，记录故障信息，故障计数清零。

若当前模式为产品模式，则记录故障信息，并遵循安全机制执行对应故障响应策略，例如，安全等级较高的故障执行复位功能，安全等级较低的故障进行降级处理关闭部分驱动输出能力。执行故障计数清零。

其中，ENA为软件中的驱动使能，ENA＝0时，执行故障响应策略，切断驱动输出；ENA＝1时，不执行故障切断输出，复位针脚保持常高，即ROT＝1。

根据本申请的实施方式，还提出一种用于ECU安全监控系统工作模式的自适应系统，如图4所示，包括：安全监控芯片，用于获取调试器接口电路的电平状态，将其存储为无符号变量，通过SPI指令将无符号变量发送至主芯片；接收主芯片发送的对比信号，与所述无符号变量进行校验；根据校验结果启用调试模式或产品模式，执行对应模式下的安全机制。

如图4所示，本申请实施例还包括：调试器接口电路和主芯片。

调试器接口电路用于检测是否接入调试器，输出对应的电平状态至安全监测芯片。

主芯片用于将安全监测芯片发送的无符号变量进行取反，得到对比信号，发送至安全监测芯片。

本申请的方法中，通过获取调试器接口电路的电平状态，将其存储为无符号变量，通过SPI指令将无符号变量发送至主芯片，接收主芯片发送的对比信号，与无符号变量进行校验，根据校验结果启用调试模式或产品模式，执行对应模式下的安全机制，能够兼容安全监控系统的两种工作模式，提供一种安全监控系统自动检测和适应软件不同开发阶段的方法，避免在新ECU样件调试初期，尤其是在BT功能还不完善或是操作系统任务等关键功能不完整不准确时，直接使用产品模式完整安全机制极易触发安全监控系统报出故障和触发软件复位，造成调试信息混乱，影响其他功能的调试过程。并且，使用本方法无需修改硬件电路设计区分是否启用完整的安全机制故障响应，达到工作模式自适应，减少额外的消耗、减少实验成本和减少人力成本。不仅使得安全机制在调试过程中能够提供有效的软硬件检查信息，同时保证测试实验过程中ECU能够满足预期安全目标要求，提高软件兼容性和可操作性。使用SPI命令特定格式在主芯片和安全监控芯片之间传递指令和关键数据，破解信息难度较大，提高数据的安全性。通过本申请的方法，使ECU安全机制兼容调试模式和产品模式，通过直接读取调试器接口电路特定针脚，识别调试器即插即拔，实现了接入调试器即进入调试模式，以保证系统判断的准确性，增强了调试阶段代码的可移植性、可操作性和兼容性，解决了安全监控系统同一版软件的完整安全机制和故障响应机制不能兼容适应ECU开发初期软件调试过程和软件开发成熟后期过程的问题。通过实现安全监控系统工作模式(ECU工作模式)的正向逆向切换，拔下调试器即产品模式，极大便利于台架或整车实验验证过程中执行软硬件安全相关功能监控以满足安全目标。当客户提出软件需求迭代时可逆向切换回调试模式进行软件再开发再调试，节省了硬件设计变更成本。通过外部安全监控芯片针脚实现对于调试器接口电平的采集，不占用主芯片针脚，节省针脚资源。通过安全监控芯片对无符号变量和对比信号进行校验，提升外部监控芯片程序执行的可靠等级和安全等级。使用异或数字校验过程，能够保证系统逻辑运算的准确性，满足更高安全等级的要求。本申请的方法能够应用于所有具备安全监控功能或系统的ECU产品，适用范围广、适用性性强，安全监控系统自动识别工作模式，可实现特定需求下的模式正向逆向切换，从而降低软件迭代的额外硬件消耗量和产品ECU实验成本。

以上所述，仅为本申请较佳的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

Claims (6)

1.一种用于ECU安全监控系统工作模式的自适应方法，其特征在于，包括如下步骤：

S1，获取调试器接口电路的电平状态，将其存储为无符号变量，通过SPI指令将无符号变量发送至主芯片；

S2，接收主芯片发送的对比信号，与所述无符号变量进行校验，其中，所述对比信号为主芯片将接收到的所述无符号变量对应的数据位取反得到的值；

S3，根据校验结果启用调试模式或产品模式，执行对应模式下的安全机制；

其中，执行对应模式下的安全机制，包括如下步骤：

S31，周期性执行S1至S2，若校验结果为假，则执行故障计数累加；

S32，根据当前启用模式和故障计数数值，执行故障响应策略后返回S1，或维持系统当前工作状态并执行S31；

当故障计数超过阈值，且当前启用模式为调试模式时，记录故障信息，维持当前工作状态并执行S31；

当故障计数超过阈值，且当前启用模式为产品模式时，记录故障信息，执行故障响应策略后返回S1；

当所述无符号变量的值为1，且校验结果为真时，启用调试模式；

当所述无符号变量的值为0，且校验结果为真时，启用产品模式；

当校验结果为假时，启用产品模式。

2.根据权利要求1所述的用于ECU安全监控系统工作模式的自适应方法，其特征在于，在所述记录故障信息后，还包括：故障计数清零。

3.如权利要求1所述的用于ECU安全监控系统工作模式的自适应方法，其特征在于，所述接收主芯片发送的对比信号，与所述无符号变量进行校验，包括：

对所述无符号变量和接收到的所述对比信号进行异或运算校验。

4.如权利要求1所述的用于ECU安全监控系统工作模式的自适应方法，其特征在于，若校验结果为真，执行S31。

5.根据权利要求1所述的用于ECU安全监控系统工作模式的自适应方法，其特征在于，所述故障响应策略包括：软件系统复位和切断驱动输出。

6.一种用于ECU安全监控系统工作模式的自适应系统，其特征在于，包括：

安全监控芯片，用于获取调试器接口电路的电平状态，将其存储为无符号变量，通过SPI指令将无符号变量发送至主芯片；接收主芯片发送的对比信号，与所述无符号变量进行校验，其中，所述对比信号为主芯片将接收到的所述无符号变量对应的数据位取反得到的值；根据校验结果启用调试模式或产品模式，执行对应模式下的安全机制；

其中，执行对应模式下的安全机制，包括如下步骤：

S31，周期性执行S1至S2，若校验结果为假，则执行故障计数累加；

S32，根据当前启用模式和故障计数数值，执行故障响应策略后返回S1，或维持系统当前工作状态并执行S31；

当故障计数超过阈值，且当前启用模式为调试模式时，记录故障信息，维持当前工作状态并执行S31；

当故障计数超过阈值，且当前启用模式为产品模式时，记录故障信息，执行故障响应策略后返回S1；

当所述无符号变量的值为1，且校验结果为真时，启用调试模式；

当所述无符号变量的值为0，且校验结果为真时，启用产品模式；

当校验结果为假时，启用产品模式。