CN111497762B - 一种用于汽车电子控制器的双cpu控制系统及控制方法 - Google Patents

Abstract

本申请公开了一种用于汽车电子控制器的双CPU控制系统及控制方法，涉及汽车电子控制器技术领域，该控制系统包括：其包括主CPU和从CPU，二者之间通过通讯模块相互通讯及相互检测；主CPU用于在第一供电电源关断时，发送第一使能信号；主CPU还用于在检测到从CPU发生故障时向从CPU发送重启请求，若从CPU多次重启后故障仍然存在，则控制从CPU持续关断；从CPU用于在第二供电电源关断时，发送第二使能信号；从CPU还用于在检测到主CPU持续故障时接管重要用电设备执行控制任务，并向主CPU发送重启请求，若主CPU多次重启后故障仍然存在，则控制主CPU持续关断。本申请，可靠性高，实用性好，满足功能安全需求。

Description

一种用于汽车电子控制器的双CPU控制系统及控制方法

技术领域

本申请涉及汽车电子控制器技术领域，具体涉及一种用于汽车电子控制器的双CPU控制系统及控制方法。

背景技术

为了满足ISO26262对汽车电子控制器的功能安全要求，采用冗余技术提高汽车电子控制器的功能安全等级，已成为业界的一种常用方法。

相关技术中，采用双CPU的冗余技术方案的汽车电子控制器，多采用一个电源进行供电，且多采用单一的CAN通信。当电源意外断电时，两个CPU均会停止工作，而CAN总线故障时，整个控制器将无法工作，不仅通用性差、效率低、成本高，还未考虑静电流。因此，双CPU控制过程存在实现难度大、可靠性低、静电流大及实用性差等缺点。

发明内容

针对现有技术中存在的缺陷之一，本申请的目的在于提供一种用于汽车电子控制器的双CPU控制系统及控制方法以解决双CPU控制系统可靠性低和实用性差的问题。

本申请第一方面提供一种用于汽车电子控制器的双CPU控制系统，其包括主CPU和从CPU，主CPU和从CPU之间通过通讯模块相互通讯及相互检测；

主CPU用于在主CPU的第一供电电源关断时，发送第一使能信号，从CPU的第二供电电源用于响应第一使能信号为从CPU供电；主CPU还用于在检测到从CPU发生故障时向从CPU发送重启请求，若从CPU多次重启后故障仍然存在，则控制从CPU持续关断；

从CPU用于在第二供电电源关断时，发送第二使能信号，第一供电电源用于响应第二使能信号为主CPU供电；从CPU还用于在检测到主CPU持续故障时接管重要用电设备执行控制任务，并向主CPU发送重启请求，若主CPU多次重启后故障仍然存在，则控制主CPU持续关断。

基于第一方面，在可能的实施例中，通讯模块包括SPI通讯模块和PWM通讯模块；

SPI通讯模块和PWM通讯模块均用于主CPU和从CPU之间的相互通讯；

PWM通讯模块还用于主CPU和从CPU之间的相互检测。

基于第一方面，在可能的实施例中，通讯模块还包括CAN通讯模块，CAN通讯模块包括；

第一CAN收发电路，其使能引脚分别连接主CPU和从CPU，第二CAN收发电路，其使能引脚分别连接主CPU和从CPU；

当主CPU处于正常状态时，主CPU用于使能第一CAN收发电路，并禁止第二CAN收发电路，从CPU用于监视使能信号；

从CPU还用于在主CPU发生故障时，使能第二CAN收发电路，并禁止第一CAN收发电路。

基于第一方面，在可能的实施例中，还包括第一驱动电路，第一驱动电路分别连接主CPU和从CPU；

当主CPU处于正常状态时，主CPU用于控制第一驱动电路输出驱动第一负载，从CPU用于监视输出信号；

从CPU还用于在主CPU出现故障时，控制第一驱动电路输出驱动第一负载。

基于第一方面，在可能的实施例中，主CPU通过第二驱动电路连接第一负载控制选择电路，从CPU通过第三驱动电路连接第二负载控制选择电路，第一负载控制选择电路和第二负载控制选择电路均与第二负载连接；

当主CPU处于正常状态时，主CPU用于控制第二驱动电路输出驱动第二负载，从CPU用于控制第一负载控制选择电路闭合，第二负载控制选择电路断开；

当主CPU出现故障时，从CPU用于控制第一负载控制选择电路断开，第二负载控制选择电路闭合，并控制第三驱动电路输出驱动第二负载。

基于第一方面，在可能的实施例中，主CPU通过第二电源使能电路连接第二电源电路；

从CPU通过第一电源使能电路连接第一电源电路。

基于第一方面，在可能的实施例中，还包括：

用于检测第二供电电源电压的第一电压检测电路，其输入端连接第二供电电源，其输出端连接从CPU；

用于检测第一供电电源电压的第二电压检测电路，其输入端连接第一供电电源，其输出端连接主CPU；

用于检测主CPU供电电压的第三电压检测电路，其输入端连接主CPU，其输出端连接从CPU；

用于检测从CPU供电电压的第四电压检测电路，其输入端连接从CPU，其输出端连接主CPU。

本申请第一方面提供一种基于上述用于汽车电子控制器的双CPU控制系统的控制方法，其包括：

正常工作模式下，主CPU和从CPU之间通过通讯模块相互通讯及相互检测；

当主CPU的第一供电电源关断时，主CPU发送第一使能信号，从CPU的第二供电电源用于响应第一使能信号为从CPU供电；

当第二供电电源关断时，从CPU发送第二使能信号，第一供电电源用于响应第二使能信号为主CPU供电；

当主CPU检测到从CPU发生故障时，向从CPU发送重启请求，若从CPU多次重启后故障仍然存在，则控制从CPU持续关断；

当从CPU检测到主CPU持续故障时接管重要用电设备执行控制任务，并向主CPU发送重启请求，若主CPU多次重启后故障仍然存在，则控制主CPU持续关断。

基于第二方面，在可能的实施例中，通讯模块包括SPI通讯模块、PWM通讯模块和CAN通讯模块；

主CPU和从CPU初始上电时均为从SPI模式；

当主CPU采用SPI通讯模块发起通信时，主CPU检测SPI是否处于空闲状态，若是，则设置自身为主SPI模式后，向从CPU发送数据并回采，并在确定回采的数据正常时设置自身为从SPI模式，等待从CPU应答；否则，延时第一时间后再检测，若多次检测SPI均处于非空闲状态，则改为PWM通讯模块或CAN通讯模块与从CPU通信；

当从CPU采用SPI通讯模块发起通信时，从CPU检测SPI是否处于空闲状态，若是，则设置自身为主SPI模式后，向主CPU发送数据并回采，并在确定回采的数据正常时设置自身为从SPI模式；否则，延时第二时间后再检测，若多次检测SPI均处于非空闲状态，则改为PWM通讯模块或CAN通讯模块与主CPU通信；第二时间大于第一时间。

基于第二方面，在可能的实施例中，主CPU和从CPU均初始化为PWM输入模式；

当主CPU采用PWM通讯模块发起通信或校准，且主CPU检测其模拟/数字AD输入不为0时，主CPU设置自身为PWM输出模式，输出第一PWM信号，并延时检测此时AD输入与第一PWM信号是否一致；

若一致，则设置自身为PWM输入模式，等待从CPU的PWM应答，并在主CPU接收的PWM应答的频率和占空比与第一PWM信号连续多次不一致时，修改为SPI通讯模块或CAN通讯模块与从CPU通信；

当从CPU采用PWM通讯模块发起通信或校准，且从CPU检测其模拟/数字AD输入不为0时，从CPU设置自身为PWM输出模式，输出第二PWM信号，并延时检测此时AD输入与第二PWM信号是否一致；

若一致，则设置自身为PWM输入模式，等待主CPU的PWM应答，并在从CPU接收的PWM应答的频率和占空比与第二PWM信号连续多次不一致时，修改为SPI通讯模块或CAN通讯模块与主CPU通信。

本申请提供的技术方案带来的有益效果包括：

本申请实施例提供了一种用于汽车电子控制器的双CPU控制系统及控制方法，由于主CPU的第一供电电源关断时会发送第一使能信号，使从CPU的第二供电电源响应第一使能信号为从CPU供电，从CPU的第二供电电源关断时会发送第二使能信号，使第一供电电源响应第二使能信号为主CPU供电，且主CPU在检测到从CPU持续故障时，会控制从CPU断电，而从CPU在检测到主CPU持续故障时，会控制主CPU断电，并接管重要用电设备执行控制任务，因此，本申请双CPU控制系统控制的可靠性高，实用性好，满足功能安全需求。

附图说明

图1为本申请实施例提供的用于汽车电子控制器的双CPU控制系统的结构框图；

图2为本申请实施例提供的第一负载控制选择电路的第一种电路图；

图3为本申请实施例提供的第一负载控制选择电路的第二种电路图

图4为本申请实施例提供的第一电源使能电路的电路图。

附图标记：

1-主CPU，2-从CPU，3-RC滤波电路，4-第一CAN收发电路，5-第二CAN收发电路，6-第一驱动电路，7-第一负载，8-第一模拟和数字输入处理电路，9-第一负载控制选择电路，10-第二负载控制选择电路，11-第二负载，12-第二驱动电路，13-第三驱动电路，14-第四驱动电路，15-第三负载，16-第二模拟和数字输入处理电路，17-第一电压检测电路，18-第二电压检测电路，19-第三电压检测电路，20-第四电压检测电路，21-第二LIN收发电路，22-第一LIN收发电路，23-第二电源电路，24-第一电源电路，25-第二电源使能电路，26-第一电源使能电路。

具体实施方式

以下结合附图及实施例对本申请作进一步详细说明。

参见图1所示，本申请实施例提供一种用于汽车电子控制器的双CPU控制系统，其包括主CPU1和从CPU2，上述主CPU1和从CPU2之间通过通讯模块相互通讯及相互检测。

上述主CPU1用于在上述主CPU1的第一供电电源关断时，发送第一使能信号，上述从CPU2的第二供电电源用于响应第一使能信号为从CPU2供电；上述主CPU1还用于在检测到上述从CPU2发生故障时向从CPU2发送重启请求，然后若检测到故障持续存在，则控制从CPU2重启。若从CPU2多次重启后故障仍然存在，则控制上述从CPU2持续关断，直至其它控制器或人工干预解除。本实施例中，从CPU2重启3次后仍故障，即可控制其断电。从CPU2重启过程中，每次关闭后需延时10s后再开启。

上述从CPU2用于在上述第二供电电源关断时，发送第二使能信号，上述第一供电电源用于响应第二使能信号为主CPU1供电；上述从CPU2还用于在检测到上述主CPU1持续故障时接管重要用电设备执行控制任务，并向主CPU1发送重启请求，若主CPU1多次重启后故障仍然存在，则控制上述主CPU1持续关断，直至其它控制器或人工干预解除。本实施例中，主CPU1重启3次后仍故障，即可控制其断电。主CPU1重启过程中，每次关闭后需延时10s后再开启。

其中，从CPU2在检测到上述主CPU1发生故障时，首先向主CPU1发送接管重要用电设备的请求信息，然后若检测到故障持续存在，则接管重要用电设备执行控制任务。

本申请实施例，由于主CPU1的第一供电电源关断时会发送第一使能信号，使从CPU2的第二供电电源响应第一使能信号为从CPU2供电，从CPU2的第二供电电源关断时会发送第二使能信号，使第一供电电源响应第二使能信号为主CPU1供电，且主CPU1在检测到从CPU2持续故障时，会控制从CPU2断电，而从CPU2在检测到主CPU1持续故障时，会控制主CPU1断电，并接管重要用电设备执行控制任务，因此，本申请双CPU控制系统控制的可靠性高，实用性好，满足功能安全需求。

本实施例中，上述通讯模块包括SPI通讯模块和PWM通讯模块。

上述SPI通讯模块和PWM通讯模块均用于上述主CPU1和从CPU2之间的相互通讯。

上述PWM通讯模块还用于上述主CPU1和从CPU2之间的相互检测。

本申请还包括RC滤波电路3，滤波截止频率范围为40～60Hz，其R取值范围为30kohm～50kohm。RC滤波电路3的输入信号是主CPU或从CPU输出的PWM信号，RC滤波电路3的输出信号是直流电压信号，接到主CPU和从CPU的AD输入。

本实施例中，RC滤波电路3的R取30kohm，C取100nF。上述主CPU1的引脚OPWMB/IPWM1通过电阻R1(2kohm)接到该电路的输入，上述从CPU的引脚IPWM/OPWMB2通过电阻R2(2kohm)也接到该电路的输入，RC滤波电路3的输出的直流电压信号接到主CPU的引脚ADI1和从CPU的引脚ADI2。

进一步地，上述通讯模块还包括CAN通讯模块，对于重要的CAN通信，在正常工作状态下，主CPU1控制CAN通讯模块收发数据，从CPU2仅接收数据。当主CPU1发生异常时，从CPU2关断主CAN收发器并控制CAN收发数据。具体地，上述CAN通讯模块包括第一CAN收发电路4和第二CAN收发电路5。第一CAN收发电路4和第二CAN收发电路5的发送、接收和总线引脚按标准方法连接。

上述第一CAN收发电路4的使能引脚分别连接主CPU1和从CPU2。其中，第一CAN收发电路4的使能引脚通过较大电阻R7连接主CPU1的数字输出引脚，并通过较小电阻R8连接到从CPU2的数字输出引脚。

上述第二CAN收发电路5的使能引脚分别连接主CPU1和从CPU2。其中，第二CAN收发电路5的使能引脚通过较大电阻R9连接主CPU1的数字输出引脚，并通过较小电阻R10连接到从CPU2的数字输出引脚。

可选地，第一CAN收发电路4和第二CAN收发电路5的CAN收发芯片均采用NCV7340，其外围电路采用其Datasheet的推荐电路。

第一CAN收发电路4的引脚CAN_TX1和CAN_RX1分别接到主CPU1的CAN模块引脚CAN_TX1和CAN_RX1，第一CAN收发电路4的引脚CAN_BUS_H和CAN_BUS_L分别接到CAN总线的CAN_BUS_H和CAN_BUS_L。第一CAN收发电路4的引脚EN1一端通过电阻R7(3.9kohm)接到主CPU1的引脚DO3，另一端通过电阻R8(390ohm)接到从CPU2的引脚DI/DO4。

第二CAN收发电路5的引脚CAN_TX2和CAN_RX2分别接到从CPU2的CAN模块的引脚CAN_TX2和CAN_RX2，第二CAN收发电路5的引脚CAN_BUS_H和CAN_BUS_L分别接到CAN总线的CAN_BUS_H和CAN_BUS_L。第二CAN收发电路5的引脚EN2一端通过电阻R9(3.9kohm)接到主CPU1的引脚DO5，另一端通过电阻R10(390ohm)接到从CPU2的引脚DI/DO6。

当上述主CPU1处于正常状态时，上述主CPU1用于使能第一CAN收发电路4(DO3和EN1为高电平)，并禁止第二CAN收发电路5(DO5和EN2为低电平)，上述从CPU2的数字输出/输入引脚(DI/DO4)设置为输入功能，用于监视该使能信号。

在上述主CPU1发生故障时，上述从CPU2还用于将其数字输出/输入引脚(DI/DO4和DI/DO6)变为输出功能，使能上述第二CAN收发电路5(DI/DO6为高电平)，且不被主CPU1影响，并禁止上述第一CAN收发电路4(DI/DO4为低电平)。

本实施例中，本申请还包括第一LIN收发电路22和第二LIN收发电路21。其中，第一LIN收发电路22和第二LIN收发电路21的发送、接收和总线引脚按标准方法连接。两路LIN_BUS可以连接在一起，使主从CPU都收发该LIN_BUS上的报文，两路LIN_BUS也可以分开成为两路，主从CPU分别收发各自LIN_BUS上的报文。本实施例中，LIN可选双重收发，进一步确保通信可靠。

可选地，本申请的LIN收发芯片采用TlE7259，其外围电路采用其Datasheet推荐电路。第二LIN收发电路21的引脚LIN_TX接从CPU2的引脚LIN_TX，第二LIN收发电路21的引脚LIN_RX接从CPU2的引脚LIN_RX。第一LIN收发电路22的引脚LIN_TX接主CPU1的引脚LIN_TX，第一LIN收发电路22的引脚LIN_RX接主CPU1的引脚LIN_RX。第一LIN收发电路22和第二LIN收发电路21的LIN_BUS并接到LIN总线。

本实施例中，本申请还包括第一驱动电路6，上述第一驱动电路6分别连接主CPU1和从CPU2。第一驱动电路6为SPI或PWM或DO(数字)控制的驱动电路。

当上述主CPU1处于正常状态时，上述主CPU1用于控制第一驱动电路6输出驱动第一负载7，上述从CPU2用于监视输出信号。

上述从CPU2还用于在上述主CPU1出现故障时，控制第一驱动电路6输出驱动第一负载7，第一负载7的另一端接电源正或地。其中，第一负载7属于共用驱动电路的重要负载。可选地，第一负载7为13.5V/90ohm的继电器，其一端接到第一驱动电路6的引脚Drive4，另一端接地。

可选地，第一驱动电路6采用MC33879芯片，第一驱动电路6的Drive4接到第一负载7。第一驱动电路6的SPI控制的数据输出、数据输入和时钟总线分别通过较大阻值的电阻R13、R14和R15连接到上述主CPU1的引脚DSPI_MO、MI和SCK3，并分别通过较小阻值的电阻R17、R18和R19连接到上述从CPU2的引脚DSPI_SIMO、SOMI和SCK4。本实施例中，R13、R14和R15的阻值均为3.9kohm，R17、R18和R19的阻值均为390ohm。

第一驱动电路6的SPI的片选信号通过较大的电阻R11(3.9kohm)连接到上述主CPU1的引脚DSPI_CS_Master3，并通过较小的电阻R12(390ohm)连接到从CPU的引脚DSPI_CS_SlaveOrMater4。第一驱动电路6的使能/数字控制(ENorDO)通过较大的电阻R20(3.9kohm)接到主CPU的引脚DO7，并通过较小的电阻R21(390ohm)接到从CPU2的引脚DI/DO8。第一驱动电路6的IPWM通过较大的电阻R22(3.9kohm)接到主CPU的引脚OPWM3，并通过较小的电阻R23(390ohm)接到从CPU的引脚IPWM/OPWM4。第一驱动电路6的状态输出引脚State_FB通过电阻R24(3.9kohm)接到主CPU1的引脚ADI/DI3，并通过相同阻值的电阻R25(3.9kohm)接到从CPU2的引脚ADI/DI4。

在正常工作状态下，主CPU1的SPI控制设置为主模式，从CPU2的SPI控制设置为从模式，SPI控制总线、使能/数字控制(ENorDO)和IPWM控制都接收主CPU输入，从CPU2监视这些输出信号和负载状态，且主从CPU都监视第一驱动电路的状态输出信号(State_FB)。

当主CPU1发生异常时，从CPU2的SPI控制变为主模式，从CPU的数字输入(IPWM/OPWM4)变为数字输出，从CPU2的PWM输入变为PWM输出，SPI总线、使能/数字控制和PWM控制都接收从CPU输入，且不被主CPU的SPI控制信号、使能/数字控制信号和PWM控制信号影响，从CPU监视第一驱动电路的状态输出信号(State_FB)。

本实施例中，上述主CPU1通过第二驱动电路12连接第一负载控制选择电路9，从CPU2通过第三驱动电路13连接第二负载控制选择电路10，即第一负载控制选择电路9的输入连接到第二驱动电路12的驱动输出，第二负载控制选择电路10的输入连接到第三驱动电路13的驱动输出。

第二驱动电路12的SPI控制总线连接到主CPU1的SPI控制总线，第二驱动电路12的数字控制和PWM控制连接到主CPU1的数字输出和PWM输出，第二驱动电路12的状态输出连接到主CPU1的AD/数字输入，第二驱动电路12的输出连接到第一负载控制选择电路9的输入。

第三驱动电路13的连接与第二驱动电路12类似，第三驱动电路13的SPI控制总线连接到从CPU2的SPI控制总线，第三驱动电路13的数字控制和PWM控制连接到从CPU2的数字输出和PWM输出，第三驱动电路13的状态输出连接到从CPU2的AD/数字输入，第三驱动电路13的输出连接到第二负载控制选择电路10的输入。

第二驱动电路12和第三驱动电路13均为SPI或PWM或DO控制的驱动电路，二者均为高边或低边驱动电路。

可选地，第二驱动电路12和第三驱动电路13均可采用MC33879芯片，第二驱动电路12的引脚Drive_PWM/DO1接到第一负载控制选择电路9的引脚Drive_PWM/DO1，第二驱动电路12的引脚SPI5、PWM5、DO5和State_FB5分别接到主CPU1的引脚SPI5、PWM5、DO5和State_FB5。第三驱动电路13进行相应连接。

上述第一负载控制选择电路9和第二负载控制选择电路10均与第二负载11连接，第一负载控制选择电路9和第二负载控制选择电路10的输出驱动第二负载11。本实施例中，第一负载控制选择电路9和第二负载控制选择电路10相同，均为高边或低边功率开关电路，其最大开关频率为1kHz。第二负载11为独立驱动的重要负载，其另一端接电源正或地。

具体地，第一负载控制选择电路9的引脚Drive_PWM/DO1接到第二驱动电路12的引脚Drive_PWM/DO1，第一负载控制选择电路9的引脚DO10接到从CPU2的引脚DO10，第一负载控制选择电路9的引脚Drive1接到第二负载11的引脚Drive1。

参见图2所示，本实施例中，当第一负载控制选择电路9为高边功率开关电路时，R29起限流作用，C2起滤波作用，D2起保护作用，Q3起反相放大作用，Q1起通断负载电流的作用，R30为Q3提供偏置电流，R31是Q1的GS之间的泄放电阻。当DO10为高电平时，Q3和Q1都导通，第二负载11和第二驱动电路12的低阻抗连通；当DO10为低电平时，Q3和Q1都截止，第二负载11和第二驱动电路12的高阻抗断开。

参见图3所示，当第一负载控制选择电路9为低边功率开关电路时，D10起防止反向电压损坏CPU的作用，R28是Q4的GS之间的泄放电阻，C3起滤波作用，Q4起通断负载电流的作用。当DO10为高电平时，Q4导通，第二负载11和第二驱动电路12的低阻抗连通，当DO10为低电平时，Q4截止，第二负载11和第二驱动电路12的高阻抗断开。

当上述主CPU1处于正常状态时，上述主CPU1用于控制第二驱动电路12输出驱动第二负载11，上述从CPU2用于控制第一负载控制选择电路9闭合(D10为高电平)，第二负载控制选择电路10断开(DO9为低电平)。

当上述主CPU1出现故障时，上述从CPU2用于控制第一负载控制选择电路9断开(D10为低电平)，第二负载控制选择电路10闭合(DO9为高电平)，并控制第三驱动电路13输出驱动第二负载11。

可选地，第二负载11为13.5V/90ohm的继电器，其一端接到第一负载控制选择电路9的Drive1和第二负载控制选择电路10的Drive1，另一端接地。

可选地，本申请还包括第四驱动电路14和第三负载15，在正常情况下，主CPU1及第四驱动电路14控制第三负载15工作，从CPU也采集第四驱动电路14的状态反馈信号，以监控第三负载15状态。

第四驱动电路14为SPI或PWM或DO控制的驱动电路，其采用MC33879芯片，第四驱动电路14的引脚Drive3接到第三负载15，第四驱动电路14的引脚SPI7、PWM7、DO7和State_FB7分别接到主CPU1的SPI7、PWM7、DO7和State_FB7，第四驱动电路14的State_FB7也接到从CPU2的State_FB7。

第三负载15为独立驱动的一般负载，其另一端接电源正或地。可选地，第三负载15为13.5V/90ohm的继电器，其一端接到第四驱动电路14的引脚Drive3，另一端接地。

优选地，上述主CPU1通过第二电源使能电路25连接第二电源电路23，上述第二电源电路23用于给从CPU2供电。

上述从CPU2通过第一电源使能电路26连接第一电源电路24，上述第一电源电路24用于给主CPU1供电。

可选地，第一电源电路24和第二电源电路23均可采用TPS7B6750芯片，其外围电路采用其Datasheet的推荐电路。第二电源电路23的输入接Vbat(蓄电池正极)，第二电源电路23的输出引脚VDD2(+5V)接从CPU2的VDD2，第二电源电路23的引脚EN4接第二电源使能电路25的引脚EN4，第一电源电路24的输入接Vbat(蓄电池正极)，第一电源电路24的输出引脚VDD1(+5V)接主CPU1的VDD1，第一电源电路24的EN3接第一电源使能电路26的引脚EN3。

其中，第一电源电路24和第二电源电路23均输入9～16V的电源电压，输出5V/0.4A的电源电压，分别为主CPU、从CPU和外围电路供电，其开通和关断分别受第二电源使能电路25或第一电源使能电路26控制。所有相同标号的电源和地都接在一起，即所有相同标号的GND都接在一起，所有相同标号的VDD1都接在一起，所有相同标号的VDD2都接在一起，所有相同标号的Vbat也都接在一起。

本实施例中，第一电源使能电路26和第二电源使能电路25均为电压反相器电路，可选地，第一电源使能电路26和第二电源使能电路25均使用分立器件。第一电源使能电路26的输入连接到从CPU2的具有唤醒功能的IO引脚，第一电源使能电路26的输出接到第一电源电路24的控制引脚。第二电源使能电路25的输入连接到主CPU1的具有唤醒功能的IO引脚(DI/DO1_WakeupFuc)，第二电源使能电路25的输出接到第二电源电路23的控制引脚(EN4)。

参见图4所示，电压反相器电路中，R34起限流作用，C1起滤波作用，D1起保护作用，R33起输入分压作用，Q2起反相放大作用，R32为Q2提供偏置电流。当DI/DO1_WakeupFuc为高电平时，Q2导通，EN4输出低电平，当DI/DO1_WakeupFuc为低电平时，Q2截止，EN4输出高电平。

当第一电源使能电路26的输入为高电平时其输出低电平时，第一电源电路24可被关断输出0V。当第一电源使能电路26的输入为低电平时其输出高电平时，第一电源电路24可被接通输出5V。

因此，当从CPU2的供电电源VDD2为0V时，从CPU2的具有唤醒功能的IO引脚输出悬空(相当于低电平)，第一电源使能电路26的EN3输出高电平，第一电源电路24VDD1输出5V，使主CPU1的第一电源电路24电压正常。同样的，当主CPU1的供电电源VDD1为0V时，从CPU2的供电电源VDD2电压正常。因此，在电源电压正常的情况下，主从CPU的供电电源不可能同时被关断，保证了本申请控制的稳定性。

另外，当主CPU1正常运行或休眠时，主CPU置具有唤醒功能的IO引脚输出高电平或低电平，可以关断或接通从CPU的供电电源，同样的，当从CPU正常运行或休眠时，从CPU置具有唤醒功能的IO引脚输出高电平或低电平，可以关断或开通主CPU的供电电源。

优选地，本申请还包括第一电压检测电路17、第二电压检测电路18、第三电压检测电路19和第四电压检测电路20。

其中，第一电压检测电路17用于检测第二供电电源电压，第一电压检测电路17的输入端连接上述第二供电电源，第一电压检测电路17的输出端连接上述从CPU2的引脚ADI8。

第二电压检测电路18用于检测第一供电电源电压，第二电压检测电路18的输入端连接上述第一供电电源，第二电压检测电路18的输出端连接上述主CPU1的引脚ADI9。

第三电压检测电路19用于检测主CPU供电电压，第三电压检测电路19的输入端连接上述主CPU1，第三电压检测电路19的输出端连接上述从CPU2的引脚ADI10。

第四电压检测电路20用于检测从CPU供电电压，第四电压检测电路20的输入端连接上述从CPU2，第四电压检测电路20的输出端连接上述主CPU1的引脚ADI11。

本实施例中，第一电压检测电路17或第二电压检测电路18的输入信号的电压幅值为0～16V，经过第一电压检测电路17或第二电压检测电路18处理后，输出电压幅值为0～5V的信号，输出信号接到其对应的CPU的模拟输入端口。主CPU和从CPU都检测各自电源电压(Vbat)。

第三电压检测电路19或第四电压检测电路20的输入信号的电压幅值为0～6V，经过第三电压检测电路19或第四电压检测电路20处理后，输出电压幅值为0～4V的信号，输出信号接到其对应的CPU的模拟输入端口。主CPU检测从CPU的供电电压，从CPU检测主CPU的供电电压。

本实施例中，主CPU1和从CPU2都采集各自的电源电压并进行监控，且主CPU1采集从CPU2的电源电压，从CPU2采集主CPU1的电源电压。

本实施例中，本申请还包括第一模拟和数字输入处理电路8和第二模拟和数字输入处理电路16。

对于重要的外部数字或模拟输入信号，主从CPU都通过第一模拟和数字输入处理电路8进行采集和处理。第一模拟和数字输入处理电路8的输入信号的电压幅值为0～16V，经处理后，输出电压幅值为0～5V的信号，输出信号分别通过电阻接到主CPU和从CPU的数字/模拟输入端口。

可选地，第一模拟和数字输入处理电路8采用高边开关输入处理电路，其输入接In-Ext1，其输出通过R26(3.9kohm)接到主CPU1的引脚ADI/DI5，并通过R27(3.9kohm)接到从CPU2的引脚ADI/DI6。

对于一般的外部数字或模拟输入信号，主CPU1通过第二模拟和数字输入处理电路16进行采集。第二模拟和数字输入处理电路16输入信号的电压幅值为0～16V，经处理后，输出电压幅值为0～5V的信号，输出信号接到主CPU1的数字/模拟输入端口。

可选地，第二模拟和数字输入处理电路16采用模拟输入处理电路，其输入接引脚In-Ext2，其输出接到主CPU 1的引脚ADI/DI7。

在汽车电子控制器的标定过程中，标定数据分别存储至主CPU1和从CPU2的存储模块Flash，存储完成后就会读出给另一个CPU进行核对，如果不正确则需重新传输、存储和核对，若连续5次核对错误，就置标定出错标志，并发送至上层仪表。

在汽车控制器的工作过程中，标定数据同时从两个CPU的Flash中读出，然后发送给另外一个CPU，先执行海明校验，再比对数据是否正确。如果都正确就使用该数据，否则就重新读取、校验和比对，如果仍然不正确就置标定数据出错标志并进入功能安全模式。

在汽车控制器的工作过程中，接收到的需要存储的重要数据存储在主CPU1和从CPU2的Flash，存储数据的Flash空间循环使用，可以避开Flash坏区和提高Flash的寿命。

在汽车控制器的工作过程中，诊断数据同样存储在主CPU1或从CPU2的Flash，Flash空间循环使用，提高Flash的利用率。在汽车控制器的诊断过程中，诊断数据读出后进行海明校验，如果数据正确就发给外部诊断仪，否则就发送诊断数据出错标志。对于存放在主从CPU的存储器SRAM中的重要数据，使用时先进行海明校验，如果数据正确就使用，否则就返回数据出错标志。

本申请实施例还提供一种基于上述用于汽车电子控制器的双CPU控制系统的控制方法，其包括：

正常工作模式下，上述主CPU1和从CPU2之间通过通讯模块相互通讯及相互检测。

当上述主CPU1的第一供电电源关断时，上述主CPU1发送第一使能信号，上述从CPU2的第二供电电源用于响应第一使能信号为从CPU2供电。

当上述第二供电电源关断时，上述从CPU2发送第二使能信号，上述第一供电电源用于响应第二使能信号为主CPU1供电。

当上述主CPU1检测到上述从CPU2发生故障时，向从CPU2发送重启请求，若从CPU2多次重启后故障仍然存在，则控制上述从CPU2持续关断。

当上述从CPU2检测到上述主CPU1持续故障时接管重要用电设备执行控制任务，并向主CPU1发送重启请求，若主CPU1多次重启后故障仍然存在，则控制上述主CPU1持续关断。

可选地，主CPU为汽车用高性能的单片机或DSP，具有CAN唤醒、LIN唤醒、端口电平唤醒和端口边沿唤醒等功能，具有数字输入中断、PWM输入中断、ADC中断、SPI中断、CAN中断、LIN中断、定时计数器中断和软件中断等功能，具有模拟输入、PWM输入和数字输入等功能，具有PWM输出、数字输出等功能，具有SPI通信、CAN通信和LIN通信等功能，具有定时计数功能，具有Flash和RAM等资源，以及可选汽车OTA升级功能。

从CPU2为汽车用中低性能的单片机或DSP，具有和主CPU相同的功能种类和资源种类，但其功能和资源的数量比主CPU少，主频也比主CPU1低，价格也更便宜。

本实施例中，根据实际需求，主CPU1采用汽车用高性能的单片机SPC5606，若有汽车OTA升级需求，可采用单片机SPC5744P。相应的，从CPU2采用汽车用中低性能的单片机MC9S12G64。

具体地，主CPU1的引脚DSPI_M/SO、M/SI、SCK1分别通过电阻R4～6(3.9kohm)连接至从CPU2的引脚DSPI_S/MI、S/MO、SCK2。上述主CPU1的引脚DSPI_CS_Master/Slave1接到主CPU1的引脚DI9，并且通过R3(2kohm)连接至从CPU2的引脚DSPI_CS_Slave/Master2，从CPU2的引脚DSPI_CS_Slave/Master2连接至从CPU2的引脚DI10。

进一步地，上述通讯模块包括SPI通讯模块、PWM通讯模块和CAN通讯模块。

上述主CPU1和从CPU2初始上电时均为从SPI通讯模式，其波特率都设置为1MHz。

当上述主CPU1采用SPI通讯模块发起通信时，主CPU1需要先检测SPI是否处于空闲状态(即DI9是否为有效电平)，若否(DI9为有效电平)，则延时第一时间后再进行检测；若是，则设置自身为主SPI模式，然后向上述从CPU2发送数据并进行回采，并判断回采的数据是否正常。

若回采数据不正常，则主CPU1设置自身为从SPI模式，并延时第一时间后再进行检测。若回采数据正常，则主CPU1设置自身为从SPI模式，并等待该从CPU2应答。本实施例中，第一时间为0.5ms。

若连续多次进行延时检测均未成功，则改为PWM通讯模块或CAN通讯模块与从CPU2通信。本实施例中，如连续重试5次后SPI处于非空闲状态或回采数据不正常，表示需要中止SPI通讯，改为PWM通讯模块或CAN通讯模块与从CPU2通信。

当上述从CPU2采用SPI通讯模块发起通信时，从CPU2需要先检测SPI是否处于空闲状态，若是，则设置自身为主SPI模式，然后向上述主CPU1发送数据并回采，并在确定回采的数据正常后，设置自身为从SPI模式。否则，延时第二时间后再检测。本实施例中，第二时间大于第一时间。其中，第二时间为0.7ms。

若多次延时0.7ms再检测的SPI均处于非空闲状态，则改为PWM通讯模块或CAN通讯模块与主CPU1通信。

本实施例中，PWM通讯模块可校准本申请的定时系统和ADC系统，主CPU1输出PWM信号，从CPU2采集此PWM信号，校核其周期和占空比，判断主从CPU的时钟系统是否正常，反之亦然。主CPU1采集从CPU2输出的PWM信号的直流平均值，校核其ADC值，判断从CPU的定时系统和主CPU的ADC系统是否正常，反之亦然。

具体地，主CPU1和从CPU2均初始化为PWM输入通讯模式。

当上述主CPU1采用PWM通讯模块发起通信或校准时，主CPU1先检测其模拟/数字AD输入(ADI1)是否为0。如果是，则延时1s后再检测AD输入；否则，主CPU1设置自身为PWM输出模式，并输出第一PWM信号给从CPU2，然后延时1s后检测此时AD输入是否与上述第一PWM信号一致。

若一致，则主CPU1在3s后设置自身为PWM输入模式，并等待上述从CPU2的PWM应答，并在上述主CPU1接收的PWM应答的频率和占空比与第一PWM信号连续多次不一致时，修改为通过SPI通讯模块或CAN通讯模块与从CPU2通信。

其中，如果主CPU1收到的PWM应答信号的频率和占空比与发出的第一PWM信号一致，则表明主从CPU的定时系统正常，如果主CPU收到的PWM应答为其它信息，则表明主CPU或从CPU的定时系统异常。另外，如果主CPU接收该PWM应答持续1s后的AD与其AD采样值一致，表明主CPU的ADC系统正常，否则主CPU的ADC系统异常。

具体地，从CPU1在输入状态下收到第一PWM信号后可触发中断，并在中断程序里检测第一PWM信号(IPWM/OPWMB 2)的频率和占空比以及AD的输入值(ADI2)，如果收到的第一PWM信号符合约定并与检测到的AD值一致，则输出相同频率和占空比的PWM应答，否则就输出约定的异常PWM信号作为PWM应答。由于PWM信号的不同频率和不同占空比代表不同的信息，因此，若主CPU1接收的PWM应答的频率和占空比与第一PWM信号不一致，表示主CPU1输出第一PWM信号失败。如重试5次后仍然失败，则需要中止输出并用SPI通讯模块或CAN通讯模块通知从CPU2。

当上述从CPU2采用PWM通讯模块发起通信或校准时，其输出PWM的流程和主CPU1相同，仅是预先检测AD输入为0时需延时1.5s后再检测。

具体地，首先，从CPU2检测其AD输入(ADI2)是否为0时，如果是，则延时1.5s后再检测AD输入；否则，从CPU2设置自身为PWM输出模式，并输出第二PWM信号给主CPU1，然后延时1s检测此时AD输入与第二PWM信号是否一致。

若一致，则从CPU2在3s后设置自身为PWM输入模式，并等待主CPU1的PWM应答，并在上述从CPU2接收的PWM应答的频率和占空比与第二PWM信号连续多次不一致时，修改为SPI通讯模块或CAN通讯模块与主CPU1通信。

其中，如果从CPU2收到的PWM应答信号的频率和占空比与发出的第二PWM信号一致，则表明主从CPU的定时系统均正常，如果从CPU2收到的PWM应答为其它信息，则表明主CPU或从CPU的定时系统异常。另外，如果从CPU接收该PWM应答持续1s后的AD与其AD采样值一致，表明从CPU的ADC系统正常，否则该从CPU的ADC系统异常。

具体地，主CPU1在输入状态下收到第二PWM信号后可触发中断，并在中断程序里检测第二PWM信号(OPWMB/IPWM1)的频率和占空比以及AD的输入值(ADI1)，如果收到的第二PWM信号符合约定并与检测到的AD值一致，则输出相同频率和占空比的PWM应答，否则就输出约定的异常PWM信号作为PWM应答。

因此，若从CPU2接收的PWM应答的频率和占空比与第二PWM信号不一致，表示从CPU1输出第二PWM信号失败。如重试5次后仍然失败，则需要中止输出并用SPI通讯模块或CAN通讯模块通知主CPU1。

本实施例中，采用DI双重采样、AI双重采样、PWMI(PWM输入)双重采样、DO双重控制、PWMO(PWM输出)双重控制、SPI双重控制和CAN双重控制，可确保控制系统的安全性和通信可靠性。

本实施例的控制系统，通用性强，可根据需要灵活扩展和裁剪使用；通过设置灵活的休眠唤醒功能，可以实现低静态电流需求；自纠错、双存储和相互校核关键数据的存取方案，可确保关键数据可靠读写；多种校核方式，可以保证CPU工作可靠；另外，电源电压的双重监控、负载状态的双重监控、重要负载的双回路控制，均可确保控制系统的通信可靠。

本申请不局限于上述实施方式，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也视为本申请的保护范围之内。

Claims (10)

1.一种用于汽车电子控制器的双CPU控制系统，其特征在于，其包括主CPU(1)和从CPU(2)，所述主CPU(1)和从CPU(2)之间通过通讯模块相互通讯及相互检测；

所述主CPU(1)用于在所述主CPU(1)的第一供电电源关断时，发送第一使能信号，所述从CPU(2)的第二供电电源用于响应第一使能信号为从CPU(2)供电；所述主CPU(1)还用于在检测到所述从CPU(2)发生故障时向从CPU(2)发送重启请求，若从CPU(2)多次重启后故障仍然存在，则控制所述从CPU(2)持续关断；

所述从CPU(2)用于在所述第二供电电源关断时，发送第二使能信号，所述第一供电电源用于响应第二使能信号为主CPU(1)供电；所述从CPU(2)还用于在检测到所述主CPU(1)持续故障时接管重要用电设备执行控制任务，并向主CPU(1)发送重启请求，若主CPU(1)多次重启后故障仍然存在，则控制所述主CPU(1)持续关断。

2.如权利要求1所述的用于汽车电子控制器的双CPU控制系统，其特征在于：所述通讯模块包括SPI通讯模块和PWM通讯模块；

所述SPI通讯模块和PWM通讯模块均用于所述主CPU(1)和从CPU(2)之间的相互通讯；

所述PWM通讯模块还用于所述主CPU(1)和从CPU(2)之间的相互检测。

3.如权利要求2所述的用于汽车电子控制器的双CPU控制系统，其特征在于，所述通讯模块还包括CAN通讯模块，所述CAN通讯模块包括；

第一CAN收发电路(4)，其使能引脚分别连接主CPU(1)和从CPU(2)，

第二CAN收发电路(5)，其使能引脚分别连接主CPU(1)和从CPU(2)；

当所述主CPU(1)处于正常状态时，所述主CPU(1)用于使能第一CAN收发电路(4)，并禁止第二CAN收发电路(5)，所述从CPU(2)用于监视使能信号；

所述从CPU(2)还用于在所述主CPU(1)发生故障时，使能所述第二CAN收发电路(5)，并禁止所述第一CAN收发电路(4)。

4.如权利要求1所述的用于汽车电子控制器的双CPU控制系统，其特征在于：还包括第一驱动电路(6)，所述第一驱动电路(6)分别连接所述主CPU(1)和从CPU(2)；

当所述主CPU(1)处于正常状态时，所述主CPU(1)用于控制第一驱动电路(6)输出驱动第一负载(7)，所述从CPU(2)用于监视输出信号；

所述从CPU(2)还用于在所述主CPU(1)出现故障时，控制第一驱动电路(6)输出驱动第一负载(7)。

5.如权利要求1所述的用于汽车电子控制器的双CPU控制系统，其特征在于：所述主CPU(1)通过第二驱动电路(12)连接第一负载控制选择电路(9)，所述从CPU(2)通过第三驱动电路(13)连接第二负载控制选择电路(10)，所述第一负载控制选择电路(9)和第二负载控制选择电路(10)均与第二负载(11)连接；

当所述主CPU(1)处于正常状态时，所述主CPU(1)用于控制第二驱动电路(12)输出驱动第二负载(11)，所述从CPU(2)用于控制第一负载控制选择电路(9)闭合，第二负载控制选择电路(10)断开；

当所述主CPU(1)出现故障时，所述从CPU(2)用于控制第一负载控制选择电路(9)断开，第二负载控制选择电路(10)闭合，并控制第三驱动电路(13)输出驱动第二负载(11)。

6.如权利要求1所述的用于汽车电子控制器的双CPU控制系统，其特征在于：

所述主CPU(1)通过第二电源使能电路(25)连接第二电源电路(23)；

所述从CPU(2)通过第一电源使能电路(26)连接第一电源电路(24)。

7.如权利要求6所述的用于汽车电子控制器的双CPU控制系统，其特征在于，还包括：

用于检测第二供电电源电压的第一电压检测电路(17)，其输入端连接所述第二供电电源，其输出端连接所述从CPU(2)；

用于检测第一供电电源电压的第二电压检测电路(18)，其输入端连接所述第一供电电源，其输出端连接所述主CPU(1)；

用于检测主CPU供电电压的第三电压检测电路(19)，其输入端连接所述主CPU(1)，其输出端连接所述从CPU(2)；

用于检测从CPU供电电压的第四电压检测电路(20)，其输入端连接所述从CPU(2)，其输出端连接所述主CPU(1)。

8.一种基于权利要求1所述用于汽车电子控制器的双CPU控制系统的控制方法，其特征在于，其包括：

正常工作模式下，所述主CPU(1)和从CPU(2)之间通过通讯模块相互通讯及相互检测；

当所述主CPU(1)的第一供电电源关断时，所述主CPU(1)发送第一使能信号，所述从CPU(2)的第二供电电源用于响应第一使能信号为从CPU(2)供电；

当所述第二供电电源关断时，所述从CPU(2)发送第二使能信号，所述第一供电电源用于响应第二使能信号为主CPU(1)供电；

当所述主CPU(1)检测到所述从CPU(2)发生故障时，向从CPU(2)发送重启请求，若从CPU(2)多次重启后故障仍然存在，则控制所述从CPU(2)持续关断；

当所述从CPU(2)检测到所述主CPU(1)持续故障时接管重要用电设备执行控制任务，并向主CPU(1)发送重启请求，若主CPU(1)多次重启后故障仍然存在，则控制所述主CPU(1)持续关断。

9.如权利要求8所述的控制方法，其特征在于：所述通讯模块包括SPI通讯模块、PWM通讯模块和CAN通讯模块；

所述主CPU(1)和从CPU(2)初始上电时均为从SPI模式；

当所述主CPU(1)采用SPI通讯模块发起通信时，主CPU(1)检测SPI是否处于空闲状态，若是，则设置自身为主SPI模式后，向所述从CPU(2)发送数据并回采，并在确定回采的数据正常时设置自身为从SPI模式，等待从CPU(2)应答；否则，延时第一时间后再检测，若多次检测SPI均处于非空闲状态，则改为PWM通讯模块或CAN通讯模块与从CPU(2)通信；

当所述从CPU(2)采用SPI通讯模块发起通信时，从CPU(2)检测SPI是否处于空闲状态，若是，则设置自身为主SPI模式后，向所述主CPU(1)发送数据并回采，并在确定回采的数据正常时设置自身为从SPI模式；否则，延时第二时间后再检测，若多次检测SPI均处于非空闲状态，则改为PWM通讯模块或CAN通讯模块与主CPU(1)通信；所述第二时间大于第一时间。

10.如权利要求9所述的控制方法，其特征在于：

所述主CPU(1)和从CPU(2)均初始化为PWM输入模式；

当所述主CPU(1)采用PWM通讯模块发起通信或校准，且主CPU(1)检测其模拟/数字AD输入不为0时，主CPU(1)设置自身为PWM输出模式，输出第一PWM信号，并延时检测此时AD输入与所述第一PWM信号是否一致；

若一致，则设置自身为PWM输入模式，等待所述从CPU(2)的PWM应答，并在所述主CPU(1)接收的PWM应答的频率和占空比与所述第一PWM信号连续多次不一致时，修改为SPI通讯模块或CAN通讯模块与从CPU(2)通信；

当所述从CPU(2)采用PWM通讯模块发起通信或校准，且从CPU(2)检测其模拟/数字AD输入不为0时，从CPU(2)设置自身为PWM输出模式，输出第二PWM信号，并延时检测此时AD输入与所述第二PWM信号是否一致；

若一致，则设置自身为PWM输入模式，等待主CPU(1)的PWM应答，并在所述从CPU(2)接收的PWM应答的频率和占空比与所述第二PWM信号连续多次不一致时，修改为SPI通讯模块或CAN通讯模块与主CPU(1)通信。

Images