[发明专利]安全控制模块及安全控制方法

说明书

本发明公开了一种用于电动助力转向控制系统安全控制模块，具有两路独立且结构和功能完全相同的电子控制单元；正常工作时，两路电子控制单元通过协同模块以第一电子控制单元的指令控制两侧电动助力转向控制系统电机进行助力输出；失效时，切换到第二电子控制单元控制两侧电机输出或第二电子控制单元控制单侧电机输出；其中，两路电子控制单元之间采用硬线连接传输冗余控制信号。本发明还公开了一种用于电动助力转向控制系统安全控制方法。本发明在功能安全上能降低了中断响应和故障确认时间，大大缩短系统响应时间的同时增加可靠性。

技术领域

本发明涉及汽车领域，特别是涉及一种用于电动转向系统的安全控制模块。本发明还涉及一种用于电动转向系统的安全控制方法。

背景技术

一般的电动助力转向控制系统(EPS)由转角转矩传感器、转子位置传感器、车速传感器、MCU(控制单元处理器)、电机等组成。其基本工作原理是：转角转矩传感器测得的方向盘转矩信号和车速信号同时输入至MCU，经MCU计算出助力电机的转向和助力电流的大小，从而完成转向助力控制。但传统的EPS是基于驾驶员转向输入而提供电机助力进行设计的，其功能安全等级仅达到安全等级ASIL-B，若系统运行中的发生故障，整个助力转向控制系统将失效，将会给驾驶带来严重的后果，而无法满足自动驾驶的功能安全ASIL-D要求。

如图1所示传统转向电控系统关闭助力方案说明如下：

A、电控系统主要包括承担主控制功能的单片机MCU、系统基础芯片SBC、驱动芯片(Pre-driver)、传感器与执行器、以及控制器等。电机控制的总体框架采用两套图中的方案结合，达到异构的主从模式，即主电控系统负责转向助力输出的力矩控制和A侧电机的电流控制，从电控系统负责B侧电机的电流控制，其中A、B侧电机在项目应用中采用的是双星型绕组六相电机做为电动助力转向的输出电机选型。

B、单片机MCU是承载电控逻辑运算与控制的主控制芯片，当MCU内发生故障时，芯片可将故障报警源Alarm_X的信号收集至安全管理单元SMU，并由系统管理模块实现触发相应的中断服务ISR，在该服务程序中控制输入输出功能块GPIO实现单片机的引脚并控制，从而软件控制路径上最终实现关闭MOSFET驱动桥电路的助力电机输出。

C、系统基础芯片SBC是具有外部时序监控与复位、模拟自检ABIST与逻辑自检(LBIST)、SPI通信接口等功能的辅控制芯片，其内部包含一条安全状态总线(Safe StateBus，简称SSB)专用于收集各模块运行状态传递至安全状态控制单元(Safe StateControl，简称SSC),并由其判定与功能安全相关的异常与否，当异常发生时经过复位发送单元外发复位MCU的硬线信号ROT、发出驱动切断信号SS1，从而在硬件路径上最终实现关闭MOSFET驱动桥电路的助力电机输出。

传统的冗余技术普遍为在控制芯片之间增加某种协议的数据通信，一旦某一块芯片出现某种故障，另一块芯片立刻获得接管控制权，对转向电机进行控制，如图2所示，传统的冗余技术是当某一侧控制芯片出现某种故障时，通过某种通信协议发送故障标志给另一侧控制芯片，同时本侧控制芯片会通过某种故障处理方法以软件的方法向SBC发送“驱动切断指令”，从而关断电机驱动芯片，切断该侧助力。

上述转向电控系统和冗余技术虽然在一定程度下有效地满足用户对于助力的功能要求，但是仍然存在以下缺陷：

①安全性能不足，一旦上述电控系统上的某一个环节出现故障，则会马上失去助力，导致车辆处于危险状态；

②在传统的冗余技术中，当某一侧MCU内部出现某种故障时，该侧MCU会通过某种通信协议发送故障标志给另一侧MCU，同时该侧MCU会通过某种故障处理方法以软件的方法去关闭电机驱动芯片，从而切断助力，即触发内部故障管理中断去切断驱动电路，只能在软件上实现关闭助力，软关断实时性无法保证；

③在应对未来高级别的智能驾驶时，一套转向电控系统失效后，整个助力电机立即关断扭矩输出，无法保证驾驶员的实时接管，以保证车辆道路功能安全。