[发明专利]用于汽车的控制器及具有其的汽车、监测方法

说明书

技术领域

本发明涉及汽车制造技术领域，特别涉及一种用于汽车的控制器及具有其的汽车、用于汽车的控制器的监测方法。

背景技术

随着汽车电子功能越来越多，可编程系统变得越来越复杂，安全问题越来越突出，控制器系统的安全性关系到整车系统功能的实现。

CAN总线由BOSCH发明，其采用了CRC校验，采用差分电平信号进行传输，是一种多主并且较安全的总线。在汽车电子和工业领域应用均非常广泛。然而，CAN总线系统也有其固有的故障模式，包括总线对电源短路，对地短路，CAN总线开路，以及受制于电子元器件如CAN收发器本身的可靠性等。

传统的控制器为实现安全功能，通常采用双芯片处理器的方案，这种方案的通常由一个主芯片负责系统功能的实现，一个从芯片负责对主芯片程序运行状况和系统功能的监控，主芯片和从芯片均各自具有自己的看门狗。

由以上分析可知，采用双芯片处理器的控制器系统具有如下缺点：

由于从芯片需要不断地与校验主芯片来做到故障诊断，所以故障发现时间较长，从而导致系统故障容忍时间较长（故障容忍时间定义为从发现故障，进行故障处理到系统过渡到安全状态的总时间，参考ISO26262－1，术语定义），不利于一些实时性要求较高的场合。

由于从芯片对主芯片的校验主要通过通讯来完成，故主芯片内部发生的瞬时硬件故障很难被发现，从而导致系统故障诊断覆盖率较低。

由于采用了双芯片处理器系统，系统需要两个处理器芯片，从而需要两套处理器芯片最小系统，提高了系统成本。

由于主从处理器之间相互通讯，处理器处理其他事务的时间缩短，且系统设计复杂，导致可靠性降低。

发明内容

本发明旨在至少解决上述技术问题之一。

为此，本发明的一个目的在于提出一种用于汽车的控制器，该控制器具有架构简单，安全反应迅速，成本低，适合安全控制领域的应用。

本发明的另一目的在于提出一种汽车。

本发明的再一个目的在于提出一种用于汽车的控制器的监测方法。

为了实现上述目的，本发明第一方面的实施例提出了一种用于汽车的控制器，包括：第一CAN收发器、第二CAN收发器和处理器，所述处理器包括第一处理器核和第二处理器核且所述第一处理器核和所述第二处理器核运行有相同的处理程序，其中，所述第一CAN收发器用于接收来自所述第一处理器核发送的第一CAN信号，并向所述处理器发送第一反馈信号，所述第二CAN收发器用于接收来自所述第二处理器核发送的第二CAN信号，并向所述处理器发送第二反馈信号；所述处理器的第一处理器核用于生成所述第一CAN信号，所述第二处理器核用于生成所述第二CAN信号，所述处理器根据所述第一CAN信号和所述第一反馈信号判断所述第一CAN收发器是否存在故障，且根据所述第二CAN信号和所述第二反馈信号判断所述第二CAN收发器是否存在故障，并在判断所述第一CAN收发器或所述第二CAN收发器存在故障时，控制存在故障的第一CAN收发器或所述第二CAN收发器停止发送CAN信号。

根据本发明实施例的用于汽车的控制器，采用双核锁步MCU处理器芯片，该芯片至少具有2个CAN模块；CAN总线故障相互监测：MCU通道1发出的数据经外部线路被MCU通道2监测到，MCU通道2发出的数据经外部线路被MCU通道1监测到；负载故障处理方式，执行故障和负载状态均反馈给MCU。

本发明实施例的用于汽车的控制器具有如下优点：

（1）控制器系统采用了LOCKSTEP（双核异步）处理器，由于在芯片设计时，双核的物理结构不尽相同（同样的逻辑可以由不同的组合电路去实现），安装位置为异构，最大限度的消除了双核同集成于一个DIE上的共因失效，同时，由于系统安全基础芯片对处理器进行不断的问答处理，进一步降低了处理器时钟和供电的共因失效，提高了系统可靠性。

（2）当处理器内部任一处理器核发生瞬时故障，由于双核执行结果进行了比较，比较本身由硬件实现，能很快发现故障，具备较少的故障容忍时间。

（3）由于处理器内部采用了双CPU备份处理，同时，第一CAN收发器和第二CAN收发器也互为备份，当任一处瞬时故障出现时，均能及时发现和处理，因此，本发明方案对CAN通讯和处理器的瞬时故障不敏感。

（4）该控制器虽然采用了双核处理器芯片，但由于每一核运行的程序相同，因此相比传统的双芯片方案，本发明实现只需要熟悉一款处理器，并且软件不需要对处理器内部硬件的瞬时故障进行考虑（硬件自身会比较出结果），降低了软件开发难度。