行之知识产权综合服务平台

技术领域

本发明属于汽车控制功能安全技术领域，具体涉及一种用于车身控制 系统的功能安全电路及控制方法。

背景技术

ISO26262汽车功能安全标准涵盖了汽车功能安全方面的整体开发计 划，适用范围包括底盘、动力总成和车身等。国内外优秀汽车电子厂商都 以产品满足ISO26262汽车功能安全标准对汽车电子产品控制的要求为标 准，来设计开发汽车。目前汽车的前雨刮、近光灯和位置灯等车身电子设 备的控制均为一套控制电路，即都通过车身控制器控制前雨刮、近光灯和 位置灯，这种控制方式存在以下问题，当车身控制器的单片机或主电源出 现故障时，对前雨刮、近光灯和位置灯的控制会失效，前雨刮、近光灯和 位置灯无法正常工作，会给行车带来安全隐患，无法保障人身安全。

发明内容

本发明的目的就是为了解决上述背景技术存在的不足，提供一种用于 车身控制系统的功能安全电路及控制方法。当车身控制器的单片机出现故 障时，前雨刮、近光灯和位置灯扔能正常工作，确保行车人身安全。

本发明采用的技术方案是：一种用于车身控制系统的功能安全电路， 包括：

监控模块，用于接收MCU模块发送的监控信号，根据监控信号判断 MCU模块的工作状态，当判断MCU模块故障时，向功能安全模块输出使 能信号；

MCU模块，用于定时向监控模块输出监控信号，用于向组合开关驱 动模块发送脉冲扫描信号采集接收组合开关的状态信息，并根据组合开关 的状态信息向输出控制检测模块输出前雨刮、近光灯和位置灯的控制信号，

功能安全模块，用于在接收到使能信号后输出固定电平至组合开关驱 动模块、输出电源至输出控制检测模块；

组合开关驱动模块，用于在未接收到功能安全模块发送的固定电平时， 通过MCU模块发送脉冲扫描信号采集组合开关的状态信息；用于在接收 到功能安全模块发送的固定电平时，通过固定电平采集组合开关的状态信 息；用于向MCU模块和输出控制检测模块发送组合开关的状态信息；

输出控制检测模块，用于在未接收到功能安全模块输出的电源时，通 过接收MCU模块发送的控制信号控制前雨刮、近光灯和位置灯；用于在 接收到功能安全模块的电源时，通过接收组合开关的状态信息控制前雨刮、 近光灯和位置灯。

进一步地，所述功能安全模块包括功能安全电源模块和功能安全控制 模块，所述功能安全电源模块用于在接收到监控模块发送的使能信号后， 向功能安全控制模块和输出控制检测模块输出电源，功能安全控制模块在 接收到功能安全电源模输出的电源后，向组合开关驱动模块发送固定电平。

进一步地，所述功能安全电源模块包括三极管Q1和控制芯片U1，所 述三极管Q1的发射极连接电源、基极连接监控模块的使能输出端、发射 极连接控制芯片U1的使能输入端，控制芯片U1的电源输出端连接功能安 全控制模块的电源输入端和输出控制检测模块的电源控制端。

进一步地，所述功能安全控制模块包括三极管Q2和电阻R2，所述电 阻R2一端连接功能安全电源模块的电源输出端、另一端连接三极管Q2 的基极，所述三极管Q2的发射极接地，三极管Q2的集电极连接组合开关 驱动模块的电平信号输入端。

进一步地，所述输出控制检测模块包括输出控制模块，输出控制模块 的控制信号输入端连接MCU模块的控制信号输出端，输出控制模块的开 关状态信号输入端连接组合开关驱动模块的开关状态信号输出端，输出控 制模块的电源控制端连接功能安全模块的电源输出端。

进一步地，所述输出控制检测模块还包括输出检测模块，所述输出检 测模块的输入端连接前雨刮、近光灯和位置灯，输出检测模块的输出端连 接MCU模块的检测信号输入端，输出检测模块检测采集前雨刮的位置信 息、近光灯和位置灯的电流信息，并对采集的信息进行处理后输出至MCU 模块进行监测和诊断。

更进一步地，所述组合开关驱动模块包括三极管Q3、三极管Q4和采 样电阻R7，所述三极管Q3的集电极连接功能安全模块的电平输出端、基 极连接MCU模块的扫描脉冲信号输出端、发射极接地，三极管Q4的基极 连接功能安全模块的电平输出端、发射极连接电源、集电极连接组合开关 的输入端，采样电阻R7一端连接组合开关的输出端、另一端连接MCU模 块和输出控制检测模块的开关状态信号输入端。

一种用于车身控制系统的功能安全控制方法，控制过程为：通过监控 模块监控判断MCU模块的工作状态，当判断MCU模块正常工作时，由 MCU模块发送脉冲扫描信号至组合开关驱动模块采集组合开关的状态信 息，并根据组合开关的状态信息输出控制信号至输出控制检测模块控制前 雨刮、近光灯和位置灯；当判断MCU模块出现故障时，由输出控制检测 模块采集组合开关的状态信息，通过组合开关直接控制前雨刮、近光灯和 位置灯。

进一步地，所述MCU模块上电后，每隔一段时间向监控模块发送一 次监控信号，当监控模块连续三次未收到MCU模块发出的监控信号，则 判断MCU模块出现故障，否则判断MCU模块正常工作。

更进一步地，所述监控模块判断MCU模块出现故障时，监控模块发 送使能信号至安全功能模块，安全功能模块收到使能信号后，输出固定电 平至组合开关驱动模块采集组合开关的状态信息，控制同时控制输出检测 模块接收组合开关驱动模块采集的组合开关的状态信息，由组合开关直接 控制前雨刮、近光灯和位置灯。

本发明采用MCU模块监控方法和开关直通接管方法，当车身控制器 的MCU模块出现故障时，通过开关直通接管方法仍然可以对前雨刮、近 光灯和位置灯正常操作，具有故障监测、故障保护、预警报警等功能，满 足了ISO26262功能安全标准对车身控制的要求，确保了人身和财产的安 全；采用了有故障了先自恢复，如果恢复不了再开启开关直通接管模式， 控制机制更加合理。

附图说明

图1为本发明的电路结构框图。

图2为本发明输出控制检测模块的连接原理框图。

图3为本发明配用的组合开关原理图。

图4为本发明功能安全电源模块的内部电路图。

图5为本发明监控模块的内部电路图。

图6为本发明功能安全控制模块的内部电路图。

图7为本发明组合开关驱动模块的内部局部电路图。

图8为本发明组合开关驱动模块的内部局部电路图。

具体实施方式

下面结合附图和具体实施例对本发明作进一步的详细说明，便于清 楚地了解本发明，但它们不对本发明构成限定。

如图1所示，本发明一种用于车身控制系统的功能安全电路包括双输 入电源1、主电源模块2、监控模块4、功能安全模块、MCU模块6、输 出控制检测模块7和组合开关驱动模块8，其中各模块之间的对应连接关 系及控制功能分别如下。

双输入电源1，采用两路输入电源同时供电，输入信号是VDD1和 VDD2(两路12V或24V的电源)，输出电源VDD3(12V或24V)提供给 主电源模块2、功能安全电源模块3和组合开关驱动模块8。双输入电源内 有ESD防护、ISO7637脉冲防护和电源滤波等电路。

主电源模块2，用于为监控模块4、MCU模块6、输出控制检测模块 7提供电能。主电源模块有一路输入电源VDD3和一路输出电源VCC1， 电压分别为12V(或24V)和5V，模块内有LDO、低频滤波和高频滤波等电 路。

监控模块4，用于接收MCU模块6发送的监控信号，根据监控信号 判断MCU模块6的工作状态，当判断MCU模块6故障时，输出复位信 号Reset和功能安全电源模块的使能信号EN。如图5所示，监控模块4主 要由一个watchdog电路芯片组成，芯片信号为MAX16998AAUA+，当 MCU模块在设定时间内没有输出监控信号时，即监控模块未接收到监控 信号，复位信号有效复位MCU模块6，如果连续复位3次监控模块仍然 没有收到监控信号时，输出使能信号至功能安全电源模块3。

功能安全模块，用于在接收到监控模块4发送的使能信号后输出固定 电平至组合开关驱动模块8、输出电源至输出控制检测模块7，包括功能安 全电源模块3和功能安全控制模块5。

功能安全电源模块3用于在接收到监控模块4发送的使能信号后，向 功能安全控制模块5和输出控制检测模块7输出电源。功能安全电源模块 3有一路输入电源VDD3和一路受控输出电源VCC2，输入电压为12V(或 24V)，当功能安全电源模块3被使能(接收到使能信号EN)时输出电源 VCC2为5V，当功能安全电源模块3不被使能(未接收到使能信号)时输 出电源VCC2为0V，模块内有带使能LDO、低频滤波和高频滤波等电路。

具体电路如图4所示，功能安全电源模3块包括三极管Q1和控制芯 片U1，控制芯片U1型号为TPS7A1650-Q1，三极管Q1的发射极连接电 源VDD3、基极通过电阻R1连接监控模块4的使能输出端EN、发射极连 接控制芯片U1的使能输入端EN，控制芯片U1的电源输出端连接功能安 全控制模块5的电源输入端VCC2和输出控制检测模块7的电源控制端 VCC2。

功能安全控制模块5用于在接收到功能安全电源模3输出的5V电源 后，向组合开关驱动模块8发送固定低电平有效信号，接管组合开关驱动 模块8的输出信号，直接强制组合开关输出三路有效信号(SFout1、SFout2 和SFout3)，并输出BCM失效警告信号提醒用户，没有被提供电源就不影 响组合开关的正常工作。如图6所示，功能安全控制模块5包括三极管Q2 和电阻R2，所述电阻R2一端连接安全电源模块3的电源输出端VCC2和 电阻R3一端、另一端连接三极管Q2的基极，电阻R3另一端连接到车辆 内警报设备，即当被提供VCC2后发出警告信号Warning，所述三极管Q2 的发射极接地，三极管Q2的集电极连接组合开关驱动模块8的电平信号 输入端。

MCU模块6，用于在上电后首先定时向监控模块4输出监控信号，接 收监控模块4的复位信号并复位动作；然后向组合开关驱动模块8发出水 平扫描脉冲信号采集接收组合开关13的状态信息，并根据组合开关的状态 信息向输出控制检测模块7输出前雨刮、近光灯和位置灯的控制信号；同 时接收输出控制检测模块检测7的前雨刮的位置信息和近光灯及位置灯的 电流信息，对接收的位置信息和电流信息进行故障诊断，输出故障警告信 息。

输出控制检测模块7，用于在未接收到功能安全电源模块输出的电源 时，通过接收MCU模块6发送的控制信号控制前雨刮、近光灯和位置灯； 用于在接收到功能安全电源模块3的电源时，通过接收组合开关的状态信 息控制前雨刮、近光灯和位置灯。

如图2所示，输出控制检测模块7包括输出控制模块9和输出检测模 块10。输出控制模块9为常规的芯片，芯片型号为TLE7244SL。输出控制 模块9的控制信号输入端SPI连接MCU模块6的控制信号输出端，输出 控制模块9的开关状态信号输入端(S1In、S2In和S3In)连接组合开关驱 动模块8的开关状态信号输出端(S1MIn、S2MIn和S3MIn)，输出控制模 块9的电源控制端连接功能安全模块的电源输出端。输出检测模块9的输 入端连接前雨刮、近光灯和位置灯，输出检测模块10的输出端连接MCU 模块6的检测信号输入端，输出检测模块检测采集前雨刮的位置信息、近 光灯和位置灯的电流信息，并对采集的信息进行滤波、放大和限幅处理后 输出至MCU模块进行监测和诊断。

输出控制模块9在未接收到功能安全电源模块3输出的5V电源时， 通过SPI总线接收MCU模块6发出的开启和关闭前雨刮、近光灯和位置 灯的控制信号，解析后输出到功率驱动模块11驱动前雨刮、近光灯和位置 灯；在接收到功能安全电源模块3输出的5V电源后，激活开关直通接管 模式，直接获取开关状态信息，通过开关直接控制前雨刮、近光灯和位置 灯，MCU模块控制失效。输出检测模块10通过负载及传感器12接收前 雨刮位置传感器信号和近光灯及位置灯的电流传感器信号，经过滤波、放 大和限幅后输出到MCU模块6。功率驱动模块11采用继电器做功率元件 驱动。负载及传感器12采用直流电机拖动雨刮，雨刮位置传感器采用行程 开关，当雨刮运行到停止位时开关闭合，当雨刮离开停止位时开关断开， 用电阻采样近光灯和位置灯的电流。

组合开关驱动模块8，用于在未接收到功能安全控制模块5发送的固 定电平时，通过MCU模块6发送脉冲扫描信号采集组合开关13的状态信 息；用于在接收到功能安全控制模块5发送的固定电平时，通过固定电平 采集组合开关的状态信息；用于向MCU模块6和输出控制检测模块7发 送组合开关的状态信息。

如图7、图8所示，开关驱动模块8包括三极管Q3、三极管Q4和采 样电阻R7，所述三极管Q3的集电极连接功能安全控制模块5的电平输出 端(SFout1、SFout2和SFout3)、基极通过电阻R5连接MCU模块6的扫 描脉冲信号输出端(SMout1、SMout2和SMout3)、发射极接地，三极管 Q4的基极通过电阻R4连接功能安全控制模块5的电平输出端、发射极连 接电源、集电极连接组合开关13的输入端(S1out、S2out和S3out)，采样 电阻R7一端连接组合开关13的输出端(S1In、S2In和S3In)、另一端连 接MCU模块6和输出控制检测模块7的开关状态信号输入端。

当功能安全控制模块5输出端输出固定低电平时，三极管Q4导通， 输出端输出高电平给组合开关13，开通开关直通接管模式，直接通过采样 电阻R7采集组合开关状态，发送给输出控制检测模块7，即直接通过开关 控制前雨刮、近光灯和位置灯；当功能安全控制模块5输出端开路时，三 极管Q3和三极管Q4根据MCU模块6发送的水平扫描脉冲信号间隔导通 或关闭，向组合开关输送扫描信号，采用键盘扫描的方法采集组合开关的 状态信息，发送给MCU模块。

本发明采用上述功能安全电路实现功能安全控制的方法如下：

整个电路上电后，电源模块2输出电源VCC1(5V)提供给监测模块 4、MCU模块6及输出和检测模块7。MCU模块6每隔一段时间(如1s) 向监控模块发送一次监控信号，该监控信号可以是喂狗脉冲，当MCU模 块6因其内部的电路故障或输入电源故障，在1s内没有输出有效的 Watchdog脉冲信号时，监测模块4会输出有效的Reset信号(低电平)复 位MCU模块；如果在连续3s内MCU模块6都没有输出Watchdog脉冲信 号，则监测模块4判断MCU模块出现故障，否则判断MCU模块正常工 作。

当监测模块4判断MCU模块6正常工作时，MCU模块6输出水平扫 描脉冲信号(SMout1、SMout2和SMout3)至组合开关驱动模块8，经功 率放大后输出给组合开关13(S1out、S2out和S3out)，同时MCU模块8 通过组合开关驱动模块8采集组合开关的状态(S1In、S2In和S3In)，并 根据组合开关的状态(S1In、S2In和S3In)输出控制信号，输出控制模块 9通过SPI总线与MCU模块6通信，接收MCU模块发出的控制信号，解 析后输出给功率驱动模块11驱动前雨刮、近光灯和位置灯。输出控制模块 9中，PLout为位置灯控制输出，BLout为近光灯控制输出，FWout为前雨 刮控制输出，如果开启负载相应的控制输出为低电平，否则相应的控制输 出为开路。输出控制模块9内含智能集成电路，具有过载、过温和开路保 护功能，并且可以通过SPI总线读出其故障信息，实现其诊断功能。

输出检测模块10采集前雨刮的位置(WiperposDet)、近光灯电流 (BIDetect)和位置灯电流(PIDetect)信号，经过滤波、放大和限幅处理 后输出到MCU模块6的PWM(Wiperpos)、AD(BeamLampI)和AD (PosLampI)端口。MCU模块6接收到该信息后与其内部设置的参数进 行比较，判断采集的信息是否正确，当判断信息有问题时(说明前雨刮或 近光灯、位置灯出现故障)发出报警信号。

MCU模块正常工作控制前雨刮、近光灯和位置灯的过程如下：

MCU模块6上电复位后，配置输出1Hz的PWM信号用作喂狗，扫 描组合开关的状态，判断组合开关13是否正常，如果异常就输出报警信号， 程序继续往下执行，报警信号延时5s后自动关闭，无论组合开关的状态是 否正常都接着判断组合开关是否有激活的，本发明配用的组合开关13是一 个典型的键盘矩阵开关，如图3所示。

如没有组合开关被激活就再扫描组合开关的状态，如果有被激活的就 查询是哪个被激活。先判断是否前雨刮被激活，如果否就再判断位置灯开 关是否被激活，如果是就输出前雨刮驱动信号(程序继续往下执行，前雨 刮驱动信号延时5s自动关闭)，然后再判断前雨刮位置反馈信息是否正确， 如果正确就再判断位置灯开关是否激活，否则在输出报警信号(程序继续 往下执行，报警信号延时5s后自动关闭)后再判断位置灯开关是否激活。

如果位置灯开关没被激活就再判断近光灯开关是否被激活，如果位置 灯开关被激活就输出位置灯驱动信号(程序继续往下执行，位置灯驱动信 号延时5s自动关闭)，然后再判断位置灯电流是否正确，如果正确就再判 断近光灯开关是否激活，否则在输出报警信号(程序继续往下执行，报警 信号延时5s后自动关闭)后再判断近光灯开关是否激活。

如果近光灯开关没被激活就再扫描组合开关的状态，如果近光灯开关 被激活就输出近光灯驱动信号(程序继续往下执行，近光灯驱动信号延时 5s自动关闭)，然后再判断近光灯电流是否正确，如果正确就再扫描组合 开关的状态，否则在输出报警信号(程序继续往下执行，报警信号延时5s 后自动关闭)后再扫描组合开关的状态。

当监测模块4判断MCU模块出现故障时，监测模块4输出有效的功 能安全电源使能信号(低电平)至功能安全电源模块3，功能安全电源模 块3被使能，输出电源VCC2为5V，如果功能安全电源模块3不被使能， 输出电源VCC2为0V。如果VCC2为5V，功能安全控制模块5输出报警 信号，同时置输出端SFOut1、SFOut2和SFOut3为低电平，否则SFOut1、 SFOut2和SFOut3为开路，不影响组合开关驱动模块8的正常工作。SFOut1、 SFOut2和SFOut3为低电平时，组合开关驱动模块8强制S1out、S2out和 S3out输出高电平。

输出控制检测模块7由输出控制模块9和输出检测模块11组成，输出 控制模块9有三路输入电源VCC1、VCC2和VDD3，在正常模式VCC1 为5V和VCC2为0V，组合开关的状态信号也同时输出给输出控制模块9， 输出控制模块9忽略此输入信号；当VCC2为5V时(不管VCC1是5V 还是0V)，LHI为高电平，输出控制模块9进入使能开关直通接管模式， FWout＝！S1MIn；PLout＝！S2MIn；BLout＝！S3MIn，即输出控制模块9 接收组合开关的状态信息，通过组合开关直接控制前雨刮、近光灯和位置 灯。

本发明采用两套前雨刮、近光灯和位置灯等控制电路，当MCU模块 损坏时，可以开启开关直通接管模式，能够实现对前雨刮、近光灯和位置 灯正常操作；采用前雨刮位置反馈、近光灯电流检测、位置灯电流检测和 电源电压检测等电路，实现了故障监测和预警功能；采用单片机异常复位 等电路，实现了有故障优先自恢复功能。

以上所述，仅为本发明的具体实施方式，应当指出，任何熟悉本领域 的技术人员在本发明所揭露的技术范围内，可轻易想到的变化或替换，都 应涵盖在本发明的保护范围之内。本说明书中未作详细描述的内容属于本 领域专业技术人员公知的现有技术。