行之知识产权综合服务平台

技术领域

本发明涉及汽车电子控制领域，应用于发动机的控制，具体涉及一种高可靠性的航空发 动机冗余ECU控制器。

背景技术

对于装有动力驱动载体的任何物体，其动力驱动部件都是核心关键部分，现实生活中， 常规的驱动部件主要都采用发动机(汽油机或者柴油机)。而ECU(发动机控制单元)则是控 制发动机的大脑和神经系统，其功能好坏与可靠性，直接影响着整个物体的运行情况。

普通的乘用车，其发动机控制器是单ECU电路结构,其电路硬件结构与常规的电子电气系 统硬件结构相同，这种硬件电路结构在标准ISO26262-5-2011中的FigureD.1-Generic hardwareofasystem中有描述，从描述中可以看出，电子电气系统中的控制器只有一个， 主要由CPU、输入接口、输出驱动组成，传感器信号采集、执行器驱动、通信等任务，完全 依赖于系统中唯一的控制器。一旦控制器失效，系统不能正常运行。对于发动机管理系统， 也有同样的问题，因为发动机管理系统中只有一个ECU来控制发动机的正常运行，ECU要完 成包括采集发动机各种传感器信号、软件运算、驱动执行器，以及传感器执行器的故障诊断 和系统通信等等工作，一旦ECU出现局部电路故障，比如驱动电路故障，则会直接导致ECU 失效或误动作，引起发动机系统故障，由此可见，单ECU电路结构的控制器，可靠性相对不 高。

基于现在的硬件质量控制技术，在常规乘用车上，单ECU电路结构的控制器的缺陷可能 不是很明显，毕竟车子是在路上跑的，一般小故障还能有其他方式进行弥补。但是对于航空 飞行器或者特殊用途车辆来说，单ECU的风险就比较大，比如航空飞行器，一旦单ECU出现 硬件故障，飞行器不受控制，后果就是直接坠毁。常规的发动机控制器是单ECU电路结构， 可靠性不高，因为只有一个ECU来控制发动机的正常运行，ECU要完成包括采集发动机各种 传感器信号、软件运算、驱动执行器，以及传感器执行器的故障诊断和系统通信等等工作， 一旦ECU出现局部电路故障，比如驱动电路故障，则会直接导致ECU不能正常工作或误动作， 引起发动机故障。

综上所述，现有技术中存在如下技术问题：单ECU电路结构的控制器可靠性不高，在出 现局部电路故障时，将直接导致ECU控制失效，引起发动机故障。

发明内容

本发明的目的在于提供一种高可靠性的航空发动机冗余ECU控制器，冗余结构可以保证 在出现局部电路故障时，控制器仍能通过切换通道的方式继续工作，从而提高控制器的可靠 性。具体技术方案如下：

一种航空发动机冗余ECU控制器，包括第一ECU模块和第二ECU模块，

所述第一ECU模块用于控制发动机，包括第一信号调理电路，第一CPU，第一通信电 路，第一驱动电路以及第一电源，所述第一信号调理电路用于对输入传感器信号进行整形 变换，其连接至第一CPU，所述第一CPU为主控芯片，用于控制对输入信号的采集、运算、 输出驱动，其连接至第一通信电路，所述第一CPU连接至第一驱动电路，所述第一驱动电 路用于对控制器所控制负载进行驱动；

所述第二ECU模块用于控制发动机，包括第二信号调理电路，第二CPU，第二通信电 路，第二驱动电路以及第二电源，所述第二信号调理电路用于对输入传感器信号进行整形 变换，其连接至第二CPU，所述第二CPU为主控芯片，用于控制对输入信号的采集、运算、 输出驱动，其连接至第二通信电路，所述第二CPU连接至第二驱动电路，所述第二驱动电 路用于对控制器所控制负载进行驱动；

所述第一通信电路连接第一CPU，所述第二通信电路连接第二CPU，所述第一通信电路 与第二通信电路连接，用于第一和第二CPU之间的通信；

所述电源向ECU控制器及其内置模块供电。

进一步地，还包括通道切换电路，所述通道切换电路包括第一通道切换模块，第二通 道切换模块以及独立切换模块，所述第一通道切换模块分别通信连接至第一信号调理电 路，第二信号调理电路，第一CPU以及第二CPU并用于切换调理信号输入和切换CPU，所 述独立切换模块分别通信连接至第一通道切换模块，第二通道切换模块，第一CPU以及第 二CPU，所述第二通道切换模块分别通信连接至第一CPU，第二CPU，第一驱动电路以及 第二驱动电路并用于用于切换第一和第二驱动电路。

进一步地，还包括第一AD输入和数字IO输入模块以及第二AD输入和数字IO输入模 块，第一AD输入和数字IO输入模块连接第一CPU，用于对输入的传感器信号及数字信号 的采集和接口电平处理，第二AD输入和数字IO输入模块连接第二CPU，用于对输入的传 感器信号及数字信号的采集和接口电平处理。

进一步地，还包括连接至第一CPU的第一参数存储电路以及连接至第二CPU的第二参 数存储电路，第一参数存储电路为大容量参数存储电路，其连接第一CPU并用于对发动机 运行参数的存储第二参数存储电路为大容量参数存储电路，其连接第二CPU并用于对发动 机运行参数的存储。

进一步地，还包括第一和第二实时时钟，所述第一参数存储电路连接该第一实时时钟， 所述第一CPU以采集的第一实时时钟数据为时间参考，所述第二参数存储电路连接该第二 实时时钟，所述第二CPU以采集的第二实时时钟数据为时间参考。

进一步地，所述第一和第二实时时钟可连续存储数据6小时以上，存储频率10Hz以 上，为ECU提供年/月/日/星期/时/分/秒的计时和测量，并提供秒级/每年的精度。

进一步地，当第一或第二CPU正常工作时，第二或第一CPU对采集和运算的发动机数 据进行存储。

进一步地，还包括BIT自检电路，执行模块和传感模块，所述CPU可以对自身的BIT 进行自检，包括RAM、ROM、AD，所述执行模块和传感模块设置于发动机总成，所述ECU 控制器通信连接至执行模块并可向其发送指令，所述传感模块通信连接至ECU控制器并可 向其发送信号，所述整形变换为将磁电式曲轴传感器的模拟信号，变换为CPU所需的逻辑 电平，所述负载包括发动机，和/或，和/或，阀，和/或，喷嘴，和/或，传感器；电源为 ECU提供逻辑供电和传感器供电，其前端设计了专门电路，应对发电机抛负载时出现的瞬 时过压。

进一步地，所述第一通信电路与第二通信电路分别通信连接至控制器的外部，所述第 一驱动电路和第二驱动电路分别连接至继电器，所述继电器用于隔离出故障的第一或第二 驱动电路，避免对另一路驱动电路产生影响；和/或，所述通道切换电路还包括用于切换 第一和第二驱动电路的继电器。

上述航空发动机冗余ECU控制器的控制方法，包括如下步骤：

(1)两路信号调理电路输入的调理信号分别输入到两个CPU；

(2)当CPU认为某个信号调理电路调理信号不可信时，切换成另一路信号调理电路， 其调理信号同时输入给两个CPU；

(3)当CPU诊断出某一路负载或驱动电路故障，切换该驱动电路对应的继电器到另一 路驱动电路，同时由另一路驱动电路驱动负载；

(4)当某个CPU故障或不可信时，切换为另一CPU且该另一CPU的控制权独立。

与目前现有技术相比，本发明结合冗余控制的安全构思，特发明一种基于航空发动机的 高可靠性的冗余控制器，该ECU拥有两路软硬件控制方案，利用两路信号的互相对比和校正， 可以实现更加精准的控制，极大的保证了航空飞行器的安全。

附图说明

图1为冗余ECU控制器功能逻辑图

图2为冗余ECU控制器体系结构图

具体实施方式

下面根据附图对本发明进行详细描述，其为本发明多种实施方式中的一种优选实施例。

在一个优选实施例中，一种发动机冗余ECU电路结构的控制器，通过设计控制器的输入 电路冗余、输出电路冗余、CPU冗余来实现。当一个ECU在正常工作时，另一个ECU处于热 备份状态，当ECU认为某一通道输入信号不可信时，可切换成从另一通道输入信号；当诊断 出某一通道负载或驱动电路故障时，可切换成从另一通道驱动负载；当某个CPU故障或不可 信时，可切换成另一个CPU来控制发动机；因此，这种ECU冗余电路结构提高了控制器的可 靠性。控制器主要设计思路如下：

1、两路独立的硬件控制

该控制器在内部的电路结构上包括了两个相似的ECU，我们分别叫做ECUA、ECUB。ECUA、 ECUB分别具有独立的输入接口及信号调理电路、CPU、输出驱动电路、电源及通信电路等， 每个ECU都能单独控制发动机。当某个ECU的某个通道出现故障时，ECU切换到另一个通道， 保证控制器继续工作，当控制器中某个CPU出现故障时，控制器切换为另一个CPU控制发动 机，因此这种冗余ECU的控制器比单ECU控制器具有更高的可靠性，可以确保在一路硬件故 障情况下，发动机完全不受影响，极大的提高了航空飞行器的安全性。

2、单独自检功能

在控制器每次上电时，每个ECU都能完成自测试功能，不仅包括对传感器、执行器的故 障检测，还能通过ECU自己发送一些模拟信号，对ECU内部电路进行自检，确保控制器在所 有电路功能正常的情况下控制发动机运行；另外，控制器根据每个ECU的累计工作时间可以 定期切换到另一个ECU工作，以增加控制器的使用寿命，提高可靠性。

3、冗余信号互相校正

由于该控制器存在两个ECU，并且每个ECU都具有独立的运算功能，当一个ECU工作时， 另一个ECU虽然不执行具体驱动操作，但是同样会进行信号采集与计算，这样控制器就可以 对这两个ECU分别采集和计算的信号进行相互校正，取其更精准成熟的信号进行下一步计算， 从而保证最终的信号输出和控制更加准确可靠。

4、无缝替代功能

当一个ECU控制发动机工作时，另一个ECU会时刻处于热备份状态，当某个ECU出现故 障需要切换时，可以快速实时响应，保证ECU功能的无缝替代，进一步确保发动机安全。每 个ECU都具有大容量的外部存储器，用于存储发动机运行数据，方便对发动机的运行状态作 出分析和数据下载。

参照图2，其为一种优选的冗余ECU控制器体系结构，包括：

1、控制器基本配置

图二所示的冗余ECU控制器方框图中，单个ECU的基本配置由D.4信号调理电路、D.5CPU、 D.6通信电路、D.7驱动电路、D.12电源来构成。这种常规的单ECU电路结构可以实现发动 机的正常控制。

2、控制器冗余配置

图二所示的冗余ECU控制器方框图中，包括两套单ECU电路结构，结合额外增加的D.11BIT 自检电路、D.9D.10通道切换电路、D.8继电器阵列、D.1参数存储电路、D.2实时时钟电路， 再经过适当的软件校验及控制，可极大的提高整个控制器的安全系数，保证可靠性。

3、控制器配置说明

D.1大容量参数存储电路用于D.5CPU对发动机运行参数的存储，D.5CPU以采集的D.2 实时时钟数据为时间参考，可连续存储数据6小时以上，存储频率10Hz以上。当某个D.5CPU 正常工作时，另一个D.5CPU对采集和运算的发动机数据进行存储。

D.2实时时钟为ECU提供年/月/日/星期/时/分/秒的计时和测量，提供秒级/每年 的精度。

D.3AD输入和数字IO输入实现对输入的传感器信号及数字信号的采集和接口电平处理。

D.4信号调理电路完成对输入传感器信号的整形变换工作，如磁电式曲轴传感器的模拟信 号，需要变换为CPU所需的逻辑电平；

D.5CPU为主控芯片，控制对输入信号的采集、运算、输出驱动以及自身的BIT自检， 如RAM、ROM、AD等；

D.6通信电路用于两个D.5CPU之间的通信和对外部的通信；

D.7驱动电路用于负载的驱动，如阀、喷嘴的驱动；

D.8继电器的作用是隔离出故障的驱动电路，避免对另一路驱动电路产生影响。

D.9、D.10通道切换电路和D.8继电器阵列实现切换工作。包括切换D.4调理信号输入、 切换D.7驱动电路、切换D.5CPU。对于D.4输入的调理信号，正常状态下，两路调理信号 分别输入到两个D.5CPU，当D.5CPU认为某个D.4调理信号不可信时，可切换成另一路D.4 调理信号同时输入给两个D.5CPU，以保证控制器能继续工作。对于D.7驱动电路，当D.5CPU 诊断出某一路负载或D.7驱动电路故障，切换该D.7驱动电路对应的D.8继电器到另一路D.7 驱动电路，同时由另一路D.7驱动电路驱动负载,。当某个D.5CPU故障或不可信时，可由非 故障D.5CPU夺取控制权，另外，夺取D.5CPU的控制权是独立的，也就是说，任一个D.5CPU 的故障，不会锁死切换电路，非故障的另一个D.5CPU会激活切换电路，夺取故障的D.5CPU 控制权，以保证发动机的正常运行。

D.11BIT自检电路包括检测ECU的D.3AD输入和数字IO输入、D.4信号调理电路、D.7 驱动电路、D.12电源、D.6通信。对于ECU的D.3AD输入和数字IO输入电路，D.11BIT自 检电路通过施加确定的高、低两种电压到D.3AD输入和数字IO输入电路，D.5CPU通过比 对采集状态与激励电压是否一致来确定输入通道是否功能正常，D.7驱动电路的自检是通过 D.5CPU控制D.7驱动电路的功率管开关状态变化，然后读取故障标志来确定D.7驱动电路 功能是否正常，D.4信号调理电路、D.12电源、D.6通信电路均由D.5CPU读取对应输入状 态来确定功能是否正常，同时BIT也要对CPU本身进行自检，采用功能测试法，即让CPU执 行一段包含其全部指令集的测试代码，对运行结果和标准结果作对比，以判断CPU是否功能 正常，RAM的BIT应在尽量少的测试时间内检测到尽可能多的故障模式，可采用一种标准的 March算法检测RAM故障，对ROM的典型测试方法包括奇偶校验、循环冗余码校对、字节和 校验，其中字节和校验最为常用。

D.12电源不仅为ECU提供逻辑供电和传感器供电等，还在电源前端设计了专门电路，应 对发电机抛负载时出现的瞬时过压，保证在短时过压期间，ECU不仅不会损坏，而且还能保 持正常工作，来确保航空发动机ECU的高有效性和高可靠性。

上面结合附图对本发明进行了示例性描述，显然本发明具体实现并不受上述方式的限制， 只要采用了本发明的方法构思和技术方案进行的各种改进，或未经改进直接应用于其它场合 的，均在本发明的保护范围之内。