[发明专利]一种基于功能安全的双燃料发动机控制器

说明书

本发明公开了一种基于功能安全的双燃料发动机控制器，基础芯片不仅为整个系统提供电压支持，还监控电压运行状态，并且通过SPI通讯方式和CAN通讯方式与传感器单元、主控单元通讯。主控单元输出信号反馈到信号输入端，可以核验输入信号的一致性，若输入信号出现偏差或输出信号异常，主控单元可进入降级运行模式，使整个控制器处于安全状态，其内部集成了两个CPU，若其中一个CPU出现故障，另一个CPU仍然可以控制主控单元正常运行，仍然能够并输出稳定的控制信号。本发明充分考虑信号传输偏差对控制器可能带来的风险，可以安全的应用在双燃料发动机上，使发动机平稳安全的运行，保障人员的生命和财产安全。

技术领域

本发明属于双燃料发动机控制功能安全技术领域，具体涉及一种基于功能安全的双燃料发动机控制器。

背景技术

双燃料发动机控制器是汽车电子电气系统的重要组成部分，若发动机控制器发生故障，会对车辆人员的生命和财产安全构成严重威胁。因此在进行双燃料发动机控制器开发的过程中，需要考虑控制器硬件的安全性，避免因硬件故障和硬件失效而造成的安全事故。在进行控制器开发的过程中，不仅需要实现产品的基本功能，还需要参照ISO26262标准进行开发和设计，充分考虑功能设计的安全性和完整性，提高产品的安全完整性等级。

双燃料发动机控制器和传感器多采用独立供电的方式或使用一个集中的电源芯片供电，这两种供电方式稳定性较差，没有采取有效的方式对电压进行监控，若出现欠压或过压状况时，控制器不能快速准确的检测到电压故障，容易造成整个控制器的输出信号的不准确，容易导致安全事故。

双燃料发动机控制器在采集信号时，传感器信号要先经过信号调理模块电路的滤波和滤波，然后输入给控制器，采集信号的方式较为单一，若信号发生故障，很难有效的被检测，没有完整的信号校对和监控机制，从而造成控制器的不稳定。

双燃料发动机控制器基本是直接输出信号给执行器，若输出信号出现偏差，没有一种安全有效的方式使得控制器停止输出偏差信号，进入降级运行状态。

发明内容

根据上述描述的现有技术存在的缺点，本发明设计和提供了一种基于功能安全的双燃料发动机控制器和控制方法，本发明提高了双燃料发动机控制器的安全完整性等级，使用基础芯片提供电压并监控过压和欠压情况，采取了三种信号传输方式同时对信号的准确性进行核验，提供了一种控制器降级运行的模式，使控制器运行稳定，可靠性较好。

为了实现上述目的，本发明设计了一种基于功能安全的双燃料发动机控制器，所述控制器包括CAN收发器、CAN控制器、传感器单元、信号处理模块、基础芯片、主控单元；

传感器单元上配置了SPI通讯接口；

基础芯片内部集成了电源转换器、电压监控模块、第二CAN控制器、SPI通讯接口；

主控单元内部集成了第三CAN控制器，集成了两个CPU并且分别带有诊断芯片，配置了SPI通讯接口，可与基础芯片通讯，主控单元连接硬件看门狗芯片；

所述基础芯片的SPI通讯接口分别与传感器单元和主控单元相连；

所述传感器单元一端与信号处理模块相连，通过信号处理模块接收到凸轮轴、曲轴信号，传感器单元另一端与第一CAN控制器连接，第一CAN控制器通过光电隔离模块连接第一CAN收发器，第一CAN收发器两端分别与CAN_H总线和CAN_L总线相连；

所述基础芯片集成的第二CAN控制器通过光电隔离模块与第二CAN收发器相连接，第二CAN收发器两端分别与CAN_H总线和CAN_L总线相连；

所述主控单元集成的第三CAN控制器通过光电隔离模块与第三CAN收发器相连接，第三CAN收发器的两端分别与CAN_H总线和CAN_L总线相连；