符合功能安全的電源管理方案在新能源商用車VCU中的應用

李漠塵 熊建 趙鑫龍 宋屹璋

摘 要：本文介紹了一種應用在新能源商用車VCU上的電源管理方案，以一款符合車載功能安全（ISO26262標準和ASIL D等級）的電源管理芯片FS8510為核心，聚焦電源系統的芯片選型依據和軟硬件設計方案，突出其在提升車載電控模塊功能安全方面所做的措施。

關鍵詞：新能源商用車 VCU 電源 功能安全 FS8510

Abstract：This article introduces a power management scheme applied to VCU of new energy commercial vehicles， which applies FS8510 which is an automotive functional safe multi-output power supply integrated circuit with ISO26262 standard and ASIL D capable， and focuses on the chip selection basis and hardware/software design solutions for power system to improve the functional safety of the vehicle electronic control module.

Key words：new energy commercial vehicle， VCU， power， functional safety， FS8510

1 引言

整車控制器VCU（Vehicle Controller Unit）作為新能源汽車“三電”的核心模塊之一，擔負著控制汽車行駛的重要任務，其可靠性的高低直接決定著車輛的安全性[14]，VCU的主要功能是依據采集到的的檔位及加速踏板等信號，將控制信息發送給各類子系統[11]，驅動車輛正常行駛。

隨著電控系統越來越多的參與到整車控制中，對電控系統的安全性提出了更高的要求。針對這一情況，國際標準化組織在2011年頒布了ISO26262標準，并在2018年對其進行了更新[5]（對應的國家標準為GB/T 34590.1-2017，道路車輛功能安全）。新標準對于大于3.5t的商用車也開始適用，且引入了半導體層面功能安全。

電源系統是VCU中不可缺少的重要組成部分。本文簡要介紹了以FS8510為核心芯片的電源架構及其軟硬件實現方法，突出該方案在滿足電壓生成、電壓監測、休眠喚醒、看門狗刷新、異常上報等常規功能的基礎上，在提升車載VCU功能安全方面采取的諸多措施。

2 電源總體方案

下面對應用在新能源商用車VCU上的電源管理總體方案進行說明，包括核心芯片選型依據、電源架構、FS8510功能介紹等。

2.1 商用車電源芯片選型

VCU電源芯片在選型過程中，應遵循以下原則。

（1）電源芯片最好適用于24V商用車系統，這樣就無需前級DC/DC降壓電路，可提高電源轉換效率。

（2）依據ISO26262的定義，按照嚴重程度、暴露概率和可控制性的三維風險矩陣，確定應用在VCU上的電源管理芯片應符合ASIL C以上安全等級。

表1為在VCU電源系統設計選型階段參照的四款常見車載電源管理芯片的對照表。

對照電源芯片選型原則，NXP公司的FS8510在滿足VCU電源系統各項需求的基礎上，可同時滿足12V和24V車載系統的應用，且符合ASIL D安全等級，是新能源商用車VCU電源管理芯片的理想選擇。

2.2 電源架構

圖1為VCU板上供電架構示意圖，從圖中可以看出，該方案用一個芯片滿足了硬件所有供電需求，降低了電路復雜度及物料成本。

2.3 FS8510功能介紹

2.3.1 電壓生成

FS8510的電壓入口是蓄電池電源，出口是通過升壓或降壓電路生成的各個電壓，如表2所列。

2.3.2 模擬多路復用器

FS8510提供多路復用器的電源監測功能，將AMUX腳接到單片機的ADC輸入口，通過SPI/I2C配置AMUX[4：0]實現不同通道電壓的采集。

2.3.3 通信接口

單片機可通過SPI/I2C方式對FS8510的寄存器進行配置或讀取。新能源商用車VCU項目中，MCU與FS8510通過四線制SPI通信，通信數據格式如表4所列。

寫命令：MISO[23：8]為寫之前寄存器的內容，MISO[7：0]為FS8510所發內容的CRC校驗碼。

讀命令：MOSI[23：8]應全為0，MOSI[7：0]為MCU發送內容的CRC校驗碼。

2.3.4 休眠喚醒功能

配置“M_MODE”寄存器的“GOTOSTBY”位為1，芯片將進入休眠模式;給WAKE1或WAKE2管腳一個上升沿的脈沖，芯片即被喚醒。

2.3.5 看門狗

電源芯片采用窗口看門狗，前半個窗口被稱作關閉（CLOSED），后半個窗口被稱作打開（OPEN）。有效喂狗操作是指在OPEN窗口中進行了正確的看門狗應答，無效喂狗操作是指在OPEN窗口中進行了錯誤的看門狗應答，或沒有在OPEN窗口中刷新看門狗，或在CLOSE窗口中進行了正確的看門狗應答。在一次有效喂狗操作或無效喂狗操作之后，新的窗口周期立即啟動，這就確保了MCU與窗口看門狗保持同步，如圖2所示，其中的窗口周期和窗口占空比可通過寄存器配置。

（1）喂狗方式

喂狗方式涉及到MCU與FS8510的交互，分為如下幾個步驟。

①FS8510生成一個16位偽隨機碼，作為線性回饋移位寄存器LFSR（Linear Feedback Shift Register）的值。

②MCU通過讀取FS_WD_SEED寄存器得到看門狗LFSR值，即WD_SEED。

③MCU通過圖3所示的公式計算WD_ANSWER。

④MCU在OPEN看門狗窗口期間將WD_ANSWER發送給FS8510。

⑤FS8510對WD_ANSWER進行驗證，如果校驗通過，看門狗窗口重啟并生成一個新的LFSR;如果校驗失敗，WD錯誤計數器值增加，看門狗窗口重啟且LFSR的值不變。

（2）看門狗效果

FS8510內含看門狗錯誤計數器，用于為無效喂狗操作濾波。每次看門狗刷新失敗，錯誤計數器的值加2;每次看門狗刷新成功且其值不為0，錯誤計數器的值減1。當其值增為6（可配置）時，可配置RSTB拉低，從而使單片機復位。

2.3.6 電壓管理

電壓管理負責監控VCOREMON、VDDIO和VMONx管腳（x=1、2、3、4）的輸入電壓是否過壓或欠壓。當它們的輸入電壓高于或低于理論值的10%時，相關寄存器的相應標志會置位，同時可通過配置觸發RSTB或FS0B管腳生效（下降沿），表5列出各管腳監控電壓的理論值。

2.3.7 工作流程

FS8510的工作流程分為主狀態機（main state machine）和失效安全狀態機（fail-safe state）兩部分，是彼此電子獨立、物理分離又同時運行的兩套流程。

（1）主狀態機

FS8510主狀態機主要實現各電壓的上下電。上電順序為：VPRE、VBOOST、VREGx（BUCK1、BUCK2、BUCK3、LDO1、LDO2）;下電順序為：VREGx（BUCK1、BUCK2、BUCK3、LDO1、LDO2）、VBOOST、VPRE。

（2）失效安全狀態機

失效安全狀態機主要涉及到功能安全相關的操作，包括安全輸出口（RSTB、FS0B）釋放、內部自檢等。

3 硬件設計

圖4為FS8510的應用框圖，下面列出新能源VCU硬件電路電源模塊設計的要點。

3.1 喚醒功能

外部信號的上升沿可通過WAKE1或WAKE2喚醒電源芯片，單片機可監測發生作用的喚醒源。新能源VCU共設計了5路喚醒源，其中鑰匙開關KL15信號同時連接WAKE1和WAKE2，目的是當其中一路喚醒源失效時仍可以通過用戶“開啟鑰匙開關”保證VCU正常工作。

3.2 單片機復位

FS8510芯片的RSTB腳與單片機的RESET相連，當程序無法正常喂狗導致RSTB拉低時，可同時觸發主控芯片復位。

4 軟件設計

新能源VCU軟件采用AUTOSAR平臺進行開發，電源部分程序設計分為以下幾個部分。

4.1 MCAL和ECAL設計

MCAL是“微控制器抽象層”的簡稱，即單片機外設驅動程序設計。與電源軟件相關的MCAL包括DIO、ADC和SPI三個模塊，在“EB Tresos”中配置參數并生成代碼即可，其中SPI通信設定為“異步”方式。

ECAL是“ECU抽象層”的簡稱，包含ADC結果輪詢讀取和模擬量含義封裝兩部分，前者以10ms為周期讀取各ADC通道的轉換結果;后者將每個模擬量所代表的意義封裝起來供需要的程序模塊調用，FS8510驅動僅需要獲取AMUX電壓的采樣值。

4.2 電源芯片驅動設計

FS8510芯片驅動程序分初始化和主流程兩部分，下面分別進行說明。

4.2.1 芯片驅動初始化

圖6為FS8510芯片驅動的初始化流程，下面分模塊進行說明。

（1）初始化FS_I寄存器

FS_I寄存器是指必須在“INIT_FS”階段進行初始化操作的寄存器，這里主要將看門狗窗口寄存器FS_WD_WINDOW配置為“看門狗窗口周期256ms，看門狗窗口占空比50%”。

（2）退出INIT_FS

退出“INIT_FS”的方法是執行1次正確的看門狗刷新。

在正確退出INIT_FS后，RSTB管腳為高電平，FS0B仍保持低電平狀態，需要任意1次SPI操作使失效安全流程啟動ABIST2，待其校驗成功后，再手動釋放FS0B，使其變為高電平。

（3）初始化非FS_I寄存器

根據需要配置非FS_I寄存器，特別指出的是為滿足EMC要求，最好將時鐘寄存器M_CLOCK配置為“主頻調制使能”。

（4）時間要求

所有初始化步驟應在100ms內完成，芯片驅動模塊將向應用層上報FS8510初始化成功或失敗的標志。

4.2.2 芯片驅動主流程

FS8510初始化完成后將周期性執行各個任務，如表6所列。

（1）管腳采集

FS8510芯片驅動需要采集FS0B的狀態，程序采用“連續2次值一致認定有效”的方式。

（2）AMUX通道切換

FS8510可通過配置AMUX寄存器，采用分時復用的方式監測各路模擬量的值，這個任務實現輪詢切換的過程。

（3）看門狗刷新

看門狗窗口周期為256ms，其中CLOSE窗口128ms，程序在每個周期開始后的150ms處啟動喂狗，圖7為看門狗操作程序流程圖。

（4）獲取芯片運行和異常狀態

根據需要獲取芯片運行和異常狀態，程序分兩個步驟進行：讀取和存儲寄存器的狀態;清除寄存器標志。

（5）獲取電源芯片安全參數

判定設備安全自檢狀態：當LBIST_OK、ABIST1_OK、ABIST2_OK的值均為1時，認為安全自檢通過;否則認為安全自檢不通過。

獲取故障偏差計數器的值：直接讀取寄存器值即可。

（6）FS0B釋放

當同時滿足以下3個條件時，需執行FS0B釋放的操作。

①LBIST_OK=ABIST1_OK= ABIST2_OK=1

②故障偏差計數器=0

③FS0B=0

5 結語

本文從新能源商用車VCU對電源系統功能安全方面的需求入手，介紹了以FS8510為核心芯片的板上供電架構及軟硬件設計方案。從前文描述可知，該方案的核心芯片符合ASIL D等級，每一路電壓輸出都有過欠壓監控和保護，兩路喚醒源冗余輸入，電源芯片與主控芯片進行復雜問答式看門狗交互，這些措施使得其更符合功能安全的要求，為車載ECU的板上供電方案提供了很好的參考。

參考文獻：

[1]FS84_FS85 v3.0，Datasheet，2019.

[2]35FS4500-35FS6500SDS，Datasheet，2019.

[3]Infineon-TLE9278-3BQX V33-DataSheet-v01_50-EN，Datasheet，2019.

[4]MC33907-MC33908D2，Datasheet，2019.

[5]ISO 26262： 2018 Road vehicles-Functional safety.

[6]GB/T 34590.1 - 2017，道路車輛功能安全.

[7]王啟彬，劉洪梅，曹魯明，等. 基于ISO26262的商用車車身電控系統功能安全設計[J]. 重型汽車，2019，5： 12-13.

[8]何曉寧. 高級電源管理芯片FS1610及其應用[J]. 電子元器件應用，2019，2： 22-28.

[9]徐闖，譚雁清. 基于ISO26262的商用車電動助力轉向功能安全設計[J]. 汽車零部件，2018，6：34-36.

[10]孟海斌，張紅雨. 嵌入式系統電源芯片選型與應用[J]. 單片機與嵌入式系統應用，2012，12：7-10.

[11]馮云梅，石芹俠，廉小親. 電源管理芯片MAX710的應用[J]. 北京工商大學學報（自然科學版），2001，12，21-24.

[12]姜朋昌，王春芳，戴能紅，等. 純電動汽車整車控制器開發[J]. 輕型汽車技術，2015，5/6，13-16.

[13]汪靜. 純電動汽車整車控制器的設計[J]. 無線互聯科技，2019. 4： 68-70.

[14]王煒. 基于功能安全的電動汽車整車控制器開發與實現[D]. 長沙： 湖南大學，2018.

[15]蘆文峰. 滿足ISO26262標準的EV整車控制單元開發研究[D]. 成都： 西華大學，2018.