原标题：符合功能安全的电源管理方案在新能源商用车VCU中的应用

　　符合功能安全的电源管理方案

　　在新能源商用车VCU中的应用

　　引言

　　PART/ 01

　　整车控制器VCU(Vehicle Controller Unit)作为新能源汽车“三电”的核心模块之一，担负着控制汽车行驶的重要任务，其可靠性的高低直接决定着车辆的安全性，VCU的主要功能是依据采集到的的档位及加速踏板等信号，将控制信息发送给各类子系统，驱动车辆正常行驶。

　　随着电控系统越来越多的参与到整车控制中，对电控系统的安全性提出了更高的要求。针对这一情况，国际标准化组织在2011年颁布了ISO26262标准，并在2018年对其进行了更新(对应的国家标准为GB/T34590.1-2017，道路车辆功能安全)。新标准对于大于3.5t的商用车也开始适用，且引入了半导体层面功能安全。

　　电源系统是VCU中不可缺少的重要组成部分。本文简要介绍了以FS8510为核心芯片的电源架构及其软硬件实现方法，突出该方案在满足电压生成、电压监测、休眠唤醒、看门狗刷新、异常上报等常规功能的基础上，在提升车载VCU功能安全方面采取的诸多措施。

　　电源总体方案

　　PART/ 02

　　下面对应用在新能源商用车VCU上的电源管理总体方案进行说明，包括核心芯片选型依据、电源架构、FS8510功能介绍等。

　　2.1 商用车电源芯片选型<<<<

　　VCU电源芯片在选型过程中，应遵循以下原则。

　　(1)电源芯片最好适用于24V商用车系统，这样就无需前级DC/DC降压电路，可提高电源转换效率。

　　(2)依据ISO26262的定义，按照严重程度、暴露概率和可控制性的三维风险矩阵，确定应用在VCU上的电源管理芯片应符合ASIL C以上安全等级。

　　表1为在VCU电源系统设计选型阶段参照的四款常见车载电源管理芯片的对照表。

　　对照电源芯片选型原则，NXP公司的FS8510在满足VCU电源系统各项需求的基础上，可同时满足12V和24V车载系统的应用，且符合ASILD安全等级，是新能源商用车VCU电源管理芯片的理想选择。

　　表1　VCU电源管理芯片选型

　　2.2 电源架构<<<<

　　图1为VCU板上供电架构示意图，从图中可以看出，该方案用一个芯片满足了硬件所有供电需求，降低了电路复杂度及物料成本。

　　图1　VCU电源架构

　　2.3 FS8510功能介绍<<<<

　　2.3.1 电压生成<<<<

　　FS8510的电压入口是蓄电池电源，出口是通过升压或降压电路生成的各个电压，如表2所列。

　　表2　电源芯片输入输出电压分配

　　2.3.2 模拟多路复用器<<<<

　　FS8510提供多路复用器的电源监测功能，将AMUX脚接到单片机的ADC输入口，通过SPI/I2C配置AMUX[4:0]实现不同通道电压的采集。

　　表3　AMUX输出选择

　　2.3.3 通信接口<<<<

　　单片机可通过SPI/I2C方式对FS8510的寄存器进行配置或读取。新能源商用车VCU项目中，MCU与FS8510通过四线制SPI通信，通信数据格式如表4所列。

　　表4　SPI通信数据格式

　　写命令：MISO[23:8]为写之前寄存器的内容，MISO[7:0]为FS8510所发内容的CRC校验码。

　　读命令：MOSI[23:8]应全为0，MOSI[7:0]为MCU发送内容的CRC校验码。

　　2.3.4 休眠唤醒功能<<<<

　　配置“M_MODE”寄存器的“GOTOSTBY”位为1，芯片将进入休眠模式;给WAKE1或WAKE2管脚一个上升沿的脉冲，芯片即被唤醒。

　　2.3.5 看门狗<<<<

　　电源芯片采用窗口看门狗，前半个窗口被称作关闭(CLOSED)，后半个窗口被称作打开(OPEN)。有效喂狗操作是指在OPEN窗口中进行了正确的看门狗应答，无效喂狗操作是指在OPEN窗口中进行了错误的看门狗应答，或没有在OPEN窗口中刷新看门狗，或在CLOSE窗口中进行了正确的看门狗应答。在一次有效喂狗操作或无效喂狗操作之后，新的窗口周期立即启动，这就确保了MCU与窗口看门狗保持同步，如图2所示，其中的窗口周期和窗口占空比可通过寄存器配置。

　　图2　看门狗刷新原理示意图

　　(1)喂狗方式

　　喂狗方式涉及到MCU与FS8510的交互，分为如下几个步骤。

　　① FS8510生成一个16位伪随机码，作为线性回馈移位寄存器LFSR(Linear Feedback Shift Register)的值。

　　② MCU通过读取FS_WD_SEED寄存器得到看门狗LFSR值，即WD_SEED。

　　③MCU通过图3所示的公式计算WD_ANSWER。

　　图3　复杂看门狗计算公式

　　④MCU在OPEN看门狗窗口期间将WD_ANSWER发送给FS8510。

　　⑤ FS8510对WD_ANSWER进行验证，如果校验通过，看门狗窗口重启并生成一个新的LFSR;如果校验失败，WD错误计数器值增加，看门狗窗口重启且LFSR的值不变。

　　(2)看门狗效果

　　FS8510内含看门狗错误计数器，用于为无效喂狗操作滤波。每次看门狗刷新失败，错误计数器的值加2;每次看门狗刷新成功且其值不为0，错误计数器的值减1。当其值增为6(可配置)时，可配置RSTB拉低，从而使单片机复位。

　　2.3.6 电压管理<<<<

　　电压管理负责监控VCOREMON、VDDIO和VMONx管脚(x=1、2、3、4)的输入电压是否过压或欠压。当它们的输入电压高于或低于理论值的10%时，相关寄存器的相应标志会置位，同时可通过配置触发RSTB或FS0B管脚生效(下降沿)，表5列出各管脚监控电压的理论值。

　　表5　电压管理监控电压理论值

　　2.3.7 工作流程<<<<

　　FS8510的工作流程分为主状态机(main state machine)和失效安全状态机(fail-safe state)两部分，是彼此电子独立、物理分离又同时运行的两套流程。

　　(1)主状态机

　　FS8510主状态机主要实现各电压的上下电。上电顺序为：VPRE、VBOOST、VREGx(BUCK1、BUCK2、BUCK3、LDO1、LDO2);下电顺序为：VREGx(BUCK1、BUCK2、BUCK3、LDO1、LDO2)、VBOOST、VPRE。

　　(2)失效安全状态机

　　失效安全状态机主要涉及到功能安全相关的操作，包括安全输出口(RSTB、FS0B)释放、内部自检等。

　　硬件设计

　　PART/ 03

　　图4为FS8510的应用框图，下面列出新能源VCU硬件电路电源模块设计的要点。

　　图4　FS8510应用框图

　　3.1 唤醒功能<<<<

　　外部信号的上升沿可通过WAKE1或WAKE2唤醒电源芯片，单片机可监测发生作用的唤醒源。新能源VCU共设计了5路唤醒源，其中钥匙开关KL15信号同时连接WAKE1和WAKE2，目的是当其中一路唤醒源失效时仍可以通过用户“开启钥匙开关”保证VCU正常工作。

　　3.2 单片机复位<<<<

　　FS8510芯片的RSTB脚与单片机的RESET相连，当程序无法正常喂狗导致RSTB拉低时，可同时触发主控芯片复位。

　　软件设计

　　PART/ 04

　　新能源VCU软件采用AUTOSAR平台进行开发，电源部分程序设计分为以下几个部分。

　　4.1 MCAL和ECAL设计<<<<

　　MCAL是“微控制器抽象层”的简称，即单片机外设驱动程序设计。与电源软件相关的MCAL包括DIO、ADC和SPI三个模块，在“EBTresos”中配置参数并生成代码即可，其中SPI通信设定为“异步”方式。

　　ECAL是“ECU抽象层”的简称，包含ADC结果轮询读取和模拟量含义封装两部分，前者以10ms为周期读取各ADC通道的转换结果;后者将每个模拟量所代表的意义封装起来供需要的程序模块调用，FS8510驱动仅需要获取AMUX电压的采样值。

　　4.2 电源芯片驱动设计<<<<

　　FS8510芯片驱动程序分初始化和主流程两部分，下面分别进行说明。

　　4.2.1 芯片驱动初始化<<<<

　　图6为FS8510芯片驱动的初始化流程，下面分模块进行说明。

　　(1) 初始化FS_I寄存器

　　FS_I寄存器是指必须在“INIT_FS”阶段进行初始化操作的寄存器，这里主要将看门狗窗口寄存器FS_WD_WINDOW配置为“看门狗窗口周期256ms，看门狗窗口占空比50%”。

　　(2) 退出INIT_FS

　　退出“INIT_FS”的方法是执行1次正确的看门狗刷新。

　　在正确退出INIT_FS后，RSTB管脚为高电平，FS0B仍保持低电平状态，需要任意1次SPI操作使失效安全流程启动ABIST2，待其校验成功后，再手动释放FS0B，使其变为高电平。

　　(3) 初始化非FS_I寄存器

　　根据需要配置非FS_I寄存器，特别指出的是为满足EMC要求，最好将时钟寄存器M_CLOCK配置为“主频调制使能”。

　　(4) 时间要求

　　所有初始化步骤应在100ms内完成，芯片驱动模块将向应用层上报FS8510初始化成功或失败的标志。

　　图6　FS8510芯片驱动初始化流程

　　4.2.2 芯片驱动主流程<<<<

　　FS8510初始化完成后将周期性执行各个任务，如表6所列。

　　表6　FS8510芯片驱动主流程任务描述

　　(1) 管脚采集

　　FS8510芯片驱动需要采集FS0B的状态，程序采用“连续2次值一致认定有效”的方式。

　　(2) AMUX通道切换

　　FS8510可通过配置AMUX寄存器，采用分时复用的方式监测各路模拟量的值，这个任务实现轮询切换的过程。

　　(3) 看门狗刷新

　　看门狗窗口周期为256ms，其中CLOSE窗口128ms，程序在每个周期开始后的150ms处启动喂狗，图7为看门狗操作程序流程图。

　　(4) 获取芯片运行和异常状态

　　根据需要获取芯片运行和异常状态，程序分两个步骤进行：读取和存储寄存器的状态;清除寄存器标志。

　　(5) 获取电源芯片安全参数

　　判定设备安全自检状态：当LBIST_OK、ABIST1_OK、ABIST2_OK的值均为1时，认为安全自检通过;否则认为安全自检不通过。

　　获取故障偏差计数器的值：直接读取寄存器值即可。

　　(6) FS0B释放

　　当同时满足以下3个条件时，需执行FS0B释放的操作。

　　①LBIST_OK=ABIST1_OK=ABIST2_OK=1

　　②故障偏差计数器=0

　　③FS0B=0

　　图7　看门狗操作程序流程图

　　本文从新能源商用车VCU对电源系统功能安全方面的需求入手，介绍了以FS8510为核心芯片的板上供电架构及软硬件设计方案。从前文描述可知，该方案的核心芯片符合ASIL D等级，每一路电压输出都有过欠压监控和保护，两路唤醒源冗余输入，电源芯片与主控芯片进行复杂问答式看门狗交互，这些措施使得其更符合功能安全的要求，为车载ECU的板上供电方案提供了很好的参考。

　　注：文章摘自《符合功能安全的电源管理方案在新能源商用车VCU中的应用》，作者：李漠尘、熊建、赵鑫龙、宋屹璋，仅供学习参考。若涉及版权等问题，请您及时联系我们处理。