[發明專利]電子控制器程序流監控系統及方法

有效

• 申請號: 201811210111.X
• 申請日: 2018-10-17
• 公開（公告）號: CN111061243B
• 公開（公告）日: 2023-05-26
• 發明（設計）人: 黃文卿;鄭海濤;姜海龍;宋俊峰;閆巖
• 申請（專利權）人: 聯合汽車電子有限公司
• 主分類號: G05B23/02
• 分類號: G05B23/02
• 代理公司: 上海思微知識產權代理事務所(普通合伙) 31237
• 代理人: 屈蘅

本發明提供了一種電子控制器程序流監控系統及方法，包括內部看門狗模塊、外部看門狗模塊、外部看門狗答案生成模塊和程序流監控模塊，內部看門狗模塊生成一問題，程序流監控模塊根據問題生成程序流監控答案，并將程序流監控答案發送至內部看門狗模塊和外部看門狗答案生成模塊；內部看門狗模塊檢驗程序流監控答案是否錯誤，若是，則關閉電子控制器；內部看門狗模塊向外部看門狗答案生成模塊發送一預設值；外部看門狗答案生成模塊根據預設值和程序流監控答案生成外部看門狗的答案，并將外部看門狗答案發送至外部看門狗模塊；外部看門狗模塊通過外部看門狗的答案檢驗程序流監控答案與預設值是否有錯誤，若是，則關閉電子控制器。

技術領域

本發明涉及汽車控制器技術領域，特別涉及一種電子控制器程序流監控系統及方法。

背景技術

隨著汽車系統復雜性的提高，軟件和機電設備的應用，來自系統失效和隨機硬件失效的風險也日益增加，安全將是汽車電子控制器(如發動機控制器，電機驅動控制器，整車控制器等)研發中越來越重要的指標。基于這種需要，第一版車用功能安全國際標準ISO26262已于2011年11月正式頒布，第二版也有望于2018年實施。標準規定需要對功能安全所涉及到的硬件進行診斷，保證故障被檢測到，并且錯誤響應是可控的。

目前多數的控制和診斷功能都基于單片機軟件實現，單片機硬件的失效可能直接導致違背安全目標的事件發生，因此需要對單片機內部的各種硬件單元進行監控。對于單片機內部的程序執行過程和時鐘，現有的方案大多是使用外部智能看門狗芯片，以周期問答的方式對電子控制器的軟件的執行時序進行監控，這就是程序流監控。如圖1所示，使用獨立時鐘晶振的智能看門狗芯片周期性產生并發送問題給單片機，當單片機接收到問題后，對問題進行解碼然后輸入給程序流監控模塊，程序流監控模塊根據輸入的問題產生相應的答案，經編碼后發給外部智能看門狗。看門狗對答案進行監控，如果單片機出現故障，程序未按規定的時序運行或者軟件計算結果異常，則答案就會不正確或未在規定的時間內傳給看門狗芯片，外部智能看門狗的錯誤計數器會增加。當錯誤計數器超過閾值時，會觸發信號去重啟單片機和關斷安全相關輸出(如節氣門，高壓油泵或電機等)。

智能看門狗芯片雖然可以實現安全監控的功能，但是其內部功能復雜，導致軟硬件開發周期長，硬件成本高，同時滿足要求可供選擇的看門狗芯片種類稀少。

發明內容

本發明的目的在于提供一種電子控制器程序流監控系統及方法，以解決現有的智能看門狗芯片開發成本高的問題。

為解決上述技術問題，本發明提供一種電子控制器程序流監控系統，所述電子控制器程序流監控系統包括內部看門狗模塊、外部看門狗模塊、外部看門狗答案生成模塊和程序流監控模塊，其中：

所述內部看門狗模塊生成一問題，并將所述問題發送至所述程序流監控模塊；

所述程序流監控模塊根據所述問題生成程序流監控答案，并將所述程序流監控答案發送至所述內部看門狗模塊和所述外部看門狗答案生成模塊；

所述內部看門狗模塊檢驗所述程序流監控答案是否錯誤，若是，則關閉電子控制器；

所述內部看門狗模塊向所述外部看門狗答案生成模塊發送一預設值；

所述外部看門狗答案生成模塊根據所述預設值和所述程序流監控答案生成外部看門狗的答案，并將所述外部看門狗答案發送至外部看門狗模塊；

所述外部看門狗模塊通過外部看門狗的答案檢驗所述程序流監控答案與所述預設值是否有錯誤，若是，則關閉電子控制器。

可選的，在所述的電子控制器程序流監控系統中，所述內部看門狗模塊包括問題生成模塊、基值生成模塊、預設值生成模塊和答案驗證模塊，其中：

所述問題生成模塊生成所述問題，并將所述問題發送至所述程序流監控模塊、所述基值生成模塊和所述預設值生成模塊；