一种双MCU控制双路EPB切换驱动装置及方法与流程

本发明属于epb驱动电路，具体地说，本发明涉及一种双mcu控制双路epb切换驱动装置及方法。

背景技术：

1、电子驻车制动系统epb作为汽车底盘安全的核心执行部件，其可靠性直接决定整车驻车安全及驾乘人员安全。当前主流电子驻车制动系统epb控制器采用双微控制处理器mcu冗余架构，两路微控制处理器mcu通过串行外设接口spi总线与驱动芯片通信，驱动芯片控制h桥输出至卡钳电机。为降低硬件成本与走线复杂度，现有方案普遍将双微控制处理器mcu的串行外设接口spi信号直接并联连接至同一驱动芯片的同一串行外设接口spi接口，总线控制权依赖软件协议进行互锁仲裁。该架构在上电初始化阶段、微控制处理器mcu软件跑飞或通信协议栈异常时，串行外设接口spi总线易发生电平竞争与指令冲突，导致驱动芯片接收错误配置字或h桥驱动信号异常，进而引发卡钳非预期夹紧或释放。同时，软件互锁机制属于共因失效敏感型设计，双微控制处理器mcu运行相同协议栈时，共用代码缺陷或编译器错误可同时影响两路微控制处理器mcu，无法满足iso 26262对冗余通道独立性的硬件层级要求。

2、现有冗余切换策略主要针对微控制处理器mcu内核的运算故障，但对电源掉电、串行外设接口spi物理层通信中断、缓冲器或电平转换通路失效等单点故障未设置独立监测与接管逻辑。当一路微控制处理器mcu的供电电源跌落或串行外设接口spi输出引脚发生对地短路时，系统无法识别该故障为单通道失效，仍维持原有总线抢占状态，故障通道未及时脱离总线，健康通道亦无法获得有效总线控制权。此外，系统缺乏单点故障后的容错响应机制，例如串行外设接口spi通信crc校验错误或驱动芯片状态寄存器读取超时等常见故障，均未配置独立的硬件级故障注入与检测电路，使得单点故障发生后系统无法触发安全状态过渡，不符合iso 26262 asil d等级对单点故障度量的量化要求。

3、在故障降级策略方面，现有方案仅提供全功能或全无功能两种状态。当任意一路执行机构发生故障时，系统直接关闭全部电子驻车制动系统epb输出，整车丧失驻车维持能力，无法在单侧执行器失效时依靠另一侧维持基础驻车力矩。同时，该架构未设计分级降级模式，例如故障后仅禁用故障通道并保持健康通道以限幅电流方式提供驻车力，导致车辆在坡道或重载工况下驻车功能完全失效，不满足iso 26262对故障后安全状态的可控性与可用性定义。针对硬件资源利用，现有设计为每路电子驻车制动系统epb通道独立配置串行外设接口spi外设引脚，双微控制处理器mcu共需至少四组spi端口，不仅增加pcb走线层数与连接器引脚数，还占用微控制处理器mcu有限的dma与中断资源，不利于控制器小型化集成与物料成本控制。

技术实现思路

1、本发明旨在克服现有技术的不足，提供一种双mcu控制双路epb切换驱动装置及方法。

2、为了实现上述目的，本发明采取的技术方案为：一种双mcu控制双路epb切换驱动装置,包括电源模块1、主控模块2、缓冲开关模块3、h桥驱动模块4、电子手刹模块5；电源模块1与主控模块2连接；主控模块2与缓冲开关模块3连接；缓冲开关模块3与h桥驱动模块4连接；h桥驱动模块4与电子手刹模块5连接。

3、电源模块1提供电源传输给主控模块2；主控模块2传输控制指令数据至缓冲开关模块3；缓冲开关模块3传输控制指令至h桥驱动模块4；h桥驱动模块4传输驱动指令至电子手刹模块5。

4、电源模块1包括第一电源单元pmic_a、第二电源单元pmic_b；主控模块2包括第一主控单元mcua、第二主控单元mcub；缓冲开关模块3包括第一缓冲开关sw1、第二缓冲开关sw2、第三缓冲开关sw3、第四缓冲开关sw4；h桥驱动模块4包括第一h桥驱动单元a、第二h桥驱动单元b；电子手刹模块5包括左电子手刹单元、右电子手刹单元；第一h桥驱动单元a包括左h桥驱动芯片、左h桥；第二h桥驱动单元b包括右h桥驱动芯片、右h桥。

5、第一电源模块pmic_a与第一主控模块mcua连接；第一主控模块mcua与第一缓冲开关sw1、第二缓冲开关sw2连接；第二电源模块pmic_b与第二主控模块mcub连接；第二主控模块mcub与第三缓冲开关sw3、第四缓冲开关sw4连接；第一主控模块mcua与第二主控模块mcub连接；第二主控模块mcub与第一缓冲开关sw1、第二缓冲开关sw2连接，对第一主控模块mcua控制的缓冲开关进行状态监控；第一主控模块mcua与第三缓冲开关sw3、第四缓冲开关sw4连接，对第二主控模块mcub控制的缓冲开关进行状态监控；第一缓冲开关sw1、第三缓冲开关sw3与第一h桥驱动单元a连接；第二缓冲开关sw2、第四缓冲开关sw4与第二h桥驱动单元b连接；第一主控模块mcua信号通过第一缓冲开关sw1、第二缓冲开关sw2控制第一h桥驱动单元a、第二h桥驱动单元b连接；第二主控模块mcub信号通过第三缓冲开关sw3、第四缓冲开关sw4控制第一h桥驱动单元a、第二h桥驱动单元b连接；第一h桥驱动单元a与左电子手刹单元连接；第二h桥驱动单元b与右电子手刹单元连接。

6、第一电源单元pmic_a、第二电源单元pmic_b为两路独立的电源域，分别为第一主控单元mcua、第二主控单元mcub供电；第一电源单元pmic_a、第二电源单元pmic_b两者任一电源掉电，均不影响另一路电源供电。

7、第一主控单元mcua、第二主控单元mcub使用独立时钟源和唤醒源；第一主控单元mcua、第二主控单元mcub之间通过通用异步收发传输器uart串行总线连接，周期内交换参数数据；第一主控单元mcua、第二主控单元mcub各分配一路串行外设接口spi控制电子驻车制动系统epb。

8、第一缓冲开关sw1、第二缓冲开关sw2、第三缓冲开关sw3、第四缓冲开关sw4具备低电平有效的输出使能oe；输出使能oe高电平时两侧端口物理隔离、呈高阻态；输出使能oe低电平时两侧端口双向导通；第一缓冲开关sw1、第二缓冲开关sw2、第三缓冲开关sw3、第四缓冲开关sw4的输出使能oe引脚通过上拉电阻连接至对应侧电源，装置上电时缓冲开关模块3默认高电平关断，全部控制通路处于物理隔离状态；第二主控单元mcub的状态检测端口连接至第一缓冲开关sw1、第二缓冲开关sw2的输出使能oe引脚；第一主控单元mcua的状态检测端口连接至第三缓冲开关sw3、第四缓冲开关sw4的输出使能oe引脚；左h桥和右h桥中的n沟道金属氧化物半导体场效应晶体管nmos接收到系统的紧急停止信号会直接拉低对应侧缓冲开关的输出使能oe电平，强制关断控制通路。

9、左h桥驱动芯片和右h桥驱动芯片独立驱动一组全桥功率电路；左h桥和右h桥四颗n沟道金属氧化物半导体场效应晶体管nmos组成；左h桥驱动芯片和右h桥驱动芯片控制上下桥臂通断，驱动卡钳电机正反转；左h桥和右h桥上下桥臂各串联一颗高精度电流采样电阻，采样信号独立接入左h桥驱动芯片和右h桥驱动芯片的电流检测引脚；全桥功率电路设置独立的硬件输出关断回路。

10、左h桥驱动芯片和右h桥驱动芯片的故障反馈引脚均为开漏输出结构，经上拉电阻接电源后分为两路分别接入第一主控单元mcua、第二主控单元mcub的外部中断端口。

11、一种双mcu控制双路epb切换驱动装置的方法，方法包括以下步骤：

12、s1：系统上电，装置进行初始化，缓冲开关模块3默认高电平关断；

13、s2：第一主控单元mcua初始化后拉低第一缓冲开关sw1、第二缓冲开关sw2的输出使能oe引脚使其导通，随后通过串行外设接口spi总线完成两颗h桥驱动芯片的寄存器配置；

14、s3：第二主控单元mcub初始化后执行硬件互锁检测，采集第一缓冲开关sw1、第二缓冲开关sw2的输出使能oe引脚电平是否为低电平；

15、s4：若第一缓冲开关sw1、第二缓冲开关sw2的输出使能oe引脚电平为低电平，第二主控单元mcub保持第三缓冲开关sw3、第四缓冲开关sw4的输出使能oe引脚为高电平，关闭自身串行外设接口spi外设输出，保留异步收发传输器uart串行总线与第一主控单元mcua通信和输出使能oe状态检测与故障引脚监控功能，进入冗余待机模式；

16、s5：若第一缓冲开关sw1、第二缓冲开关sw2的输出使能oe引脚电平为高电平，第二主控单元mcub拉低第三缓冲开关sw3、第四缓冲开关sw4的输出使能oe引脚使其导通，通过串行外设接口spi总线完成两颗h桥驱动芯片的寄存器配置，进入主动控制状态；

17、s6：第一主控单元mcua、第二主控单元mcub通过异步收发传输器uart串行总线持续监控对方侧缓冲开关的输出使能oe引脚电平，一旦检测到对方异常使能，立即触发总线冲突告警并执行状态仲裁；

18、s7：第一主控单元mcua、第二主控单元mcub同时监控h桥驱动芯片故障引脚，若故障持续有效且第一主控单元mcua、第二主控单元mcub未在设定时间内处理，判定驱动层失效；

19、s8：整车下电。

20、本发明的技术效果为：全故障场景容错，符合功能安全要求：通过硬件强制关断回路覆盖微控制处理器mcu端口锁死活故障，确保任意单点故障下均可可靠接管，满足asil b等级单点故障容错要求；硬件级互锁，规避软件共因失效：上电隔离、通路切断等核心互锁能力均由硬件电路保障，不依赖串行外设接口spi或串口通信协议；相比常规纯软件互锁方案，彻底避免了软件跑飞导致互锁逻辑同时失效的风险，互锁机制的独立性与可靠性显著提升；上电时序可控，量产一致性高：上拉默认关断+冗余侧延时检测，从硬件层面保证默认主控优先接管，消除上电竞争冒险，适配域控双微控制处理器mcu 复杂的初始化场景；分级响应，安全与可用性兼顾：系统级故障无缝接管，执行级故障降级运行，既保证安全底线，又减少不必要的切换风险，故障后仍保留法规要求的基础驻车能力；外设资源高度精简：单微控制处理器 mcu仅一路串行外设接口spi外设实现双路电子驻车制动系统epb控制与冗余，节约域控微控制处理器mcu接口资源，适配域控制器集成化发展趋势。