2023年12月5日发(作者：)

NEW ENERGY AUTOMOBILE

| 新能源汽车 时代汽车 符合功能安全的电源管理方案在新能源商用车VCU中的应用李漠尘　熊建　赵鑫龙　宋屹璋北汽福田汽车股份有限公司 北京市 102206摘 要： 本文介绍了一种应用在新能源商用车VCU上的电源管理方案，以一款符合车载功能安全（ISO26262标准和ASIL D等级）的电源管理芯片FS8510为核心，聚焦电源系统的芯片选型依据和软硬件设计方案，突出其在提升车载电控模块功能安全方面所做的措施。关键词：新能源商用车　VCU　电源　功能安全　FS8510Functional Safe Power Management Scheme Applied to New Energy Commercial Vehicle VCULi Mochen　Xiong Jian　Zhao Xinlong　Song YizhangThis article introduces a power management scheme applied to VCU of new energy commercial vehicles, which applies FS8510 which is an automotive

Abstract：

functional safe multi-output power supply integrated circuit with ISO26262 standard and ASIL D capable, and focuses on the chip selection basis and

hardware/software design solutions for power system to improve the functional safety of the vehicle electronic control module.

Key words：new energy commercial vehicle, VCU, power, functional safety, FS8510醒、看门狗刷新、异常上报等常规功能的基１　引言整车控制器VCU（Vehicle Controller

Unit）作为新能源汽车“三电”的核心模块之一，担负着控制汽车行驶的重要任务，其可靠性的高低直接决定着车辆的安全性[14]，VCU的主要功能是依据采集到的的档位及加速踏板等信号，将控制信息发送给各类子系统[11]，驱动车辆正常行驶。随着电控系统越来越多的参与到整车控制中，对电控系统的安全性提出了更高的要求。针对这一情况，国际标准化组织在2011年颁布了ISO26262标准，并在2018年对其进行了更新[5]（对应的国家标准为GB/T

34590.1-2017，道路车辆功能安全）。新标准对于大于3.5t的商用车也开始适用，且引入了半导体层面功能安全。电源系统是VCU中不可缺少的重要组成部分。本文简要介绍了以FS8510为核心芯片的电源架构及其软硬件实现方法，突出该方案在满足电压生成、电压监测、休眠唤表1　VCU电源管理芯片选型芯片MC33908础上，在提升车载VCU功能安全方面采取的诸多措施。电压系统12V12V12V12V/24VASIL等级DDQMD2　电源总体方案下面对应用在新能源商用车VCU上的电源管理总体方案进行说明，包括核心芯片选型依据、电源架构、FS8510功能介绍等。2.1　商用车电源芯片选型VCU电源芯片在选型过程中，应遵循以下原则。（1）电源芯片最好适用于24V商用车系统，这样就无需前级DC/DC降压电路，可提高电源转换效率。（2）依据ISO26262的定义，按照严重程度、暴露概率和可控制性的三维风险矩阵，确定应用在VCU上的电源管理芯片应符合ASIL C以上安全等级。表1为在VCU电源系统设计选型阶段参照的四款常见车载电源管理芯片的对照表。对照电源芯片选型原则，NXP公司的VbatGNDMC35FS4500TLE9278FS8510FS8510在满足VCU电源系统各项需求的基础上，可同时满足12V和24V车载系统的应用，且符合ASIL D安全等级，是新能源商用车VCU电源管理芯片的理想选择。2.2　电源架构图1为VCU板上供电架构示意图，从图图1　VCU电源架构5V-ICESD保护防反接滤波WAKE1WAKE25.74V9~32VFS85103.3V1.3V5V-ADCFor MCUFor IC5xTrackerFor sensorAUTO TIME

91

Copyright©博看网 . All Rights ENERGY AUTOMOBILE

| 新能源汽车中可以看出，该方案用一个芯片满足了硬件所有供电需求，降低了电路复杂度及物料成本。2.3　FS8510功能介绍2.3.1　电压生成FS8510的电压入口是蓄电池电源，出口是通过升压或降压电路生成的各个电压，如2.3.3　通信接口单片机可通过SPI/I2C方式对FS8510的寄存器进行配置或读取。新能源商用车VCU项目中，MCU与FS8510通过四线制SPI通信，通信数据格式如表4所列。图2　看门狗刷新原理示意图Open WindowOpen WindowOpen WindowClose Window第1个窗口Close WindowClose Window喂狗完成喂狗完成第2个窗口第3个窗口喂狗完成...假设看门狗窗口配置为256ms6时间轴(ms)表2所列。表4　SPI通信数据格式引脚功用数据格式Bit31：主寄存器或失效安全寄表2　电源芯片输入输出电压分配模块名VSUP（1）喂狗方式喂狗方式涉及到MCU与FS8510的交互，分为如下几个步骤。①FS8510生成一个16位伪随机码，作为线性回馈移位寄存器LFSR（Linear

Feedback Shift Register）的值。②MCU通过读取FS_WD_SEED寄存器得到看门狗LFSR值，即WD_SEED。③MCU通过图3所示的公式计算WD_ANSWER。功用电源芯片供电：外部电池提供高电压降压变换电路控引脚50/51电压值MCU向12V/24VMOSIFS8510发送数据存器选择，0表示主寄存器，1表示失效安全寄存器Bit30-25：寄存器地址Bit24：读写标志位，0表示读，1表示写Bit23-8：控制位Bit7-0：CRC校验码Bit31-24：通用设备状态VPRE制器：用于电路板外围芯片供电低电压升压转换器：445VVBOOST用于电路板电压跟随器输入低电压降压转换器：535.74VMISOMCU从FS8510读取数据Bit23-8：扩展设备状态，或设备内部控制寄存器内容，或设备标志Bit7-0：CRC校验码BUCK1为电路板的单片机提供1.3V低电压降压转换器：为371.3VCSBSCLK片选信号时钟信号无无图3　复杂看门狗计算公式WD_SEED[23:8]X+-NOT/WD_ANSWER[23:8]BUCK3电路板的单片机和外围芯片供电线性电压调节器：为电73.3V写命令：MISO[23:8]为写之前寄存器555V4644aaa-031017LDO1路板的单片机提供参考电压线性电压调节器：用于的内容，MISO[7:0]为FS8510所发内容的CRC校验码。读命令：MOSI[23:8]应全为0，MOSI[7:0]④MCU在OPEN看门狗窗口期间将WD_ANSWER发送给FS8510。⑤FS8510对WD_ANSWER进行验证，如果校验通过，看门狗窗口重启并生寄存器的成一个新的LFSR；如果校验失败，WD错误计数器值增加，看门狗窗口重启且LFSR的值不变。（2）看门狗效果FS8510内含看门狗错误计数器，用于为无效喂狗操作滤波。每次看门狗刷新失败，错误计数器的值加2；每次看门狗刷新成功且其值不为0，错误计数器的值减1。当其值增为6（可配置）时，可配置RSTB拉低，从而使单片机复位。2.3.6　电压管理电压管理负责监控VCOREMON、VDDIO和VMONx管脚（x=1、2、3、4）的输入电压是否过压或欠压。当它们的输入电压高于或低于理论值的10%时，相关寄存器的相应标志会置位，同时可通过配置触发RSTB或FS0B管脚生效（下降沿），表5列出各管脚监控电压的理论值。LDO2电路板电压跟随器调节电压输入545V为MCU发送内容的CRC校验码。2.3.4　休眠唤醒功能2.3.2　模拟多路复用器FS8510提供多路复用器的电源监测功能，将AMUX脚接到单片机的ADC输入口，通过SPI/I2C配置AMUX[4:0]实现不同通道电压的采集。配置“M_MODE”“GOTOSTBY”位为1，芯片将进入休眠模式；给WAKE1或WAKE2管脚一个上升沿的脉冲，芯片即被唤醒。2.3.5　看门狗电源芯片采用窗口看门狗，前半个窗口被称作关闭（CLOSED），后半个窗口被称作打开（OPEN）。有效喂狗操作是指在OPEN窗口中进行了正确的看门狗应答，无效喂狗操作是指在OPEN窗口中进行了错误的看门狗应答，或没有在OPEN窗口中刷新看门狗，或在CLOSE窗口中进行了正确的看门狗应答。在一次有效喂狗操作或无效喂狗操作之后，新的窗口周期立即启动，这就确保了MCU与窗口看门狗保持同步，如图2所示，其中的窗口周期和窗口占空比可通过寄存器配置。表3　AMUX输出选择AMUX[4:0]1110AMUX输出信号选择GNDVBUCK1电压VBUCK3电压 ÷ 2.5VPRE电压 ÷ 2.5VBOOST电压 ÷ 2.5VLDO1电压 ÷ 2.5VLDO2电压 ÷ 2.5VSUP1电压 ÷ 7.5或1492 AUTO TIMECopyright©博看网 . All Rights ENERGY AUTOMOBILE

| 新能源汽车 时代汽车 表5　电压管理监控电压理论值管脚名VCOREMONVDDIOVMON1VMON2VMON3VMON4唤醒源，其中钥匙开关KL15信号同时连接WAKE1和WAKE2，目的是当其中一路唤醒源失效时仍可以通过用户“开启钥匙开关”保证VCU正常工作。（2）退出INIT_FS退出“INIT_FS”的方法是执行1次正确的看门狗刷新。在正确退出INIT_FS后，RSTB管脚为高电平，FS0B仍保持低电平状态，需要任意1次SPI操作使失效安全流程启动ABIST2，待其校验成功后，再手动释放FS0B，使其变为高电平。（3）初始化非FS_I寄存器根据需要配置非FS_I寄存器，特别指出的是为满足EMC要求，最好将时钟寄存器M_CLOCK配置为“主频调制使能”。（4）时间要求所有初始化步骤应在100ms内完成，芯监测电压BUCK1LDO1VPRELDO2BUCK3BUCK3电压理论值1.3V5V5V5V3.3V3.3V图5　FS8510唤醒电路2.3.7　工作流程FS8510的工作流程分为主状态机（main state machine）和失效安全状态机（fail-safe state）两部分，是彼此电子独立、物理分离又同时运行的两套流程。（1）主状态机FS8510主状态机主要实现各电压的上下电。上电顺序为：VPRE、VBOOST、VREGx（BUCK1、BUCK2、BUCK3、LDO1、LDO2）；下电顺序为：VREGx（BUCK1、BUCK2、BUCK3、LDO1、LDO2）、VBOOST、VPRE。（2）失效安全状态机失效安全状态机主要涉及到功能安全相关的操作，包括安全输出口（RSTB、FS0B）释放、内部自检等。3.2　单片机复位FS8510芯片的RSTB脚与单片机的RESET相连，当程序无法正常喂狗导致RSTB拉低时，可同时触发主控芯片复位。片驱动模块将向应用层上报FS8510初始化成功或失败的标志。图6　FS8510芯片驱动初始化流程开始4　软件设计新能源VCU软件采用AUTOSAR平台进行开发，电源部分程序设计分为以下几个部分。4.1　MCAL和ECAL设计MCAL是“微控制器抽象层”的简称，即单片机外设驱动程序设计。与电源软件相关的MCAL包括DIO、ADC和SPI三个模块，在“EB Tresos”中配置参数并生成代码即可，其中SPI通信设定为“异步”方式。ECAL是“ECU抽象层”的简称，包含ADC结果轮询读取和模拟量含义封装两部分，前者以10ms为周期读取各ADC通道的转换判断初始化过程持续的时间初始化时长超过100ms?Y置初始化失败标志3　硬件设计图4为FS8510的应用框图，下面列出新能源VCU硬件电路电源模块设计的要点。手动进入INIT_FS阶段进入初始化失败模式初始化FS_I寄存器初始化非FS_I寄存器图4　FS8510应用框图结果；后者将每个模拟量所代表的意义封装起来供需要的程序模块调用，FS8510驱动仅

需要获取AMUX电压的采样值。4.2　电源芯片驱动设计FS8510芯片驱动程序分初始化和主流程两部分，下面分别进行说明。NFS_I寄存器初始化完成?N非FS_I寄存器初始化完成?YY

操作退出INIT_FS阶段进入正常运行模式4.2.1　芯片驱动初始化图6为FS8510芯片驱动的初始化流程，下面分模块进行说明。（1）初始化FS_I寄存器FS_I寄存器是指必须在“INIT_FS”阶N成功退出INIT_FS?Y

检查是否成功退出INIT_FS3.1　唤醒功能外部信号的上升沿可通过WAKE1或WAKE2唤醒电源芯片，单片机可监测发生作用的唤醒源。新能源VCU共设计了5路段进行初始化操作的寄存器，这里主要将看门狗窗口寄存器FS_WD_WINDOW配置为“看门狗窗口周期256ms，看门狗窗口占空比50%”。结束AUTO TIME

93

Copyright©博看网 . All Rights ENERGY AUTOMOBILE

| 新能源汽车4.2.2　芯片驱动主流程FS8510初始化完成后将周期性执行各个任务，如表6所列。获取故障偏差计数器的值：直接读取寄存器值即可。（6）FS0B释放当同时满足以下3个条件时，需执行参考文献:[1]FS84_FS85 v3.0，Datasheet，2019.[2]35FS4500-35FS6500SDS，Datasheet，2019.[3]Infineon-TLE9278-3BQX V33-DataSheet-v01_50-EN，Datasheet，2019.[4]MC33907-MC33908D2，Datasheet，2019.[5]ISO 26262: 2018 Road vehicles-Functional

safety.[6]GB/T 34590.1 - 2017，道路车辆功能安全.[7]王启彬，刘洪梅，曹鲁明，等. 基于ISO26262的商用车车身电控系统功能安全设计[J]. 重型汽车，2019，5： 12-13.[8]何晓宁. 高级电源管理芯片FS1610及其应用[J]. 电子元器件应用，2019，2： 22-28.表6　FS8510芯片驱动主流程任务描述模块名管脚采集AMUX通道切换看门狗刷新获取芯片运行和异常状态获取电源芯片安全参数FS0B释放判定设备安全自检状态；获取故障偏差计数器的值当FS0B==0且满足相应条件时将其释放50ms10ms读取各寄存器状态100msFS0B释放的操作。①LBIST_OK=ABIST1_OK= ABIST2_OK=1②故障偏差计数器=0③FS0B=0功用采集FS0B管脚的状态切换通道以采集不同的模拟量在OPEN窗口喂狗引脚10ms电压值始终执行初始化完成后进行初始化完成后进行30ms10ms图7　看门狗操作程序流程图开始初始化完成后进行初始化500ms后进行初始化500ms后进行YN喂狗时机到?检查喂狗时机计算并发送看门狗应答值(WD_ANSWER)[9]徐闯，谭雁清. 基于ISO26262的商用车电动助力转向功能安全设计[J]. 汽车零部件，2018，6：34-36.[10]孟海斌，张红雨. 嵌入式系统电源芯片选型与应用[J]. 单片机与嵌入式系统应用，2012，12：7-10.等待电源芯片回应（1）管脚采集FS8510芯片驱动需要采集FS0B的状态，程序采用“连续2次值一致认定有效”的方式。（2）AMUX通道切换FS8510可通过配置AMUX寄存器，采用分时复用的方式监测各路模拟量的值，这个任务实现轮询切换的过程。（3）看门狗刷新看门狗窗口周期为256ms，其中CLOSE窗口128ms，程序在每个周期开始后的150ms处启动喂狗，图7为看门狗操作程序流程图。（4）获取芯片运行和异常状态根据需要获取芯片运行和异常状态，程序分两个步骤进行：读取和存储寄存器的状态；清除寄存器标志。（5）获取电源芯片安全参数判定设备安全自检状态：当LBIST_OK、ABIST1_OK、ABIST2_OK的值均为1时，认为安全自检通过；否则认为安全自检不通过。N请求电源芯片的种子(WD_SEED)N电源芯片回应?[11]冯云梅，石芹侠，廉小亲. 电源管理芯片MAX710的应用[J]. 北京工商大学学报（自然科学版），2001，12，21-24.[12]姜朋昌，王春芳，戴能红，等. 纯电动汽车整车控制器开发[J]. 轻型汽车技术，2015，5/6，13-16.[13]汪静. 纯电动汽车整车控制器的设计[J].

无线互联科技，2019. 4： 68-70.[14]王炜. 基于功能安全的电动汽车整车控制器开发与实现[D]. 长沙： 湖南大学，2018.[15]芦文峰. 满足ISO26262标准的EV整车控制单元开发研究[D]. 成都： 西华大学，2018.Y检查是否接收到种子复位计数器开始新一轮时标计数接收到种子?Y5　结语本文从新能源商用车VCU对电源系统功能安全方面的需求入手，介绍了以FS8510为核心芯片的板上供电架构及软硬件设计方案。从前文描述可知，该方案的核心芯片符合ASIL D等级，每一路电压输出都有过欠压监控和保护，两路唤醒源冗余输入，电源芯片与主控芯片进行复杂问答式看门狗交互，这些措施使得其更符合功能安全的要求，为车载ECU的板上供电方案提供了很好的参考。94 AUTO TIMECopyright©博看网 . All Rights Reserved.