Концепция за мониторинг на ECU: Трите нива на функционална безопасност

Концепция за мониторинг на ECU: Трите нива на функционална безопасност

04.05.2023 Off By Aliant Auto

В съвременните автомобили, електронният контролен модул (ECU) играе решаваща роля в управлението на двигателя, трансмисията и свързаните системи. За да се осигури надеждност, безопасност и ефективност на тези системи, е разработена концепция за мониторинг на ECU, която включва три основни нива: Функционално ниво (Level 1), Функционален мониторинг (Level 2) и Мониторинг на контролера (Level 3).

Тази статия ще се фокусира върху тези три нива, които са ключови за осигуряване на правилната работа на софтуера и хардуера, управляващи автомобила.

Level 1: Функционално ниво

Level 1 (основно ниво на управление) е базовото функционално ниво в архитектурата на мониторинг системата. Основните му задачи включват управление на двигателя, диагностика на сигнали и контрол на системни реакции при грешки.

Основни елементи на Level 1

  1. Управление на въртящия момент:
    • Преобразуване на искания въртящ момент от водача, получен чрез сигнали от педала на газта.
    • Контрол на моментите за подаване на гориво и съответното налягане в горивната система.
    • Управление на времето и количеството на впръскване на горивото (напр. чрез инжекторни карти).
  2. Входни и изходни сигнали:
    • Сензори (вход):
      • Сензори за позиция на педала на газта (APP1, APP2).
      • Сензори за налягане на горивото.
      • Температурни сензори (охладителна течност, въздух).
      • Сензори за скорост на въртене на двигателя (RPM).
    • Актуатори (изход):
      • Управление на дюзи за гориво.
      • Контрол на турбокомпресора (ако има такъв).
      • Управление на клапи за изгорели газове и EGR.
  3. Диагностика:
    • Проверка за валидност на входните сигнали, като сравнение между два независими сигнала (например APP1 и APP2).
    • Установяване на сигнални грешки, като напр. извън диапазона стойности или внезапни промени.

Ключови функции на Level 1

  1. Мониторинг на сензори и сигнали:
    • Извършва проверка за валидност на входните данни чрез крос-референции.
      • Пример: Ако APP1 и APP2 покажат несъответствие, се активира механизъм за дебаунсинг (потвърждаване чрез повторно измерване).
    • Проверява диапазона на сигнала (например: напрежението на сензора е в рамките на допустимите стойности).
  2. Генериране на реакции при грешки:
    • Грешките се класифицират в две категории:
      • Предполагаеми грешки (Assumed defective):
        • Грешката се счита за временна и се активират механизми за проверка.
      • Потвърдени грешки (Confirmed defective):
        • След като грешката се потвърди чрез определен брой измервания или времева закъснителна логика, се задействат защитни механизми.
    • Реакциите могат да включват:
      • Ограничаване на въртящия момент.
      • Преминаване в авариен режим („limp home mode“).
      • Индикация към водача чрез светлинни сигнали.
  3. Управление на горивния процес:
    • Генериране на сигнали за впръскване на гориво:
      • Управление на времето на впръскване въз основа на натоварването на двигателя и скоростта.
      • Следене за съответствие между искания и действителен въртящ момент.

Примери за диагностични реакции Level 1

  1. Грешка в педала на газта:
    • При разлика между двата сигнала от APP1 и APP2:
      • Системата активира дебаунсинг.
      • Ако грешката се потвърди, мощността на двигателя може да бъде ограничена до фиксиран процент (например 20% от максималния въртящ момент).
  2. Неправилен сигнал от сензор за налягане:
    • При извън диапазон сигнал:
      • Активира се авариен режим.
      • Горивото се дозира минимално, за да се предотврати увреждане на двигателя.
  3. Несъответствие на въртящ момент:
    • Ако изчисленият въртящ момент надхвърли зададените граници, системата ограничава подаването на гориво и сигнализира грешка.

Детайли за устойчивост на системата Level 1

  • Дебаунсинг:
    • Задейства се, когато даден сигнал излезе извън границите си, но за кратко време. Системата изчаква определен период (например 50 ms), преди да потвърди грешката.
  • EEPROM съхранение:
    • Максималните стойности на броячи за дебаунсинг се записват в EEPROM за всяка шофьорска сесия, което позволява анализ на грешки дори след изключване на двигателя.

Връзка с другите нива Level 1

  • Level 1 подава данни към Level 2 за проверка на допустимите стойности (като въртящ момент) и за откриване на несъответствия в изчисленията.
  • Ако Level 1 засече грешка, сигналът се предава към Level 3 за допълнителна проверка и евентуално спиране на двигателя.

Level 2: Функционален мониторинг

Level 2 е междинният слой в архитектурата на мониторинг системата, който осигурява проверка на работата на Level 1. Основната му цел е да наблюдава изчисленията на функционалния софтуер и да открива аномалии в ключови параметри като въртящ момент и динамично поведение на двигателя.

Основни елементи на Level 2

  1. Функционален мониторинг:
    • Наблюдава изчисленията и операциите, изпълнявани от функционалния контролер на Level 1.
    • Следи стойности, които са критични за безопасността, като допустим въртящ момент.
  2. Сравнение на изчислени въртящи моменти:
    • Сравнява изчисления допустим въртящ момент с действителния въртящ момент, генериран от двигателя.
    • Открива несъответствия и задейства защитни реакции.
  3. Проверка на потоци от данни:
    • Следи времевите зависимости в управлението, за да открие липсващи или некоректни сигнали.

Основни функции на Level 2

  1. Мониторинг на въртящ момент (Torque Monitoring):
    • Изчислява границите на допустимия въртящ момент, базирани на текущото състояние на двигателя, включително:
      • Максимален и минимален допустим въртящ момент.
      • Нормален режим на работа спрямо външни условия (напр. температура, налягане).
    • Сравнява текущо измерения въртящ момент с предварително изчислените граници:
      • Ако разликата е извън допустимите стойности, грешката се сигнализира.
  2. Мониторинг на динамиката на двигателя:
    • Анализира промените в основни параметри като въртящ момент и скорост на въртене на двигателя (RPM).
    • Следи градиентите на промяна за откриване на внезапни или необичайни отклонения.
      • Пример: Внезапно увеличаване на въртящ момент, което не е обосновано от входните данни.
  3. Реакция при грешки:
    • Задейства се реакция при откриване на несъответствия между измерени и изчислени стойности.
      • Грешката може да се класифицира като „възстановима“ (системата се адаптира) или „фатална“ (спиране на двигателя).
    • Реакциите включват:
      • Ограничение на въртящ момент.
      • Авариен режим („limp home“).
      • Спиране на двигателя при критични грешки.
  4. Мониторинг на системни зависимости:
    • Следи зависимостите между входните сигнали (например позиция на педала на газта) и изходните данни (въртящ момент).
    • Проверява дали времевите зависимости между различни операции са в рамките на спецификацията.

Архитектурни компоненти Level 2

  1. Модул за изчисляване на допустим въртящ момент:
    • Изчислява ограничения за въртящия момент в реално време.
    • Включва предпазни механизми за предотвратяване на претоварване.
  2. Сензори за входни данни:
    • Данни от педала на газта, налягане в горивната система, скорост на двигателя и други параметри се използват като вход за мониторинга.
  3. Модул за сравнение на стойности:
    • Сравнява текущите изчисления с допустимите граници.
    • Задейства грешка, ако стойностите не съвпадат.

Реакции на грешки в Level 2

  1. Типове грешки:
    • Грешки при границите на въртящия момент:
      • Ако измереният въртящ момент надхвърля границите, системата активира защитна реакция.
    • Грешки в градиента на въртящ момент:
      • Системата следи скоростта на промяна на въртящия момент. Внезапни промени се считат за грешки.
    • Грешки в сигналите:
      • Неконсистентност в данните от сензори или изчисления.
  2. Примери за реакции:
    • Ограничаване на мощността:
      • Ако системата установи грешка, мощността на двигателя може да бъде намалена до определен лимит (например 50% от максималната).
    • Авариен режим:
      • Превключва двигателя в режим на минимална мощност за осигуряване на безопасност.
    • Спиране на двигателя:
      • При критична грешка, Level 2 може да сигнализира на Level 3 за изключване на двигателя.

Примерен сценарий за работа на Level 2

  • Ситуация: Водачът натиска педала на газта за рязко ускорение.
  • Процес:
    1. Level 1 изчислява искания въртящ момент на базата на входните сигнали.
    2. Level 2 проверява дали исканият въртящ момент съответства на границите за текущото състояние на двигателя (например максимален допустим въртящ момент).
    3. Ако разликата между изчисления и измерен въртящ момент е извън границите:
      • Задейства се грешка.
      • Системата ограничава мощността на двигателя.
    4. Грешката се записва в EEPROM за бъдеща диагностика.

Релация с Level 1 и Level 3

  • Level 1 подава данни като измерен въртящ момент и текущи входни сигнали, които Level 2 използва за мониторинг.
  • Level 3 използва информацията от Level 2 за генериране на реакция при критични грешки, като спиране на двигателя или рестартиране на системата.

Level 3: Мониторинг на контролера

Level 3 представлява най-високото ниво на мониторинг в системата. То е независим модул, който проверява функционалността и коректното изпълнение на програмните команди от функционалния контролер (Level 1) и функционалния мониторинг (Level 2). Основната цел на Level 3 е да осигури цялостната надеждност на системата, като предотврати критични неизправности.

Основни функции на Level 3

  1. Мониторинг чрез методология „заявка-отговор“ (Query-Response):
    • Level 3 използва независим модул за мониторинг (Monitoring Module – MM), който комуникира с функционалния контролер (Function Controller – FC) чрез последователност от заявки и отговори.
    • Проверяват се както стойностите на отговорите, така и времевите интервали на изпълнение.
  2. Тестване за грешки:
    • MM целенасочено генерира грешки в стойностите или времето на отговорите, за да провери реакцията на FC.
    • Ако FC не успее да отговори коректно или в рамките на определеното време, грешката се записва.
  3. Автономност на мониторинга:
    • MM разполага със собствен независим часовник и хардуерна платформа, за да гарантира, че грешките в FC не влияят върху мониторинга.
  4. Реакции при критични грешки:
    • Ако грешките надвишат определен праг, Level 3 може да задейства защитни механизми като спиране на двигателя или хардуерен рестарт на системата.

Основни компоненти на Level 3

  1. Модул за заявка-отговор (Query-Response Module):
    • Изпраща псевдослучайни заявки към FC и очаква коректен отговор в рамките на определен времеви прозорец.
    • Заявките са кодирани в 4-битов формат, който се разширява до 32-битова структура за по-добра диагностика.
  2. Модул за времеви мониторинг:
    • Измерва времето между изпращането на заявка и получаването на отговор.
    • Ако отговорът е прекалено ранен, късен или липсва, грешката се записва.
  3. Модул за управление на грешки:
    • Поддържа брояч на грешки, който се увеличава при всяка некоректна или закъсняла реакция.
    • При достигане на максималния брой грешки, модулът може да сигнализира за изключване на двигателния контролер.

Методология „заявка-отговор“ Level 3

  1. Последователност на работа:
    • MM изпраща заявка към FC чрез интерфейс SPI.
    • FC генерира отговор, базиран на текущото състояние на системата и изчисленията на Level 1 и Level 2.
    • Отговорът се връща на MM за проверка.
  2. Проверка на отговора:
    • Заявките и очакваните отговори се основават на предварително дефинирани стойности и псевдослучайни кодове.
    • MM сравнява получените отговори с очакваните стойности и проверява времето на пристигане.
  3. Времеви прозорец:
    • MM задава времеви прозорец за валиден отговор, обикновено в рамките на 1.6 ms до 100.8 ms.
    • Ако отговорът пристигне извън този прозорец, се записва грешка.

Реакции на грешки в Level 3

  1. Грешки в стойността на отговора:
    • Ако FC изпрати некоректен отговор (стойност извън очакваните граници), грешката се записва.
    • Пример: Заявката „0x1“ трябва да върне „0xE1E1E1E1“, но FC връща друга стойност.
  2. Грешки във времето на отговора:
    • Ако FC изпрати отговор извън зададения времеви прозорец (прекалено рано или късно), това се счита за времева грешка.
    • Пример: MM задава времеви прозорец 75.2 ms, но отговорът пристига на 50 ms.
  3. Некоректни последователности:
    • Ако MM получи правилни отговори, но в неправилна последователност, системата генерира грешка.

Гранични стойности на брояча за грешки Level 3

  • 0-4 грешки:
    • Системата продължава да работи нормално, но грешките се записват за диагностика.
  • 5-6 грешки:
    • Активира се авариен режим, който може да включва ограничаване на мощността.
  • 7 грешки:
    • MM сигнализира за спиране на двигателя или извършва хардуерен рестарт.

Примерен сценарий за работа на Level 3

  1. Ситуация:
    • Водачът ускорява рязко, а системата генерира висок въртящ момент.
    • MM изпраща заявка за проверка на допустимите стойности.
  2. Процес:
    • FC изчислява отговор, базиран на текущите параметри (въртящ момент, скорост, натоварване).
    • MM сравнява отговора с очакваните стойности.
  3. Грешка:
    • Ако FC изпрати грешен отговор или не отговори в рамките на времевия прозорец:
      • MM записва грешката.
      • При повтарящи се грешки, двигателят може да бъде спрян.

Релация с Level 1 и Level 2

  • Level 1:
    • Поддържа базовите изчисления и изпраща основни данни към Level 3.
  • Level 2:
    • Осигурява верифицирани стойности (например допустим въртящ момент), които Level 3 използва за проверка на коректността на FC.

Общи цели на трите нива

  • Системата за мониторинг е изградена така, че да засича както единични, така и комбинирани грешки, с цел осигуряване на безопасна работа на двигателя.
  • Грешките се категоризират, преди да се предприемат реакции, за да се избегнат ненужни прекъсвания.
  • Всяко ниво добавя слой на защита и проверка, което прави системата по-устойчива на неизправности.
  • Level 3 е критичен компонент, който осигурява безопасност и надеждност в системата чрез независим мониторинг и проверка. Той гарантира, че грешките в Level 1 и Level 2 няма да доведат до неконтролирани системни реакции.
CategoryBG Guides