基于高压看门狗定时器的汽车失效保护解决方案

摘要：绝大多数汽车电子系统需要监控电路监测失效容限和安全性。MAX16997/MAX16998看门狗定时器可理想满足这类监控需求，它们对微控制器(µC)正常工作条件下产生的周期脉冲进行检测，一旦侦测到电路或µC的失效状态，将立即切换到备份/冗余系统，采取“跛行回家”控制策略，从而避免汽车在中途抛锚，提供了一种汽车失效保护措施。

汽车设计中，越来越多的电子系统正在逐步替代机械功能—从引擎定时控制到刹车、方向盘控制—而电子系统相对容易发生故障，这就需要谨慎考虑系统的安全性，确保系统具备较高的故障容限。不应该在发生单点故障时将司机或乘客置于危险处境，至少能够使汽车“跛行”到大路以外或最近的维修站。当电子设备发生故障时，为确保汽车的安全行驶需要利用监控电路开启备份电路，安全地接管系统操作。

在纯机械系统的汽车时代，引擎依照机械方式产生的信号点燃空气燃料混合器。机械分配器则选择适当的火花塞，沿线传递信号。刹车系统则将作用在踏板上的压力通过刹车轴、刹车总泵、液压管传送到制动钳。离合器和油门只是简单地受控于连接在踏板上的一条钢缆。方向盘通过一个金属舵轮、转向轴、转向齿轮箱以及转向传动装置，控制车轮的转角。引擎控制也不同于我们如今使用的高度可靠的电子控制单元(ECU)，它没有计算机辅助刹车系统、离合器、油门或转向系统。当然，也不需要考虑µC失效、控制单元短路等状况，可能出现故障失效的机械装置仅有99个。但是，由于人们非常信任机械设备的可靠性，也很少考虑系统备份或故障容限问题。当然，一旦系统的某个装置出现故障，则很容易发生危险，即便没有发生危险，汽车也只能被抛锚在出事地点，不得不求助拖车将故障汽车拖至维修中心。

为了提高汽车驾驶的舒适度和便利性，汽车制造商需要为汽车提供电子装备，以获得更高效率、更清洁的环境以及更高的汽车行驶安全性。早期的ECU只能在发生故障时停止运行，特别是电子装置的工作取决于µC。如果µC失效时没有备用方案来避免发生危及生命的事故，对于用户和制造商都是无法接受的;设计中至少需要采用备用系统，将汽车就近行驶到维修站，由此，人们对故障容限的关注程度也迅速提高。根据实际需求，许多ECU开始配备“跛行回家”管理模式。

“跛行回家”模式

“跛行回家”模式指的是ECU内部的一种冗余功能，在物理架构上这是完全独立的一部分模拟电路，可以从待机模式下开启进入失效保护状态。这一模式允许汽车在发生电子系统失效时驶出道路，虽然不能保持原有的行驶性能，但可以确保安全。

新一代引擎ECU都带有监控器件，例如：看门狗定时器，用于测试ECU运转是否正常。一旦检测到工作异常，发现电子装置或µC失效(软件运行故障)，监控器件将开启“跛行回家”控制模式。例如，当汽车引擎故障灯点亮，汽缸只注入一半的燃料给发动机，此时引擎产生非常低的热量，但能够以适中的速度开动汽车，借助刚好支持汽车行驶的能量将汽车开回家或开到就近的汽车维修中心。

另外一个好的案例是新型汽车中的“车身控制计算机”，能够控制车窗升降、前车灯/尾灯、转向灯以及挡风玻璃的雨刷、汽车的自动换档控制。监控电路对ECU的工作状况进行监测，发生电路单元或µC工作故障时，将激活待机电路，降级行驶性能，例如：降低远光灯、尾灯/刹车灯的亮度，或者只保持第二档行驶。当然，这种状况下限制了汽车的最高速度，但汽车仍然保持工作，能够以“跛行回家”模式安全行驶，把车开到维修厂。

效果差么? 不，其实并不是。如果不是这样，你有可能仍然保持原有驾驶速度，而这可能导致车辆损毁;或者也可能让你哪都去不了，包括移至安全地带。

　　冗余

计算机控制应用的前景称为“电控操作”，动力系统内部和外部绝大多数机械控制系统已经由机电控制所替代。例如，相互连接的ECU电控装置已经替代了方向盘到车轮之间的所有机械单元。司机移动的方向盘位置将被检测并转换成数字电信号，传送给智能化机电传动装置，最终控制车轮动作。

电控刹车装置也采用汽车计算机、伺服电机或机电制动钳替代了早期的刹车轴、刹车总泵和刹车助力器等单元。

一般意义上讲，由于刹车或转向系统失灵将有可能危及生命，因此这些系统对安全性的要求更高，对故障容限的要求也更高。

工程师在这些新应用中设计了备份电路，构建完整的冗余电子控制和监控单元，冗余系统在物理结构上应该