，用于对第一处理器进行不间断的问答处理，以检测第一处理器的工作状态是否失效。
[0030]其中，SBC为系统基础芯片。
[0031]通过上述实施例，第一处理器的安装位置为异构，最大限度的消除了双核同集成于一个DIE (即集成电路)上的共因失效，同时，由于SBC芯片对MCU芯片进行不断的问答处理，进一步降低了 MCU时钟和供电的共因失效，提高了系统可靠性。
[0032]具体地，电机控制器还可以包括:第二处理器，与第一处理器连接，用于在第一处理器失效时生成紧急处理信号；负载驱动单元；紧急处理单元，通过负载驱动单元与第二处理器连接，用于在紧急处理信号的控制下对车辆进行紧急处理。
[0033]在上述实施了中，由于第二处理器MCU2对第一处理器MCUl的失效进行了紧急处理，进一步提高了控制器安全性和健壮性，适合安全领域应用。
[0034]根据本发明的上述实施例，电机控制器还可以包括:电源阵列；第一交换机，分别与第二处理器、传感器组以及电源阵列连接，用于在第二处理器的控制下，将电源阵列的输出提供给传感器组；第二处理器与传感器组连接，用于接收传感器组采集到的信号；第一处理器与传感器组连接，用于接收传感器组采集到的信号。
[0035]具体地，电源阵列还分别与第一 CAN收发器和第二 CAN收发器连接，用于为第一CAN收发器和第二 CAN收发器供电。
[0036]在本发明的上述实施例中，电机控制器还包括:执行反馈单元，连接于电机负载与第二处理器之间，用于将电机负载的执行状态反馈至第二处理器。
[0037]进一步地，电机控制器还可以包括:第二交换机，分别与第一处理器、第二处理器、外部控制开关以及SBC芯片连接，用于在外部控制开关的启动信号控制下启动工作，并在第一处理器和第二处理器的控制下控制SBC芯片的工作。
[0038]进一步地，电机控制器还可以包括:驱动和位置反馈单元，连接于第一处理器与电机负载之间，用于将通过第一处理器的控制信号驱动电机负载，并向第一处理器反馈电机负载的位置，其中，电机负载为安全相关的负载。
[0039]由于对执行单元和负载单元均进行了故障诊断和状态反馈，对负载故障有好的监测度，据此进行针对性处理，有效降低系统失效风险。
[0040]通过本发明的上述实施例，缩短故障容忍时间；减少由于执行单元反馈直接反馈回主处理器带来的共因失效，提高系统可靠性；对安全相关故障进行双重防护，确保系统安全；24V和12V系统兼容设计；并且降低系统软件开发难度。
[0041]图2是根据本发明实施例的一种可选的用于车辆的电机控制器的结构示意图。如图2所示，该控制器可以包括:电源防护和保护单元10、传感器组11、第一 CAN网络12、第二CAN网络13、安全相关的电机负载14、电机控制器实时的紧急处理单元15、电源阵列20、第一交换机SW1、第二交换机SW2、第一处理器30、第一子处理器301、第二子处理器302、比较器303、电源控制单元304、第二处理器31、第一 CAN收发器40、第二 CAN收发器41、CAN监听电路42、驱动和位置反馈单元50、执行反馈单元51、负载驱动单元52。
[0042]具体地，上述实施例的本发明的技术方案如图2虚线框中所示，虚线框以外为本发明技术方案的基础应用环境，其中:14单兀为安全相关的电机负载，第一交换机SWl接收第二处理器31即MCU2的控制，将来自电源阵列20的输出提供给传感器组11 ；电源阵列20为给CAN收发器和传感器组供电的电源；第二交换机SW2接收来自电源防护和保护单元10的输入，并接收外部控制开关KEY的启动信号、第一处理器MCU130，第二处理器31的控制。
[0043]具体地，SBC芯片21为第二处理器31提供电源和智能看门狗信号，WDl为第二处理器31提供看门狗信号，并接受第二处理器31的踢狗信号。
[0044]其中，上述实施例中的第一处理器30为LOCKSTEP微处理器芯片组成的基本电路，用于实现安全相关负载电机的控制，第二处理器为微处理器芯片组成的基本电路；CAN监听电路42用于实现对第二 CAN收发器的监听。
[0045]上述实施例中的，虽然有两个CAN网络，但CAN总线网络可采用同一个协议，降低了系统实现难度。
[0046]具体地，上述的第一交换机SWl可以为采用三极管或场效应管基本电路组合实现；第二交换机SW2可以为场效应管或模拟开关基本电路；电源阵列20可以为采用LDO芯片或SMPS开关电源实现；SBC芯片21可以为MC33907/8，TPS65381芯片应用基本电路；第一处理器30可以采用SPC5643L，TMS570芯片等；第一 CAN收发器40和第二 CAN收发器41可以为TJA1043基本电路；驱动和位置反馈单元50可以为BTS6163D的基本电路；执行反馈单元51可以为电阻电容组合电路(分压和滤波)。
[0047]下面结合附图3和附图4详细介绍本发明实施例的控制原理。
[0048]如图3所示，系统工作流程可以通过如下步骤实现:
[0049]步骤S301:判断IGN信号是否有效。
[0050]其中，在IGN信号有效的情况下，执行步骤S302:在IGN信号无效的情况下，结束。其中，上述实施例中的IGN信号为外部控制开关的启动信号。
[0051]步骤S302:在第一交换机输出有效的情况下，控制电源阵列和SBC芯片上电。
[0052]步骤S303:检测SBC芯片是否无故障。
[0053]其中，在SBC芯片故障的情况下，执行步骤S312。在SBC芯片无故障的情况下，执行步骤S304。
[0054]步骤S304:控制第一处理器、第一 CAN收发器、CAN监听电路上电。
[0055]步骤S305:检测第一处理器是否无故障。
[0056]其中，在第一处理器故障的情况下，执行步骤S312。在第一处理器无故障的情况下，执行步骤S306。
[0057]步骤S306:第一处理器工作,输出上电保持信号至第一交换机,系统持续供电。
[0058]步骤S307:控制系统正常工作。
[0059]步骤S308:检测SBC芯片是否无故障。
[0060]其中，在SBC芯片故障的情况下，执行步骤S312。在SBC芯片无故障的情况下，执行步骤S309。
[0061]步骤S309:检测第一处理器是否无故障。
[0062]其中，在第一处理器故障的情况下，执行步骤S312。在第一处理器无故障的情况下，执行步骤S310。
[0063]步骤S310:检测IGN信号是否有效。
[0064]其中，在IGN信号有效的情况下，执行步骤S312。在IGN信号无效的情况下，执行步骤S311。
[0065]步骤S311:下电处理，第一处理器禁止上电保持信号。
[0066]步骤S312:启动第三交换机工作。
[0067]步骤S313:危害降低、消除，进入安全状态。
[0068]如图4所示，CAN总线发送工作流程可以通过如下步骤实现:
[0069]步骤S401:检测第一 CAN收发器和第二 CAN收发器是否有故障。
[0070]其中，在第一 CAN收发器和第二 CAN收发器无故障的情况下，执行步骤S402。在第一 CAN收发器和第二 CAN收发器中有故障的情况下，执行步骤S408。
[0071 ] 步骤S402:第一处理器通过第一 CAN收发器发送信号。
[0072]其中，该信号即为上述实施例中的第一请求信号。
[0073]步骤S403:第一处理器通过第二 CAN收发器读回第一反馈信号。
[0074]步骤S404:第一处理器通过第二 CAN收发器发送相同的信号。
[0075]其中，该信号即为上述实施例中的第二请求信号。
[0076]步骤S405:第一处理器通过第一 CAN收发器读回第二反馈信号。
[0077]步骤S406:判断第一反馈信号是否与第二反馈信号相等。
[0078]其中，在相等的情况下，执行步骤S407 ;在不相等的情况下，执行步骤S408。
[0079]步骤S407:准备下一次发送数据。
[0080]步骤S408:检测第一 CAN收发器是否故障。
[0081]其中，在第一 CAN收发器故