电子节气门控制失效保护系统的制作方法

本发明涉及一种针对电子节气门控制的失效保护系统，适用于安装了电子节气门的发动机电控系统，防止由于电子节气门失效造成的车辆意外急加速，为乘员及行人安全提供保障。

背景技术：

第三代缸内直喷汽油机电控系统中使用了电子节气门，扭矩输出基于节气门控制的系统进气量，如果出现信号(执行器)错误，软件失效或者硬件失效，电子节气门可能失控，导致发动机产生超出期望的扭矩，造成危险情况的发生，电子节气门控制失效保护系统能够有效防止这种情况的发生。

目前现有的保护系统多采用两套独立的硬件对电子节气门进行冗余的控制。两套控制系统同时计算对电子节气门的控制请求，只有当输出请求一致时，电子节气门控制才有效。虽然可以在一定程度上保证电子节气门功能安全，但会较多的增加系统成本，并且由于两套硬件采用的是相同的软件，所以如果并不能检测出软件中存在的缺陷。

技术实现要素：

本发明提供一种电子节气门控制的失效保护系统，用于基于节气门控制的系统出现软件失效或者硬件失效时电子节气门可能失控，导致发动机产生超出期望的扭矩，防止发生危险情况。

本发明的目的通过以下技术方案实现：

一种电子节气门控制的失效保护系统，主要由发动机控制模块、监控模块、处理器自检模块、主处理器和外部独立监控模块构成；所述发动机控制模块由扭矩限制模块和诊断模块构成，所述诊断模块分别与电子油门位置传感器、节气门位置传感器和执行器信号连接，在检测到电子油门踏板、电子节气门及刹车的故障信号时通过扭矩限制模块限制喷油器、电子气节和节气门执行器的动力输出；所述监控模块与发动机动力输出部件连接，采集点火角、实际喷油量、进气量、踏板和发动机转速的信号，监控模块还与主处理器相连，通过主处理器对采集信号的处理获得实际扭矩和允许扭矩并比较，完成对扭矩限制模块的扭矩监控；所述处理器自检模块与主处理器信号连接；所述的外部独立监控模块与主要功率器件控制连接，用于监测处理器自检模块的运行状态。

所述的监控模块主要是扭矩监控，通过简化的模型独立地计算实际输出扭矩，通过简化的模型独立地计算允许输出扭矩，比较实际输出的扭矩和允许输出的扭矩，当检测到扭矩超限时限制扭矩输出。

所述的处理器自检模块与监测主处理器信号连接，主处理器包括存储器、总线、时钟、指令控制单元、模数转换单元等，一旦检测到硬件故障，则复位主处理器。

所述的诊断模块包括电子油门踏板诊断模块、电子节气门诊断模块和制动信号诊断模块。

所述的处理器自检模块包括：检查主处理器存储器状态包括rom及ram的存储器监控模块、检查主处理器模数转换单元功能的模数转换监控模块；检查主处理器的指令系统会否工作正常的指令集监控模块；：确定主处理器是否能够正确的调用fmo的关键程序的程序执行监控模块；处理器自检发现错误后将通过系统复位尝试清除错误复位管理模块；：外部监控模块通过spi通讯管理实时监测主处理器自检状态的通讯管理模块。

所述的外部独立监控模块实时监测处理器自检的运行状态，如果发现主处理器自检程序运行错误，外部监控模块将独立地关闭主要功率器件(节气门、喷油器及点火驱动芯片)使能，从而关闭发动机，保证车辆安全。

本发明的有益效果如下：

直喷汽油机电控系统中使用了电子节气门，为了保证电子节气门运行的可靠，本发明提供的失效保护系统能够实时监测电子节气门控制相关软/硬件的运行状态，在检测到异常状态时关闭电子节气门，必要时关闭发动机，以保证安全。

附图说明

图1是本发明的电子节气门控制的失效保护系统原理图；

图2是本发明的电子节气门控制的失效保护系统的发动机控制模块的原理图；

图3是本发明的电子节气门控制的失效保护系统的发动机控制模块的监控模块原理图；

图4是本发明的电子节气门控制的失效保护系统的发动机控制模块的油量监控原理图；

图5是本发明的电子节气门控制的失效保护系统的发动机控制模块的处理器自检模块原理图。

具体实施方式

下面结合附图详细说明本发明专利的具体实施方式。本发明提供一种电子节气门控制的失效保护系统，主要由发动机控制模块、监控模块、处理器自检模块、主处理器和外部独立监控模块构成；所述发动机控制模块由扭矩限制模块和诊断模块构成，所述诊断模块分别与电子油门位置传感器、节气门位置传感器和执行器信号连接，在检测到电子油门踏板、电子节气门及刹车的故障信号时通过扭矩限制模块限制喷油器、电子气节和节气门执行器的动力输出；所述监控模块与发动机动力输出部件连接，采集点火角、实际喷油量、进气量、踏板和发动机转速的信号，监控模块还与主处理器相连，通过主处理器对采集信号的处理获得实际扭矩和允许扭矩并比较，完成对扭矩限制模块的扭矩监控；所述处理器自检模块与主处理器信号连接；所述的外部独立监控模块与主要功率器件控制连接，用于监测处理器自检模块的运行状态。

如图1和图2中所示，本发明提供的失效保护系统中的发动机控制模块中的失效保护功能通过扭矩限制模块及诊断模块实现。所述的发动机控制模块与监测执行器连接，用于监测执行器的故障信号；所述的监控模块与发动机动力输出部件连接，用于监控扭矩，计算和比较实际输出扭矩和允许输出扭矩；所述的外部独立监控模块与主要功率器件控制连接；所述的处理器自检模块用于监测主控制器；所述的外部独立监控模块用于监测处理器自检模块。发动机控制模块包括扭矩限制模块和诊断模块，具有失效保护功能，诊断模块包括电子油门踏板的诊断模块、电子节气门诊断模块和制动信号模块；处理器自检模块与监测主控制器信号连接；外部独立监控模块与主处理器信号连接。

所述的监控模块主要是扭矩监控，通过简化的模型独立地计算实际输出扭矩，通过简化的模型独立地计算允许输出扭矩，比较实际输出的扭矩和允许输出的扭矩，当检测到扭矩超限时限制扭矩输出。在扭矩模型的基础上，按照一定的规则进行简化，建立更简单的模型计算允许扭矩，对扭矩输出进行限制，扭矩限制通过对进气量和点火角的影响作用。如图4所示，监测模块中监测相对喷油量、相对进气量及空燃比之间的合理性检查为实际扭矩计算提供可靠的负荷信息。实际扭矩输出主要取决于当前系统的负荷(相对进气量)，为了对系统的相对进气量进行监控，引入了油量监控。在lambda＝1的汽油直喷系统中，相对进气量与相对喷油量的配比存在固定范围，且主要取决于空燃比控制。因此将这三者进行比较，如果合理性检查通过，则可以认定目前相对进气量信号合理，可以用于扭矩计算；否则说明其中至少一路存在错误，不能保证后续的扭矩监控可以正确执行，因此油量监控检测到错误后将限制发动机动力输出，以保证车辆安全。

所述的诊断模块包括电子油门踏板诊断模块、电子节气门诊断模块和制动信号诊断模块；

所述的电子油门踏板诊断模块的工作过程：电子油门踏板采用双电位计，对它的监控就是要保证踏板反映的驾驶员扭矩需求正确，诊断的主要内容有：电压信号的最大，最小范围检查、两路电压信号之间的同步检查、油门踏板和制动信号之间的合理性检查。处理过程方法为：一个电子油门位置传感器信号故障：扭矩需求输入受到限制，发动机转速随着油门踏板变化，发动机输出动力受到限制，最高车速不如从前，且加速性能差，故障灯点亮。

两个电子油门位置传感器信号故障：扭矩需求输入限制到最小值，发动机转速稳定在某一固定转速，且该转速大于正常情况下的暖机怠速，电子油门踏板的角度变化对转速没有任何影响，故障灯点亮。

所述的电子节气门诊断模块的工作过程：电子节气门采用双电位计，对它的监控就是要保证节气门的实际开度与系统设定的目标开度一致，诊断的主要内容有：位置传感器电压信号的最大，最小范围检查；两路信号之间的同步检查；节气门的实际开度与目标开度一致性检查；对控制步进电机的脉宽调制脉冲检查。处理过程方法为：一个节气门位置传感器信号故障：发动机输出动力受到限制，最高车速不如从前，且加速性能差，故障灯点亮；两个节气门位置传感器信号故障：电子节气门断电，始终处在一个固定开度；怠速转速提高，发动机转速随着油门踏板变化，发动机运行不如正常情况平稳，动力不足，故障灯点亮；节气门执行器故障，包括开启弹簧故障；回位弹簧故障；实际开度与目标开度不一致，节气门控制信号超限(执行器或输出信号故障)：电子节气门断电，始终处在一个固定开度；怠速转速提高，发动机转速随着油门踏板变化，发动机运行不如正常情况平稳，动力不足，故障灯点亮。

所述的制动信号诊断模块的工作过程：双路制动信号，同步动作、刹车开关处的电压诊断、加速/减速刹车信号诊断。故障处理方法为：当制动信号故障时，则输出认为制动信号输入，降低车速。

如图3所示，监控模块是监控发动机的动力输出：通过独立的计算发动机实际输出扭矩及当前最大允许扭矩并进行比较，保证发动机扭矩输出不超限。通过简化的模型独立地计算实际输出扭矩，通过简化的模型独立地计算允许输出扭矩，比较实际输出的扭矩和允许输出的扭矩，当检测到扭矩超限时限制扭矩输出；当车辆处于故障跛行模式时，扭矩监控不再进行(此时发动机动力输入不再体现为驾驶员需求)。此时发动机的转速将被监控，如果在车辆跛行时，发动机转速超限，发动机将被关闭，以保证车辆安全。

如图5所示，处理器自检模块与监测主处理器信号连接，安全监控程序的运行会受到主控制器硬件资源状态的影响。如果主处理器的硬件资源发生失效，比如存储器、总线、时钟、指令控制单元、模数转换单元等随机的硬件失效，会造成功能监控程序执行错误，导致潜在危险情况发生，影响功能监控运行的主处理器硬件的状态。

所述的处理器自检模块的工作过程如下：存储器监控：检查主处理器存储器状态包括rom(程序存储器)及ram(随机存储器)；模数转换监控：检查主处理器模数转换单元功能；指令集监控：检查主处理器的指令系统会否工作正常；程序执行监控：确定主处理器是否能够正确的调用fmo(功能监控)的关键程序；复位管理：处理器自检发现错误后将通过系统复位尝试清除错误；通讯管理：外部监控模块通过spi通讯管理实时监测主处理器自检状态。

所述的外部独立监控模块工作过程如下：发动机控制单元复位后外部独立监控模块首先进行自检，如果自检未能通过将关闭所有功率器件使能，同时控制主处理器进入复位状态；如果自检通过则通过通讯端口实时监控主处理器的运行状态。外部监控模块实时监测主处理器自检的运行状态，如果发现主处理器自检程序运行错误，外部监控模块将独立地关闭主要功率器件(节气门、喷油器及点火驱动芯片)使能，从而关闭发动机，保证车辆安全。