趙智 易飛

（上海汽車集團(tuán)股份有限公司技術(shù)中心）

現(xiàn)在的控制系統(tǒng)開發(fā)，尤其是動(dòng)力總成相關(guān)的控制系統(tǒng)已經(jīng)不僅僅滿足于實(shí)現(xiàn)所有的功能模塊，還必須考慮各種存在的可能性和潛在的安全風(fēng)險(xiǎn)，并且在控制系統(tǒng)開發(fā)中對(duì)其采取相應(yīng)的對(duì)策。所以診斷模塊已經(jīng)成為產(chǎn)品電子控制單元（ECU）的標(biāo)準(zhǔn)配置[1]，而一些診斷開發(fā)協(xié)議已經(jīng)被各大汽車生產(chǎn)廠商所采用，有的已經(jīng)被各國(guó)政府列為行業(yè)法規(guī)，典型的如基于CAN通訊的UDS 協(xié)議，基于通用的GMLAN 的診斷協(xié)議等。在基本確定了變速箱的硬件設(shè)置之后，診斷管理系統(tǒng)應(yīng)根據(jù)協(xié)議要求開發(fā)。一個(gè)完整的診斷管理模塊應(yīng)包括故障識(shí)別邏輯、故障去抖確認(rèn)、安全策略以及故障相關(guān)信息存儲(chǔ)管理等模塊。文章從軟件架構(gòu)實(shí)現(xiàn)的角度對(duì)模塊的開發(fā)進(jìn)行探討。

1 故障識(shí)別

從廣義上來講，診斷模塊可以看作是整個(gè)控制系統(tǒng)中監(jiān)控軟件的一個(gè)子系統(tǒng)，如圖1 所示。監(jiān)控軟件的故障識(shí)別從軟件開發(fā)層面上看，可以分為2 類:1）與控制器本身相關(guān)的一系列電氣故障。如內(nèi)部軟件邏輯故障、控制器芯片故障、通訊故障及控制執(zhí)行器的電氣故障。這些故障的監(jiān)控和識(shí)別主要通過電氣或軟件的方法，比如冗余檢查、握手確認(rèn)及看門狗電路等。這一部分工作由電氣工程師或軟件工程師完成。2）應(yīng)用功能故障。例如在變速箱控制器開發(fā)中，離合器過熱保護(hù)就需要離合器過熱這樣一個(gè)故障識(shí)別。只要離合器溫度不超過溫度傳感器的工作溫度范圍，從電氣故障是無法識(shí)別的。這就需要在應(yīng)用功能中做相應(yīng)開發(fā)，設(shè)置對(duì)應(yīng)的判斷邏輯和判斷閾值，并且設(shè)置該閾值可標(biāo)定。

這些故障的識(shí)別邏輯是變速箱應(yīng)用工程師在功能設(shè)計(jì)時(shí)完成的。目前變速箱控制器采用的故障識(shí)別邏輯有2 種:1）傳統(tǒng)的傳感器信號(hào)極限檢測(cè)。這種方法對(duì)變速箱傳感器信號(hào)設(shè)計(jì)上下邊界值，超出該范圍認(rèn)為產(chǎn)生故障。2）基于模型的診斷（MBD）。該方法把診斷模型當(dāng)作變速箱控制模型的一部分或一個(gè)模塊看待，該模塊可以是邏輯運(yùn)算模型，也可以是基于微分方程的模型，或者兩者的結(jié)合[2-3]。

2 故障去抖確認(rèn)

故障標(biāo)志被激活有可能來自電磁干擾，也有可能是故障確實(shí)存在。為確認(rèn)故障是否確實(shí)存在，需要對(duì)故障標(biāo)志進(jìn)行故障去抖確認(rèn)。去抖機(jī)制目前常用的有時(shí)間去抖機(jī)制和事件去抖機(jī)制，兩者的區(qū)別主要是軟件中的去抖計(jì)數(shù)器使用不一樣。時(shí)間去抖機(jī)制中去抖計(jì)數(shù)器的使用類似于計(jì)時(shí)器，如果故障標(biāo)志激活時(shí)間超過時(shí)間閾值，則認(rèn)為故障存在，保存故障碼到故障碼存儲(chǔ)區(qū)，以支持離線診斷儀基于診斷協(xié)議讀取故障碼；事件去抖機(jī)制中去抖計(jì)數(shù)器在每次故障標(biāo)志位的上升沿累加，直至累加和超過某個(gè)閾值確認(rèn)故障，即它計(jì)數(shù)的對(duì)象是故障標(biāo)志位置位次數(shù)。

另外，2 種機(jī)制的去抖計(jì)數(shù)器的計(jì)數(shù)方法也有不同，常用的有單一隊(duì)列式計(jì)數(shù)和上升下降式計(jì)數(shù)。兩者的區(qū)別，如圖2 所示。

對(duì)故障確認(rèn)而言，單一隊(duì)列式的計(jì)數(shù)器在每一次故障標(biāo)志位激活，但是故障尚未確認(rèn)的情況下，也就是計(jì)數(shù)器沒達(dá)到計(jì)數(shù)閾值時(shí)，故障標(biāo)志的激活狀態(tài)消失了，計(jì)數(shù)器會(huì)歸位。下一次故障標(biāo)志位激活，計(jì)數(shù)器會(huì)重新從0 開始計(jì)數(shù)。相反，對(duì)故障消除確認(rèn)而言，每一次故障標(biāo)志位激活消失時(shí)，計(jì)數(shù)器開始計(jì)數(shù)，如果此時(shí)計(jì)數(shù)器沒達(dá)到閾值而故障標(biāo)志位激活，計(jì)數(shù)器會(huì)歸位，直到下一次故障標(biāo)志位激活消失，計(jì)數(shù)器再?gòu)? 開始計(jì)數(shù)。上升下降式計(jì)數(shù)在計(jì)數(shù)沒有超過閾值而故障標(biāo)志位發(fā)生變化時(shí)，并不歸位，而是以一定的斜率下降，一旦故障標(biāo)志位再次變化，計(jì)數(shù)器又以一定的斜率上升。

變速箱的絕大多數(shù)故障確認(rèn)采用時(shí)間去抖機(jī)制；少數(shù)的如控制器重啟故障，看門狗電路故障采用事件去抖機(jī)制，而且計(jì)數(shù)器閾值也設(shè)置得非常嚴(yán)格，故障發(fā)生1 或2 次就確認(rèn)故障。還有少數(shù)與變速箱性能相關(guān)的也設(shè)為事件去抖，如變速箱換擋時(shí)間太短，偶爾出現(xiàn)一二次并不認(rèn)為是故障，如果連續(xù)出現(xiàn)好多次才確認(rèn)為故障。去抖計(jì)數(shù)器的計(jì)數(shù)方法遵循的原則:需要故障快速確認(rèn)的，選擇上升下降式計(jì)數(shù)，反之，選擇單一隊(duì)列式計(jì)數(shù)。這是因?yàn)樯仙陆凳接?jì)數(shù)在計(jì)數(shù)沒有超過閾值而故障標(biāo)志位發(fā)生變化時(shí)并不歸零，更容易快速達(dá)到計(jì)數(shù)閾值。

3 安全策略

3.1 安全策略的分類

控制器的安全策略開發(fā)主要指當(dāng)系統(tǒng)檢測(cè)到故障發(fā)生時(shí)的糾錯(cuò)措施的設(shè)計(jì)和開發(fā)。根據(jù)所采取的糾錯(cuò)措施對(duì)整個(gè)系統(tǒng)功能影響的不同，一般將控制器的安全策略分為3 類[1]。

1）控制系統(tǒng)如果具有緊急關(guān)閉的功能，而且一旦進(jìn)入緊急關(guān)閉狀態(tài)，退出緊急關(guān)閉狀態(tài)的機(jī)制完全是可控的（如通過控制器的指令），而不是由于其他故障或失效引起的，具有這樣特性的控制系統(tǒng)稱之為失效安全系統(tǒng)。目前有些具有緊急關(guān)閉功能的自動(dòng)變速箱屬于此類系統(tǒng)。如AMT 和雙離合器變速箱，離合器的監(jiān)控是關(guān)鍵技術(shù)，一旦離合器相關(guān)故障發(fā)生，可以采用緊急關(guān)閉，一方面避免變速箱零部件損壞，同時(shí)也保證行車安全。

2）在某些情況下，控制器會(huì)進(jìn)入所謂的半功能模式。如變速箱及其控制器進(jìn)入跛行回家模式，變速箱還是處于工作狀態(tài)，只是功能或部分功能受到限制。具有這種特性的系統(tǒng)稱之為失效降低系統(tǒng)。

3）一旦系統(tǒng)發(fā)生故障，出于消除此故障造成的負(fù)面效應(yīng)的考慮，有些系統(tǒng)采用的安全策略是通過某個(gè)開關(guān)（硬線開關(guān)或軟件內(nèi)部開關(guān)量）把出現(xiàn)故障的子系統(tǒng)旁路，以備份子系統(tǒng)代替故障子系統(tǒng)。在這種情況下整個(gè)系統(tǒng)還是能夠工作的。一般來說該備份子系統(tǒng)與發(fā)生故障的子系統(tǒng)功能類似，但是又有區(qū)別，這種系統(tǒng)被稱為失效可操作系統(tǒng)。典型的如發(fā)動(dòng)機(jī)轉(zhuǎn)速信號(hào)，對(duì)于自動(dòng)變速箱控制器來說這是一個(gè)很重要的信號(hào)。有些動(dòng)力總成電器架構(gòu)中，變速箱控制器通過硬線采集離合器主動(dòng)邊信號(hào)作為發(fā)動(dòng)機(jī)轉(zhuǎn)速信號(hào)，以保證該信號(hào)的準(zhǔn)確性和實(shí)時(shí)性。一旦轉(zhuǎn)速傳感器信號(hào)失效，除報(bào)出故障以外，可以采用系統(tǒng)旁路的策略，采用來自CAN網(wǎng)絡(luò)上的發(fā)動(dòng)機(jī)轉(zhuǎn)速信號(hào)代替，所以在這種情況下汽車還能行駛。

3.2 故障替換功能

所謂替換功能對(duì)變速箱控制器來說就是當(dāng)故障碼報(bào)出之后，針對(duì)此故障碼的產(chǎn)生，控制器所采取的措施。采取的安全策略不同，替換功能也不同。替換功能采用的前提是故障的探測(cè)和匯報(bào)確認(rèn)。故障確認(rèn)的后果是安全策略的使用。

由于軟件架構(gòu)的不同，從故障碼到安全替換功能的關(guān)聯(lián)方法也不同。圖3 示出一種典型的故障替換功能軟件架構(gòu)。以變速箱內(nèi)部某傳感器開路為例:開路故障發(fā)生，故障標(biāo)志經(jīng)過去抖過程之后，確認(rèn)為故障代碼（DTC），并且保存在控制器的故障代碼保存區(qū)，此時(shí)通過診斷儀或標(biāo)定工具這一部分信息是可見的。與DTC對(duì)應(yīng)的替換功能在DTC 出現(xiàn)的時(shí)候也被激活，替換功能激活會(huì)通過控制器操縱執(zhí)行器實(shí)現(xiàn)相應(yīng)的動(dòng)作。

4 故障碼快照的實(shí)現(xiàn)

按照國(guó)際標(biāo)準(zhǔn)UDS 協(xié)議（ISO14229:2006（E））開發(fā)的汽車電控單元診斷功能中，快照是DTC 的一部分。其功能與OBD 診斷模式2 中的凍結(jié)幀的功能類似，用于記錄存儲(chǔ)故障發(fā)生時(shí)刻相關(guān)的環(huán)境變量的值，便于維修工程師分析故障原因并排除故障。

一種可以實(shí)現(xiàn)平臺(tái)化的故障碼快照實(shí)現(xiàn)的軟件架構(gòu)，如圖4 所示。DTC 和快照相關(guān)聯(lián)，而快照則是一組信號(hào)的組合。以圖4 中DTC A 為例，如果DTC A 出現(xiàn)，那么信號(hào)組3 的快照被作為DTC 的一部分被保存，也即信號(hào)B，C，E，F(xiàn)，G 在故障碼發(fā)生瞬間的狀態(tài)被保存。

這種軟件架構(gòu)數(shù)據(jù)結(jié)構(gòu)的實(shí)現(xiàn)方法比較簡(jiǎn)單，并且各個(gè)項(xiàng)目的兼容性較強(qiáng)，可以通過修改標(biāo)定量的方法快速實(shí)現(xiàn)不同項(xiàng)目之間的切換。

5 結(jié)論

診斷模塊是汽車電控單元軟件的重要組成部分，也是汽車售后維修的基礎(chǔ)。文章從故障識(shí)別、故障去抖確認(rèn)、安全策略和故障碼快照的實(shí)現(xiàn)4 個(gè)方面介紹了自動(dòng)變速箱控制器中診斷模塊的軟件設(shè)計(jì)方法，并列舉了可以實(shí)現(xiàn)平臺(tái)化的軟件結(jié)構(gòu)。這些軟件架構(gòu)已經(jīng)在實(shí)際的研發(fā)項(xiàng)目中得到運(yùn)用，具有軟件復(fù)用性強(qiáng)及標(biāo)定功能強(qiáng)大的特點(diǎn)，縮短了電控單元軟件研發(fā)的周期。