深度分析整车控制域现状与发展

智能汽车电子与软件 2023-01-04 17:25

【直播】创新芯片重塑机器人未来 精密双向电流传感放大器，提供精准测量

关注公众号，点击公众号主页右上角“ ··· ”，设置星标，实时关注智能汽车电子与软件最新资讯

来源：汽车ECU开发

作者：BlackCoffee

动力总成（Powertrain）系统是车辆的重要组成部分，它负责从车辆的储能单元进行能量转换，也即生成动力，然后将动力传送给车辆的驱动系统，从而驱动车辆行驶前进。

尽管传统燃油的内燃机车（ICEV）与电动汽车（Electric Vehicle）有着完全的不同的动力总成设计和部件，但从Powertrain架构上来看依然可以分为“储能系统”和“驱动系统”两大主要部分。EV使用动力电池取代了油箱来储能，相应地也增加了“电池管理系统（Battery Management System, BMS）”。同时EV采用了“电机(Motor)”取代内燃机引擎（Engine）来驱动车辆，因此“电机控制器（Inverter）”代替了“发动机控制器（Engine Control Unit，ECU）”。

对于ICEV车辆来说，从驾驶意图的获取到能源供给，再到能量的转化，几乎都是由发动机控制器ECU来完成的。而对于EV来说，类似的功能则由“整车控制单元VCU（Vehicle Control Unit，也称为电控单元）”来完成。VCU可以被视作电车的动力总成系统的主控单元，负责根据驾驶员意图、车辆运行状态以及整车控制策略，经过计算分析然后给各部件发出相应的控制命令，以实现电车的高性能安全行驶。因此也有人把VCU比喻成EV的“小脑”。

电机、电池和电控（也就是俗称的“三电”系统）构成了电动汽车的整车控制系统。狭义上的电控就是指整车控制器VCU，但是广义上的电控系统往往指由电机、电池和VCU组成的整车控制系统。

1 整车控制系统

整车控制系统按照执行任务的层级可以分为“决策层”、“协调层”和“执行层”等，这三个层级构成了一个闭环控制系统。决策层由驾驶员构成；整车控制器VCU作为协调层根据车辆实时状态和决策层的指令对驾驶员的操作目的做出合理判断；整车控制器VCU将控制指令发送给执行层，由执行层执行相应控制命令。

下图4-1是一个纯电动汽车的典型整车控制系统的结构图。

如上图所示，整车控制系统以电控VCU为核心，通过CAN总线指挥储能系统、电机系统等关键的总成部件执行相应的上下电动作以及扭矩指令，最终完成整车的行驶运行。

整个控制系统也分为低压部分和高压部分，并由HV-LV DC/DC变换器完成高压到低压的转换。低压部分完成车辆控制器供电和信号采集通讯任务；高压部分通过高压线束将动力电池的电能传输到空调系统、电机等高压供电设备，实现动力电能的传输。

逆变器（Inverter，也即电机控制器），是纯电汽车动力性能的决定性部件之一。它从整车控制器获得整车的扭矩需求，从动力电池包获得电能，经过自身逆变器的调制，获得控制电机所需要的电流和电压，提供给电机，使得电机的转速和转矩满足满足整车行驶的需求。

1.1 整车控制器VCU

VCU是电动汽车的核心部件，车辆的驾驶平顺性、能耗经济性以及运行可靠性等都与VCU息息相关。下图4-2是从VCU视角抽象的电控系统主要功能示意图，它获取驾驶意图和车辆运行状态作为输入信息，匹配驾驶需求，制定合理的功率输出和能量回收策略，并通过CAN总线或LIN总线将控制命令输出给其余Powertrain控制器。

备注：上图中的MCU代表的是Motor Control Unit，指包括逆变器在内的电机控制器单元。TCU代表Transmission Control Unit，指变速器控制单元。

具体而言，VCU通常需要实现以下6个方面的功能：

（1）获取驾驶意图和车辆运行状态：VCU必须能够采集“油门踏板信号”、“刹车踏板信号”、“档位手柄位置信号”等模拟量信号来判断驾驶员或者ADAS系统的驾驶意图。另外还需要采集“车速信号”、“电机转速”等频率信号，以及通过CAN总线采集的其它控制器信号，比如：电机输出扭矩、变速箱档位、电池荷电状态（SOC）等，通过计算和分析得出车辆运行状态信息。

（2）Powertrain控制：VCU最重要的功能就是根据驾驶员的驾驶意图和车辆实时状态，按照设定的控制程序向相应的powertrain子系统发送控制信号，从而控制整车行驶。比如：当驾驶员踩下加速踏板时，VCU向电机控制单元发送电机输出转矩信号，电机控制系统控制电机按照驾驶员的意图输出扭矩（Torque）。

VCU对扭矩的动态控制是影响整车行驶舒适性的关键因素。主要包括模式切换过程中的扭矩协调，以及换挡过程中VCU与自动变速器控制系统（Transmission Control Unit，TCU）之间的协调控制。模式切换过程与换挡过程均为高度瞬态过程，可能引起电机目标扭矩的突变，引起动力系统输出的动力不平稳。

（3）能量管理策略：VCU采用良好的能量管理策略，提高电池的能量使用效率，对于提升电动汽车的续航里程是至关重要的。能量管理策略包括整车控制、整车能量分配、制动能量回收等方面。

整车控制相关的能量管理策略是指日和合理地分配电机的输出扭矩，在满足驾驶员的需求扭矩和整车动力性的前提下，维持电机和电池组的效率在一个良好的范围内，从而达到高效、节能的目的。
整车能量分配是指对整车各部件使用能量进行优化。纯电动汽车有很多用电设备，包括电机和空调设备等。整车控制器可以对能量进行合理分配优化，来提高纯电动汽车的续驶里程。例如当动力电池组电量较低时，整车控制器发送控制指令关闭部分起辅助作用的电气设备，将电能优先保证车辆的安全行驶。
制动能量回收控制：纯电动汽车的电机可以工作在再生制动状态，对制动能量进行回收利用是纯电动汽车和传统能源汽车的重要区别。VCU根据行驶速度、驾驶员制动意图和电池组状态进行综合判断后，对制动能量回馈进行控制。如果达到回收制动能量的条件，整车控制器向电机控制单元发送控制指令，使电机工作在发电状态，将部分制动能量储存在动力电池组中，提高车辆能量利用效率。

（4）整车通讯网络管理：整车控制器作为整车控制系统的通讯中心节点，负责信息的组织、信息优先权的动态分配和传输、网络状态的监管及故断与处理。

（5）车辆状态检测与显示：VCU需要实时监测车辆的各种运行状态信息，比如：通过 CAN 总线通信获得车速、电池剩余电量、电机转速、电流等关键的车辆运行数据，并将它们发送给仪表盘显示系统，便于驾驶员准确掌握车辆整体运行状况完成相应操作。

（6）故障检测与诊断：正常情况下，VCU对整车运行状态进行实时监控。但是当发生故障时，必须及时报警，产生、存储和发送相应的故障码，根据故障等级的不同迅速采取相应的安全处理措施，确保车辆安全行驶。除了故障检测之外，VCU也需要实现故障状态下的保护功能，也就是按照出现的故障类别对整车进行保护，紧急状态下才去必要的措施进行安全保护，以防止极端情况的发生。

1.1.1 VCU的硬件组成

VCU硬件由主控芯片以及周边的时钟电路、复位电路、预留接口电路和电源模块等组成最小系统。在最小系统以外，一般还配备数字信号处理电路，模拟信号处理电路，频率信号处理电路，通讯接口电路（包括CAN通讯接口和RS232通讯接口）。如下图4-3所示：

开关信号包括：钥匙信号、档位信号、充电开关、制动信号等；
模拟信号包括：加速踏板信号、制动踏板信号、电池电压信号等；
频率信号包括：比如车速传感器的电磁信号，等等。
输出信号一般用于控制接触器等部件。

1.1.2 VCU的车辆驱动控制策略

驱动控制策略简而言之就是在特定的模式下采用最佳的特定转矩进行合理配置，从而最大限度地省电能，发挥出电动汽车的经济用性。这是整车控制策略的核心重点。

驱动控制策略将汽车运行模式分为以下几种，按照不同的运行模式采取不同的驱动控制策略：

1. 起步模式：整车控制器在完成对电动汽车的上电自检后，如果采集到驾驶员加速踏板信号，开始计算电机转矩，发送扭矩需求给电机控制单元。然后电机控制单元控制电机启动使电动汽车平稳起步。如果检测到动力电池组电量低于安全值，发送报警信号提醒驾驶员采取相应措施。

2. 正常驱动模式：指车辆处于正常运行状态，包括加速和倒车等模式。在这个模式下，VCU持续监测哥哥电气系统的状态参数（比如：电流、电压和温度等），以及车辆自身的行车状态参数（比如：车速、滑移率等），识别驾驶员意图，按照加速踏板的开度和开度变化率等，计算所需要的电机驱动扭矩和动力电池的输出功率等。最后，将这些输出发送给电机控制器单元等。当驾驶员挂入倒档时，倒档信号传入VCU，车辆进入倒档模式，此时需要VCU输出一个扭矩来平稳倒车。

3. 制动模式：当制动踏板被踩下后，进入制动模式。VCU分析制动踏板的开度和开度变化率，以及车速和车辆自身的车型参数，来推算所需的制动力矩，然后指挥制动控制器，做出最合理的制动力矩分配方案，以及是否优先启动ABS主导制动过程等。最终安全有效地实现驾驶员的制动意图。纯电动汽车区别于传统内燃机动力汽车的主要特点是可以对制动能量进行回收，即在制动过程中采用合理的制动能量回馈控制策略使电机工作在发电状态，对部分制动能量进行回收利用，提高车载能量利用效率。

4. 安全保护模式：保护模式非常重要，VCU需要确保电动汽车在驱动系统出现不同级别故障时采取不同的安全措施，以保证行驶安全。电动汽车在行驶过程中可能出现的故障按照严重程度被分成几个等级：1）故障等级低的，通常给驾驶员提示告警；2）故障等级高的，会强制车辆段时间内停车；比如：系统绝缘故障。3）中间等级的故障，通常会对车辆运行状态进行限制，但不会强制停车。比如：电池电量SOC低于30%，限速行驶。此时的动力电池系统，已经无法输出额定功率，而只能以一个较小的功率工作。

5. 充电模式：当VCU监测到充电枪与车辆充电插座物理连接确认后，辅助电源上电，相互发送握手报文并完成绝缘检测。外部充电机与BMS进行参数协商确认。充电机发送充电机最大输出能力报文给BMS，以确认是否可以以最大能力充电，若不可，则BMS发送电池包的最大接受能力。进入正式充电模式后，在此过程中，充电机和BMS实时互相发送状态信息，BMS周期性发送需求参数。

充电结束，其判别条件根据BMS的不同设置而有所不同，一般做法，充电最后恒压阶段，电流衰减到一个设定值或者设定的倍率，即认为电池包已经充满，充电过程可以结束。充电过程中，任何一方发生故障，比如过温、过流等，充电机都会发出报警，根据故障等级的不同，有的直接终止，有的等待人为处理。

1.2 电池管理系统BMS

动力电池包是电动汽车唯一的动力来源。对电池组进行有效管理是电动汽车整车能量管理的核心。电池管理系统（BMS）是整车控制系统中负责进行电池管理的控制单元，因此也是整车能量管理系统的重要组成部分。VCU通过CAN总线与BMS进行通讯，实施对动力电池组的有效控制；另一方面也通过CAN总线从BMS中获取动力电池组的当前状态信息，为整车的能量控制策略提供基准参考。

一个“动力电池包（Battery PACK）”通常由几个“电池模块（Battery Module）”组成。电池模块也简称为“模组”，我们通常把多个“电芯（Battery Cell）”用同一个外壳框架封装在一起，通过统一的边界与外部进行联系时，这就组成了一个模组。“电芯（Battery Cell）”是动力电池的最小单位，也是电能存储单元。如下图4-4所示：

BMS系统通常由电池控制器单元（Battery Control Unit，BCU）和电池管理单元（Battery Management Unit，BMU）组成。电池模组中的BMU主要任务包括：负责采样模组中的电芯的电压，执行电芯的电压平衡，采样和管理电芯的温度，通过CAN总线跟外部其余相关单元进行通讯等。而BCU的主要任务包括：测量电池包的总电压、总电流和绝缘状态等，管理充电和放电，评估电池荷电状态SOC/SOH/SOP值，此外它也是VCU与电池包之间的通讯中介桥梁。如下图4-5所示：

BMS需要实现的主要功能包括以下几点：

对电池信息进行采集：准确采集电池包的总电流、总电压、最高单体电压、最高温度、电池包荷电状态SOC（State Of Charge），以及电池包荷电健康状态SOH（State Of Health）等参数数据。并将电池包的这些信息通过CAN总线通信网络发送给整车控制器VCU。
进行电池SOC估算。整车控制器VCU在进行整车能量管理时，必须考虑动力电池包的状态。电池剩余电量SOC是衡量电池状态的重要指标，表示电池当前剩余电量与额定电量的比值。如何根据电池的端电压，充放电电流，内阻等参数对电池剩余容量进行估计是电池管理系统研究的关键问题之一。
对电池包进行充放电控制：对电池包进行充放电控制对于保证电池包安全工作，防止电池过度充放电有着重要意义。整车控制器通过对电池管理系统的控制实现电池的充放电转换。
对电池包进行均衡控制：动力电池包里不同电芯单体间的不一致性是固有的，为了延长电池的使用寿命，电池管理系统需要提供均衡措施尽量减小单体电池之间的差异。对动力电池包进行均衡控制对提高电池使用寿命有着重要意义。
故障诊断及处理：动力电池包的运行环境非常恶劣复杂，一旦出现故障必然会导致电池性能的下降，情况严重会导致电池报废甚至爆炸。因此，电池管理系统必须具备及时预防故障和及时处理故障的能力。动力电池包可能出现的故障主要有：过充、过放、过温、过流、容量过高、容量过低等。电池管理系统的故障诊断及处理是实现电池组安全工作的重要保障。

1.3 电机控制器

电机控制器（Motor Control Unit，MCU)和驱动电机共同组成了电机系统。电机控制器接收来整车控制器VCU的需求扭矩和目标车速等信息，然后通过里面的单片机控制IGBT 模块进行动态扭矩矢量控制，以控制电机将电池包的电能转化成机械能。

电机控制器主要由中央控制模块、功率模块、驱动控制模块以及各种传感器等组成。

中央控制模块包括：PWM波生成电路、复位电路、传感器信号处理电路、交互电路等。中央控制模块的两大功能：1）对外，通过IO接口获取整车上其他部件的指令和状态信息。对内，把翻译过的指令传递给逆变器驱动电路，并检测控制效果。
功率模块：电机控制器的主体是“逆变器（Inverter）”。逆变器对电机电流电压进行控制。经常选用的功率器件主要有MOSFET或者IGBT等。
驱动控制模块：它的作用是将中央控制模块的指令转换成对逆变器中可控硅的通断指令，并作为保护装置，具备过压、过流等故障的监测保护功能。
传感器：包括电流传感器、电压传感器、温度传感器、电机转轴角位置传感器等。

2 整车控制域的芯片方案

整车控制域的芯片主要是以各种MCU芯片为主，强调低功耗设计、控制实时性以及ASIL-D等级的功能安全等特性，软件上则主要以AutoSAR CP平台为主。传统汽车电子厂商（包括瑞萨、TI、NXP和Infineon等）都有丰富的针对整车控制器的MCU芯片方案。这里介绍一下NXP的S32系列MCU芯片。

2.1 S32K3系列MCU芯片

NXP S32K3是基于ARM Cortex-M7内核所打造的、可支持ASIL-D级别功能安全的系列家族MCU芯片产品。它的设计应用场景包括：电机控制器、车身控制器、BMS等整车控制域中各种控制器单元。S32K3强调芯片架构的伸缩性，支持单核、双核和锁步（Lockstep）核等不同内核配置，以灵活适应各种不同场景的需求。

下面是S32K3 MCU的芯片特性：

(一) 可伸缩的MCU平台：

ARM Cortex-M7内核，120-240 MHz运行频率，支持Lockstep模式。
512KB到8MB大小的Flash存储，支持ECC
FOTA支持：A/B模式的固件升级机制，支持回滚机制
低功耗的运行与Standby模式，快速唤醒功能，时钟与电源门控设计
BGA和MaxQFP封装，48-289 pin角。相比于标准的QFP封装，新的MaxQFP封装可以大大减小封装footprint。
AEC-Q100可靠性认证：Grade 1 (-40 °C 到 +125 °C) 和Grade 2 (-40 °C to +105 °C)

(二) Safety、Security和外设接口特性：

ISO 26262功能安全：最高可支持到ASIL-D级别
失效收集和控制单元（Fault Collection and Control Unit, FCCU）
硬件Watchdog，软件Watchdog计时器，时钟/电源/温度监控机制。
NXP SafeAssure支持
硬件Security引擎（HSE）：ASE-128/192/256，RSA和ECC加密，Secure Boot，密钥导入和存储，侧信道保护机制，ISO 21434等。
TSN以太网、I3C、CAN-FD、FlexIO（SPI/IIC/IIS等）、QSPI接口和串行Audio接口
专用的电机控制外设接口：enhanced Modular IO Subsystem(eMIOS), Logic Control Unit (LCU), TRGMUX, Body Cross-triggering Unit (BCTU), Analog to Digital Converter (ADC), and Analog Comparator (CMP)

NXP也提供了完整的软件解决方案，可以极大降低客户开发车载控制器产品的难度，缩短产品开发周期。下图4-7是NXP S32K3的软件栈：

(一) 软件解决方案中的标准软件部分（产品级质量保证，且无需额外付费）包括：

HSE固件：标准版本的HSE Firmware是可以升级的
Real-Time Drivers（RTD）：覆盖所有MCU外设IP的实时驱动程序，ISO 26262 ASIL-D兼容，AutoSAR 4.4规范兼容。可以通过NXP S32的配置工具等进行配置。
Safety Peripheral Drivers：跟S32K3芯片中的硬件功能安全特性相关的驱动程序，包括：BIST管理器、扩展MCU错误管理器（eMcem）等。
IPC框架：核间通信和资源共享的Framework。比如：AutoSAR CP系统和非AutoSAR的RTOS软件之间，可以使用这一套基于共享内存的IPC框架来进行快速通信。

(二) 需要付费购买商业License的软件包括：

安全软件框架（Safety Software Framework，SAF）：主要包括支持失效检测的库程序，以及芯片启动时、运行时的单点失效处理和失效恢复程序库。基于SAF，用户更加便于开发满足既定功能安全目标的软件功能。
结构化的核心自检程序库（Structural Core Self-Test Library）：用于在运行时检测处理器核心中永久的硬件失效，可以高达90%的诊断覆盖率。
HSE固件：OEM特定的定制版HSE固件
AMMCLIB（Automotive Math and Motor Control Library）：NXP专利的、用于各种电机控制的算法数学库。这是车规级软件（SPICE Level 3和CMMI软件流程认证），包含MATLAB/Simulink模型以及相应的C代码库程序。
BMS系统中的安全程序库：包含在BMS的参考设计中。

总结一下NXP S32K3系列MCU产品的竞争优势：

1. 优秀的可伸缩MCU平台：基于ARM Cortex-M系列内核，从单核、多核以及锁步核模式的配置，ASIL-D功能安全，以及低功耗设计。

2. 面向未来的芯片特性：HSE支持对称以及非对称加密算法，安全启动，密钥管理等。

3. 完整的软件SDK：SDK中内置免费的、车规级的基础系统软件，面向领域的上层应用软件参考设计，丰富的开发工具和专业的电机控制数学库算法等。

2.2 S32S系列微处理器

NXP S32S24和S32S247系列安全微控制器和微处理器，针对电动汽车中需要高安全可靠的车辆动力域控制器系统（Vehicle Dynamics Control System）和安全协处理器应用场景，支持最高等级的ASIL-D功能安全级别：

需要ASIL-D级别安全容错功能的车辆动力系统应用，比如：制动控制器、转向控制器和电机控制器等。
需要出色的性能、ASIL-D安全等级和存储能力的HEV/EV电控域控制器应用场景，以应对多种能力源的复杂能源管理问题。
高性能的安全协处理器，可用作主雷达、视觉和传感器融合处理器的安全检测器。

下图4-9是S32S系列处理器的功能模块图：

下面是S32S处理器的一些关键特性：

满足汽车可靠性和ISO 26262 ASIL-D功能安全的芯片设计。
总共8个基于ARM v8架构的Cortex-R52实时安全内核，支持双核锁步模式，其中4个核带有ARM NEON SIMD指令支持。最高运行频率可到800MHz，CPU算力最大可高达6K+ DMIPS。
大容量集成Flash闪存：至少为16MB，最大可达64MB
先进的Flash闪存更新功能：即时(On-the-Fly)无线（Over-the-Air）闪存更新功能，将处理器停机时间将为零。
基于ARM Cortex-R52内核的Hypervisor虚拟化支持：通过Hypervisor实现硬件资源的分区隔离，确保多个用户应用程序互相不影响。
功能安全：高级芯片失效检测与恢复机制，可以帮助用户检测、隔离和处理芯片失效，而无需系统停机。
硬件安全引擎HSE：用户可编程的HSE支持各种基于公钥和私钥的加密算法，旨在保护免于各种恶意的黑客网络攻击。
AEC-Q100 Grade 1：-40 °C 到 +150 °C温度范围

基于NXP S32S系列安全微处理器，用户可以开发出集成度更高、更加智能的汽车动力域控制器产品。

3 整车控制系统的发展趋势

当前汽车EE架构的发展趋势是从分布式ECU架构演进到域集中式架构。目前正在量产或即将量产的车型大部分都是基于域集中式EEA。特斯拉已经率先发展到“中央计算+区域”的EE架构，根据预测2025年后，国内大部分主机厂也将开始演进到中央计算+区域EE架构。部分领先的厂商明后年就会有基于“中央计算+区域”EE架构的车型量产落地。

正如图4-1所显示，经典的动力总成系统通常包含了“驱动电机”、“电机控制器”、“减速器”、“车载充电器”、“直流变换器”、“配电箱”、“整车控制器VCU”和“电池管理器”等八大部件。显然，相较于座舱域和自动驾驶域，整车控制域显得更为分散、集成度更低。在当前汽车域集中式EE架构的发展趋势下，整车控制系统朝着“集成化”和“域控化”演进是两大主流发展趋势。

（一）集成化

从最早的驱动电机、变速器和电机控制器“三合一”开始，这两年国内主机厂和动力总成Tier 1供应商陆续推出了集成化程度更高的“多合一”动力总成系统。集成化程度更高的好处是显而易见的，比如：可以大大减小电驱动系统的体积，降低系统的总重量；集成度更高也意味着降低生产成本；此外减重也可以反过来增加xEV的续航里程。

2021年9月在比亚迪最新发布的E平台3.0中，很重要的一个亮点就是动力总成部件的“八合一”集成化，将传统的八大部件深度融合集成到了一起。如下图4-10。高度集成化使得整体体积可以降低20%，重量减轻15%左右。

2021年7月，长安汽车发布第二代电驱动一体化系统，集成了整车控制器（VCU）、高压分线盒、电机控制器、直流变换器、充电机、电机、减速器七个部件，在综合性能方面较第一代的“三合一”（集成电机、电控、减速器）系统有显著的提升，体积减少5%、重量降低10%、功率密度提升37%、效率提升5%。

（二）域控化

电驱动力系统的多合一集成化也带动了动力总成系统中原本分散的控制器单元朝着集中式的域控制器融合发展。性能更强劲的域控制器促进了从模块到系统的融合、再进一步到整体方案的融合。

比如比亚迪E平台3.0中的智能动力域控制器，将原来的VCU、BMS、电机控制器以及DC/DC和AC/DC的控制部分都集成到了动力域控制器平台上。

从目前国内外相关论文来看，以原有的VCU为基础，升级为成一个性能更强劲的汽车动力域控制器（Vehicle Dynamics Controller）平台，然后整合BMS、电机控制器、DC/DC和AC/DC相关的软硬件功能是一个趋势。如下图4-12所示，其中紫色的虚线箭头表示原来由单个ECU控制器实现的相应功能向性能更强劲的动力域控制器上迁移。

在这种发展趋势下，原来最高频率不超过200MHz的MCU芯片显然不能提供动力域控制器所需的性能。也正因如此，NXP即将发布基于最新的Cortex-R52内核、运行频率可高达800MHz的S32S系列安全微处理器。S32S安全微处理器基于ARM-v8架构的R52内核还支持虚拟化技术，通过Hypervisor还能对集成到同一个平台上的不同应用软件做很好的隔离，以确保系统的安全可靠性。下图4-13是NXP最新发布的车规MCU产品线的路线图，可以看到面向应用复杂度越来越高的汽车动力域控制器场景，NXP将推出性能更强劲的MCU产品。