高压看门狗定时器提高汽车系统的安全性

来源：analog 发布时间：2023-09-11

摘要： 随着电子系统取代了汽车的许多机械功能——从发动机定时到转向和刹车——人们对容错能力的关注日益增加。不应该有一个单点故障阻止汽车“一瘸一拐”地驶离道路或到达最近的服务站。冗余系统、看门狗计时器和其他控制电路用于重新路由信号和执行其他功能，以确保车辆在发生故障时能够安全地离开道路。

现代高端汽车可以有多达80个电子控制单元(ecu)。从控制发动机、刹车和安全气囊展开的最复杂的电路，到控制座椅和侧后视镜调整的简单电路，这些电路各不相同。但就像所有的电子产品一样，有时也会出问题。所有的电脑都会死机。所有的软件都可能有bug。这就是“一瘸一拐回家模式”发挥作用的地方。

一瘸一拐地回老家模式

“跛行回家”是一种车辆操作模式，允许进入故障安全模式，并允许车辆缓慢行驶回家。跛行回家模式的实施是为了使出故障的汽车能够安全地将乘客送回家，同时限制对汽车发动机和其他部件的损坏。Limp home包括发动机管理系统和辅助安全设备，如车灯和雨刷，这些设备通常由车身控制单元(BCU)控制。

现代发动机管理系统具有自检功能，可定期检查来自发动机传感器的信号。例如，如果冷却液液位传感器读数低于临界液位，发动机控制模块将发动机切换到紧急模式。风扇立即打开，只有一半的气缸得到燃料。由于只有50%的气缸在燃烧，发动机产生的热量少得多，因为它在低功率下运行。发动机可以使车辆以大约50英里每小时(大约80公里每小时)的中速行驶，并且有足够的动力将汽车送回家或到最近的车库。虽然发动机管理系统必须确保发动机可以在减速模式下运行，但BCU必须确保其他基本车辆功能的维持。

随着汽车中电子设备数量的增加和系统变得越来越复杂，制造汽车故障安全系统变得越来越困难。通常的目标是确保不存在导致车辆无法移动的单点故障。由于使用高度复杂的软件，很难进行详尽的测试，因此问题更加严重。

冗余

跛行home是在系统中引入冗余的另一种选择。在一个冗余系统中，如果主控制系统失效，就会有另一个系统代替它。另一种方法是使用轮询技术，其中轮询两个以上的处理器或逻辑电路，多数决策决定是否采取操作。其基本原理是，两个或多个系统同时失败的概率远远小于单个系统失败的概率。真正冗余系统的缺点是成本和复杂性较高。在某些“线传”应用程序中，冗余是必不可少的。然而，在某些系统中，即使在处理器发生故障的情况下，只要能够维持有限的功能就足够了。

实现故障安全系统的一种方法是使用硬件看门狗电路，该电路必须由微控制器定期“服务”，以避免系统复位。使用看门狗是一种简单而低成本的技术，可以确保在发生故障时所需的有限功能，并且不依赖于软件。

监督进展

考虑到上述因素，MAX16997 / MAX16998是提高汽车应用系统安全性的理想选择。这些高压看门狗定时器的目的是在安全关键的微处理器控制的应用提供极高的可靠性和安全性。在µC故障的情况下，看门狗被激活，设备可以安全地切换到冗余电路(图1和2)。

图1所示、MAX16998切换到备用电路

图2、MAX16997A典型应用框图

MAX16997/MAX16998具有超时或窗口看门狗功能，外部电压监测电源上/下复位，µC复位功能，使能输入和高压容限系统使能输出。由于这些ic可以直接由12V汽车电池供电，并且具有高达45V的瞬态容压，因此它们独立于低压电源运行，不像标准的低压看门狗定时器设备。因此，如果下游电路由于硬件(HW)或软件故障而失效，这些监控电路继续独立运行。

使IC更不受HW故障的影响，低激活复位输出(低激活reset)，看门狗触发输入(WDI)，使能输入(EN)和外部电压监测输入(reset IN)额定为20V，以承受汽车电池电压的短路。该特性为下游高压电气故障提供了强大的屏障，并保证在这种情况下安全地切换到冗余电路。

根据需要的安全级别，MAX16997/MAX16998可以提供标准超时看门狗功能或时间窗看门狗功能。超时看门狗变体确保定时器的清除信号在看门狗时间内发生;否则，他们会激活系统复位。因此，它们将检测到软件故障，例如代码执行太慢或晶体振荡器运行缓慢。时间窗看门狗可以识别更多的故障。它确保定时器的清除信号在正确的时间窗口内发生。因此，它还可以检测错误，例如代码执行太快或快速运行的振荡器。

复位延迟和看门狗时间的定时可以使用一个外部电容器为每个功能独立编程。打开看门狗窗口的比率出厂设置为看门狗时间的50%或75%。此外，复位阈值电压是可编程的使用外部电阻分压器。

MAX16997可以读取KL15状态(EN)，并且只有在点火时才激活内部监控计时器。在这里，初始看门狗超时时间延长了8倍，以使微控制器有足够的时间启动。

当Active-low RESET电压低于其复位阈值或看门狗触发输入(WDI)读取坏触发时，Active-low RESET被断言为低电平。Active-low如果WDI输入连续三次读取坏触发信号，则使能低拉。在µC清除看门狗(WDI引脚)后，连续三个周期成功激活低使能将再次变高。

MAX16997/MAX16998采用8引脚µMAX 封装，完全适用于汽车温度范围(-40°C至+125°C)。