200MHz主频的C28x 核以及 CLA 的协处理器

作者： ti mcu 工程师 strong zhang
随着新能源汽车的迅猛发展和汽车电子系统越来越复杂，汽车的功能安全越来越备受重视，可靠性的要求也越来越高，iso 26262是国际功能安全的标准，按照iso26262标准流程开发产品能有效提高汽车电子、电气产品功能安全。
在汽车电驱动的开发上越有越多的客户有功能安全设计的需要，必须满足系统asil c安全等级，目前针对电驱动的功能安全的主控芯片方案有单芯片的方案，也有双芯片的方案，两种方案各有优缺点。ti主推的的双芯片的方案是“c2000+tms570”，同时利用了c2000在电机控制上实时性的优势以及tms570在功能安全方案的特点，被越来越多的客户采样应用于汽车电驱动的功能安全项目上。
图1为“f28379s + tms570ls0714”双芯片架构的功能安全的电驱动框图，汽车电驱动系统的主要安全目标是避免非预期的扭矩突变，因此在系统设计中需要采取的安全措施是对输出扭矩的监控，要求为asil c, 根据iso 26262 asil分解原则可以将系统的asil c分解为“asil c + qm”,即将c2000做分解为qm级别电机控制，tms570分解为asil c的安全功能监控，实现整个系统的asil c控制，这样既能利用c2000在电机控制上实时性的优势，也能利用tms570专门做功能安全方面的特性，而且在软件层面上，可以把大部分的电机控制的代码放在c2000上，只需满足qm级别的要求，把小部分跟安全监控相关代码放在tms570上执行，满足asil c的要求，大大减少软件的开发时间和降低成本。
f28379s和tms570ls017通过spi进行通信，进行数据交互和相互校验，也是安全机制实现的一种方式，如f28379s和tms570ls0714可以同时对某一路的电流采样进行采样，采样结果通过spi传输后进行相互校验，如不一致则进行错误处理，将系统控制到安全状态。
c2000是ti专门为数字电源和电机控制的应用设计的微控制器，近年来随着新能源汽车的高速发展，c2000产品也广泛应用电动汽车上的电机控制器，能够满足电机控制实时性的电机控制性能要求，tms320f28079s是目前最高性能的c2000产品，满足电机控制转速越来越高，实时性要求越来越高的控制需求，主要有以下新的特点：
200mhz主频的c28x 核以及 cla 的协处理器；
4 路差分输入的16位 adc模块；
三角函数加速器 (tmu，对sin, cos, arctan 等指令执行只需要1 到 3 个周期；
内置8路窗口比较器可以用来做过流保护，过欠压保护等；
内置clb可编程逻辑控制单元；
8 路sigma delta抽样滤波器。
tms570全系列mcu都是通过了第三方认证公司tuv-sud asil d最高等级标准的认证，在设计生产流程方面严格按照26262的要求进行，同时有独特的安全架构和完善的安全机制处理硬件随机失效。目前广泛应用于新能源车上的traction inverter、bms、 obc、 vcu等ecu系统上。
为了管理随机硬件失效，tms570 mcu集成了很多安全机制，并且采用的是“安全岛”的安全理念，即对能确保mcu软件正常运行的最小系统部分采用的是硬件诊断的安全机制，如上图红色部分, 包括了电源、时钟、cpu，flash，ram等模块，例如采用了双核锁步的cpu架构，flash错误校正代码 (ecc)，ram ecc、memory bist等硬件的安全机制。
为了减少共因失效，tms570 mcu在空间上和时间上都采取措施，在空间上将其中一个cpu镜像翻转后垂直于另外一个cpu，两个cpu在空间上距离超过了100 μm，在时间上两个cpu 的运算错开2个时钟周期，运算结果送至专门的比较模块进行实时比较，如有一个cpu运算有问题就马上报错处理，tms570片上带有flash和ram ecc的功能，即对flash或ram的某一个位错误进行纠正，如果两个位发生错误则进行报错处理，tms570有两路独立的adc模块，可以同时对两路信号进行同时采样转化，可运用在电流，电压，温度等模拟量的冗余校验功能中，确保监控数据的正确性，减少了芯片失效而带来的故障。adc模块还支持adc通道自检功能，可以检测出引脚短路到电源，gnd等故障。