图1  用于控制电机的微控制器和电力电子线路

随着技术的进步和发展，混合动力汽车/电动汽车（HEV/EV）的电气驱动系统对微控制器处理能力和存储器的要求越来越高。为了应对处理负荷的增加并满足ISO 26262标准中的汽车安全性要求，德州仪器提供了适合于汽车领域中复杂和安全关键型系统的微控制器。

除了电池，在混合动力汽车（HEV）和电动汽车（EV）的驱动系统中，电机也是最关键的部件之一。

电机控制器是电机运行的核心，其主要组成部分包括：数字微控制器，用于调节并监视电机和电力电子线路的组件，以及负责处理传感器信号、通信和电源的模块（见图1）。

测量相位电流

如需调整电机的转矩，微控制器就必须获取每个控制周期中电机相位电流的即时信息。但在高转矩条件下，有可能出现几百安培的相位电流，为此，在初级电路（强电流电路）和次级电路（电子电路）之间需采用具有电流隔离功能的电流变压器。这些基于霍尔效应的电流转换器的优势在于其可放置在信号电缆的外部，不干扰信号。如果采用串行测量并联电阻器替代方案，将会出现阻性损耗和过热状况，这对于测量高电流很成问题，而霍尔效应电流转换器则不会产生此类影响，甚至还能够承受初级电缆中的超高电流。

隔离

由于逆变器中的电流和电压远远高于微控制器控制单元中的电流和电压，因此在这些组件之间的所有接口都必须隔离，以避免控制单元遭受故障或误动作的损坏。ISO72xx是来自德州仪器的符合汽车应用要求的数字隔离器系列，该系列具有低功耗及高达250 Mbps的时钟速度。这些模块采用容性电流隔离，其在时钟速度、可靠性、ESD保护和EMC状态等方面均表现出极佳的特性，完全可与光隔离或磁隔离相媲美。

微控制器

通信网络、在线安全和诊断功能、标准化软件架构（即AUTOSAR）以及当今最新的电机控制技术——磁场定向控制技术都使得控制系统对微控制器处理能力和存储器的高要求。

为了应对处理负荷的增加，德州仪器提供了适合于汽车领域中复杂和安全关键型系统的微控制器——Hercules TMS570LS安全微控制器系列，该系列提供了32位ARM Cortex-R4F CPU，其时钟频率高达180 MHz（> 280 DMIPS），并包括一个用于执行快速32 位和64位浮点运算（IEEE 754）的双精度浮点单元（FPU）。浮点运算和整数运算可并行运行，实现更高的处理能力。FPU 简化了软件开发，因为控制与调节算法越来越多地采用基于模型的代码发生器进行开发，而代码发生器的结果随后作为浮点子程序集成到整个项目之中。

ARM Cortex-R4F内核能处理16位或32位命令，从而在处理速度与代码长度之间实现了最优折衷。目前德州仪器提供的Hercules TMS570LS安全微控制器系列具有大量的集成型闪存（1～3 MB）和数据存储器（128～256 kB）。

运行速度较快的微控制器通常可提供较高的功能密度，而且尤其适合改善电机驱动器的动态特性与控制效率，因为它的控制环路时间较短。

图2  Hercules微控制器系列的安全特性

高端定时器协处理器

Hercules TMS570LS安全微控制器系列的高端定时器（N2HET）模块是一种灵活、可编程的定时发生器和捕获引擎。单个程序能控制多达32个可被随意配置为输入或输出的引脚。N2HET程序在系统初始化期间被复制至其局部RAM中。

在操作过程中，内核能够更新RAM中的关键值，以生成脉宽调制（PWM）信号或读出由输入引脚捕获的数值。为了进一步降低CPU的负荷，RAM与CPU存储器之间的事务处理也可由系统直接存储器存取（DMA）或高端传输单元（HTU）来执行。由于高度的灵活性，N2HET能够生成简单的专用定时器要求，例如电机的PWM控制或传感器信号的读取。另外，N2HET还具备在不增加CPU负荷的情况下实现状态机的能力。

若要控制一个三相电机，定时器模块通常必须生成6个PWM信号，因此，借助逆变器电源开关上的合适脉冲图形可生成一个具有特定振幅、相位角和规定频率的三相电压系统。一般而言，使用单个N2HET模块可以控制两个三相电机。TMS570LS21x/31x 微控制器提供了两个N2HET模块，所以能实现额外的功能。第二个 N2HET模块可用于控制采用各种逆变器电路乃至其他传感器通信协议的其他电机。

模数转换器

Hercules TMS570LS 安全微控制器带两个具有12位分辨率和24个输入通道的多输入缓冲模数转换器（MibADC），用于转换模拟传感器信号。为了降低CPU负荷，每个MibADC模块都有其自己的多缓冲RAM，每个模块能存储64个转换结果。对该RAM实施存储变换，并可利用CPU或DMA在指定的时间点上读出其内容。N2HET 模块具有大量用于触发A/D转换的配置选项。对于电机控制应用，N2HET能够在可随意设置的时间点上于PWM周期之内起动多个A/D转换序列。

通信

从发展趋势来看，汽车的功能将被集成到越来越少的电子控制器之中，但通信接口依旧起着重要的作用。Hercules TMS570LS 安全微控制器的集成型以太网、FlexRay和 CAN模块可用于局部通信或者与主要汽车网络的连接。与 HTU 相似，FlexRay模块也包括一个传送单元（FTU），可在无需CPU干预的情况下读出数据。此外，传感器和专用集成电路 （ASIC）还可通过SPI或LIN/SCI模块连接至控制器。许多模块都具有自己的RAM，可在RAM中对将要发送或接收的数据进行缓冲。

图3  Hercules TMS570LS安全微控制器发展计划

安全要求

在至关重要的安全性能要求方面，自2004年起，欧洲已强制执行了IEC 61508国际标准，用于监管安全关键型电子系统的开发，包括其相关的开发过程与质量保证操作规程。ISO 26262标准是从IEC 61508派生出来的，并针对汽车行业进行了相应的修改，适用于机动车辆中与安全相关的电气/电子系统。

作为控制电子系统的核心组件，Hercules TMS570LS安全微控制器的安全特性（见图2）尤为重要。Hercules TMS570LS安全微控制器系列专为在IEC 61508标准所定义的安全完整性等级3（SIL3）系统中使用而特别设计，经 Exida公司评估，Hercules TMS570LS安全微控制器的开发过程和安全性原理被认定适用于 SIL3系统。

Hercules TMS570LS安全微控制器系列在芯片上使用了两个相同的 ARM Cortex-R4F 内核，它们以一种锁步的方式运行相同的程序并接收相同的输入。在每个CPU周期中，对两个内核计算的操作和结果相互做逻辑比较，以检测和响应可能出现的误差。两个CPU均采用几何及时间分集在硅片中实现，旨在降低发生物理共因故障的机率。第二个ARM Cortex-R4F内核在硅片中进行物理映射与旋转，而且其处理被延迟了几个周期。

锁步架构的优势在于能够实现很高的诊断覆盖范围并减少诊断软件开发的工作量。两个内核的硬件比较在每个 CPU 周期中进行，因此当检测到误差时，便可在几个 CPU 周期之内接触故障实现安全状态。由于内核上的误差检测完全由硬件来执行，因而与基于软件的检测方案相比，不会增加 CPU 负荷，且几乎不需要软件。

此外，利用硬件机理可在微控制器中检测其他误差。这种方法可降低系统侧的软件开发和安全性认证成本及复杂性。用户可以轻而易举地将第三方软件包集成到整体项目之中，而且，从双处理器系统至单处理器系统的巨大转变还能帮助降低成本。

为了检测和响应 Hercules TMS570LS安全微控制器的程序存储器和数据存储器中的误差，每个ARM Cortex-R4F内核都具有集成型误差校正码（ECC）逻辑电路。该模块能够校正个别位误差并检测双重误差，此外还可在内部监视地址总线和解码器。

用于监视内核的内置自测试模块有两种，分别是逻辑内置自测试（LBIST）和数据存储器可编程内置自测试（PBIST）。LBIST 模块能够检查 Cortex-R4F 内核在控制器初始化或应用程序运行期间的故障。PBIST 模块则可利用各种不同的可选算法来测试任意或所有的集成型RAM。由于无须为内核及数据存储器执行任何测试例程，因此这些内置自测试模块可简化软件开发及压缩代码空间。所有具备自有数据存储器的外设模块（N2HET、MibADC、FlexRay、DCAN 和 MibSPI）均利用硬件中的奇偶校验逻辑电路予以保护。另外，这些 RAM 区域也可以采用 PBIST 来测试。

集成型存储器保护单元（MPU）可用于监视特定存储区域的访问以及为这些区域分配特殊的访问权限，它内置了一个 64 位循环冗余校验器（CRC）单元，用于测试存储的静态数据，并可由 DMA 在后台进行操作。此外，外设模块也拥有自己的误差检测能力，如模数转换器（ADC）的自测试。用于误差检测的所有模块均与误差信号传输模块相连，从而实现所有检出误差的集中式优先级处理及可配置的外部信号传输。

总结与展望

Hercules TMS570LS安全微控制器系列运用的ARM内核被许多半导体厂商用作处理器内核。基于 ARM的内核由于标准化的原因而拥有众多的优势，这样不少第三方供应商就可以利用开发工具和软件组件来支持这些内核。FlexRay驱动程序和AUTOSAR软件包都可用于Hercules TMS570LS安全微控制器。

Hercules TMS570LS安全微控制器提供了适用于EV驱动控制的性能、外设和安全功能。此外，如图3所示的Hercules TMS570LS安全微控制器发展计划支持高达4 MB的闪存和变体架构，包括目前的锁步法以及一种可同时执行两个不同程序的双重独立Cortex-R配置。将高速缓存与这些方案配合使用将实现更高的处理能力。