新软件技术在燃料电池客车控制系统中的应用
             华剑锋 徐梁飞 包磊 林辛凡 李建秋
       (  清华大学汽车安全与节能国家重点实验室北京100084)
摘要：燃料电池城市客车的部件繁多，结构复杂，包括燃料电池发动机、蓄电池、DC/DC和电动机等多个部件节点，其控 制系统多采用复杂的分布式控制系统。该控制系统信息流量大、控制任务复杂、实时性要求高，在开发与运行过程当中对数 据监控、故障诊断、程序在线更新、数据传输等都提出了更高的要求。在燃料电池城市客车控制系统研发与装备过程中，采 用了OSEK/VDX标准的实时操作系统、硬件在环实时仿真、时间触发控制器局域网(Controller area network,CAN)以及无缝 自动代码生成等最新的软件技术，这些新技术的应用，有效地提高了燃料电池客车控制系统的开发效率，降低了系统故障率， 并为燃料电池客车的优化控制构建了一个开放的技术平台。
关键词：OSEK/VDX实时操作系统硬件在环实时仿真时间触发控制器局域网无缝自动代码生成
前言 
随着汽车工业的发展和进步，人们对汽车的动 力性、经济性、排放和安全性等方面提出了更高的 要求。传统的机械式控制系统已经远远不能满足这 些需要。电子化控制系统以其高精度、高速度、控制 灵活、稳定可靠等特点逐渐取代了机械式控制系统。 在国家“十五”、“十一五”863《电动汽车》 重大专项——燃料电池城市客车项目中，清华大学 汽车系承担了燃料电池城市客车整车控制系统研 发的任务。在燃料电池汽车分布式控制系统中，包 括燃料电池发动机、蓄电池、DC/DC和电动机等多 个部件节点，由整车控制器对各部件的工作进行精 确地优化与控制，同时接受来自司机的操作命令， 驱动客车行驶。该分布式控制系统信息流量大、控 制任务复杂，对实时性要求高。整车控制器必须在 保证各信号的实时可靠性、控制算法执行的可靠性 以及上位机监控等多个任务之间进行很好的协调， 按照相对重要、实时程度正确地处理各任务。
由于上述这些越来越严格的要求，使得整车电 子控制系统的要求越来越高。欧洲供应商联合推出 了OSEK/VDX规范，从操作系统、通信和网络管 理三方面对汽车电控软件的底层平台提出了标 准 [1-2] ，使得复杂的车用控制策略能够进行多任务的 实时并行调度。而鉴于车用控制逻辑的日趋复杂 化，以dSPACE公司为代表的一系列汽车电子供应 厂商大力推进硬件在环实时仿真系统 [3] ，使得控制 器的快速原型开发得以实现 [4] 。此外自动代码生成 技术的发展进一步降低手工编码可能带来的逻辑 不完备缺陷 [5] ，而时间触发CAN总线的应用使得车 载总线设备的通信能力进一步提高 [6] 。 到目前为止，如图1所示的快速控制原型开发 模式已经成熟地应用到燃料电池城市客车整车电 子控制系统的开发与设计中，即由上层到底层，再 由底层到上层的一个V字形过程：首先是控制器的 上层功能设计，详细确定控制器将要实现的功能， 然后生成目标程序代码，最后是控制器的底层软、 硬件实现。

在这个复杂控制系统的开发与实现过程中，满 足OSEK/VDX标准的实时操作系统、硬件在环实 时仿真、时间触发CAN以及无缝的自动代码生成 等最新软件技术的应用，是快速、高效、保质地完 成燃料电池城市客车整车控制系统研发任务的有 力保证。本文详细介绍这些最新的汽车电子软件技 术在燃料电池城市客车控制系统研发过程中的应 用与研究。
1 OSEK/VDX实时操作系统 由于不同的实时多任务操作系统(Real time operating system，RTOS)产品在功能和API接口上的差异，使得上层应用软件仍不具备完全的平台移 植性。针对这种差异，为了满足日益庞大复杂的汽 车电子控制软件的开发需要，实现应用软件的可移 植性和不同厂商的控制模块间的可兼容性，法、德 两国专门针对汽车分布式控制而共同提出的一种 开放式汽车电子工业标准OSEK/VDX。OSEK/VDX 已经成为汽车领域的实时操作系统标准，它的提出 解决了操作系统功能和接口的标准化问题，已在汽 车电子控制领域得到了广泛的应用，是车用操作系 统的发展方向。
OSEK是一个德文缩写词，意思是“汽车电子 的开放系统及其接口标准”。VDX的含义是：“车用 分布式执行器”。OSEK操作系统的功能通过VDX 进行协调。该接口包括一个实时操作系统、一种 独立于通信系统的协议、一种网络管理系统和功 能库。
在燃料电池汽车分布式控制系统中，为了满足 对燃料电池发动机、蓄电池、DC/DC和电动机等多 个部件节点的实时控制，正确处理各种综合控制任 务，并有效保证控制软件的可重用性、可移植性与 可扩展性，基于符合OSEK/VDX标准的实时操作 系统进行控制器的开发是十分必要的。
通过建立OSEK标准，将控制器软件的应用层 和系统层完全分离开，系统层则通过统一的标准将 硬件和系统相关函数封装起来，为上层应用提供统 一的开发接口，做到应用和系统完全无关。使得开 发者可以更加专心于应用层的开发，大大缩短开发 新型模块的周期，降低成本，使应用软件可以做到 跨平台、跨结构的移植，而且也为汽车分布式控制 网络提供了统一的软件开发平台。OSEK标准还要 求系统具有可配置、可剪裁特性，可以灵活地为不 同的应用场合配置不同的系统软件环境。
在OSEK/VDX中，任务分为基本任务和扩展 任务两种类型。扩展任务与基本任务的主要区别 是：扩展任务可以等待事件，并具有“等待”状态； 基本任务则没有“等待”状态。
如图2所示，任务具有运行、预备、等待和挂 起四种状态，状态转换有激活、启动、等待、释放、 抢占和终止 [7] 。 燃料电池城市客车控制系统的研发选用了德 国Metrowerks公司开发的OSEK Turbo OS系统。 该系统有内核代码小、执行效率高、符合 OSEK/VDX标准的优点，并且可以通过Metrowerks 公司提供的OSEK Builder软件，快速地配置需要构 建的实时操作系统。此外，通过联合使用同样由该 公司开发的专门针对MPC500系列的C编译器 CodeWarrior，可以使用户快速的将应用程序、控制 算法程序与OSEK Turbo OS操作系统相结合，从而
 
构成一个完整的控制系统程序，并可进行实时在线 调试。
基于以上软件基础的应用程序开发流程如图3 所示。通过OSEK Build环境进行实时操作系统结 构的设计，并编译生成包含OSEK Turbo OS内核 *.lib库文件。在Codewarrior环境下，具有实时操 作系统结构的库文件与底层驱动文件和经过仿真 测试的控制算法代码文件一起经过编译连接后生 成可执行的镜像文件，通过控制器局域网或SCI通 信将代码下载到目标控制器。在该流程中，实时系 统结构、底层的硬件驱动以及上层控制算法的开发 相对独立，算法开发人员不需要考虑复杂的底层硬 件情况，不但缩短了软件的开发周期，也提高了控 制系统的可靠性。

2硬件在环实时仿真
在控制系统设计中很重要的一环就是在控制器实现后，实车测试之前进行硬件在环实时仿真测 试。这是因为在整车控制器的开发过程中，利用整 车控制器硬件在仿真测试平台构建虚拟的整车现 场环境，对控制器进行硬件在环仿真测试，不但可 以大大加快整车控制器软、硬件的开发过程，并且 开发成功的控制器具有较高的可靠性，因为仿真测 试平台可以模拟出在实车试验中难以实现的特殊 行驶状态和危险状态，来对整车控制器进行全面的 测试。在控制器硬件在环仿真测试中，系统用数学 模型来代替，控制器使用实物，系统模型和控制器 之间的接口要和实际保持一致，在仿真调试完毕 后，达到控制器和系统之间的“垂直安装”或“垂 直集成”。控制器在完成硬件在环仿真之后，就可 以进入系统集成和测试环节，最后实现初期设计的 各项功能和指标，在这个过程中由专业软件Matlab/ Simulink RTW和XPC real-time target构建的实时仿 真平台是实现硬件在环实时仿真的重要工具。 硬件在环实时仿真平台构建了虚拟的整车环 境，并基于虚拟的人机交互司机模型将人也作为硬 件在环的一个元素引入到实际的仿真测试中，具体 结构如图4所示。两个基于工业控制计算机的虚拟 平台，分别为虚拟整车平台和虚拟司机平台。虚拟 整车平台基于Matlab/Simulink xPC target实时仿真 环境，作用是模拟真实燃料电池客车的运行，为测 试整车控制器提供所需的虚拟控制对象。虚拟司机 平台基于Matlab/Simulink RTW target实时仿真环 境，作用是模拟真实燃料电池客车的操控机构，配 合加速踏板为测试整车控制器提供所需的虚拟驾 驶环境。当两个计算机虚拟平台对实际环境进行模 拟时，通过数据采集卡、CAN通信卡与可配置的信 号处理装置相连，可配置的信号处理装置对信号进 行处理，从而实现真实的复杂整车环境，可以直接 与整车控制器连接进行仿真测试试验。并配有基于 CAN总线的实时监控装置，可以全过程实时地监控 仿真测试试验。

整车虚拟平台承担再现真实燃料电池汽车运 行的任务，是整个测试平台的核心部件。由于燃料 电池汽车结构复杂，控制对象较多，为了真实再现 整车运行情况，系统各部件模型除了需要满足精度 要求外，还必须严格满足实时性的要求。整车虚拟 平台采用的xPC target实时仿真环境采用目标机和 宿主机的结构，由Matlab生成的实时内核通过软驱 或者USB闪存独立运行在目标机上，直接调用CPU 资源，仿真模型通过宿主机编译生成实时代码后 下载到目标机上运行，能够实现了严格的系统实时 仿真。
虚拟司机平台采用的RTW target实时内核直接 运行在Matlab/Simulink环境下，在同一台PC机上 就能够迅速实现系统的实时仿真，其缺点是由于整 个系统在Windows系统下运行，实时内核不能完全 占有PC机操作系统资源，实时性受其他运行程序 的影响。由于驾驶员模拟操作对实时性要求不高， 因此选择RTW target实时仿真环境能够满足这一 要求。
该基于Matlab/Simulink RTW和XPC real-time target软件平台的燃料电池汽车硬件在环实时仿真 已经成功地应用于“十五”燃料电池城市客车电控 单元的开发。在控制器上车前即可对整车控制器数 字、模拟信号的电气特性、控制逻辑和算法、故障 诊断功能等进行检验。配合快速原型开发工具 dSPACE可以完整地实现快速原型开发整车控制器 测试流程。
整车控制器经过仿真平台的反复测试后，将进 行实际的实车试验，而从试验中获得的各部件数据 又为仿真模型的进一步精确化匹配标定提供了条 件，从而使仿真平台更符合实际。
3时间触发TTCAN
CAN总线是目前汽车上使用非常广泛的一种 现场总线，但传统意义上的CAN网络是无序网络。 低优先级的消息有可能会在总线仲裁时竞争失败 从而产生传输延迟，传输延迟是不可预测的，因而 网络的实时性得不到保证。在“十一五”最新的燃 料电池客车整车控制系统中，由于部件之间关系复 杂，传递数据量大，交互信息关系复杂，采用普通 的CAN总线通信技术已不能够满足燃料电池整车 控制的要求，容易造成总线数据错误、总线信息延 迟以及总线信息丢失的缺陷，导致控制系统工作不 稳定或者失效。因此，在最新的燃料电池城市客车 控制系统中，采用了最新的时间触发CAN(Time triggered CAN,TTCAN)技术。 
由于专门的支持TTCAN协议的芯片目前较难 获得，因此必须基于传统的CAN总线在用户层通 过软件实现TTCAN。在软件层实现TTCAN的方法 是，选取主控节点为时间主控，确立时间主控的某 帧消息为参考消息，其他节点中均辟出一个专门的 定时器资源，当收到一帧参考消息时，定时器立即 开始从零时刻开始以当地时钟频率运行，在下一帧 参考消息到达时定时器归零重新计时。每一个节点 中都有一张事先制定的符合通信协议的消息发送 时刻表，消息会在消息矩阵的相应位置得到发送。 TTCAN中有3个重要时间概念：当地时间， 循环时间和全局时间。每个节点都有自己的当地时 间，由其计数器决定，每过一个网络时间单元 (Network time unit,NTU)即CAN网络上每发生一位 传送，计数器值加1。NTU的值NTU和当地系统时 钟周期的关系由式(1)决定，TUR为当地时间单位比 率(Local time unit ratio,TUR),tsys为系统时钟周期 TU UR sys N =T t(1 在TTCAN网络中，正时是由时间主控(一般即 为主控制器)周期性发送的参考消息维持的。参考消 息是由特定ID标志的一帧CAN消息，忽略网络电 气传输延迟，每个CAN节点都会同时收到参考消 息。参考消息的帧起始位(Start of frame,SOF)被称 为正时标志Syn_Mark，被当地节点确认后成为参考 标志Ref_Mark，每个TTCAN节点在捕捉到这个参 考标志的同时会重设自身的循环时间，循环时间是 当地时间和参考标志之间的差值，如图5所示。也 就是说，每个参考消息的SOF是一个正时脉冲，这 个正时脉冲会触发当地节点捕捉当地计数器值作 为本次基本循环的循环时间起始值，这就完成了 TTCAN网络的正时。

TTCAN的重要基准是参考消息，参考消息由 时间主控发送，时间主控一般即为系统主控制器， 每一个参考消息后都跟随着一系列的时间窗口，时 间窗口分三类：独占时间窗、仲裁时间窗、自由时 间窗。周期型消息都被安排在独占时间窗内发送， 这就保证了控制的周期性和节律。一些随机产生的消息被安排在仲裁时间窗内发送，在仲裁时间窗 内，有可能发生竞争。自由时间窗留作系统升级扩 展所用。
每个参考消息及其随后的在下个参考消息之 前的所有时间窗构成一个基本循环。两个基本循环 可以不相同。基本循环可以由循环序号来标识。循 环序号从1开始升到最大值，然后归1，如此往复。 每一次往复构成一个消息矩阵，如图6所示为燃料 电池城市客车整车控制系统的TTCAN的参考消息 与消息矩阵。消息矩阵完整描述了网络的全部通信信息。但是，各节点并不需要存储完整的消息矩阵， 只需要在相应的时间窗口发送消息和接收网络上 其需要的消息即可。TTCAN是向上兼容的，已有 的传统CAN控制器可以收到TTCAN网络上的任一 帧消息。
通过在燃料电池整车控制系统中采用TTCAN， 使得CAN总线的利用率得到了很大的提高，传输 数据的能力和可靠性也得到了改善，为整体提升燃 料电池客车控制系统的控制性能、可靠性与稳定性 起到了关键的作用。
 
4无缝的自动代码生成
为了实现快速控制原型，自动代码生成是不可 缺少的环节。只有从控制模型自动生成电控单元中 运行的控制代码，才有可能实现开发过程中快速迭 代。自动代码生成可以有效地保证燃料电池城市客 车整车控制程序的可靠性、可移植性与可扩展性 能，并提高控制程序的开发效率，保证开发质量， 加速开发过程。
对于燃料电池城市客车使用的MPC500系列 32位控制核心处理器来说，软件平台Matlab/ Simulink realtime workshop或者dSPACE提供的软 件工具Targetlink的应用可以快速地实现燃料电池 城市客车控制系统仿真模型的自动代码生成(图7)。在燃料电池城市客车空控制系统设计过程中， 使用了Matlab/Simulink为控制算法开发环境；使用 OSEK实时操作系统在OSEK builder环境下配置 ECU的实时操作系统内核；在CodeWarrior集成开 发环境下编译所有的代码，并下载到电控单元运 行。最后上位机通过PC Master软件实现对电控单 元的监控。 
如图8所示，在Matlab/Simulink中，首先，开 发者可以实现图形化的算法建模，即在类似程序框 图的图形界面上，利用Simulink提供的现成模块以 及自定义的S-function模块搭建出控制算法模型， 然后开发者可以利用Simulink提供的仿真调试功能 对算法进行测试。测试完成之后，开发者可以利用 Simulink提供的实时工作箱(Real-time workshop, RTW)，将控制算法模型转换生成C代码，经过编
 
译后通过在线编程(In-system programming，ISP)下 载到控制器CPU中作为控制程序。这就省去了软件 开发中繁琐而耗时的编程调试这一环节，不但缩短 了软件开发周期，而且完全避免了由算法模型到编 程过程中任何错误的发生，大大提高了软件开发的 效率。 

这种基本模式无法实现无缝的自动代码生成， 一般的软件开发流程由上层算法开发、底层驱动开 发以及运行环境配置等几部分构成。在这种结构的 基础上，只能实现上层算法的自动代码生成，而无 法实现底层驱动及运行环境配置的自动代码生成。 这就意味着开发者还必须手工开发这部分代码，并 与自动生成的上层算法代码实现拼接。 对于结构复杂的控制系统来说，这将是一个繁 琐而耗时的过程，不但增加了软件开发的时间、人 力成本，而且也增大了软件出错的可能性。一个无缝的自动代码生成平台，即实现在一个统一的环境 (如Matlab/Simulink)下，搭建包括上层算法、底层 驱动以及运行环境配置在内的完整的软件框架，并 实现操作简便的自动代码生成、下载和调试过程， 这对燃料电池城市客车控制系统的快速控制原型 开发是十分重要的。
在“十一五”863《电动汽车》重大专项燃料 电池城市客车项目控制系统的研发当中，实现了 利用Matlab/Simulink软件资源的无缝自动代码生 成。经过实践证明，自动代码生成有效地提高了 控制系统的开发效率，并将潜在的逻辑故障降到 最低。 
5结论
(1)实时操作系统与硬件驱动程序对接口函数 进行了封装，不但提高了控制软件的开发效率，并 具有较好的通用性与可移植性。
(2)无缝自动代码生成减少了手工编写代码的 过程，降低了代码人为错误的可能性，并大大缩短 了软件开发迭代过程的时间。
(3)硬件在环实时仿真技术为控制系统提供了 便捷、快速、全面且可靠的测试环节，是提高燃料 电池城市客车控制系统可靠性，缩短开发周期不可 或缺的一个步骤。
(4)TTCAN有效的提高了分布式控制系统中的 数据交换效率，保证了数据的可靠性与安全性。 通过OSEK/VDX实时操作系统、硬件在环实 时仿真、时间触发CAN以及无缝的自动代码生成 等最新汽车电子软件技术的应用，以MPC500系列 微处理器为控制核心，如图8所示，实现整个V形 结构快速控制原型过程中软件核心的有机结合。开 发出了符合OSEK/VDX标准的燃料电池城市客车 控制平台，实现了对整车运行的管理与控制、基于 CAN总线的各部件节点的协调控制、故障诊断和处 理及数据监控记录等功能，并在燃料电池城市客车 的实际测试中得到了检验。事实证明，这些新软件 技术的使用能够有效地减低开发风险，缩短开发周 期，提高产品可靠性与稳定性，消除系统中潜在的 隐患。 
参考文献 
略 

文章来自：中国燃料电池网