车身控制模块(BCM)的失效保护

今天的 BCM由大量的固态开关和熔断器组成。某些 BCM有多达8-12个蓄电池馈路，为60-80个负载提供电源，每个电池馈路都装有熔断器，这就是说，BCM负载(车灯、门锁等)是由驱动器组驱动的，每个驱动器都有一个熔断器。为了安全起见，或只是因为负载电流太大，无法均衡分配，有些负载需要单独配备熔断器。据说，还有些 BCM只有一个或两个熔断器。万一输出失效时，这些模块依靠固态开关提供“熔断”保护功能。

图 1. 福特BCM

熔断器

熔断器从克鲁马努人时代开始流传下来。与半导体元器件相比，熔断器非常简单，几乎不需要什么制造工艺，而且成本低廉……正是因为简单，熔断器被设计成线束保险装置，以防短路时线束变成烤箱电缆。

图2：一个早期汽车熔断器应用实例 (Gary Larson画)

熔断器的工作原则是一个简单的I2R与时间的关系。电流越大，熔断或开路时间越短。熔断器的功耗与通过熔断器的电流的平方成正比。当功耗过高时，熔断器熔断。这个特性同样适用于受熔断器保护的线束。当熔断器的“熔断”特性与所保护的线束相似，只是处理电流能力略低时，熔断器是一个理想的选择。

图3：I2-t 特性比较

安装位置

关于熔断器从BCM模块凸出来的问题，有点像房地业的三条规则：位置、位置，还是位置。如果模块有凸出来的熔断器，模块就必需放在车主能够检修的位置。线束布线和模块方向，以及熔断器必须放在模块的什么地方，是令人头疼的问题。所有这些限制和保护功能增加了模块的成本和制造难题。下图所示的福特BCM在 CEM3上安装一个灵活的电路板后，才能把熔断器置于模块的“边缘”。

图4：在福特BCM内部的熔断器连接端口阵列

汽车制造商在给这些BCM模块/熔断器单元寻找位置方面具有相当高的创新力。我曾在仪表板和发动机盖下和踏脚板内（前车门铰接区的右侧）看见过BCM模块，甚至还在后座下面看见过BCM模块（我的车子就是这样）。某些BCM装有铰链，可以从仪表板下面拉出来，检修比较方便。有些BCM则装在挡板后面，只有查看用户手册（如果有）才能找到。我不只一次趴在驾驶座椅上，脚压在的靠背上，头钻到仪表板下，寻找那个失效的熔断器。

这还不算完，你还要解开哪一个熔断器号对哪一个功能的哑谜……熔断器面板除提供几行编号外，没有任何标记。真地像猜谜比赛，除了分值之外，你不能告诉选手任何信息。如果再没有用户手册，BCM就像一个食品柜，里面装满了撕去标签的罐头……你只能分类排查，别无它法。你只能不断地猜测，直到找到失效的熔断器号为止。

固态熔断器可解决很多问题

熔断器可能会因为没有明显原因而熔断，熔断器的容错能力非常差，哪怕是最轻微的短路都会熔断（你曾经把硬币掉到点烟器插座/电源插座吗？）。当你最后发现硬币并将其取出时，熔断器不会复位。

如果BCM模块上没有熔断器，安装位置就不是这样问题了。把BCM模块安装在后座下面，不必钻到仪表板下检修BCM模块，这对我来说就不再是一个太大的问题。因为熔断器有这么多的麻烦，难怪汽车厂商关注无熔断器或熔断器较少的BCM解决方案。

不让汽车自燃或提供更多保修故障的解决方案

因此，这种解决方案必须可靠，在应用系统内性能优异，几乎没有任何成本。

今天的固态开关因为保护形式简单，有一点以自我为中心。这就是说，它们更加关注自我保护，而不是保护外围元器件。固态开关有过热和超负载保护电路，当因输出短路而限制负载电流时，这种元器件是最佳的选择。因此，用固态开关替代熔断器有时候并不是最佳的选择。


图5：智能上桥臂开关与熔断器性能比较

像硬短路一样的短路事件比较容易保护，例如，受驱动器限制的负载电流。在这种情况下，功耗不是I2R的结果，而是驱动器上的电压降与相应的限流的结果。这是一个高功耗事件，大部分功耗发生在智能开关上而不是线束上。因此，开关的温度迅速升高，激活过热关断功能，从而保护相关的线束。

车身模块中的大多数负载是灯泡。灯泡有一个很难处理的特性：涌流，我们了解并喜欢这个特性。涌流要求强迫固态开关的限流值远远高于稳定状态开关操作所需的限流值。我所说的一切都是为了说明：当没有发生严重的硬短路事件时，这些高涌流的元器件准许异常高的稳态电流在线束内流动，这就是固态开关保护自我而不保护所在系统的情况。这时，电流强度还不足以激活开关限流功能，但是足以烧毁线束或电路板。

在图5的示例中有一个点，智能开关 (VN5010)将继续前行，而电线将开始自毁（红线在蓝色虚线上方）。如果这种情况是真实的，甚至连电路板都可能会自毁。现在考虑到涌流要求很可能更加严格，我们开始意识到有必要开发一个能够仿真熔断器特性的保护算法。

在用一个“大熔断器”保护多个上桥臂驱动负载的应用中，有些问题需要考虑。在这些应用中，“大熔断器”的电流处理功能可能高于任何一条被保护的线束。因此，当一条电线上出现“软短路”时，如果上桥臂驱动器十分强健，能够处理更高的短路电流和熔断保护功能，那么线束或电路板可能会自毁。

图6：当智能开关只能自我保护时的后果

该解决方案是实现一个能够仿真熔断器的I2-t特性的智能电路保护算法。这个概念可转化为“曲线下面积”。在下图(图 7)中，曲线下面积(A区)是保护算法的I2-t界限内。B区所示是在一段时间内的恒定超负载条件，其中，超负载电流小于智能开关的限流值。在这个图中，当限流值超过曲线时，智能开关不会被闭锁。当B区突破A区时，器件闭锁。这个原则适用于超负载在开关激活后存在很长时间的状况。

图7：超负载与功率限制区比较

可能存在一种特殊的瞬间过流状况：瞬间过流超出曲线与A区交接的界限，但是“曲线下面积”不足以产生错误开关条件。在下图中(图8)，这个错误是很严重的，但是因为时长太短，不足以产生错误开关条件。

图8：瞬间错误不会产生错误关断状况

这种保护算法准许出色多个涌流，同时不会强制系统处理比正常高出很多的稳态电流。因此，这种算法提供一个强健的保护功能，既可以保护开关本身，又可以保护被开关驱动的线束。再加上其它的安全机制，如内置的看门狗和激活功能，这个已经很安全的解决方案将会变得更加安全。

利用一个升降序计数器，可以在芯片上实现这个算法，控制该升降序计数器的是流经开关的电流的平方(图 9)。

图9： i-t 限制控制环路

计数器的方向由参考电流确定。当检测电流高于参考电流阈值时，计数器升序计数，速率与检测电流和参考电流的差的平方成正比。当检测电流低于参考电流阈值时，计数器以固定值降序计数。固定降序计数值的设定目的是更好地估算熔断器的散热性。

这个阈值涌流要比电线的电流处理能力略低（如图5所示，小于14A DC)。计数器一旦达到某一个预设值后，输出就会被立即关断。因为这种算法是利用熔断器型的特性保护电线，所以直到微控制器重新初始化，将输出重新导通之前，驱动器始终保持关断状态。

图10：采用保护算法的外推i2-t曲线与电线和熔断器比较

实现这种保护方法的智能开关系列产品的应用，可降低给定车身电子模块的线束成本，限制熔断器的数量，同时提高可靠性和安全性。

当一次短路输出最终烧毁了她的BCM时，车厢内充满了刺鼻的烧焦味，如图6电路板所示