监控分布式控制模块系统中处理器完整性的方法和系统

摘要

本发明涉及一种监控分布式控制模块系统中处理器完整性的方法和系统。在一种监控主控制模块的方法中，主控制模块运行以指挥混合动力系统的第一和第二马达控制处理器，该方法包括把可编程逻辑设备信号连接到主控制模块与第一和第二马达控制处理器，从可编程逻辑设备向主控制模块传达第一种子信号，以及在主控制模块中确定无效键信号以响应第一种子信号。该无效键信号被传达到可编程逻辑设备。

说明书

相关申请交叉引用

【0001】本申请要求于2007年10月27日提出的、编号为No.60/983,165的美国临时申请的权益，这里通过引用将其并入本文。

技术领域

【0002】本发明涉及用于混合动力系统的控制系统。

背景技术

【0003】本部分中的说明仅提供涉及本发明的背景信息，可能不构成现有技术。

【0004】已知的混合动力系统结构可包括多个转矩产生设备，包括内燃机和非燃烧式机器(non-combustion machine)例如电机，它通过变速器设备将转矩传送给输出构件。示例性的混合动力系统包括双模、复合分配式(compound-spilt)机电变速器，所述变速器利用输入构件接收来自原生动力源的最好是内燃机的、牵引转矩，并且利用输出构件。输出构件可操作地连接到机动车的传动系统来向其传送牵引转矩。独立于从内燃机的转矩输入，作为电动机或发电机工作的机器可产生到变速器的转矩输入。该机器可把通过车辆传动系统传送的车辆动能转变成可存储在能量存储设备中的能量。控制系统可被操作以监控来自车辆和操作者的各种输入，并提供对混合动力系统的操作控制，包括控制变速器操作状态和调档，控制转矩产生设备，及调整能量存储设备和机器之间的功率交换以管理变速器的输出，包括转矩和旋转速度。控制系统可监控输入和控制信号，并执行算法来验证和确保动力系统的操作。

发明内容

【0005】一种用于监控主控制模块的方法，该主控制模块被操作以指挥混合动力系统的第一和第二马达控制处理器，该方法包括把可编程逻辑设备信号连接到主控制模块与第一和第二马达控制处理器，把来自可编程逻辑设备的第一种子信号传递给主控制模块，以及在主控制模块中确定无效键信号来响应第一种子信号。该无效键信号被传递给可编程逻辑设备。

附图说明

【0006】通过参考附图的例子，将描述一个或多个实施例，其中：

【0007】图1是按照本发明的示例性混合动力系统的示意图；

【0008】图2和3是按照本发明的用于控制系统和混合动力系统的示例性结构的示意图。

【0009】图4和5是按照本发明的控制方案的示意流程图。

具体实施方式

【0010】现在参考附图，其中附图仅为了图示特定示例性实施例，而不是为了限制实施例，图1，2和3图示了示例性机电混合动力系统和相关联的控制系统。按照本发明的示例性机电混合动力系统在图1中描述，其包括双模、复合分配式机电混合变速器10，它可操作地连接到发动机14与第一和第二电机(‘MG-A’)56和(‘MG-B’)72。发动机14与第一和第二电机56和72每个都产生可被传递给变速器10的功率。由发动机14与第一和第二电机56和72产生且被传递给变速器10的功率根据输入和马达转矩以及速度来描述，马达转矩这里分别指示为T_I，T_A和T_B，速度分别指示为N_I，N_A和N_B。

【0011】示例性发动机14包括多缸内燃机，且可为火花点火式发动机或者压缩点火式发动机，其中多缸内燃机选择性地在一些状态中操作以通过输入构件12向变速器10传递转矩。发动机14包括曲轴(未示出)，该曲轴可操作地耦合到变速器10的输入构件12。旋转速度传感器11监控输入构件12的旋转速度。由于在发动机14和变速器10之间在输入构件12上转矩消耗组件的布置，例如液压泵(未示出)和/或转矩管理设备(未示出)，来自发动机14的功率输出包括旋转速度和发动机转矩可能不同于变速器10的输入速度N_I和输入转矩T_I。

【0012】示例性变速器10包括3个行星齿轮组24，26和28，和4个可选择地啮合的转矩传递设备，即，离合器C1 70，C2 62，C3 73和C4 75。如这里所使用的，离合器指任何类型的摩擦转矩传递设备，包括例如单一或复合的圆片离合器或片组，带式离合器，以及制动器。液压控制回路(‘HYD’)42可被操作以控制离合器状态，且其最好由变速器控制模块(以后称‘TCM’)17控制。离合器C2 62和C4 75最好包括应用液压的旋转摩擦离合器。离合器C1 70和C3 73最好包括液压控制的固定设备，他们可选择地接到变速器壳68。离合器C1 70，C2 62，C3 73和C4 75每个都最好是应用液压的，可选地通过液压控制回路42接收加压液压流体。

【0013】第一和第二电机56和72最好包括三相交流机，每个都包括定子(未示出)和转子(未示出)，以及各自的分相器80和82。每个机器的马达定子都接到变速器壳68的外部部分，且包括具有从其延伸出来的卷绕的电线圈的定子铁芯。第一电机56的转子支持在毂衬齿轮上，该毂衬齿轮可操作地通过第二行星齿轮组26连接到轴60。第二电机72的转子固定连接到套轴毂66。

【0014】每个分相器80和82都最好包括可变磁阻设备，该可变磁阻设备包括分相器定子(未示出)和分相器转子(未示出)。分相器80和82被适当地定位，且分别装配在第一和第二电机56和72之一上。分相器80和82各自的定子可操作地连接到第一和第二电机56和72的定子之一。分相器转子可操作地连接到相应的第一和第二电机56和72的转子。分相器80和82每个都信号地且可操作地连接到变速器功率变换器控制模块(以后‘TPIM’)19，且每个都检测和监控分相器转子相对于分相器定子的旋转位置。这样，分别监控第一和第二电机56和72之一的旋转位置。此外，解释来自分相器80和82的信号输出以提供用于第一和第二电机56和72的旋转速度，即，分别为N_A和N_B。

【0015】变速器10包括输出构件64，例如轴，该输出构件64可操作地连接到车辆(未示出)的传动系统90，以向传动系统90提供传递给车轮93的输出功率，图1中显示了车轮之一。在输出构件64处的输出功率以输出旋转速度N_O和输出转矩T_O的形式表征。变速器输出速度传感器84监控输出构件64的旋转速度和旋转方向。每个车轮93最好安装有传感器94以监控车轮速度，它的输出被参考图2所描述的分布式控制模块系统的控制模块监控，以便确定车辆速度，以及用于制动控制、牵引控制的绝对和相对车轮速度，以及车辆加速管理。

【0016】作为从燃料或存储在电能存储设备(下面称为‘ESD’)74中的电能的能量转变的结果，产生来自发送机14的输入转矩和来自第一和第二电机56和72的马达转矩(分别是T_I，T_A和T_B)。ESD 74是通过DC传递导体27高压直流耦合到TPIM 19的。传递导体27包括接触器开关38。当接触器开关38闭合时，在正常操作下，电流可在ESD 74和TPIM 19之间流动。当接触器开关38断开时，ESD 74和TPIM 19之间的电流流动被切断。通过使用传递导体29的第一马达控制模块(‘MCP-A’)33，TPIM 19把电能传送给第一电机56或从第一电机56传送电能，且类似地，通过使用传递导体31的第二马达控制模块(‘MCP-B’)34，TPIM 19把电能传送给第二电机72或从第二电机72传送电能，从而满足第一和第二电机56和72的转矩命令以响应马达转矩T_A和T_B。依据ESD 74是在充电还是放电，电流被传送给ESD 74或从ESD 74传送。

【0017】TPIM 19最好包括混合控制模块(以后称‘HCP’)5，功率变换器对和各自的马达控制模块33和34，且马达控制模块被配置为接收转矩命令且据此控制变换器状态，以提供马达驱动功能或再生功能来满足要求的马达转矩T_A和T_B。功率变换器包括已知的互补三相功率电子设备，且每个都包括多个绝缘栅双极性晶体管(未示出)，通过高频率切换以把来自ESD 74的DC功率转化为AC功率，从而分别向第一和第二电机56和72之一供能。绝缘栅双极性晶体管形成了配置用来接受控制命令的开关式电源。典型地，三相电机的每一相都有一对绝缘栅双极性晶体管。控制绝缘栅双极性晶体管的状态以提供马达驱动机械能产生功能或电能再生功能。三相变换器通过DC传输导体27接收或提供DC电能，且把它和三相AC功率相互转换，该AC功率分别通过传递导体29和31传递给第一和第二电机56和72或者从第一和第二电机56和72传递以作为电动机或发电机工作。

【0018】图2和3是控制系统的分布式控制模块系统的示意框图。如这里所使用的，术语“控制系统”定义为控制模块，线束(未示出)，通信链路，传感器和致动器，其监控和控制动力系统的操作。控制系统监控传感器输入和用于控制致动器的命令输出。分布式控制模块系统包括整车控制结构的一个子集，且提供图1中所描述的示例性混合动力系统的协调系统控制。控制系统包括分布式控制模块系统来综合信息和输入，并且执行算法来控制致动器来满足控制目标，控制目标包括涉及燃料经济性、排放、性能、驾驶性能以及包括ESD 74和第一和第二电机56和72的电池的硬件保护的目标。分布式控制模块系统包括发动机控制模块(以后称‘ECM’)23，TCM 17，电池组控制模块(以后称‘BPCM’)21，和TPIM 19。HCP 5提供对ECM 23，TCM 17，BPCM 21和TPIM 19的监督控制和协调。用户接口(‘UI’)13最好信号连接到多个设备，车辆操纵者通过它控制、指挥及命令机电混合动力系统的操作。设备包括油门踏板113(‘AP’)，操纵者刹车踏板112(‘BP’)，变速器齿轮选择器114(‘PRNDL’)，以及车辆速度巡航控制(未示出)。变速器齿轮选择器114可具有多个离散的操作者可挑选位置，包括输出构件64的旋转方向来实现向前和相反方向中之一。用户接口13可包括单一设备，如图示，或作为替代方案可包括直接连接到单独控制模块(未示出)的多个用户接口设备。

【0019】在该实施例中，前述控制模块与其它控制模块、传感器和致动器通过包括局域网(以后称‘LAN’)总线6的通信链路通信。LAN总线6允许各种控制模块间的结构化通信。特定的通信协议是针对应用情况使用的。LAN总线6和合适的协议提供了前述控制模块和其它控制模块之间稳定的信息传送和多控制模块接口，其它控制模块提供的功能包括防抱死制动，牵引控制和车辆稳定性。可使用多通信总线来提高通信速度和提供某种等级的信号冗余和完整性。在MCP-A 33和HCP 5之间的以及在MCP-B 34和HCP 5之间的通信最好使用直接链接来实施，该直接链接最好包括串行外围接口(以后称‘SPI’)总线37。单独控制模块间的通信也可使用诸如短程无线射频通信总线(未示出)的无线链接实施。

【0020】HCP 5提供了对混合动力系统的监督控制，适于协调ECM 23，TCM 17，MCP-A 33，MCP-B 34和BPCM 21的操作。基于来自用户接口13和包括ESD 74的混合动力系统的各种命令信号，HCP 5确定操作者转矩请求，输出转矩命令，发动机输入转矩命令，用于应用转矩传递的变速器10的离合器C1 70，C2 62，C3 73和C4 75的离合器转矩，以及用于第一和第二电机56和72的马达转矩T_A和T_B。HCP 5向特定的控制模块发送命令来实现对发动机14、变速器10及第一和第二电机56和72的控制。

【0021】可编程逻辑设备(‘PLD’)39信号连接到HCP 5，MCP-A 33和MCP-B 34。PLD 39最好包括微处理器控制的设备，它适于监控HCP 5的功能，同时被HCP 5监控。

【0022】ECM 23可操作地连接到发动机14，且运行为通过多个离散的线路，为了图示简单作为聚合双向接口线缆35，从传感器获取数据并控制发动机14的致动器。ECM 23接收来自HCP 5的发动机输入转矩命令。基于被传送给HCP 5的被监控的发动机速度和负荷，ECM 23确定当前的发动机输入转矩T_I，在那一点上及时地提供给变速器10。ECM 23监控来自旋转速度传感器11的输入，以确定到输入轴12的发动机输入速度，它转化为变速器输入速度N_I。ECM23监控来自传感器(未示出)的输入，以确定其它的包括诸如歧管压力，发动机冷却剂温度，环境空气温度和环境压力等的发动机操作参数的状态。例如，通过歧管压力或者作为替代方案通过监控到油门踏板113的操作者输入可确定发动机负荷。ECM 23产生和传送控制信号以控制包括诸如燃料喷射器，点火模块以及节气门控制模块的发动机致动器，它们都没有被示出。

【0023】TCM 17可操作地连接到变速器10，并监控来自传感器(未示出)的输入以确定变速器操作参数的状态。TCM 17产生和传送致动器控制信号来控制变速器10，包括控制液压回路42。从TCM 17到HCP 5的输入包括估计的用于每个离合器即C1 70，C2 62，C3 73和C4 75的离合器转矩和输出构件64的旋转输出速度N_O。可使用其它致动器和传感器来向HCP 5提供来自TCM 17的用于控制目的的附加信息。TCM 17监控来自压力开关(未示出)的输入，且选择地驱动液压回路42的压力控制螺线管(未示出)和移位螺线管(未示出)，以便选择地驱动各个离合器C1 70，C2 62，C3 73和C4 75，从而获得如下面所描述的各种变速器操作范围状态。

【0024】BPCM 21信号连接到传感器(未示出)以监控ESD 74，包括电流和电压参数的状态，以提供信息来指示ESD 74到HCP 5的电池的参数状态。电池的参数状态最好包括电池充电状态，电池电压，电池温度以及可用电池功率，其指范围P_{BAT_MIN}到P_{BAT_MAX}。

【0025】制动器控制模块(以后称‘BrCM’)22可操作地连接到每个车轮93的摩擦制动器(未示出)。BrCM 22监控对刹车踏板112的操作者输入，并产生控制信号来控制摩擦制动器及向HCP 5发送控制信号来基于此操作第一和第二电机56和72。

【0026】图3显示了TPIM 19的细节。MCP-A 33和HCP 5最好信号连接到LAN 6。使用第一和第二SPI总线37和37”，它们最好是专用的，即，在HCP 5和MCP-A 33之间和在HCP 5和MCP-B 34之间专门通信，MCP-A 33和MCP-B 34被直接信号连接到HCP 5。PLD 39信号连接到HCP 5，最好使用第三专用SPI总线37’。最好分别通过专用电线41，41”和41’把PLD 39直接信号连接到MCP-A 33，MCP-B 34和HCP 5中的每一个，最好包括电缆或印刷线路板上的线路板轨迹的形式的直接电连接。PLD 39产生离散的包括数字“1”或数字“0”的信号输出，通过电线41，41’和41”传送给MCP-A 33，MCP-B 34和HCP 5中的每一个。

【0027】控制模块ECM 23，TCM 17，HCP-5，MCP-A 33，MCP-B 34，BPCM 21和BrCM 22中的每一个都最好是通用数字计算机，包含有微处理器或中央处理单元、包括只读存储器(‘ROM’)，随机访问存储器(‘RAM’)，电可编程只读存储器(‘EPROM’)的存储介质，高速时钟，模数(‘A/D’)和数模(‘D/A’)电路，以及输入/输出电路和设备(‘I/O’)和合适的信号状态和缓冲电路。每个控制模块都具有控制算法集，包括存储在存储介质之一中的常驻程序指令和标准，它们的执行将分别提供每个计算机的功能。控制模块间的信息传递最好使用LAN总线6和SPI总线37，37’，37”来实现。控制算法在预置循环周期中执行，这样每个算法在每个循环周期至少执行一次。使用预定标准，存储在永久存储设备中的算法可由中央处理单元之一来执行，以监控来自传感设备的输入，并执行控制和诊断程序来控制致动器的操作。循环周期以规则的时间间隔执行，例如，在混合动力系统的正在进行的操作中每3.125，6.25，12.5，25和100毫秒。作为替代方案，可响应于事件的发生来执行算法。

【0028】示例性混合动力系统可选地在几个状态之一中运行，它可以以包括发动机开状态(‘ON’)和发动机关状态(‘OFF’)之一的发动机状态以及包括多个固定齿轮和连续可变操作模式的变速器操作范围状态的形式来描述，，参考下表1描述。

表1

 

描述发动机状态  变速器操作范围状态  应用的离合器M1_Eng_OffM1_Eng_OnG1G2M2_Eng_OffM2_Eng_OnG3G4       OFFONONONOFFONONON EVT模式1EVT模式1固定齿轮传动比1固定齿轮传动比2EVT模式2EVT模式2固定齿轮传动比3固定齿轮传动比4C1 70C1 70C1 70 C4 75C1 70 C2 62C2 62C2 62C2 62 C4 75C2 62 C3 73

【0029】表中描述了每个变速器操作范围状态，并指示了每个操作范围状态应用了特定离合器C1 70，C2 62，C3 73和C4 75中的哪一个。第一持续可变模式，即，EVT模式1，或M1，通过应用离合器C1 70来选择，仅为了“连接”第三行星齿轮组28的外部齿轮组件。发动机状态可为ON(‘M1_Eng_On’)或OFF(‘M1_Eng_Off’)之一。第二持续可变模式，即，EVT模式2，或M2，通过应用离合器C2 62来选择，仅为了连接轴60到第三行星齿轮组28的支架。发动机状态可为ON(‘M2_Eng_On’)或OFF(‘M2_Eng_Off’)之一。为了说明，当发动机状态是OFF时，发动机输入速度等于0转每分钟(‘RPM’)，即，发动机曲轴没有旋转。固定齿轮操作提供了变速器10的输入—输出速度的固定比率操作，即，N_I/N_O。第一固定齿轮操作(‘G1’)应用离合器C1 70和C4 75来选择。第二固定齿轮操作(‘G2’)应用离合器C1 70和C2 62来选择。第三固定齿轮操作(‘G3’)通过应用离合器C2 62和C4 75来选择。第四固定齿轮操作(‘G4’)通过应用离合器C2 62和C3 73来选择。由于在行星齿轮24，26和28中降低了齿轮传动比，输入—输出速度的固定比率操作随着固定齿轮操作的增加而增加。第一和第二电机56和72旋转速度，分别为N_A和N_B，依赖于由离合定义的机构的内部旋转，且与在输入轴12上测量的输入速度成比例。

【0030】响应于由用户接口13捕获的通过油门踏板113和刹车踏板112的操作者输入，HCP 5和其它控制模块中的一个或多个确定转矩命令来控制转矩致动器，以满足用于传送到传动系统90的在输出构件64上的操作者转矩请求。在本实施例中，转矩致动器最好包括诸如发动机14和第一和第二电机56和72的多个转矩产生设备，和包括变速器10的转矩传递设备。HCP 5确定操作者转矩请求，从变速器10到传动系统90的输出转矩命令和包括来自发动机14的输入转矩命令的致动器控制，用于变速器10的转矩—传递离合器C1 70，C2 62，C3 73和C4 75的离合器转矩，以及基于来自用户接口13的操作者命令的用于第一和第二电机56和72的马达转矩命令。

【0031】混合动力系统的转矩安全性可通过执行控制系统的完整性测试来获得，这包括监控硬件完整性，监控算法和存储设备的完整性，确保和监控控制模块内通信以及控制模块间通信的信号完整性，监控处理器完整性和执行补救动作。在出现观测到的错误时，转矩安全性可包括限制致动器命令信号。这可包括致动器命令信号的最大和最小限制，及致动器命令信号的最大改变率。特别地，马达转矩命令T_A和T_B可被限制到最大和最小马达转矩，且在马达转矩命令T_A和T_B中的改变可被限制为实现在输出转矩中的最大变化率，例如，0.2g。

【0032】最好通过分别确保控制模块和确保控制模块间的串行通信链路来确保和监控信号完整性。示例性实施例的分布式控制模块系统最好包括由不同控制模块控制的每个转矩致动器。该实施例包括ECM 23，TCM 17，MCP-A33和MCP-B 34，ECM 23监控传感器并控制发动机14的致动器，TCM 17监控传感器并控制变速器10的致动器，MCP-A 33监控传感器并控制第一电机56的致动器，而MCP-B 34监控传感器并控制第二电机的致动器。HCP 5监控来自ECM23，TCM 17，MCP-A 33和MCP-B 34的输入并指挥它们的操作。基于从HCP 5接收的安全命令，ECM 23，MCP-A 33，MCP-B 34和TCM 17中的每一个都负责闭合的循环监控和自安全。

【0033】图4显示一种方法，它用于确保和监控实现转矩安全性的控制模块的完整性，下面参考包括图1，2和3中所示的示例性混合动力系统的实施例来描述。该方法最好驻留在前述分布式控制模块中，它具有这里描述的可执行算法和标准的形式的通信机制和方案。该方法可被应用于具有多个转矩产生设备的动力系统，包括例如具有发动机和单一的电机的机电动力系统，具有多个电机的混合动力系统，及液压机械混合动力系统。确保和监控控制模块的完整性以实现转矩安全性，这包括控制和管理转矩和通过监控控制系统硬件产生的能流，算法以及信号完整性。

【0034】图5显示了被执行以监控HCP 5完整性的HCP健康状态监控仪的操作，它最好在每50ms的循环周期中执行。在操作中，通过SPI通信总线37’，PLD 39产生并直接传送种子信号(‘种子’)到HCP 5。HCP 5确定键信号(‘键’)，优选通过基于所接收的种子信号来执行算法代码，从而通过SPI通信总线37’把键信号传送到PLD 39。键信号指示最近的种子信号是否为有效种子信号。PLD 39监控从HCP 5发送的键信号。基于最近接收的键信号，PLD 39确定在电线41’上的离散输出的状态(‘键状态’)。对于基于键信号的HCP 5，离散输出的状态(‘键状态’)，即数字“1”和数字“0”之一，分别指示了通过状态和错误状态。分别通过电线41和41”将离散输出的状态(‘键状态’)也发送给MCP-A 33和MCP-B 34。此外，MCP-A 33向LAN 6传送信号，该信号基于离散输出的状态(‘键状态’)确定。发送到MCP-A 33和MCP-B 34的离散输出指示在HCP 5的健康状态中成熟(matured)错误的缺失或出现。

【0035】程序次序查看功能(‘PSW’)在每个6.25，12.5和25毫秒的循环周期中运行，且其确定HCP5中的N个监控功能的每个(‘监控A’，‘监控B’，‘监控C’，...，‘监控N’)的执行次序。当执行次序改变或监控功能没有被调用或执行时，PSW功能返回监控功能的不正确值。PSW功能探测在HCP 5的算法逻辑单元(以下称‘ALU’)中的程序指针错误和指令集执行错误。种子最好输入到第一监控(‘监控A’)，且在PSW功能中的N个监控功能中每个都基于种子执行，包括每个都产生部分键应答。这最好包括在每个6.25，12.5和25毫秒的循环周期中运行，以产生特定的部分键应答。来自PSW功能的N个监控功能的部分键应答和种子被组合成最终应答。主处理器监控功能(‘MPMR’)使用预定的最终应答/键查找表来产生针对最终应答的键。如果PSW功能之一返回不正确的值，则产生无效键。该键通过SPI总线37’传送到PLD 39，而PLD39确定用于传送的种子的键是否正确。为了确定HCP 5的功能正确，PLD 39期望在发送种子的预定时间序列周期内接收正确的键。用于种子的正确键指示HCP 5是功能正常的，导致PLD 39设定离散输出(‘键状态’)来指示通过状态。用于种子的无效键指示HCP 5中的错误，导致PLD 39设定离散输出(‘键状态’)来指示错误状态。

【0036】PLD 39从多个预定有效种子之一中选择种子，且种子是以伪随机次序选择的。HCP 5以正确键应答以响应有效种子，除非在HCP 5的健康状态中有错误。在发送正确键之后，HCP 5监控电线41’上来自PLD 39的键状态，以确定PLD 39是否把该键识别为正确键，使用离散输出来指示通过状态。当PLD 39的应答指示键是正确时，HCP5在接下来的50毫秒的循环周期中有针对性地发送无效键。期望PLD 39的应答指示键是无效的，并切换电线41’上的来自PLD 39的键的状态(‘键状态’)，使用离散输出来指示错误状态，从而向HCP5指示键是无效的。当PLD 39识别并确定了从HCP 5发送的无效键时，它向HCP 5发送相同的种子来测试HCP 5中的特定操作。在下一个周期中，HCP 5用正确键应答。如果PLD 39没有识别无效键，HCP 5设定一个错误并通过发送另一个无效键来应答。HCP 5将该错误记录为在错误成熟算法中的失配计数，例如一种X of Y程序，其中当从紧临前面的Y次观察中观察到X次失配时，则探测到错误。当HCP 5观察到在电线41’上的X of Y无效应答时，HCP 5指示成熟错误并采取补救行动。这重复直到PLD 39对无效键正确应答，或直到过去一段时间。一段时间过去后，例如，在200毫秒的范围内的一段时间过去后，PLD 39没有识别来自HCP5的无效键时，指示PLD错误状态。当PLD错误状态被指示时，HCP 5命令转矩致动器关闭，并停用任何目前应用的转矩传递离合器以在中性模式中操作动力系统。

【0037】在目前进行的操作中，当从HCP 5接收了正确键时，从PLD 39到电线41的离散输出设定到HCP操作状态，其中它包括HCP健康状态的指示。当PLD 39在预定经历的一段时间中没有接收到正确键时，它确定在HCP中发生的错误，并通过电线41利用来自PLD 39的离散输出向HCP 5，MCP-A 33和MCP-B 34指示HCP错误状态。当HCP健康状态是HCP操作状态时，MCP-A33和MCP-B 34如期望地操作。当HCP健康状态设定为HCP错误状态时，MCP-A 33和MCP-B 34忽视所有来自HCP 5的马达转矩命令，并且最好把车辆余下的键周期的缺省马达转矩命令设置为0Nm。更可取地，ECM 23通过LAN6接收HCP 5状态。当HCP健康状态在HCP操作状态时，ECM 23正常操作来指挥发动机输出。当HCP健康状态设置为HCP错误状态时，ECM 23设置发动机转矩为0Nm，同时控制发动机状态为发动机关。

【0038】在车辆切断期间，HCP 5进一步测试HCP健康状态监控的功能。在测试进行中，HCP 5把进行中的混合控制过程健康状态测试设置为TURE，并把其传送给MCP-A 33和MCP-B 34，最好通过SPI总线37和37”。在指示进行中的测试后的预定时间延迟后，PLD 39传送有效种子，而HCP 5有目的地用无效键应答来响应于来自PLD 39的有效种子。PLD 39执行错误探测，并指示到电线41和41”的离散输出的HCP错误。当进行中的混合控制过程健康状态测试是TRUE，且HCP健康状态指示HCP错误时，MCP-B 34通过SPI总线37”向HCP 5发送信号‘混合控制处理器健康状态测试通过’。在HCP健康状态监控功能测试中，HCP 5监控LAN总线6上的混合控制处理器状态和SPI总线37”上通过的混合控制处理器健康状态测试。当HCP 5接收的位于LAN总线6上的混合控制处理器状态等于HCP错误，并且混合控制处理器健康状态测试通过是TRUE时，它将把HCP健康状态监控功能测试的测试状态设置为‘通过’，并同PLD 39恢复正常的种子/键行为。在预定的时间延迟后，进行中的混合控制过程健康状态监控功能测试被设置为FALSE。当HCP 5在LAN总线6上没有接收到等于HCP错误的混合控制处理器状态，并且在预定时间周期中，SPI总线37”上的混合控制处理器健康状态测试通过是TRUE时，HCP 5把HCP健康状态监控功能测试的测试状态设置为‘错误’。HCP 5在永久存储设备中存储HCP健康状态监控功能测试。在随后的接通事件中，如果健康状态指示错误，HCP 5最好执行再测试，同时，如果再测试结果是错误，则禁止大于0Nm的马达转矩命令和发动机转矩命令。

【0039】通过执行探测存储设备，通用和专用寄存器，执行指令的ALU，程序指针错误，存储器寻址错误，以及TPU错误之一中的不一致性的测试功能，进一步监控处理器完整性。可应用方法学来探测不一致性，这包括探测初始化中的不一致性，通过在后台运行检验功能来探测正常执行中的不一致性，以及通过在循环周期之一中执行探测算法来探测不一致性。当探测到不一致性时，记录不一致性并采取补救行动。补救行动通常是全局范围内将动力系统置于转矩安全状态。补救行动也将包括存储OBD兼容码。

【0040】包括传感器，致动器，收发机，SPI总线37和LAN总线6的系统相关硬件和相关线束的完整性可使用诊断软件来确定，该诊断软件监控控制模块内的数据，并在循环周期之一中将其合理化。当在被监控的数据和被合理化的数据之间探测到不一致性时，该不一致性被作为失配计数记录在错误成熟算法中，例如一种X of Y程序，其中当从紧临前面的Y次观察中观察到X次失配时，探测出错误。一个例子是，当在监控的数据和被合理化的数据之间发生一半以上的紧临前面的观察失配时探测出错误。当错误成熟算法获得失配观察数目的阀值时，将设置一个错误并采取补救行动。补救行动可针对具体致动器或在整个控制系统中，且最好把动力系统置于转矩安全状态。补救行动也将包括存储用于随后挽救的OBD兼容码。诊断可初步识别待处理的错误，意味着探测到不一致，但是错误成熟算法并没有达到它的阀值。硬件完整性可使用诊断软件确定，该诊断软件监控控制系统的传感器和致动器。

【0041】其它转矩安全行动可包括限制制动器命令信号。这可包括在致动器命令信号上的最大和最小限制，及致动器命令信号上的最大变化率。特别地，马达转矩命令T_A和T_B可被限制到最大和最小马达转矩，并且在马达转矩命令T_A和T_B中的变化可被限制到最大变化率，例如，0.2g。

【0042】不言而喻，在本发明范围内的修改是允许的。本发明参照具体提及的优选实施例和修改来描述。进一步地，在阅读和理解了说明书时，可进行其它修改和变化。只要它们都落在本发明的范围内，就应该包括所有这些修改和变化。