VCU 整车控制器全栈 — ECU 协同 + 通讯 + 安全 + 量产决策

系统架构L7别名 VCU · 整车控制器 · Vehicle Control Unit · 整车协同 · 更新 2026-07-12

本质与导读

本质 VCU 不直接驱动硬件,而是整车的仲裁中枢:协调 BMS / PEU / OBC / DC-DC 等多个 ECU,汇总各 ECU 的 fault 报告做整车级 safe state 决策(限扭 / shutdown / limp home)。它的难点不在算力,而在 SG 仲裁与跨 ECU 的 fail-operational 协调。

主线坐标:第 6 站 · 电机 + 控制采样 · ↑ 全景主线

1. VCU 协同生态系统

VCU 与 6+ 个 ECU 协同 — 每个 ECU 有自己的 SG 和 fault,VCU 收集 + 仲裁 + 整车级决策。下图把整体生态系统画清:

VCU 整车控制器 — ECU 协同生态系统

2. ① 与 BMS 协同

VCU + BMS 是最紧密的 ECU 对子,信息流双向:

BMS → VCU:SOC% / 可用功率 / Fault DTC / SOH% / 电池温度 / Vpack
VCU → BMS:闭合 K1 命令 / 充电指令 / 限功率请求 / 系统状态

VCU 用 BMS 数据做整车扭矩限制 — 满电时可放 100% 扭矩,30% SOC 限 80%,5% SOC 限 30%。

链接:BMS overview

3. ② 与 PEU 主驱协同

VCU 与 PEU(主驱 inverter)的关系是命令 → 执行:

VCU → PEU:扭矩指令(±5000 Nm 量级)+ 工作模式(D/R/N)
PEU → VCU:实际扭矩 / RPM / Tj / Fault 状态

VCU 在故障时通过 PEU 触发 safe state(STO / ASC),时序 100ms FTTI。

链接:EV traction inverter 全栈 / SafeState Manager

4. ③ 与 OBC + DC-DC 协同

充电时VCU 是 master,OBC 是执行:

充电启动:CCS 桩握手 (ISO 15118) → 桩通过 OBC 给 VCU 报参数 → VCU 仲裁(可不可以充 + 充电速度) → 命令 OBC + BMS 闭合 K1 + 启动充电
V2G/V2L:VCU 决策反向放电 → OBC 反向工作
DC-DC:HV → 12V,VCU 监控 12V 母线状态 + 命令开关

链接:OBC overview

5. ④ 与 ADAS / 智驾协同

ADAS L2-L4 通过 VCU 中转控制整车动作:

路径规划 → VCU
VCU 翻译为扭矩 + 转向 + 制动(协调 PEU + EPS + ESC)
当 ADAS 失效 → VCU 进 limp home + 警告驾驶员

L4 自动驾驶 → VCU 必 ASIL D + 双冗余,单 VCU 失效不能危车。

链接:ADAS 全栈 / ASIL 分解

6. ⑤ MCU 平台 + SBC

VCU MCU 几乎都 ASIL D 起步:

Infineon Aurix TC397 — 旗舰 ASIL D,Tier-1 主流 (Bosch / Continental)
Infineon Aurix TC367 — 经济 ASIL D,国产 EV 多用
NXP S32K358 — 中端,Stellantis / 雷诺
Renesas RH850/F1KM — 日韩 OEM (Toyota / Honda / Nissan / Hyundai)
NXP S32G — 新一代 (zone controller + VCU + Ethernet)

配 SBC (NXP FS65 / Infineon TLF35584) — 多 rail + Q&A watchdog + 看门狗 + ASIL D 监视。

链接:Aurix TC3xx ASIL D / SBC sequencing / SBC watchdog

7. ⑥ 通讯协议栈

VCU 是整车通讯总线交叉点:

CAN-FD × 4-8 通道:主线 (powertrain) / 底盘 / 车身 / OBD-II
Ethernet 100/1000BASE-T1:ADAS / 摄像头 / OTA
LIN:低速控件 (车窗 / 开关)
SecOC:AUTOSAR 报文层认证 (HMAC + Counter)
E2E protection:报文 CRC + Counter + DataID

趋势:中央网关 + zone controller (Tesla / 大众 IDSY) — 一个超级 ECU 包含 VCU + 通讯网关 + 部分 ECU 功能。

链接:CAN bus / SecOC / Ethernet PHY

8. ⑦ AUTOSAR 框架

VCU 软件几乎全部基于 AUTOSAR:

AUTOSAR Classic (CP):传统 ECU 主流,1-3M 行 C
AUTOSAR Adaptive (AP):服务化 / POSIX,L4 智驾 / 高端 VCU 用

主流 BSW (Basic Software) 供应商:

Vector MICROSAR
EB tresos
Mentor / Siemens VSTAR
国产 ETAS / 经纬恒润

VCU 应用层 SWC (Software Component) 由 OEM 写,典型 200-500 个 SWC,1-3M 行 C。

9. ⑧ SG 仲裁

VCU 是整车 SG 决策中枢。典型 EV 10-15 个 SG:

SG-1: 防意外扭矩 (主驱 ASIL D)
SG-2: 防 HV 触电 (BMS + PEU ASIL D)
SG-3: 防电池过充 / 过放 (BMS ASIL C-D)
SG-4: 防意外加速 (踏板 + 整车 ASIL B)
SG-5: 防失控制动 (整车 + ABS ASIL D)
... etc.

每个 ECU 看自己的 SG;VCU 整车级仲裁:

一个 ECU 报 fault → VCU 评估 + 通知其它 ECU + 决策 safe state
主驱报 STO → VCU 同时 disable 加速踏板 + 警告驾驶员 + DTC

10. 量产 VCU 选型 (2026)

下表汇总主流 EV VCU 选型:

OEM / 车型	MCU	SBC	AUTOSAR	备注
Tesla Model 3/Y	自研 zone controller (ARM)	自研 SBC	不用 AUTOSAR	中央集成路线
比亚迪汉 / 海豹	Aurix TC397	TLF35584	Vector MICROSAR	主流路线
大众 ID 系列	Aurix TC367	TLF35584	EB tresos	同上
Mercedes EQS	Aurix TC397	TLF35584	Vector	旗舰
蔚来 ET7	NXP S32G	FS65	Vector + 自研	zone 路线
现代 E-GMP	RH850/F1KM	ST L9784	EB / 自研	日韩主流
雷诺 / Stellantis	S32K358	FS65	Vector	经济

Tesla 路线(中央集成 zone)与传统 EV 路线(VCU + 多 ECU)是两大流派。

11. 团队 + 项目周期

EV VCU 量产典型项目规模:

团队 80-200 人(SW 占 60%)
周期 24-36 个月(立项到 SOP)
代码 1-3 M 行
测试 case 10万+
DV / PV / PPAP 12-18 月

成本(纯 R&D):3-10 亿 RMB(国产 OEM)— Tesla 中央集成路线投入 50 亿+。

12. 失效模式 + ASIL 分解

VCU 自身 ASIL D 但 依赖分解实现:

Channel A:主 MCU 双核 lockstep (B(D))
Channel B:SBC + 独立 ADC + Q&A WD (B(D))
合起来 ASIL D

但 VCU 整车级 SG 仲裁 仍单点 — 如 VCU 整体死亡,整车进 emergency limp(VCU 不发命令 → PEU 自己进 STO + BMS 自己断 K1)。

L4 自动驾驶 → VCU 双 VCU 冗余 必上。

链接:ASIL 分解深度

13. 子页深度链接

VCU 相关 wiki 子页:

ECU 协同:

MCU + SBC:

通讯:

功能安全:

14. 工程陷阱

量产 VCU 的坑绝大多数不在算法正确性,而在 跨 ECU 的时序边界和 仲裁优先级设计。以下三类问题在工程验证阶段反复出现,且往往到 HIL/整车测试才暴露。

14.1 扭矩仲裁优先级反转 — ADAS 意图覆盖驾驶员踏板

ADAS L2 巡航主动减速时,VCU 如果把 ADAS 负扭矩请求的优先级高于驾驶员正踏板,会出现驾驶员踩油门却触发再生制动、车辆短暂减速的体感异常。根本原因是早期仲裁逻辑以"最小扭矩优先"作为通用安全规则,而没有区分驾驶员主动覆盖场景。正确做法:定义"驾驶员覆盖检测"(踏板变化率 $> 50 Nm/s$ 持续超过 $100 ms$ ),一旦触发则在 200 ms 内平滑退出 ADAS 扭矩干预,优先级切换须通过功能安全 DFMEA 覆盖该失效路径(ASIL B)。

14.2 看门狗超时窗口过窄 — 冷启动 MCU 未完成初始化即被复位

SBC Q&A Watchdog 的 challenge-response 周期设计时通常在系统稳态下标定。冷启动(尤其 $- 40^{\circ} C$ 低温)下 Flash 擦写校验、CRC 检查、AUTOSAR OS 任务初始化合计耗时可达 15–20 ms,而测试台温室下同一序列仅需 8 ms。若 WD timeout 设为 $12 ms$ ,低温冷启动必然触发看门狗复位循环,车辆无法上高压。正确做法:WD timeout 须基于最坏情况启动路径加 2–3 倍裕量计算(详见 § 16 计算示例),并在 SBC 配置中区分 Power-on Window(宽松)与 Normal Functional Window(收紧)。

14.3 SG 网关仲裁环路 — 扭矩请求触发 40 ms CAN 风暴

典型 EV 网络结构:VCU 作为网关将 ADAS 报文转发至 Powertrain 总线,同时监听 Powertrain 总线的反馈来更新 SG。当扭矩请求报文触发 PEU 立即回复 Actual Torque,VCU 收到回复后再次更新请求——如果 Debounce 逻辑缺失或帧率限制不够,两个 ECU 之间会形成正反馈振荡:报文间隔从正常 10 ms 压缩至 1–2 ms,导致 40 ms 窗口内 CAN 总线负载率超过 80%,其余 ECU 收到"Bus Off"从而触发系统性 fault。修复需在 VCU 的 SG Request Handler 加入 Tx Rate Limiter(最小报文间隔 5 ms)+ SG Counter 奇偶校验,确保同一 Counter 值的请求不重复发送。

15. 边界与局限

本页描述的是当前主流量产 EV 的集中式 VCU 架构;以下边界条件在本页范围之外,读者在应用时须识别。

15.1 拓扑边界:集中式 VCU vs 区域化 Zonal 架构

本页所有 ECU 协同描述均基于"一个 VCU + 多个独立 ECU"的扁平拓扑。Tesla Model S/3/Y、大众 E3 电子电气架构、华为 CC 架构已转向域控制器 + Zone Controller 分层:原 VCU 的部分职责下沉至各 Zone Controller,整车仲裁上移至 Central Compute Module(CCM)。这种分层下"VCU"概念变模糊,Zonal 架构的仲裁机制、AUTOSAR AP 服务化接口、以太网骨干拓扑均不在本页覆盖范围,需单独参考 EE Architecture deep。

15.2 AUTOSAR 版本假设

本页描述以 AUTOSAR Classic Platform R20-11（即 CP 4.4）为基准,SWC 接口、BSW 配置描述以此为准。AUTOSAR Adaptive Platform(AP R21-11 及以上)的服务发现(SD)、Execution Management、Communication Management 与 CP 差异显著。混合 CP+AP 架构(如高端 VCU 主 MCU 跑 CP、协处理器跑 AP)的交互协议在本页仅点到即止(§ 8),不做深度覆盖。

15.3 电压域范围:12V/HV 双域 EV,不含 48V 轻混

本页的 VCU 定义基于纯电 BEV 或插电混动 PHEV 的 HV + 12V 双域架构。48V 轻混(MHEV)架构的 VCU 角色与本页描述有以下关键差异:BSG(Belt Starter Generator)扭矩辅助仲裁与发动机 ECU(ECM)的耦合更紧密、48V 储能系统无高压安全边界(无 K1 预充逻辑)、再生制动功率上限 $< 10 kW$ 。48V MHEV VCU 设计不在本页讨论范围,避免混用同一 ASIL 分配逻辑造成安全误判。

16. 工程计算示例

本节给出两个可直接移植到项目中的量化设计计算,帮助读者建立 VCU 参数选型的数量感。

16.1 看门狗超时窗口定量设计

SBC Q&A Watchdog 的 timeout 窗口 $t_{WD}$ 必须覆盖最坏情况冷启动路径,同时留足裕量。以 Aurix TC397 + TLF35584 组合为例:

启动子阶段	最坏情况时间
MCU POR 复位释放到 Flash 可读	$2 ms$
Flash CRC 校验(2 MB)	$6 ms$
AUTOSAR OS 初始化(任务配置 + BSW)	$8 ms$
第一次 WD Answer 发送	$1 ms$
合计冷启动路径	$17 ms$

取 $2.5 \times$ 安全裕量(功能安全项目推荐 ≥ 2×,冷启动建议 2.5×):

t_{WD} = 17 ms \times 2.5 = 42.5 ms \approx 45 ms

TLF35584 的 Power-on Window 配置为 45 ms,Normal Functional Window 收紧至 12 ms(稳态任务周期 5 ms 的 2.4×)。两阶段配置可在 SBC NVM 寄存器中独立设置。

16.2 扭矩爬升速率上限设计

乘用车舒适性要求扭矩变化不引起冲击感,ISO 2631 给出纵向加速度变化率(Jerk)舒适阈值为 $2 m/s^{3}$ 。将 Jerk 反推至 VCU 扭矩爬升速率:

设车辆质量 $m = 2000 kg$ ,传动比 $i = 9$ ,轮半径 $r = 0.33 m$ ,传动效率 $η = 0.95$ :

Jerk = \frac{d F}{d t} \cdot \frac{1}{m} = \frac{d T _{motor}}{d t} \cdot \frac{i \cdot η}{r \cdot m}

整理得扭矩爬升速率上限:

\frac{d T _{motor}}{d t} \leq \frac{Jerk \times r \times m}{i \times η} = \frac{2 \times 0.33 \times 2000}{9 \times 0.95} \approx 154 Nm/s \approx 0.154 Nm/ms

注意 0.154 Nm/ms 是纯舒适性(定速巡航平顺)下的爬升速率上限;实际量产 VCU 为保证踏板响应性,原始扭矩 slew rate 常设得更快(如 5 Nm/ms,对应 0 → 300 Nm 完整爬升耗时 60 ms),而 ISO 2631 的 Jerk 舒适约束由上层扭矩整形按工况(近零速 / 起步 / 巡航)选择性施加,并非对原始 slew rate 全程硬限幅——因此量产设定值高于上面推导的舒适上限并不矛盾。该 slew rate 参数以 Calibration Parameter 形式存放于 AUTOSAR NvM,标定工程师可在 INCA/CANape 中在线调整而无需刷写代码,但改动须过功能安全 Change Impact Analysis(因该参数直接影响 SG-4 防意外加速安全目标)。

核心要点

VCU 不直接控制硬件,而是协调 BMS / PEU / OBC / DC-DC / ADAS / 仪表等 6+ ECU。
8 大职责:SG 仲裁 / 扭矩协调 / 充电握手 / 能量管理 / 故障 escalation / 整车决策 / OTA / 安全策略。
MCU 平台:Aurix TC397 / S32K358 / RH850/F1KM 主流,SBC 配套。
通讯:CAN-FD + Ethernet + LIN + SecOC 全栈,FlexRay 退场,zone controller 趋势。
软件 99% AUTOSAR Classic,L4 智驾上 Adaptive。
ASIL D 通过 lockstep + SBC + Q&A WD 分解实现,L4 必双 VCU 冗余。
代码 1-3M 行 / 团队 80-200 人 / 周期 24-36 月 / 成本 3-10 亿 是 EV VCU 量产典型规模。
Tesla 中央 zone 路线 vs 传统 VCU + 多 ECU 路线 是两大流派,2026 仍并存。