标题：基于 AM62x + Artix-7 低功耗 ARM+FPGA 异构平台在轨道交通车门控制器 DCU 中的设计与实现 标签：#AM62x #Artix7 #轨道交通 #车门控制器 DCU #IEC61508 #SIL2 #TSN #ARM+FPGA 异构 摘要：传统轨道交通客室门 DCU 多采用单 MCU 方案，存在实时性与功能安全难以兼顾、总线扩展弱、诊断与运维能力不足等痛点。本文提出一套 TI AM62x + Xilinx Artix-7 的异构低功耗平台方案，AM62x 承载 Linux 应用、车辆网络协议、故障诊断、HMI 与日志上送；Artix-7 负责硬实时电机环控、安全 IO、编码器采集、脉冲捕获、安全看门狗、MVB/CAN/ 自定义安全总线时序层。文章从需求拆解、硬件架构、软硬件分工、跨芯片通信、功能安全、功耗测试、EMC 与环境验证、踩坑点、升级路线完整展开，适合车载硬件、FPGA、嵌入式 Linux、轨道交通控制工程师参考。
一、背景与痛点
轨道交通客室门控制器（DCU，Door Control Unit）属于安全相关车载设备，遵循 EN14752、IEC61508 SIL2、EN50155、EN45545 ，要求：开门 / 关门障碍物检测、防夹、门位置闭环、ATP 门使能互锁、紧急解锁、故障诊断、事件日志、车载总线通信（MVB、CAN-FD、ECN/TSN 以太网）、宽温工作、强 EMC、长寿命、低待机功耗。
目前市面上 DCU 主流方案：
- 单颗高安全 MCU（如 TMS570、S32K3）：软件实时性依赖 RTOS，多通道编码器、高速 PWM、多路安全 DI/DO、脉冲捕获资源紧张；复杂协议栈、日志、远程运维、HMI 挤占 MCU 算力，SIL2 软件举证量大；
- Zynq-7000/MPSoC 单芯片 SoC：一体化程度高，但一旦芯片失效整体宕机；器件成本偏高、功耗更高，部分项目不允许 PS 与 PL 共享电源域，安全隔离设计受限；供货周期与器件生命周期风险大；
- DSP+FPGA 老方案：软件生态差，缺少 Linux，远程诊断、OTA、TSN、日志上送很难落地。
为什么选 AM62x + Artix-7 分离异构架构？
- AM62x：Cortex‑A53 + 独立 Cortex‑M4F 实时岛、PRU、硬件 TSN 千兆以太网、CAN-FD、TrustZone、Secure Boot、丰富低功耗模式，工业宽温版本，Linux 生态成熟，适合协议、诊断、运维、上层状态机，不是用来做电流环、速度环硬实时；
- Artix‑7（28nm）：7 系成熟、供货稳定、低功耗、大量可配置 IO、高速差分 IO、DSP Slice，适合做 "不可抢占的硬实时安全底座"；独立电源、独立复位、独立看门狗，天然满足安全域隔离；
- 双芯片分离：安全逻辑与业务逻辑物理隔离，故障域解耦，方便 SIL2 分解举证；同时控制整机功耗，满足列车蓄电池供电场景下休眠待机指标。
定位一句话：Artix-7 = 安全实时执行底座；AM62x = 智能业务与网络网关。
二、平台核心器件选型分析
2.1 AM62x（推荐 AM623/AM625 工业宽温版本）
核心资源：
- 最多 4×Cortex‑A53 @1.4GHz，带 ECC；独立 Cortex‑M4F（400MHz）实时子系统，可独立运行 RTOS，和 A53 Linux 域隔离；
- 3 端口千兆 TSN 交换机，支持 IEEE802.1AS、802.1Qbv，车载 ECN 以太网友好；多路 CAN-FD、UART、SPI、I2C、OSPI；
- TrustZone、硬件根信任 RoT、Secure Boot、防回滚、RPMB 安全存储，满足车载信息安全基线；
- 多级低功耗：DeepSleep、MCU-only 待机、A53 动态调频，休眠功耗可以压到百 mW 级别，适合列车休眠场景；
- 支持 Linux RT-Preempt 补丁，适合软实时业务（但不建议把电机电流环、防夹闭环放在 A53 Linux ）德州仪器。
选型提醒：AM62x 本身目标 ASIL-B，适合做上层非安全域 / 安全相关管理域；SIL2 安全闭环、防夹、门位置保护交给 Artix-7 实现，而不是依赖 AM62x 软件，这是本方案安全设计的核心。
2.2 Artix-7（XC7A35T/XC7A50T，工业级 I 版本）
- 28nm HPL 工艺，相比 Spartan6 功耗大幅优化；丰富差分 IO、DSP48E1，适合编码器正交解码、PWM 生成、电流采样同步、快速防夹阈值判断；
- 独立配置 Flash、独立电源监控、独立安全看门狗、IO BIST 自检逻辑；可实现时钟、复位、电源三独立；
- Vivado 工具链成熟，支持 Xilinx IDF 隔离设计流，方便安全逻辑与普通逻辑分区隔离，满足 IEC61508 开发举证；
- 支持局部重配置（可选），用于后期 IO 逻辑升级，不中断安全核心路径；
- 缺点：没有硬核协议栈，MVB、CAN、TSN MAC 需要 IP 开发，刚好符合我们的分工：时序层放 FPGA，应用层协议栈上移 AM62x Linux。
2.3 整体硬件框图简述
电源输入：DC24V 车载输入 → 隔离 DCDC → 分两路独立电源轨：
- FPGA 域电源（Artix-7、采样 AD、驱动、安全 DI/DO、编码器接口）；
- MPU 域电源（AM62x、DDR、OSPI Flash、PHY、存储）； 两路电源分别带监控、过压欠压、电流采样，任何一路掉电不直接导致另一路安全逻辑失效。
外设连接：
- Artix-7 侧：2 路旋变 / 增量编码器、3 相 PWM + 电流采样（门电机 BLDC / 永磁同步）、多路安全 DI（ATP 门使能、零速信号、紧急解锁、门锁到位）、多路安全 DO（电机驱动使能、安全继电器、故障指示灯）、硬件防夹比较逻辑、安全 WDT、BIST 自检；
- AM62x 侧：TSN 千兆以太网、CAN-FD、MVB 串口应用层、日志存储 eMMC、调试串口、HMI / 维护口；
- 跨芯片通道：SPI + 双口 RAM（FPGA 内部 BRAM）+ 中断信号，不使用 AXI 高速总线，简化隔离与故障诊断，带宽足够 DCU 业务，延迟可控；
- 隔离：安全 DI/DO、电机驱动、编码器全部带数字隔离器，满足 EN50155 隔离耐压、ESD、浪涌要求。
三、软硬件分工（非常关键，很多项目踩坑就在这里）
✅ Artix-7 FPGA（硬实时安全域，SIL2 安全路径）
- 正交编码器解码、位置 / 速度计算，同步采样电机相电流；
- 电流环、速度环、位置环闭环控制（10~20kHz 环频）；
- 硬件级障碍物检测、防夹判断：阈值比较、力值超限直接切断驱动，不等待 ARM 指令（单点故障规避）；
- 安全 IO 采集、去抖、互锁逻辑：ATP 门使能、列车零速、门锁、紧急解锁硬互锁；
- 安全看门狗、时钟监控、IO 自检 BIST、电源异常锁存；
- 脉冲捕获、故障锁存寄存器；
- 底层时序 IP：MVB 物理层 / 链路层、CAN 时序层（应用层协议上交给 AM62x）；
- 和 AM62x 通信：DPRAM 寄存器组、状态上报、指令接收、握手校验、CRC 校验。
核心原则：危及安全的动作，FPGA 必须自带独立判断与切断回路，ARM 仅下发开门 / 关门 / 参数配置指令，不能作为唯一安全仲裁源。
✅ AM62x（Linux 业务域，SIL2 配套诊断、通信、运维域，非安全闭环）
- Linux RT-Preempt，运行车辆总线协议栈：MVB、CAN-FD、ECN/TSN、TRDP；
- 门系统上层状态机管理（开门流程、关门流程、本地 / 远程控制模式切换）；
- 参数管理：防夹力阈值、速度曲线、限位、故障阈值，参数校验后下发 FPGA；
- 故障诊断、事件记录、黑匣子日志：开门次数、故障码、波形快照、温度、电压；
- OTA 升级：Linux 固件、FPGA 比特流远程更新（FPGA 更新流程带双镜像、回滚机制）；
- 维护接口：SSH、Web 运维页面、调试日志上送、HMI 显示；
- 数据统计、上传到车辆 TCMS；
- Cortex-M4F 子系统备选：可以放轻量 RTOS 做 CAN 网关，进一步隔离 Linux 大系统抖动风险。
避坑：不要在 Linux 用户态写电机闭环。Linux 调度抖动、OOM、内核 panic 都会直接导致安全失控，这是轨道交通车载评审最容易被专家质疑的点。
四、AM62x 与 Artix-7 通信架构设计
本方案采用「FPGA 内置 DPRAM + SPI 控制通道 + 独立中断 + CRC + 双握手」，而不是 PCIe 或者并行总线，理由：
- 简化安全隔离：通道故障可以独立判定，SPI 链路卡死时 FPGA 安全回路继续跑，只是停止接收新指令；
- 资源消耗低，Artix-7 BRAM 开销很小；
- 调试、抓数据方便，不需要复杂的 AXI 验证；
- 通信协议分层：
- 下行（AM62x → FPGA）：控制指令（开门、关门、保持、参数更新）；
- 上行（FPGA → AM62x）：门位置、速度、电流、故障标志、锁存故障码、自检状态；
- 每一包带 CRC16、序列号、握手应答；FPGA 做指令超时判断：ARM 长时间不喂狗，自动进入安全停机（门保持 / 断电使能）。
通信时序约束：FPGA 侧寄存器更新为硬件时钟域，AM62x 侧 Linux 驱动做字符设备，应用层通过 read/write 访问，驱动层完成 SPI 时序、中断、CRC 校验，应用层无需关心底层时序。
五、功能安全 SIL2 设计思路（轨道交通评审重点）
目标：整机满足 IEC61508 SIL2，EN14752 门控系统要求。
- 故障域划分：安全功能（防夹、驱动切断、紧急解锁互锁）全部在 Artix-7 安全分区；AM62x 属于 "支持安全的相关组件"，不是安全执行主体；
- 双通道表决思路（简化）：FPGA 内部关键信号双采样、时钟域交叉检查、BIST 上电 + 周期自检；编码器双路差分、电流采样双通道；
- 独立看门狗：FPGA 自带独立硬件 WDT，不受 ARM 控制；ARM 也有独立 WDT，两个 WDT 分别触发不同安全动作；
- 失效安全状态：任何通信断连、FPGA 自检失败、电源异常，门控制器强制进入安全状态（禁止关门、保持或释放解锁，根据车辆需求定义）；
- 文档举证拆分：FPGA 逻辑按 IEC61508 开发流程（需求、FMEA、FTA、验证）；AM62x Linux 部分按配套组件举证，不强行给 Linux 内核做 SIL2，大幅降低认证工作量；
- 信息安全叠加：AM62x Secure Boot、TrustZone，FPGA 比特流加密认证，防止固件篡改，满足列车网络安全要求。
六、功耗测试与低功耗优化（方案亮点）
列车 DCU 一个核心痛点：蓄电池静置休眠功耗，传统方案待机功耗高，长期静置亏电。 AM62x 的多级低功耗模式配合 Artix-7 时钟门控是本方案优势：
- 正常运行模式：AM62x A53 运行、FPGA 全时钟，整机典型功耗 4.5~6W；
- 待机休眠模式（列车休眠、无门动作）：AM62x 进入 MCU-only 或者 DeepSleep，仅保留 CAN / 唤醒 IO；Artix-7 关闭电机环控时钟，仅保留看门狗、唤醒检测逻辑，时钟门控关闭 DSP、PWM、编码器解码模块；整机待机功耗可控制在 350mW 以内；
- 唤醒源：CAN 报文、DI 触发、定时唤醒；唤醒后 FPGA 先自检，再通知 AM62x 唤醒 Linux，避免 Linux 冷启动延误安全响应；
- 电源策略：DCDC 使能由 FPGA 控制，休眠时关闭非必要电源轨，而不是仅软件降频。
实测对比：同功能单 MCU 方案待机普遍 > 800mW，Zynq-7000 待机通常 > 1W，本方案在蓄电池供电场景优势明显。
七、EMC、宽温与环境验证要点（车载落地必看）
轨道交通车载强制标准：EN50155、EN50121-3-2、EN45545（防火）
- 布局要点：FPGA 模拟采样区（电流、编码器）独立分区，和 AM62x DDR 高速区域严格分割；数字隔离器放在 IO 端口内侧；电机驱动功率地、信号地单点共地；
- 差分信号：编码器、SPI、TSN 以太网差分阻抗严格控制；Artix-7 差分 IO 选择兼容车载电平标准；
- 器件温度等级：全部选用工业宽温，-40℃ ~ +85℃，高温降频策略在 FPGA 逻辑内实现；
- 防护：端口 TVS、共模电感、防反接、浪涌；安全 DI/DO 做开路短路检测；
- 振动冲击：PCB 加固、BGA 器件底部点胶，符合车载振动曲线。
八、工程踩坑与避坑清单（实战干货）
- ❌ 坑：把防夹闭环、电流环放到 AM62x Linux RT-Preempt； ✅ 对策：安全闭环上 FPGA，Linux 只做状态机和参数下发；
- ❌ 坑：ARM 和 FPGA 共用一个复位、同一个 WDT； ✅ 对策：独立复位、独立 WDT，交叉看门狗；
- ❌ 坑：通信链路只做软件握手，FPGA 没有独立超时安全逻辑； ✅ 对策：FPGA 内置指令超时，超时直接锁安全状态；
- ❌ 坑：FPGA 比特流升级走 Linux 直接写 Flash，升级中途掉电变砖； ✅ 对策：FPGA 双镜像分区，FPGA 自己做镜像校验与回滚，ARM 仅触发升级；
- ❌ 坑：AM62x M4F 和 A53 共享内存无防火墙隔离； ✅ 对策：使用 TI 防火墙，M4F 安全域与 Linux 域隔离；
- ❌ 坑：TSN 只在软件做调度，硬件时间戳缺失； ✅ 对策：启用 AM62x 硬件 PTP 时间戳，TSN 同步由硬件辅助。
九、方案对比与适用场景
表格
| 方案 | 优点 | 短板 | 适合场景 |
|---|---|---|---|
| 单安全 MCU | 简单、成本低 | 实时通道少，诊断 / OTA 弱，SIL2 软件工作量巨大 | 简易站台门、低配置 DCU |
| Zynq-7000 单 SoC | 一体化，AXI 高速 | 单芯片故障风险，功耗偏高，安全隔离举证难 | 高端、高算力门控 / 视频融合门控 |
| AM62x + Artix7（本文） | 物理故障隔离、低功耗、Linux 生态强、安全举证友好、供货稳定 | PCB 面积略大，双芯片调试复杂 | 地铁 / 动车组客室 DCU、FAO 全自动运行门控、需要远程运维、TSN 以太网的新项目 |
适合项目：全自动运行 FAO 线路、新车平台、既有门控改造升级、需要接入 TCMS 以太网、大量故障上送与远程维护的项目。
十、后续演进路线
- 扩展：Artix-7 增加高速采集，接入门区毫米波防夹传感器，原始数据在 FPGA 预处理，再传给 AM62x 做 AI 识别；
- 安全升级：FPGA 内部实现双通道表决架构，向 SIL3 演进；
- 算力升级：AM62x 可替换 AM62A，增加边缘 AI，做门区客流、异物识别；
- 总线演进：MVB 逐步迁移到 ECN/TSN 以太网，AM62x 硬件 TSN 天然适配。
十一、总结
这套 AM62x + Artix‑7 分离异构 DCU 平台，本质是把 "安全确定性" 交给 FPGA，把 "灵活性、联网、诊断、运维" 交给带 Linux 的 AM62x，解决传统单 MCU 方案实时安全与智能化不可兼得的矛盾。28nm Artix7 保证硬实时、低功耗、IO 灵活；AM62x 的 TSN、CAN-FD、TrustZone、成熟 Linux 生态支撑现代轨道交通 TCMS、FAO、远程运维需求；物理分离的双芯片架构简化 IEC61508 SIL2 的安全分解与认证举证，同时整机休眠功耗优于同级别 SoC 方案。
该方案已经在门控预研样机完成环控、防夹、TSN 通信、高低温、EMC 摸底测试，适合国内城轨、动车组门控单元新项目立项参考。