深度：符合功能安全ASIL-D的汽车牵引逆变器设计-电子工程世界

之前很多文章有提到功能安全的概念，包括符合ASIL-D的电机控制器，符合ASIL-B/ASIL-D的车规MCU；

今天，小二分享基于ISO26262阐述的安全概念，进行的新能源汽车牵引电机逆变器的开发（参考NXP方案），水平有限，欢迎留言交流；

安全目标及开发流程

功能安全的目标是将风险最小化到可接受的水平，风险定义为：发生损害的概率和该损害对人员的影响（以及在较小程度上对设备和环境的影响）；

常用降低风险的措施分为故障避免、故障检测和故障处理措施；

ISO26262中阐述的V模型，非常经典；对于功能安全的开发，从概念阶段的项目定义开始，经过危害分析及影响，形成技术安全需求，再到具体的软硬件开发，验证及生产及生产后的管理；

全流程主要分概念阶段，开发阶段，量产阶段，如下：

这里说明一下，Item Definition，则是我们具体设计/分析的产品的系统或子系统，它是我们进行安全设计的对象，或载体，比如本文重点描述的电机牵引逆变器；

概念阶段的核心思想和关键词

确认目标对象后，分析其功能需求，子系统及和外部系统的交互

牵引逆变器接收来自整车控制器(VCU)的命令，完成电机状态的控制；

明确对象的危险分析及风险评估(HARA:Hazards Analysis and Risk Assesment)，提出安全目标(SG:Safety Goal)，这里的SG的衡量标准就是大家常听到ASIL-A/B/C/D，比如

非驾驶员意图的加速、刹车；在低速/高速，城市/高速等不同状态下可能导致的伤害是轻微碰撞/验证碰撞
安全目标：保证输出的加速扭矩不超过给定量的5%，最大不超过50 Nm；

由Safty Goal，抽象细化出功能安全需求(FSR，Functional Safety Requirements)，比如

FSR1：获取当前电机转速，对转速获取全链路进行监测，及对比校验；
FSR2: 当识别到的输出扭矩超过给定扭矩5%，在1us内将三相桥臂开关切换至安全状态

基于功能安全需求进行拆分，得出软硬件的技术安全需求（TSR，Technical Safety Requirements）

牵引逆变器的考虑

牵引逆变器在新能源汽车中的主要作用，是基于整车控制器(VCU)给出的扭矩指令，控制电机的运行：

加速电机；
制动电机，回馈能量；
对于电池供电的电动车，电机通用通过一个8:1或10:1的变速箱连接到车轮；

因此，主要的危害有：非预期的过度牵引，非预期的制动，以及高压电击；

这些危害被整车厂识别，并标识以ASIL-B，ASIL-D不同的安全级别（ASIL，Automotive Safety Integrity Level）

因此，在本文的分析中，安全目标(Safty Goal)考虑如下：

SG1：避免加速扭矩超过50Nm，或超过+5%的预期控制扭矩（ASIL-D，FTTI=200ms）
SG2：避免制动扭矩超过50Nm，或超过+5%的预期制动扭矩

牵引逆变器的典型控制流程如下

VCU通过CAN总线，向处理单元发送扭矩控制指令
处理单元收到扭矩控制指令
处理单元基于当前的电机运行状态（通过传感器获取），以及收到的控制指令，计算出需要输出的PWM占空比；
驱动电路基于PWM占空比驱动桥臂开关
处理器测量系统的状态，包括电流，电机轴位置，电机转速，电压等，完成闭环控制

下面，将基于ISO26262的理论和要求，介绍安全目标，功能需求，技术需求，硬件需求，软件需求

执行-检查的处理架构

在处理器域，导致违反SG1和SG2安全目标的主要的失效机制，可以总结为：

通信的失效，或者计算的失效；本文不讨论通信的失效，这类失效一般通过对CAN通信消息的数据完整性校验来实现；

上图中执行-检查架构，用于预防处理器的计算失效；

架构中，执行单元实现了主要电机控制需要功能，包括FOC控制算法，电机控制算法，数学计算库等；

检查单元负责检查非安全状况并保证系统运行在安全状态；

架构中，执行单元聚焦在功能及性能，检查单元聚焦实现安全目标；在ISO26262的定义里意味着，执行单元只需要符合QM（Quality Managed）标准，而检查单元需要符合ASIL-D的标准；

在本文研究中，我们将检查单元的功能以及需求，提炼并在名叫安全管理(Safety Manager)的系统单元中；

如上图，结合NXP公司的MPC5775E微控制器，以及FS65功能安全SBC（System Basic Chip），可以轻松的实现执行-检查的安全架构；

我们将执行器的工作分配给Core 0(Non-LockStep)，将安全管理的工作分配给CPU1(LockStep)；

常见的两个内核的失效，通过MPC5775E内部的安全机制检查，或者通过外部的安全SBC FS65检查，这些机制可以包括故障收集及控制单元，时钟监控单元，电源管理单元，内存保护单元，这些单元可以运行在FS SBC上；安全单元的失效，需要再通过监控FS65实现，并在识别出故障或失效时候，控制系统进入安全状态（通过直接配置电机控制接口）；

逆变器的安全运行状态的机制，可以通过灵活的，模块化的方式，在NXP的安全概念指引下实现；

永磁同步电机控制接口的安全概念

针对电动汽车的一个限制，是永磁同步电机电机运行产生的高反电动势；在高速运行情况下，如果永磁同步电机的相绕组处于断开状态，如下图所示

那么将可能导致高于电池电压的反电动势,这将引起可再生的电流，以及非预期的制动扭矩；为了防止这个危害，系统需要短路桥臂所有的高边开关，或者所有的低边开关

上述的应用安全需求，可以通过如下架构实现

一套独立的，用于控制高边以及低边开关的控制电路；

如果单点故障，可能导致高边或低边不可控制，系统将无法正常运行；

快速的短路保护电路（上图A）

短路电路，可能永久性损害开关桥，并导致系统进入非安全状态；因为短路失效需要在非常短的时间内处理，MCU无法满足，因此需要通过门驱动电路GD3100来实现；

上层应用的诊断以及安全的应对措施（上图B）

电机控制接口的失效，可能的原因很多：电机相绕组，IGBT开关，门驱动，分立的芯片，冷却系统，针对不同的原因，需要不同的应对措施；高边的失效保护需要快速将三相绕组短路到电池，而低边的开路保护则是短路到地GND；GD3100门驱动电路是基于ASIL-D级别进行开发的，因此其内部有丰富的自诊断机制，能够检查出99%的内部故障，并可以通过冗余的通信机制通知到MCU的安全管理单元

反应通道（上图C）