純電動或混動動力汽車上的電機控制器MCU（Motor Control Unit），其主要功能就是將電池的高壓直流電，轉(zhuǎn)換為交流電，來驅(qū)動電機運行。作為電動汽車傳動鏈上的重要一環(huán)，如果MCU失效，直接威脅到人員的生命安全。這就是所謂的功能安全問題，國際上也有相關(guān)的ISO 26262標準，國內(nèi)對應(yīng)的是GBT 34590。

現(xiàn)在功能安全話題很熱門，出門交流不談功能安全，就顯得自己外行一樣。那什么是功能安全？用人話解釋就是，電子器件組成的MCU，在工作過程中，如果任何軟硬件出了問題，產(chǎn)生的后果都不應(yīng)該威脅到人身安全。

如上圖所示，MCU的主要作用就是用矢量控制驅(qū)動電機運行，要實現(xiàn)矢量控制就要檢測電機電流、電池電壓和電機轉(zhuǎn)子位置等信號。另外MCU通過CAN通訊來接收VCU的指令、反饋本身的運行狀態(tài)。

通常硬件設(shè)計和功能安全相關(guān)的目標有兩個：

1、降低隨機失效（器件老化）和系統(tǒng)失效（人為設(shè)計）；

2、如果出現(xiàn)隨機失效后，系統(tǒng)能達到安全狀態(tài)，同時盡量消除系統(tǒng)失效。

可以這樣簡便但不嚴謹?shù)膩韰^(qū)分隨機失效和系統(tǒng)失效，隨機失效就是找不到根本原因的、不可復(fù)現(xiàn)的，系統(tǒng)失效是能復(fù)現(xiàn)的、能找到根本原因的。

降低隨機失效通常的原則是監(jiān)控、冗余、分散、診斷等。

消除系統(tǒng)失效通常的原則是跟蹤設(shè)計需求、模塊化設(shè)計等，主要是加強設(shè)計流程的管理。

安全狀態(tài)

MCU如果失效后，希望其能進入一種安全的狀態(tài)，在安全狀態(tài)下，MCU不會損壞，同時電機不會產(chǎn)生非預(yù)期的轉(zhuǎn)矩。

電動汽車上MCU控制的電機通常是永磁電機，永磁電機是感性負載，而且高速下有危險的反電動勢存在，所以MCU故障后，并不能僅僅通過IGBT開路來達到安全的狀態(tài)。常用的安全狀態(tài)有如下兩種：

a. 主動短路ASC（Active short circuit）

通過同時開通三相橋的全部上管或全部下管，將電機的三相繞組短路。電機短路后，反電動勢不會影響MCU的直流端，高壓安全。但電機會有短路電流，通常情況下該電流不會超過電機的峰值電流，短時間不會影響電機和MCU的發(fā)熱。電機有了電流，會產(chǎn)生一定的制動轉(zhuǎn)矩。另外，如何短路也有一定的學問，要避免產(chǎn)生過高的瞬態(tài)短路電流。

b. 續(xù)流Freewheeling

也即三相橋的六個管子均關(guān)閉，電機通過反并聯(lián)二極管將自身的能量輸送到直流端，相當于三相不控整流。直流電壓值和電機反電動勢1.414倍關(guān)系。為了人身安全，只能在低轉(zhuǎn)速下才能進入該安全狀態(tài)，否則整流的高壓也很危險。

故障監(jiān)控和問詢式開門狗

對于如MCU之類重要的應(yīng)用，故障監(jiān)控（過壓、欠壓、復(fù)位等）需要獨立于主CPU做冗余，也即在主CPU之外，多一個CPU做故障的冗余監(jiān)控?，F(xiàn)在很多芯片廠家都有多核的控制芯片，主芯片用于實現(xiàn)基本的控制功能和保護功能，副芯片用于做冗余監(jiān)控。

這里介紹一種用CPLD做冗余監(jiān)控的案例。CPLD會監(jiān)控驅(qū)動芯片產(chǎn)生的IGBT過壓、過流，同時監(jiān)控控制弱電的電壓故障，若故障發(fā)生，則快速的封鎖PWM信號，保護IGBT。同時它還定時查崗，通過SPI通訊的方式發(fā)送暗號，查看電源管理芯片和主CPU是否在工作狀態(tài)，如果發(fā)現(xiàn)有人不在崗，立即拉響警報，走綠色獨立通道，短路或開路PWM的方式，讓MCU快速進入ASC或Freewheeling安全狀態(tài)。

電流傳感器（冗余和差異）

電機控制需要知道電機電流值，理想情況下，三相電流之和為0，只要知道其中兩相電流，就可以計算出第三相電流。所以從低成本設(shè)計的思路，用兩個電流傳感器就夠了。

Ia+Ib+Ic=0

如果用兩個傳感器，就會帶來某種失效情況下，過流檢測不到。比如我們只用兩個傳感器檢測A和B相電流，然后B相傳感器壞了，同時B相和C相短路，BC間流過大電流，現(xiàn)在MCU能準確知道的僅僅A相電流值，而且還是正常的，根本不能檢測到過流故障。所以從冗余的角度，需要采用三個電流傳感器（安全需要付出代價）。

另外，三個傳感器不能采用同一個廠家的，因為同一個廠家的產(chǎn)品設(shè)計參數(shù)都是一樣的，有可能因為同一個原因失效（共因失效），比如EMI。所以通常將其中一個傳感器選擇第二供應(yīng)商的產(chǎn)品。這樣通過差異，降低了共因失效的風險。

MCU可以用三級來實現(xiàn)過流保護，分別應(yīng)對不同的場景。

1、通過CPU的定時ADC采集。該采樣頻率較低，通常為百us級，只能通過軟件判斷，應(yīng)對一些電機過載。

2、通過硬件的運放比較。電流傳感器的值通過和某一閾值電平比較，輸出硬件過流信號，再由CPLD處理。通常響應(yīng)速率為十幾us級，能應(yīng)對一些接地短路故障。

3、驅(qū)動級。通過驅(qū)動芯片，監(jiān)控IGBT的Vce電壓，實現(xiàn)過流保護。通常響應(yīng)速率為ns至us級，能應(yīng)對IGBT驅(qū)動故障、MCU內(nèi)部短路等。

旋變（冗余和差異）

要取得轉(zhuǎn)子位置和轉(zhuǎn)速，需要給旋變激勵正弦信號，然后從旋變反饋的正余弦信號中提取所需信息。傳統(tǒng)的做法是用一片旋變芯片（如1210），完成解碼功能，CPU需要做的僅僅是定期去讀取轉(zhuǎn)速和位置信號，但這沒有冗余，不符合功能安全。

這里給的一種的方案是完全不用解碼芯片，CPU自己完成軟解碼。

CPU輸出PWM信號，通過硬件低通濾波和放大，形成旋變的正弦激勵信號。旋變的激勵和反饋的正余弦信號，均送給CPU的ADC引腳，軟件讀取后內(nèi)部進行解碼和鎖相，得到轉(zhuǎn)子位置和轉(zhuǎn)速，用于電機控制。

為了實現(xiàn)冗余和差異，模擬信號會送給ADC的不同轉(zhuǎn)換通道，由不同的AD轉(zhuǎn)換器實現(xiàn)轉(zhuǎn)換。同時模擬信號還會送至監(jiān)控芯片，用于評估信號完整性。