1. 课程导入

在工业自动化、电梯、伺服驱动、机器人以及新能源汽车电驱等场景中，驱动器承担着将控制指令转换为功率输出的关键职责。一旦驱动器在故障状态下继续输出转矩或电压，就可能造成机械伤害、电气火灾或人员伤亡。因此，驱动器功能安全架构设计并不是“附加功能”，而是产品从需求、硬件、软件到验证全流程都必须内建的系统能力。本课程围绕功能安全在驱动器中的落地方法展开，帮助学习者建立从标准到架构、从架构到实现、从实现到验证的完整知识体系。

一、学习目标：从“知道标准”到“能设计架构”

本课程的学习目标分为四个层次。第一层是概念层，理解功能安全、安全完整性等级（SIL）、汽车安全完整性等级（ASIL）、安全状态、故障容错时间间隔等核心术语。第二层是方法层，掌握危害分析与风险评估、安全需求分解、安全机制设计、诊断覆盖率计算等基本方法。第三层是架构层，能够针对驱动器功率级、控制级、传感与通信链路，设计冗余、诊断、隔离与降级路径。第四层是验证层，能够规划安全验证与确认活动，并输出可追溯的安全案例。

二、核心概念：功能安全不是“零故障”，而是“可控失效”

功能安全的核心思想是：当随机硬件失效或系统性失效发生时，系统能够将风险降低到可接受水平。驱动器中的典型安全功能包括安全转矩关断（STO）、安全停止、安全限速、安全方向限制等。实现这些功能，需要区分几个关键概念：

• 安全功能：由电气、电子或可编程电子系统执行，用于将风险降至可接受水平的功能，例如 STO 在收到触发信号后切断功率级驱动。
• 安全状态：设备进入的、不会造成不可接受风险的状态，驱动器常见安全状态是“无转矩输出”或“安全限速运行”。
• 故障容错时间间隔：从故障发生到安全状态被达到所允许的最长时间，架构设计必须保证诊断与响应在该时间内完成。
• 诊断覆盖率：安全机制能够检测到的故障比例，直接影响硬件架构度量和随机失效概率。
• 安全完整性等级：衡量安全功能可信度的离散等级，IEC 61508 使用 SIL1~SIL4，ISO 26262 使用 ASIL A~D。

这些概念之间不是孤立的，而是通过“风险—需求—机制—验证”的链条相互约束。理解这条链条，是后续架构设计的前提。

三、整体框架：驱动器功能安全架构的四层结构

驱动器功能安全架构可以抽象为四层：感知层、控制层、功率层与安全监控层。感知层包括电流、电压、温度、位置传感器；控制层包括主控 MCU、安全逻辑与通信接口；功率层包括栅极驱动、IGBT/MOSFET 功率模块；安全监控层则独立或半独立地执行诊断、比较与关断。下图展示了这四层之间的信号流与安全机制关系。

从图中可以看出，安全监控层并不直接参与正常控制，而是在异常时通过独立路径触发安全状态。这种“控制与安全分离”的思想，是驱动器功能安全架构设计的基本原则之一。

四、方法流程：从风险分析到架构落地的五步法

驱动器功能安全设计通常遵循以下流程：

1. 定义项目与边界：明确驱动器类型、功率范围、应用场景、可接受风险水平以及适用的标准（IEC 61508、ISO 13849、ISO 26262 等）。
2. 危害分析与风险评估：识别危险事件，评估严重度、暴露率与可控性，确定所需的安全完整性等级。
3. 安全需求分解：将顶层安全目标分解为硬件安全需求与软件安全需求，并分配到具体模块。
4. 架构设计与安全机制实现：选择冗余、诊断、隔离、比较等机制，确定安全状态与故障响应时间。
5. 验证与确认：通过 FMEDA、故障注入、安全测试与安全案例，证明安全需求被满足。

五、案例场景：STO 功能在驱动器中的架构映射

以安全转矩关断（STO）为例，其安全目标是“在触发后规定时间内切断功率级输出，使电机不再产生转矩”。在架构上，STO 通常包含双通道输入、安全继电器或安全逻辑器件、栅极驱动使能控制以及反馈诊断。若单通道失效，另一通道仍能切断输出；若诊断发现通道不一致，系统进入故障锁存状态。这个案例说明，功能安全架构必须同时考虑“正常触发路径”和“故障检测路径”。

六、课程路线图与常见误区

本课程共 30 章，整体路线为：标准与概念 → 风险分析与需求 → 硬件架构与诊断 → 软件安全机制 → 通信与电源安全 → 验证与安全案例。下表给出前六章的学习重点，帮助学习者建立整体节奏。