2. 功能安全基础

好，咱们进入第二章。电驱系统长什么样？说白了，就是三个盒子加一堆线。但搞功能安全的人，不能只看盒子，得看盒子之间怎么传信号、传能量、传风险。

我个人习惯，拿到一个电驱项目，先画一张系统框图。不是为了好看，是为了把安全相关的“边界”找出来。你想想看，功能安全分析的第一步，不就是搞清楚“什么东西在跟什么东西交互”吗？

2.1 电驱系统的三大核心组成

电驱系统没那么玄乎。拆开来看，就三个部分：电机、逆变器、控制器。我见过不少新人，一上来就盯着电机看，忽略了控制器和逆变器之间的“暗流涌动”。

组件	核心功能	安全相关特征
电机（Motor）	电能→机械能	旋变/编码器信号、温度、过速
逆变器（Inverter）	直流→交流，控制转矩	IGBT/SiC 短路、过流、母线电压
控制器（Controller）	逻辑运算、策略下发	软件跑飞、看门狗、通信超时

2.2 典型拓扑结构：不只是“串起来”

电驱系统的拓扑，我把它分成三类。你在项目里大概率都会遇到。

2.2.1 集中式拓扑（Centralized）

控制器和逆变器集成在一个盒子里。优点是省空间、省线束。缺点嘛……散热和EMC是老大难。我记得有一次做项目，控制器和逆变器靠得太近，IGBT开关噪声直接灌进了控制器的ADC采样通道，导致旋变信号跳变。排查了整整三天。

2.2.2 分布式拓扑（Distributed）

控制器和逆变器分开，中间用高速通信（比如CAN FD或Ethernet）连接。这种结构在功能安全上有个好处：物理隔离。控制器失效了，逆变器还能靠硬件看门狗进入安全状态。但代价是通信延迟和故障注入分析更复杂。

2.2.3 集成式拓扑（Integrated）

电机、逆变器、控制器全部集成在一个壳体内。多见于混合动力或小型电驱。嗯，这里要注意：集成度越高，故障传播路径越短，但诊断覆盖率的要求也越高。你没法单独拆开测，只能靠系统级测试。

2.3 安全相关接口：信号流里的“雷区”

接口，是功能安全分析的重灾区。我常说一句话：“故障不在器件里，在接口上。” 什么意思？器件本身可能很可靠，但信号在传输过程中被干扰、被延迟、被篡改，这才是安全问题的根源。

2.3.1 传感器接口

• 旋变/编码器： 位置信号丢失或跳变，会导致转矩方向错误。我曾经遇到一个案例，旋变励磁信号被逆变器PWM耦合干扰，导致位置偏差5度，电机直接反转。后来我们在励磁线上加了共模扼流圈才解决。
• 电流传感器： 霍尔或分流电阻。偏移或增益误差会导致转矩控制不准。ISO 26262要求对电流传感器做在线诊断，比如注入测试电流或互相校验。
• 温度传感器： NTC或PTC。开路或短路会导致过温保护失效。我建议在软件里做合理性检查，比如温度变化率超过某个阈值就报错。

2.3.2 功率接口

• 直流母线： 电压过高会击穿IGBT，过低会导致欠压保护。需要硬件比较器和软件监控双重保护。
• 三相输出： 相间短路、对地短路、缺相。这些故障的检测时间窗口很关键。我记得有个项目要求10微秒内检测到短路并关断，我们用了硬件desaturation检测才满足。

2.3.3 通信接口

• CAN/CAN FD： 位错误、CRC错误、超时。ISO 26262要求通信协议有安全机制，比如E2E保护。
• SPI： 用于控制器和逆变器驱动芯片之间的通信。我曾经踩过一个坑：SPI时钟线被干扰，导致驱动芯片配置寄存器被意外改写，死区时间变成0，上下管直通。从那以后，我坚持在SPI通信中加入CRC和回读校验。

2.4 接口安全机制速查表

接口类型	典型故障	推荐安全机制	ASIL等级参考
旋变接口	信号丢失、幅值异常	励磁监控、正交校验	ASIL C/D
电流传感器	偏移、增益漂移	在线自检、互相比较	ASIL C/D
直流母线电压	过压、欠压	硬件比较器 + 软件监控	ASIL B/C
三相输出	短路、断路	Desaturation检测、相电流重构	ASIL D
CAN通信	超时、数据损坏	E2E保护、心跳监控	ASIL B/C
SPI通信	位翻转、寄存器篡改	CRC、回读、看门狗	ASIL C/D