3. 电驱系统架构
电驱系统是新能源汽车动力域的核心执行链路，也是功能安全确认与验证中最复杂、最容易被“边界模糊”拖累的部分。要开展可靠的安全确认，第一步不是写测试用例，而是把系统架构中的安全角色与安全边界划清楚：谁负责感知、谁负责决策、谁负责执行、谁负责监控、谁在失效时承担降级或切断。只有边界清晰，危害分析、安全目标分配、诊断覆盖率评估和验证证据链才能闭环。
一、核心原理：从“功能链”到“安全链”
电驱系统的功能链通常表述为：整车控制器给出扭矩需求 → 电机控制器解析并生成PWM → 逆变器驱动电机 → 电机输出扭矩 → 传感器反馈转速/位置/电流/温度。功能安全视角下，这条链必须被重新组织为安全链：感知层提供可信状态，决策层进行扭矩安全监控，执行层具备可控关断能力，监控层独立于主功能路径进行交叉校验。
关键原则有三点：第一，安全目标必须落到可验证的边界接口，例如“避免非预期扭矩输出”要落到逆变器关断路径与扭矩监控模块；第二，安全机制不能与主功能共享同一失效源，例如位置传感器与备用估算不能共用同一供电或同一ADC通道；第三，执行器的可控性决定安全完整性上限，若逆变器无法在故障时可靠进入安全状态，上层再高的诊断覆盖率也无法补偿。
边界划分的核心问题：当发生“扭矩请求与输出不一致”时，是控制器判断错误、逆变器桥臂直通、位置传感器漂移，还是电机绕组短路？功能安全确认必须能通过接口信号与诊断记录定位到具体边界，而不是停留在“系统失效”的笼统结论。
二、各部件在功能安全中的角色与边界
| 部件 | 主要安全角色 | 典型安全机制 | 安全边界关注点 |
|---|---|---|---|
| 电机 | 扭矩输出执行终端，也是反电动势与热风险源 | 绕组温度监控、三相电流不平衡检测、绝缘监测 | 电机本体不可主动关断，安全状态依赖逆变器切断 |
| 逆变器 | 能量转换与主动关断执行器 | 桥臂直通保护、去饱和检测、主动短路/开路 | 关断路径的独立性与响应时间必须可验证 |
| 控制器 | 扭矩决策、监控与降级策略中枢 | 扭矩监控、双核锁步、看门狗、安全状态机 | 主功能与监控功能需满足独立性要求 |
| 位置/转速传感器 | 提供转子位置与转速可信输入 | 信号合理性检查、冗余估算、励磁诊断 | 失效可能导致扭矩方向错误或失控 |
| 电流/温度传感器 | 提供扭矩闭环与热保护依据 | 量程校验、交叉比较、开路短路诊断 | 漂移类失效难以即时发现，需长期监控 |
| 执行器（继电器/接触器） | 高压回路切断与安全隔离 | 触点粘连检测、驱动回读、双路切断 | 切断失败会直接破坏安全状态可达性 |
从表中可以看出，电机与逆变器构成“执行边界”，控制器构成“决策与监控边界”，传感器构成“感知边界”，接触器与继电器构成“隔离边界”。功能安全确认与验证的任务，就是针对每一条边界设计接口级验证：注入故障、观察诊断、确认安全状态、记录响应时间。
三、方法流程：从架构到验证的落地路径
基于上述边界，功能安全确认与验证可按以下流程推进：
- 定义系统边界与接口清单：明确电驱系统与整车、电池、制动等外部系统的接口信号，标注每个信号的安全相关性。
- 开展危害分析与风险评估：识别非预期扭矩、意外关断、高压暴露等危害，分配ASIL等级到具体部件边界。
- 设计安全机制并分配边界：确定每个安全机制由哪个部件实现、覆盖哪条失效路径、响应时间目标是多少。
- 制定验证用例：针对每条边界设计故障注入、接口一致性、时序与降级验证用例。
- 执行确认与证据归档：记录诊断触发、安全状态进入、恢复条件，形成可追溯的验证证据链。
实用建议：在项目早期就建立“边界-安全机制-验证用例”的映射表，避免后期出现“安全目标无人认领”或“诊断覆盖重复计算”的问题。边界清晰的项目，验证效率通常提升30%以上。
四、案例场景：位置传感器漂移导致的扭矩异常
某电驱系统在台架测试中出现低速抖动，主功能路径未报故障。排查发现位置传感器存在缓慢漂移，控制器基于错误位置计算扭矩，导致输出扭矩与请求偏差约8%。由于漂移未超出主功能诊断阈值，系统未进入降级。
复盘发现两个边界问题：第一，位置传感器的合理性检查仅依赖单一信号范围，未与转速估算进行交叉比较；第二，扭矩监控模块的阈值设置过宽，未覆盖低速小扭矩工况。改进措施包括：增加位置-转速交叉校验，将扭矩监控阈值按工况分区标定，并在安全状态机中增加“扭矩偏差持续超限”的降级路径。
故障注入用例示例：
注入类型：位置传感器信号偏移 +5°
注入位置：传感器输出接口
预期诊断：位置合理性检查触发
预期响应：扭矩监控进入降级，限制扭矩至安全值
验证指标：诊断响应时间 ≤ 100 ms
安全状态进入时间 ≤ 200 ms
残余扭矩 ≤ 5 N·m五、常见误区与复盘要点
- 误区一：把电机当作可主动关断的执行器。电机本体无法自行切断能量，安全状态必须依赖逆变器或接触器实现。
- 误区二：控制器与监控功能共用同一时钟或供电。这会破坏独立性，导致共因失效。
- 误区三：只验证主功能路径，忽略诊断路径。功能安全确认必须验证“故障发生时系统能否正确响应”，而非仅验证正常功能。
- 误区四：边界定义过粗，导致安全目标无法分配。建议将边界细化到接口信号级别，确保每条安全机制都有明确归属。
复盘提醒：当验证中发现“诊断未触发”或“安全状态未进入”时，优先检查边界定义是否遗漏了某个部件的失效模式，而不是直接调整诊断阈值。边界不清是功能安全确认中最隐蔽的系统性风险。
综上，电驱系统功能安全确认与验证的起点是架构边界，核心是角色分配，落脚点是接口级验证。只有把电机、逆变器、控制器、传感器与执行器的安全角色与边界逐一厘清，后续的危害分析、安全机制设计与测试验证才能形成真正可追溯、可复现的证据链。