📚 课程目录第2章功能安全基础

2. 功能安全基础

做电驱系统安全机制开发，第一件事不是写代码，而是搞清楚你面对的系统到底长什么样、会怎么坏。我见过不少团队一上来就对着MCU寄存器猛写诊断，结果连逆变器拓扑都没画对——这种开发，安全机制大概率是漏的。

这一章，我们聚焦三个核心：永磁同步电机的控制原理、逆变器拓扑、以及典型故障模式。说白了，就是先搞懂系统怎么正常跑，再摸清它可能怎么死。

2.1 永磁同步电机控制原理

永磁同步电机（PMSM）现在是电驱系统的主流。为什么？效率高、功率密度大、控制精度好。但它的控制也比异步电机复杂——转子是永磁体，没有滑差，你必须精确知道转子位置才能控制转矩。

控制的核心是矢量控制（FOC）。我习惯把它拆成三步：

电流采样：采集三相电流 i_a、i_b、i_c。
坐标变换：通过 Clarke 变换和 Park 变换，把三相静止坐标系下的电流，转到 d-q 旋转坐标系下。d 轴对应励磁分量，q 轴对应转矩分量。
PI 调节 + 逆变换：在 d-q 坐标系下做闭环控制，输出 v_d* 和 v_q*，再经过逆 Park 变换和 SVPWM 调制，生成六路 PWM 波驱动逆变器。

这里面有个关键点：Park 变换需要转子位置角 θ。这个角度来自旋变或编码器。如果角度不准，转矩控制就偏了。我在项目中遇到过一台车低速抖动，查了两天，最后发现是旋变零位偏了 3°——就这么点误差，低速时转矩波动大到没法开。

核心公式（简化版）：

转矩方程：T<sub>e</sub> = 1.5 × p × [ψ<sub>f</sub> × i<sub>q</sub> + (L<sub>d</sub> - L<sub>q</sub>) × i<sub>d</sub> × i<sub>q</sub>]

对于表贴式 PMSM，L_d ≈ L_q，转矩只与 i_q 成正比。所以控制 i_q 就是控制转矩，简单直接。

2.2 逆变器拓扑

逆变器把电池的直流电转成交流电，驱动电机。目前乘用车电驱系统几乎清一色用三相两电平电压型逆变器。拓扑结构如下：

六个 IGBT（绝缘栅双极型晶体管），每相一个上管一个下管。
每个 IGBT 反并联一个续流二极管。
直流母线侧有支撑电容，用来稳压和吸收纹波。

控制方式就是 SVPWM。我建议你记住一个原则：同一相的上管和下管绝对不能同时导通，否则就是直通短路，瞬间炸管。这个在安全机制里叫“直通保护”，硬件和软件都要做。

我的习惯：在软件里，每次更新 PWM 占空比之前，先做一次“死区插入”检查。死区时间一般设 1~3 μs，确保上下管切换时有足够的安全间隔。别小看这几微秒，少了它，IGBT 的寿命会明显缩短。

下面这张图是我画的逆变器拓扑与故障点示意，你可以对照着看：

2.3 典型故障模式

故障模式分析是功能安全的基础。ISO 26262 要求我们识别每一个相关故障，并评估其严重度、暴露率和可控性。下面我挑三个最常见的故障展开讲。

2.3.1 IGBT 短路故障

IGBT 短路是最危险的故障之一。一旦发生，电流会在几微秒内飙升到数千安培。如果不及时处理，模块会直接炸裂。

故障原因：

过压击穿（母线电压尖峰）
过温导致热失控
驱动信号错误（上下管直通）

安全机制：

硬件去饱和检测（Desat）：检测 IGBT 导通时的压降 V_CE(sat)，如果异常升高，说明 IGBT 处于饱和区外，可能已短路。硬件在 2~5 μs 内关断。
软件过流保护：通过电流传感器采样，一旦超过阈值，软件立即封锁 PWM 输出。

注意：硬件 Desat 保护的速度远快于软件。我建议两者都做，硬件负责“救火”，软件负责“善后”——记录故障码、进入安全状态、通知整车控制器。

2.3.2 IGBT 开路故障

开路故障不像短路那么剧烈，但同样危险。它会导致电机缺相运行，转矩脉动增大，系统效率下降，长期运行可能损坏电机轴承。

故障原因：

键合线断裂（热循环疲劳）
驱动电源失效
控制信号丢失

安全机制：

相电流监测：正常运行时三相电流对称。如果某一相电流始终为零或明显偏小，说明该相可能开路。
转矩估算对比：用电流估算的转矩与指令转矩对比，偏差超过阈值则报警。

我曾经处理过一个案例：某车型在耐久测试中频繁报“转矩偏差超限”，查了很久才发现是 IGBT 键合线出现了间歇性开路。温度一高，焊点膨胀，接触变差；温度降下来又恢复正常。这种间歇性故障最难抓，最后我们在软件里加了“故障计数器”，连续出现 3 次才确认故障，避免了误报。

2.3.3 旋变故障

旋变是 PMSM 控制的眼睛。没有准确的转子位置，FOC 就是盲人摸象。旋变故障通常表现为：

信号丢失：励磁或正余弦信号线断路
信号偏移：零位偏移或幅值不平衡
电气噪声：信号被干扰，角度跳变

安全机制：

信号幅值监测：正常时 sin 和 cos 信号的幅值应在一定范围内。如果幅值过低或过高，说明旋变或线路有问题。
正交性检查：sin² + cos² 应恒等于 1（归一化后）。如果偏离，说明信号质量下降。
角度合理性检查：电机转速变化是连续的，角度跳变超过阈值则报错。

避坑指南：我曾经在项目里遇到过旋变信号受逆变器开关噪声干扰，导致角度偶尔跳变 10° 以上。后来我们在旋变采样时刻做了“窗口同步”——只在 IGBT 关断瞬间采样，避开开关噪声最大的时刻。效果立竿见影。

2.3.4 电流传感器漂移

电流传感器是 FOC 的另一个关键输入。如果采样不准，转矩控制就会偏。漂移故障通常表现为：

零点漂移：无电流时传感器输出不为零
增益漂移：实际电流与采样值成比例偏差
饱和：电流超过传感器量程，输出钳位

安全机制：

零点校准：系统上电时，电机静止，此时三相电流应为零。采样值即为零点偏移，软件自动扣除。
三相电流和检查：正常情况下 i_a + i_b + i_c = 0。如果和不为零，说明至少有一个传感器漂移。
交叉验证：用直流母线电流与三相电流重构值对比，偏差过大则报警。

我建议零点校准在每次上电时都做一次，并且运行过程中每隔一段时间做一次“在线校准”——在零转矩指令时，再次检查零点是否偏移。温度变化是漂移的主要诱因，在线校准能有效补偿。

2.4 故障模型总结

下面这张表是我做安全分析时常用的故障模型清单，你可以直接拿来用：

故障类型	影响	检测方法	响应时间要求
IGBT 短路	过流、炸管	Desat 硬件检测	< 5 μs
IGBT 开路	缺相、转矩脉动	相电流监测	< 10 ms
旋变信号丢失	失控、飞车	幅值监测	< 1 ms
电流传感器漂移	转矩偏差	三相和检查	< 100 ms

搞清楚了这些故障模型，下一步才能设计出有针对性的安全机制。记住一句话：没有故障模型的安全机制，就是空中楼阁。你连系统会怎么坏都不知道，怎么保护它？