📚 课程目录第4章危害分析与风险评估

4. 危害分析与风险评估

好，咱们进入第四章。电驱系统，说白了就是电动汽车的“心脏”。搞功能安全，你首先得知道这颗心脏长什么样，哪些地方容易出问题。

我个人习惯，拿到一个新项目，第一件事不是看代码，而是先把系统架构图画出来。你得知道电机、逆变器、控制器、减速器这些家伙是怎么连在一起的，它们之间传递什么信号，一旦某个环节失效，会引发什么后果。

这一章，我就带你把这些核心部件拆开看看，再聊聊高压安全、电磁兼容和热管理这几个绕不开的话题。

一个典型的电驱系统，主要由四个部分构成。我画了一张图，你可以直观地看到它们的关系。

这张图你一定要记住。它不仅是能量流，更是失效传播的路径。

电机负责把电能转换成机械能。目前主流是永磁同步电机。为什么？效率高、功率密度大。

但永磁体有个麻烦——反电动势。我记得有一次做台架测试，逆变器断电后，电机还在转，结果高压母线电压被反电动势拉到 800V 以上，差点把电容击穿。所以，主动短路功能在功能安全里是标配。

逆变器把电池的直流电变成三相交流电，驱动电机。核心是 IGBT 或 SiC 模块。

逆变器最怕什么？直通短路。上下桥臂同时导通，瞬间电流能把模块炸飞。我见过一次，IGBT 模块直接裂开，冷却液喷了一地。所以，死区时间和故障检测是安全机制的重点。

控制器是大脑。它接收扭矩请求，计算电流指令，输出 PWM 波。

这里有个关键点：控制器失效可能导致非预期加速。你想想看，如果扭矩监控模块挂了，驾驶员踩刹车，电机却在加速，后果不堪设想。所以，ASIL C/D 级别的控制器，必须做双核锁步或软件多样性。

减速器把电机的高转速降下来，放大扭矩。它是个纯机械部件，但也不能忽视。

减速器失效，比如齿轮断裂，会导致车轮抱死或动力中断。虽然机械部件失效率低，但一旦发生，后果严重。我建议在安全分析时，至少给它分配 ASIL B 的要求。

高压安全是电驱系统的红线。电压超过 60V DC 就是高压，电驱系统通常都在 400V 甚至 800V。

⚠️ 高压安全核心原则：

高压安全设计，说白了就是防止人触电。你想想看，维修技师在操作时，如果高压没放完，那就是人命关天的事。

电驱系统是个巨大的电磁干扰源。逆变器开关频率通常在 10kHz 左右，开关瞬间的 dv/dt 和 di/dt 非常高。

干扰类型	来源	影响对象	典型抑制措施
传导发射	逆变器开关噪声	低压电池、CAN 总线	共模扼流圈、Y 电容
辐射发射	高压线缆、电机绕组	收音机、遥控钥匙	屏蔽线缆、金属壳体
静电放电	人体接触	控制器接口	TVS 管、接地设计

我个人习惯，在 PCB 布局阶段就把 EMC 考虑进去。比如，高压和低压区域要物理隔离，驱动信号要包地。等产品做出来再去整改，成本至少翻 3 倍。

电驱系统的效率再高，也有 5%~10% 的能量变成热量。这些热量如果不及时带走，温度会迅速上升。

  🔥 热管理的关键目标：
  电机：绕组温度不超过 180°C（取决于绝缘等级），永磁体不超过 150°C（否则退磁）。
逆变器：IGBT 结温不超过 150°C（硅基）或 175°C（SiC）。
减速器：油温不超过 120°C，防止油封老化。

热管理失效，最直接的后果就是降功率。你想想看，高速上跑着跑着，系统告诉你“我太热了，只能输出 50% 功率”，那是什么体验？

我曾经遇到一个案例，电机温度传感器失效，导致系统一直以为温度正常，结果绕组绝缘烧穿，电机直接报废。从那以后，我坚持温度传感器必须冗余，至少两个，交叉校验。

💡 我的经验： 热管理设计时，别忘了考虑最坏工况。比如，夏天 40°C 环境温度，连续爬坡 20 分钟，这时候冷却系统能不能扛住？别只看额定点，要看极限点。

好了，这一章的内容就是这些。电驱系统的架构和安全特性，是后续所有安全分析的基础。你把这些搞清楚了，后面讲 FMEA、FTA 的时候，你才能知道该分析什么。