电驱系统基础：架构、关键零部件与系统边界
做功能安全，第一件事是什么？我个人习惯，不是急着翻标准，而是先把系统吃透。你连系统长什么样、每个零件干什么、边界在哪都不知道，后面的HAZOP和FMEA根本没法做。
这一章，我们就来把电驱系统的底裤扒干净。我会结合自己踩过的坑，把架构、零部件功能和边界定义讲明白。
电驱系统架构：三合一到底合了啥？
现在市面上主流的新能源车，电驱系统基本都是“三合一”集成方案。说白了，就是把电机、逆变器、减速器这三个东西塞进一个壳子里。
为什么要这么干？
- 体积小：省空间，给电池和乘客舱腾地方。
- 重量轻：壳体共用，连接件减少。
- 效率高：三相高压线缆变短，损耗降低。
- 成本低：少了很多接插件和密封件。
但集成也有代价。我在一个项目里就遇到过，三合一之后，电机的高频振动直接通过壳体传到了逆变器的控制板，导致CAN通信偶尔丢帧。嗯，这就是集成带来的EMC和NVH新问题。
下面这张图，是我常用的电驱系统功能架构图，你一看就明白。
关键零部件功能拆解
搞功能安全，你得知道每个零件应该干什么，才能判断它干错了会出什么事。下面我一个个说。
1. 电机：把电变成转
现在乘用车99%用的是永磁同步电机。为什么？效率高、功率密度大。我做过一个对比，同样体积下，永磁同步比异步电机效率高3~5个百分点，别小看这点，跑WLTC循环能省不少电。
电机核心部件：
- 定子：三相绕组，通入交流电产生旋转磁场。
- 转子：嵌有永磁体，跟着磁场转。
- 旋变传感器：检测转子位置，这个信号丢了，电机就失控了。
- 温度传感器：通常埋在绕组里，过热了要降功率。
2. 逆变器：直流变交流，还要变频率
逆变器就是电驱系统的“大脑”和“肌肉”。它把电池的直流电，变成频率和电压都可调的三相交流电，来控制电机转速和扭矩。
逆变器内部主要模块：
| 模块 | 功能 | 功能安全关注点 |
|---|---|---|
| 功率模块 | IGBT或SiC MOSFET，负责开关动作 | 短路失效、开路失效、栅极驱动异常 |
| 驱动板 | 放大控制信号，驱动功率管 | 欠压、过流、死区时间错误 |
| 控制板 | 运行FOC算法，生成PWM波 | 软件跑飞、看门狗失效、内存错误 |
| 电流传感器 | 检测相电流，用于闭环控制 | 偏置漂移、增益错误、断线 |
| 母线电容 | 滤波、储能 | 电容老化、漏液、容量下降 |
你想想看，如果电流传感器坏了，控制器以为电流很小，拼命加大PWM占空比，结果实际电流已经爆表了。这就是典型的危险失效。
3. 减速器：降速增扭
电机转速动不动一万多转，但车轮不需要那么快。减速器的作用就是把转速降下来，同时把扭矩放大。
减速器里就两样东西：齿轮组和差速器。齿轮组负责减速，差速器负责让左右轮转速不一样，方便转弯。
从功能安全角度看，减速器相对简单，主要是机械故障：
- 齿轮断齿 → 动力中断
- 轴承卡死 → 车轮抱死
- 润滑油泄漏 → 过热烧毁
系统边界定义：你的安全分析从哪开始，到哪结束？
做危害分析前，必须把边界画清楚。边界不清，后面全是糊涂账。
我一般把电驱系统的边界分成三层：
- 物理边界：电驱总成的壳体接口。高压输入接口、三相输出接口、冷却液接口、CAN通信接口、低压供电接口。这些接口之外的东西，不属于电驱系统。
- 功能边界：电驱系统负责“把电能转化为机械能，并按扭矩请求输出”。它不负责刹车、不负责转向、不负责电池管理。这些是其他系统的活。
- 安全边界：电驱系统不能输出非预期的扭矩，不能在没有请求时输出扭矩，不能在需要输出扭矩时丢失扭矩。这是功能安全的核心要求。
举个例子：
VCU（整车控制器）通过CAN总线发一个扭矩请求给电驱系统。电驱系统收到后，执行并反馈实际扭矩。
如果CAN总线因为电磁干扰丢了一帧数据，电驱系统没收到请求，它应该怎么做？
—— 按照功能安全的要求，它必须进入安全状态，比如降功率或关断输出，而不是保持上一个扭矩值继续跑。
这就是通信边界上的安全机制。
边界定义清楚了，你才能知道：哪些失效是电驱系统自己的问题，哪些是外部接口的问题。这样后面的FMEA和FTA才不会跑偏。
嗯，这一章的内容就这些。记住三件事：架构长什么样、每个零件干什么、边界在哪。这是后面所有安全分析的基础。