純電動(dòng)或混動(dòng)動(dòng)力汽車上的電機(jī)控制器MCU（Motor Control Unit），其主要功能就是將電池的高壓直流電，轉(zhuǎn)換為交流電，來(lái)驅(qū)動(dòng)電機(jī)運(yùn)行。作為電動(dòng)汽車傳動(dòng)鏈上的重要一環(huán)，如果MCU失效，直接威脅到人員的生命安全。這就是所謂的功能安全問(wèn)題，國(guó)際上也有相關(guān)的ISO 26262標(biāo)準(zhǔn)，國(guó)內(nèi)對(duì)應(yīng)的是GBT 34590。

現(xiàn)在功能安全話題很熱門，出門交流不談功能安全，就顯得自己外行一樣。那什么是功能安全？用人話解釋就是，電子器件組成的MCU，在工作過(guò)程中，如果任何軟硬件出了問(wèn)題，產(chǎn)生的后果都不應(yīng)該威脅到人身安全。

如上圖所示，MCU的主要作用就是用矢量控制驅(qū)動(dòng)電機(jī)運(yùn)行，要實(shí)現(xiàn)矢量控制就要檢測(cè)電機(jī)電流、電池電壓和電機(jī)轉(zhuǎn)子位置等信號(hào)。另外MCU通過(guò)CAN通訊來(lái)接收VCU的指令、反饋本身的運(yùn)行狀態(tài)。

通常硬件設(shè)計(jì)和功能安全相關(guān)的目標(biāo)有兩個(gè)：

1、降低隨機(jī)失效（器件老化）和系統(tǒng)失效（人為設(shè)計(jì)）；

2、如果出現(xiàn)隨機(jī)失效后，系統(tǒng)能達(dá)到安全狀態(tài)，同時(shí)盡量消除系統(tǒng)失效。

可以這樣簡(jiǎn)便但不嚴(yán)謹(jǐn)?shù)膩?lái)區(qū)分隨機(jī)失效和系統(tǒng)失效，隨機(jī)失效就是找不到根本原因的、不可復(fù)現(xiàn)的，系統(tǒng)失效是能復(fù)現(xiàn)的、能找到根本原因的。

降低隨機(jī)失效通常的原則是監(jiān)控、冗余、分散、診斷等。

消除系統(tǒng)失效通常的原則是跟蹤設(shè)計(jì)需求、模塊化設(shè)計(jì)等，主要是加強(qiáng)設(shè)計(jì)流程的管理。

安全狀態(tài)

MCU如果失效后，希望其能進(jìn)入一種安全的狀態(tài)，在安全狀態(tài)下，MCU不會(huì)損壞，同時(shí)電機(jī)不會(huì)產(chǎn)生非預(yù)期的轉(zhuǎn)矩。

電動(dòng)汽車上MCU控制的電機(jī)通常是永磁電機(jī)，永磁電機(jī)是感性負(fù)載，而且高速下有危險(xiǎn)的反電動(dòng)勢(shì)存在，所以MCU故障后，并不能僅僅通過(guò)IGBT開(kāi)路來(lái)達(dá)到安全的狀態(tài)。常用的安全狀態(tài)有如下兩種：

a. 主動(dòng)短路ASC（Active short circuit）

通過(guò)同時(shí)開(kāi)通三相橋的全部上管或全部下管，將電機(jī)的三相繞組短路。電機(jī)短路后，反電動(dòng)勢(shì)不會(huì)影響MCU的直流端，高壓安全。但電機(jī)會(huì)有短路電流，通常情況下該電流不會(huì)超過(guò)電機(jī)的峰值電流，短時(shí)間不會(huì)影響電機(jī)和MCU的發(fā)熱。電機(jī)有了電流，會(huì)產(chǎn)生一定的制動(dòng)轉(zhuǎn)矩。另外，如何短路也有一定的學(xué)問(wèn)，要避免產(chǎn)生過(guò)高的瞬態(tài)短路電流。

b. 續(xù)流Freewheeling

也即三相橋的六個(gè)管子均關(guān)閉，電機(jī)通過(guò)反并聯(lián)二極管將自身的能量輸送到直流端，相當(dāng)于三相不控整流。直流電壓值和電機(jī)反電動(dòng)勢(shì)1.414倍關(guān)系。為了人身安全，只能在低轉(zhuǎn)速下才能進(jìn)入該安全狀態(tài)，否則整流的高壓也很危險(xiǎn)。

故障監(jiān)控和問(wèn)詢式開(kāi)門狗

對(duì)于如MCU之類重要的應(yīng)用，故障監(jiān)控（過(guò)壓、欠壓、復(fù)位等）需要獨(dú)立于主CPU做冗余，也即在主CPU之外，多一個(gè)CPU做故障的冗余監(jiān)控?，F(xiàn)在很多芯片廠家都有多核的控制芯片，主芯片用于實(shí)現(xiàn)基本的控制功能和保護(hù)功能，副芯片用于做冗余監(jiān)控。

這里介紹一種用CPLD做冗余監(jiān)控的案例。CPLD會(huì)監(jiān)控驅(qū)動(dòng)芯片產(chǎn)生的IGBT過(guò)壓、過(guò)流，同時(shí)監(jiān)控控制弱電的電壓故障，若故障發(fā)生，則快速的封鎖PWM信號(hào)，保護(hù)IGBT。同時(shí)它還定時(shí)查崗，通過(guò)SPI通訊的方式發(fā)送暗號(hào)，查看電源管理芯片和主CPU是否在工作狀態(tài)，如果發(fā)現(xiàn)有人不在崗，立即拉響警報(bào)，走綠色獨(dú)立通道，短路或開(kāi)路PWM的方式，讓MCU快速進(jìn)入ASC或Freewheeling安全狀態(tài)。

電流傳感器（冗余和差異）

電機(jī)控制需要知道電機(jī)電流值，理想情況下，三相電流之和為0，只要知道其中兩相電流，就可以計(jì)算出第三相電流。所以從低成本設(shè)計(jì)的思路，用兩個(gè)電流傳感器就夠了。

Ia+Ib+Ic=0

如果用兩個(gè)傳感器，就會(huì)帶來(lái)某種失效情況下，過(guò)流檢測(cè)不到。比如我們只用兩個(gè)傳感器檢測(cè)A和B相電流，然后B相傳感器壞了，同時(shí)B相和C相短路，BC間流過(guò)大電流，現(xiàn)在MCU能準(zhǔn)確知道的僅僅A相電流值，而且還是正常的，根本不能檢測(cè)到過(guò)流故障。所以從冗余的角度，需要采用三個(gè)電流傳感器（安全需要付出代價(jià)）。

另外，三個(gè)傳感器不能采用同一個(gè)廠家的，因?yàn)橥粋€(gè)廠家的產(chǎn)品設(shè)計(jì)參數(shù)都是一樣的，有可能因?yàn)橥粋€(gè)原因失效（共因失效），比如EMI。所以通常將其中一個(gè)傳感器選擇第二供應(yīng)商的產(chǎn)品。這樣通過(guò)差異，降低了共因失效的風(fēng)險(xiǎn)。

MCU可以用三級(jí)來(lái)實(shí)現(xiàn)過(guò)流保護(hù)，分別應(yīng)對(duì)不同的場(chǎng)景。

1、通過(guò)CPU的定時(shí)ADC采集。該采樣頻率較低，通常為百us級(jí)，只能通過(guò)軟件判斷，應(yīng)對(duì)一些電機(jī)過(guò)載。

2、通過(guò)硬件的運(yùn)放比較。電流傳感器的值通過(guò)和某一閾值電平比較，輸出硬件過(guò)流信號(hào)，再由CPLD處理。通常響應(yīng)速率為十幾u(yù)s級(jí)，能應(yīng)對(duì)一些接地短路故障。

3、驅(qū)動(dòng)級(jí)。通過(guò)驅(qū)動(dòng)芯片，監(jiān)控IGBT的Vce電壓，實(shí)現(xiàn)過(guò)流保護(hù)。通常響應(yīng)速率為ns至us級(jí)，能應(yīng)對(duì)IGBT驅(qū)動(dòng)故障、MCU內(nèi)部短路等。

旋變（冗余和差異）

要取得轉(zhuǎn)子位置和轉(zhuǎn)速，需要給旋變激勵(lì)正弦信號(hào)，然后從旋變反饋的正余弦信號(hào)中提取所需信息。傳統(tǒng)的做法是用一片旋變芯片（如1210），完成解碼功能，CPU需要做的僅僅是定期去讀取轉(zhuǎn)速和位置信號(hào)，但這沒(méi)有冗余，不符合功能安全。

這里給的一種的方案是完全不用解碼芯片，CPU自己完成軟解碼。

CPU輸出PWM信號(hào)，通過(guò)硬件低通濾波和放大，形成旋變的正弦激勵(lì)信號(hào)。旋變的激勵(lì)和反饋的正余弦信號(hào)，均送給CPU的ADC引腳，軟件讀取后內(nèi)部進(jìn)行解碼和鎖相，得到轉(zhuǎn)子位置和轉(zhuǎn)速，用于電機(jī)控制。

為了實(shí)現(xiàn)冗余和差異，模擬信號(hào)會(huì)送給ADC的不同轉(zhuǎn)換通道，由不同的AD轉(zhuǎn)換器實(shí)現(xiàn)轉(zhuǎn)換。同時(shí)模擬信號(hào)還會(huì)送至監(jiān)控芯片，用于評(píng)估信號(hào)完整性。