作者：Gerhard Wenderlein，汽车系统应用工程师，德州仪器(TI)

引言

相比于采用燃烧发动机的传统驱动机构，电气驱动机构在许多方面都要更胜一筹。电动马达具有较高的效率以及更优越的转矩和性能。电气驱动机构的机械设计大为简化，同时消除了不良的噪声与污染排放。尽管如今的电能储存系统限制了汽车的行驶里程，但通过采用智能电池管理和混合动力原理（即：把电动马达与燃烧发动机组合起来使用）可帮助缓解这一不足。此外，某些系统故障还会给乘客带来危险并损坏汽车的电气组件，因此必须将 ISO 26262 标准中的汽车安全性要求考虑在内。本文说明了所用电机的类型、用于电动机控制的电子控制器以及有关微控制器的最终特定要求。凭借 Hercules™ TMS570LS 安全微控制器系列，德州仪器可为您提供拥有适合在电机控制器中使用所需特性的控制器。

电动汽车所处的开发阶段各不相同，包括了简单的起/停系统 → 适度混合动力（由电动马达为燃烧发动机提供转矩支持）→ 全电动汽车。在全电动汽车中，有并行架构与串行架构之分。在并行架构中，燃烧发动机或电动马达均可直接为汽车提供动力。串行架构（也被称为“增程器”）则可完全依靠电能来驱动汽车。当电池需要重新充电时，将接通一个小型燃烧发动机。

电动马达有时采用开关磁阻电机和三相异步电机，但应用范围最广的则是永磁同步电机 (PMSM)，原因是其具有高效率、高功率密度和高转矩（即使在低速条件下也不例外）。同步电机以同步的转子和定子频率速度运行。

视汽车种类的不同，其驱动方式可以有下面几种：采用单个电动马达、在每个车轴上悬挂一个电动马达或者在每个车轮上连带一个电动马达（就像在轮毂电机中那样）。所有这些系统皆已在当今的电动汽车或样车中得以实现。当在再生模式中制动时，动能被转换为电能并存储于电池之中（再生制动）。在此模式中，驱动机构的电动马达用作发电机。

电源逆变器和电气控制单元

适度混合动力汽车中的高电压电池具有约 40V 至 150V 的电压范围；在全电动汽车中，电池电压范围为几百伏。所采用的脉冲逆变器（DC/AC 逆变器）通常具有一个带 MOSFET 的 B6 桥接配置，用作针对高达约 120V 之电压范围的电子电路断路器。在更高的电压条件下，则使用具有尽可能低的通态电阻和低开关损耗的绝缘栅双极性晶体管 (IGBT)。电机控制器的主要组成部分包括：数字微控制器、用于调节和监视电机和电力电子线路的组件、以及负责处理传感器信号、通信和电源的模块。

测量相位电流

如需调整电机的转矩，微控制器就必需获取每个控制周期中电机相位电流的即时信息。在高转矩条件下，有可能出现几百安培的相位电流。为此，在初级电路（强电流电路）和次级电路（电子电路）之间采用了具有电流隔离功能的电流变压器。这些转换器基于霍尔效应，且通常在次级侧上提供一个与将要测量的电流成比例的输出电压。霍尔效应电流转换器的优势在于其可放置在信号电缆的外部，因此不会干扰信号（无接触）。如果采用串行测量并联电阻器替代方案，将会出现阻性损耗和过热状况，这对于测量高电流是很成问题的，而这些霍尔效应电流转换器则不会产生此类不良影响，甚至还能够承受初级电缆中的超高电流。

隔离

由于逆变器中的电流和电压远远高于微控制器控制单元中的电流和电压，因此在这些组件之间的所有接口上都必需采用隔离，以避免控制单元遭受故障或误动作的损坏。德州仪器提供了符合汽车应用要求的数字隔离器系列 ISO72xx，该系列具有低功耗及高达 250 Mbps 的时钟速度。这些模块采用容性电流隔离，其在时钟速度、可靠性、ESD 保护和 EMC 状态等方面均表现出极佳的特性，完全可与光隔离或磁隔离相媲美。

微控制器

凭借 Hercules™ TMS570LS 安全微控制器系列，德州仪器提供了目前应用于汽车领域中复杂和安全关键型系统的微控制器。由于这些微控制器专门设计用于满足（并已被认为适用于）IEC 61508 标准的安全完整性等级 3 (SIL3)，因此可帮助安全关键型应用的开发。下面，我们将就 Hercules TMS570LS 安全微控制器系列适用于电动汽车驱动控制的功能与安全特性，着重地做更为详细的阐述。

用于控制旋转磁场电机的磁场定向原理是当今最新的电机控制技术。通信网络、在线安全和诊断功能、标准化软件架构（即：AUTOSAR）以及磁场定向控制例程会导致对于微控制器处理能力和存储器的高要求。运行速度较快的微控制器通常可提供较高的功能密度 (function density)，而且尤其适合改善电机驱动器的动态特性与控制效率，因为可实现较短的控制环路时间。

为了应对处理负荷的增加，Hercules TMS570LS 安全微控制器系列提供了 32 位 ARM® Cortex™-R4F CPU，其时钟频率可高达 180 MHz (> 280 DMIPS)，并包括一个用于执行快速 32 位和64 位浮点运算 (IEEE 754) 的双精度浮点单元 (FPU)。浮点运算和整数运算可并行运行，以实现更高的处理能力。FPU 简化了软件开发，这是因为控制与调节算法越来越多地采用基于模型的代码发生器进行开发，而代码发生器的结果随后作为浮点子程序集成到整个项目之中。

ARM Cortex-R4F 内核能处理 16 位或 32 位命令（取决于因 Thumb®-2 指令集所产生的程序代码要求），从而在处理速度与代码长度之间实现了最优折衷。目前提供的 Hercules TMS570LS 安全微控制器系列具有大量的集成型闪存（1 MB 至 3 MB）和数据存储器（128 kB 至 256 kB）。

高端定时器协处理器

Hercules TMS570LS 安全微控制器系列的高端定时器 (N2HET) 模块是一种灵活、用户可编程的定时发生器和捕获引擎。单个程序能控制多达 32 个可被随意配置为输入或输出的引脚。N2HET 程序在系统初始化期间被复制至其局部 RAM 中。在操作过程中，内核能够更新 N2HET RAM 中的关键值，以生成脉宽调制 (PWM) 信号或读出由输入引脚捕获的数值。为了进一步降低 CPU 的负荷，N2HET RAM 与 CPU 存储器之间的事务处理也可由系统直接存储器存取 (DMA) 或高端传输单元（简称 HTU，是 N2HET 所特有的 DMA 控制器）来执行。由于其具有高度的灵活性，因此 N2HET 能够生成简单以及非常专用的定时器要求，例如：电动马达的 PWM 控制或传感器信号的读取。另外，N2HET 还具备在不增加 CPU 负荷的情况下实现状态机的能力，因为它可独自处理输入信号并生成适当的输出响应或状态信息。

如欲控制一个三相电动马达，则定时器模块通常必须生成 6 个脉宽调制 (PWM) 信号。因此，借助逆变器电源开关上的合适脉冲图形，可生成一个具有特定振幅、相位角和规定频率的三相电压系统。一般而言，使用单个 N2HET 模块可以控制两个三相电机。由于 TMS570LS21x/31x 微控制器提供了两个 N2HET 模块，所以能实现额外的功能。第二个 N2HET 模块可用于诸多不同的用途，比如：控制采用各种逆变器电路乃至其他传感器通信协议（例如：单边半字节传送 [SENT] 协议）的不同电机。

模数转换器

TI Hercules TMS570LS 安全微控制器带两个具有 12 位分辨率和 24 个输入通道的多输入缓冲模数转换器 (MibADC)，用于转换模拟传感器信号。为了降低 CPU 负荷，每个 MibADC 模块都有其自己的多缓冲 RAM，每个模块能存储多达 64 个转换结果。对该 RAM 实施存储变换，并可利用 CPU 或 DMA 在指定的时间点上读出其内容。N2HET 模块具有大量用于触发 A/D 转换的配置选项。对于电动马达控制应用，N2HET 能够在可随意设置的时间点上于 PWM 周期之内起动多个 A/D 转换序列。

通信

尽管发展趋势表明：汽车的功能将被集成到越来越少的电子控制器之中，但通信接口依旧起着重要的作用。Hercules™ TMS570LS 安全微控制器的集成型以太网、FlexRay™ 和 CAN 模块可用于局部通信或者至主要汽车网络的连接。与 HTU 相似，FlexRay 模块也包括一个传送单元 (FTU)，可在无需 CPU 干预的情况下读出数据。此外，传感器和专用集成电路 (ASIC) 还可通过 SPI 或 LIN/SCI 模块连接至控制器。许多模块都具有自己的 RAM，可在 RAM 中对将要发送或接收的数据进行缓冲。

安全要求

只要电机处于旋转状态，PMSM 电机的转子磁场就会给定子线圈提供能量。即使在出现了某种有可能使逆变器或电机的定子绕组短路的误差时也不例外。在此类场合中，必须快速检出误差并采取相应的对策，以避免遭受因高电流所致的损坏，不过，最重要的还是要防止出现危险、不希望有的 PMSM 电机制动力矩。

电动汽车的架构（其在轮毂电机以及适度、并行或串行混合动力汽车中差异很大）是汽车安全性考虑的一个决定因素。以适度混合动力汽车为例，其对电力驱动的安全性要求就低于纯电力驱动汽车。显然，制动过程对于车辆的安全性是至关紧要的，因此安全性考虑因素必须包含在发电机操作过程中使用电动马达作为再生制动。

自 2004 年起在欧洲强制执行的国际标准 IEC 61508 用于监管安全关键型电子系统的开发，包括其相关的开发过程与质量保证操作规程。ISO 26262 标准是从 IEC 61508 派生出来的，并针对汽车领域的特殊场合进行了相应的修改，适用于机动车辆中与安全相关的电气/电子系统。下面，我们将探讨作为控制电子系统核心组件的 Hercules™ TMS570LS 安全微控制器的安全特性。

Hercules TMS570LS 安全微控制器系列专为在 IEC 61508 标准所定义的安全完整性等级 3 (SIL3) 系统中使用而特别设计，并且还深深得益于 TI 在汽车领域安全关键型微控制器应用方面长达 20 多年的丰富经验。经 Exida（一家专业从事功能安全性领域认证的独立公司）评估，Hercules TMS570LS 安全微控制器的开发过程和安全性原理被认定适用于 SIL3 系统。

Hercules TMS570LS 安全微控制器系列在芯片上使用了两个相同的 ARM® Cortex™-R4F 内核，它们以一种锁步的方式运行相同的程序并接收相同的输入。在每个 CPU 周期中，对两个内核计算的操作和结果相互做逻辑比较，以检测和响应可能出现的误差。两个 CPU 均采用几何及时间分集在硅片中实现，旨在降低发生物理共因故障的机率。第二个 ARM Cortex-R4F 内核在硅片中进行物理映射与旋转，而且其处理被延迟了几个周期。

锁步架构的优势在于能够实现很高的诊断覆盖范围及减少诊断软件开发的工作量。两个内核的硬件比较在每个 CPU 周期中进行。因此当检测到误差时，便可在几个 CPU 周期之内实现一种故障安全状态（例如：安全地关断系统的执行器）。由于内核上的误差检测完全由硬件来执行，因而与基于软件的检测方案相比，其不会增加 CPU 负荷，且几乎不需要软件。下面说明的是利用硬件机理在微控制器中检测的其他误差类型。这种方法可降低系统侧的软件开发和安全性认证成本及复杂性。用户可以轻而易举地将第三方软件包集成到整体项目之中，而且，从双处理器系统至单处理器系统的巨大转变还能帮助降低成本。

为了检测和响应 Hercules™ TMS570LS 安全微控制器的程序存储器和数据存储器中的误差，每个 ARM® Cortex™-R4F 内核都具有集成型误差校正码 (ECC) 逻辑电路。该模块使得能够校正个别位误差并检测双重误差。此外，还在内部监视地址总线和解码器。

用于监视内核的内置自测试模块有两种，分别是逻辑内置自测试 (LBIST) 和数据存储器可编程内置自测试 (PBIST)。LBIST 模块能够检查 Cortex-R4F 内核在控制器初始化或应用程序运行期间的故障。PBIST 模块则可利用各种不同的可选算法来测试任意或所有的集成型数据存储器 (RAM)。由于无须为内核及数据存储器执行任何测试例程，因此这些内置自测试模块可简化软件开发及压缩代码空间。所有具备自有数据存储器的外设模块（N2HET、MibADC、FlexRay™、DCAN 和 MibSPI）均利用硬件中的奇偶校验逻辑电路予以保护。另外，这些 RAM 区域也可以采用 PBIST 来测试。

集成型存储器保护单元 (MPU) 可用于监视特定存储区域的访问以及为这些区域分配特殊的访问权限。其内置了一个 64 位循环冗余校验器 (CRC) 单元，用于测试存储的静态数据，并可由 DMA 在后台进行操作。此外，外设模块也拥有其自己的误差检测能力，如模数转换器 (ADC) 的自测试。用于误差检测的所有模块均与误差信号传输模块相连。该模块实现了所有检出误差的集中式优先级处理及可配置的外部信号传输。

总结与展望

Hercules 安全微控制器系列运用的 ARM 内核被许多半导体制造商用作处理器内核。基于 ARM 的内核由于标准化的原因而拥有众多的优势，这样不少第三方供应商就可以利用开发工具和软件组件来支持这些内核。FlexRay 驱动程序和 AUTOSAR 软件包可用于 Hercules TMS570LS 安全微控制器。

Hercules TMS570LS 安全微控制器提供了适用于电动汽车驱动控制的性能、外设和安全功能。

Hercules TMS570LS 安全微控制器发展计划支持高达 4 MB 的闪存和变体架构，包括目前的锁步法以及一种可同时执行两个不同程序的双重独立 Cortex-R 配置。将高速缓存与这些方案配合使用将实现更高的处理能力。如需了解有关 Hercules 微控制器系列（包括 Hercules TMS570LS 安全微控制器与开发工具）的更多详情，敬请访问 https://www.ti.com.cn/hercules 。若欲了解有关 Hercules 安全特性的更多专有信息，请阅读“TMS570LS31x/21x 和 RM48x Hercules ARM 安全关键型 MCU 的安全手册”。

此外，“《混合动力及电动汽车解决方案指南 (Rev. A)》”中还介绍了众多适用于混合动力与电动汽车的 TI 半导体模块。