ZHDA308 May   2026 UCC34141

 

  1.   1
  2.   摘要
  3.   商标
  4. 1简介
    1. 1.1 终端设备牵引逆变器
    2. 1.2 逆变器为何需要安全性？
    3. 1.3 FuSa 开发流程
      1. 1.3.1 V 模型开发
      2. 1.3.2 逆变器安全生命周期
  5. 2牵引逆变器的 FuSa 要求
    1. 2.1 牵引逆变器结构与功能介绍
    2. 2.2 FuSa 要求推导过程
    3. 2.3 安全目标
    4. 2.4 FuSa 概念
      1. 2.4.1 FSC 设计架构
      2. 2.4.2 故障树分析
      3. 2.4.3 FuSa 要求
    5. 2.5 技术安全概念
      1. 2.5.1 TSC 设计体系结构
      2. 2.5.2 失效模式和影响分析
      3. 2.5.3 技术安全要求
  6. 3逆变器上的安全设计实现方案
    1. 3.1 TI FuSa 产品
    2. 3.2 TSR 如何实现？
      1. 3.2.1 位置传感器
      2. 3.2.2 MCU
      3. 3.2.3 逻辑电路
      4. 3.2.4 智能隔离式栅极驱动器
    3. 3.3 相关失效注意事项
    4. 3.4 牵引逆变器的详细 FuSa 设计结构
    5. 3.5 借助 TI 安全器件实现 FuSa 要求
      1. 3.5.1 MCU
      2. 3.5.2 栅极驱动器
        1. 3.5.2.1 栅极监控电路和过流保护
        2. 3.5.2.2 UCC5881-Q1 中的其他安全机制
      3. 3.5.3 隔离辅助电源
        1. 3.5.3.1 集中式低压隔离式电源架构
        2. 3.5.3.2 全分布式低压隔离式电源架构
        3. 3.5.3.3 半分布式低压隔离式电源架构
        4. 3.5.3.4 高压隔离式偏置电源
        5. 3.5.3.5 TI 的牵引逆变器中隔离式偏置电源设计
      4. 3.5.4 电源管理 IC
        1. 3.5.4.1 具有保护和独立热关断功能的多路径电源轨
        2. 3.5.4.2 电源轨电压监控
        3. 3.5.4.3 MCU 故障监控和其他保护机制
      5. 3.5.5 位置传感器
      6. 3.5.6 电流传感器
      7. 3.5.7 电压传感器
        1. 3.5.7.1 隔离式直流电压检测
        2. 3.5.7.2 非隔离式直流电压检测
      8. 3.5.8 温度传感器
  7. 4总结
  8. 5参考资料

2.5.2 失效模式和影响分析

对于每个 FSR，必须构建 FMEA 以识别故障模式、故障影响及故障原因。对于失效模式，必须根据安全目标违规类型对每种失效模式进行分类，共分为三类：

  • 单点故障 (SPF)：直接违反 FuSa 目标的故障。
  • 多点故障 (MPF)：仅当与另一独立故障叠加，才会导致 FuSa 目标被违背的故障。
  • 安全故障 (SF)：不会导致 FuSa 目标被违背的故障，可分为可检测型或本质安全型。

此外，部分元件属于非安全相关元件，其功能不会对安全目标产生影响。

对于所有可能违背 FSR 的故障（含 SPF 单点故障与 MPF 多点故障），均需设计对应的安全机制。这些安全机制可从以下维度进行设计，但不限于：

  • 检测机制（参考 ISO26262 — 第 5 部分/第 11 部分：2018）：
  • 合理性检查：值范围、变化率、信号相关性
  • 冗余监控：冗余通道之间的比较
  • 诊断测试：内置自检、周期性功能测试
  • 看门狗监测：程序流、时序监视
  • 控制机制（参考 ISO26262 — 第 5 部分/第 11 部分：2018）：
  • 安全状态切换：平稳降级以确保安全运行
  • 故障反应：对检出故障立即做出响应
  • 生成警告：向用户上报系统状态
  • 系统关闭：受控系统停用

表 2-4 显示了 FSR1.6 的 FMEA 部分。（逆变器必须通过位置传感器正确测量转子位置）。

表 2-4 FMEA 表节选示例
系统元件 系统子元件 主函数 失效模式 失效影响 SG 违规类型 故障原因 安全机制
转子位置测量电路 (E2) 转子位置测量传感器 测量 FOC 算法的转子位置，以实现电机转速和扭矩控制 无法提供电机位置测量 无法测量电机位置，这会导致错误的电机转速和扭矩控制 SPF 位置传感器输出短路/开路

1.三态输出与运行输出超出范围检查。

2.位置传感器输出超出范围检查。

3.冗余位置传感器测量电路。
SPF 位置传感器激励电路无输出或输出漂移。

1.激励电路输出合理性检查。

2.三态输出与运行输出超出范围检查。

3.冗余位置传感器测量电路。
SPF 位置传感器输入短路/开路

1.输入信号合理性检查。

2.三态输出与运行输出超出范围检查。

3.冗余位置传感器测量电路。
提供的电机位置与实际位置不匹配。 测量的电机位置有误，导致错误的电机转速和扭矩控制 SPF 位置传感器输出漂移

1.输出相位和增益不平衡检查。

2.三态输出与运行输出超出范围检查。

3.冗余位置传感器测量电路。
转子位置测量传感器冗余电路 向 MCU 提供冗余转子位置，供 FOC 使用 无法提供电机位置测量 MCU 输入值不正确/无输入值，当主转子位置传感器无故障时意外进入安全状态 MPF 激励/AFE/放大器电路的位置传感器输出开路/短路或无输出。 冗余位置传感器测量电路。
提供的电机位置与实际位置不匹配。 MCU 的输入值不准确，无法检测到主转子位置传感器故障 MPF 位置传感器输出漂移

1.三态输出与运行输出超出范围检查。

2.冗余位置传感器测量电路。
MCU (E4) PWM 生成电路 根据 FOC 生成 PWM 信号。 非预期 PWM 信号生成 非预期 PWM 会导致产生意外的扭矩，并且无法进入安全状态。 SPF 非预期 PWM 信号生成。

PWM 跳闸区电路，可禁用 PWM 输出，或编程 PWM 以实现对应响应。

用于 PWM 电平检测的 eCAP。
eCAP 电路 捕获上升沿或下降沿 无法捕获边沿。 无法正确捕获 ePWM 边沿，无法完成 ePWM 诊断 MPF 无法捕获边沿。 BIST
PWM 跳闸区电路 发生故障时禁用 PWM 或对其进行编程 无法按要求运行 无法禁用 PWM 或将 PWM 编程为安全状态。 MPF 触发电路故障。 BIST
无跳闸需求时发生非预期运行。 非预期触发并进入安全状态 SF 无触发信号时发生非预期触发 不适用
ADC 电路 检测用模数转换器 无法正确测量模拟输入信号 无法获得正确的位置传感器输出信号。 SPF ADC 转换器故障或引脚开路 具有硬件比较器机制的冗余 ADC。
冗余 ADC 电路 冗余模数转换器。 无法正确测量模拟输入信号 无法获得正确的位置传感器输出信号。 MPF ADC 转换器故障或引脚开路 具有硬件比较器机制的冗余 ADC。
GPIO 电路 生成 ASC 相关信号，以帮助系统进入安全状态 非预期触发 GPIO 输出。 非预期触发安全状态。 SF GPIO 输出错误 不适用
进入错误的安全状态。 SPF GPIO 输出错误

GPIO 回读和比较。

回读比对异常时，阻止 GPIO 输出，并依靠外部逻辑电路进入安全状态。
GPIO 回读和比较 读取 GPIO 状态以检测安全状态输出是否正确。 非预期触发错误信号 无 GPIO 输出错误，但非预期进入安全状态。 SF GPIO 回读电路错误 不适用
栅极驱动器电路 (E6) 主动短路部件 执行 ASC，使电机进入对应安全状态。 无法使用相关 ASC 命令阻止 PWM 输出。 发生故障时无法进入安全状态。 MPF ASC 逻辑电路或传输电路出现故障。

BIST

隔离通道诊断
在发出相关 ASC 命令时输出错误的安全状态。 进入不安全的错误状态。 MPF ASC 逻辑电路或传输电路翻转。

BIST

隔离通道诊断
隔离通道检测电路 检测到隔离通道上的错误信号。 无法检测到隔离通道错误。 发生故障时无法进入安全状态。 MPF 隔离通道检测电路故障。 BIST
非预期报告隔离通道故障。 非预期触发安全状态。 SF 隔离通道检测电路故障。 不适用