ZHDA308 May   2026 UCC34141

 

  1.   1
  2.   摘要
  3.   商标
  4. 1简介
    1. 1.1 终端设备牵引逆变器
    2. 1.2 逆变器为何需要安全性?
    3. 1.3 FuSa 开发流程
      1. 1.3.1 V 模型开发
      2. 1.3.2 逆变器安全生命周期
  5. 2牵引逆变器的 FuSa 要求
    1. 2.1 牵引逆变器结构与功能介绍
    2. 2.2 FuSa 要求推导过程
    3. 2.3 安全目标
    4. 2.4 FuSa 概念
      1. 2.4.1 FSC 设计架构
      2. 2.4.2 故障树分析
      3. 2.4.3 FuSa 要求
    5. 2.5 技术安全概念
      1. 2.5.1 TSC 设计体系结构
      2. 2.5.2 失效模式和影响分析
      3. 2.5.3 技术安全要求
  6. 3逆变器上的安全设计实现方案
    1. 3.1 TI FuSa 产品
    2. 3.2 TSR 如何实现?
      1. 3.2.1 位置传感器
      2. 3.2.2 MCU
      3. 3.2.3 逻辑电路
      4. 3.2.4 智能隔离式栅极驱动器
    3. 3.3 相关失效注意事项
    4. 3.4 牵引逆变器的详细 FuSa 设计结构
    5. 3.5 借助 TI 安全器件实现 FuSa 要求
      1. 3.5.1 MCU
      2. 3.5.2 栅极驱动器
        1. 3.5.2.1 栅极监控电路和过流保护
        2. 3.5.2.2 UCC5881-Q1 中的其他安全机制
      3. 3.5.3 隔离辅助电源
        1. 3.5.3.1 集中式低压隔离式电源架构
        2. 3.5.3.2 全分布式低压隔离式电源架构
        3. 3.5.3.3 半分布式低压隔离式电源架构
        4. 3.5.3.4 高压隔离式偏置电源
        5. 3.5.3.5 TI 的牵引逆变器中隔离式偏置电源设计
      4. 3.5.4 电源管理 IC
        1. 3.5.4.1 具有保护和独立热关断功能的多路径电源轨
        2. 3.5.4.2 电源轨电压监控
        3. 3.5.4.3 MCU 故障监控和其他保护机制
      5. 3.5.5 位置传感器
      6. 3.5.6 电流传感器
      7. 3.5.7 电压传感器
        1. 3.5.7.1 隔离式直流电压检测
        2. 3.5.7.2 非隔离式直流电压检测
      8. 3.5.8 温度传感器
  7. 4总结
  8. 5参考资料

FuSa 要求

根据 FTA 结果,某些故障被确定为直接违反顶层安全目标的一阶割集,引发意外扭矩并造成潜在损坏。例如,如果 GT15 — 电机位置传感器输出错误的位置信号 成立,MCU 将从传感器接收错误位置信号用于 FOC 控制,并触发事件 GT10 与 GT7。该故障会造成 FOC 算法输出错误 PWM 信号,生成错误交流电流与扭矩,最终导致顶事件 TP1 产生超出预期的意外加速扭矩。

根据此分析,用户可以提出一个 FSR,例如逆变器应通过位置传感器正确测量转子位置 并将此要求分配给电机位置传感器实现。采用该系统化方法,基于安全目标避免产生超出预期的意外加速扭矩,已将全部一阶、二阶割集转化为 FSR,如表 2-3 中所列。

表 2-3 SG1 的示例 FSR
FSR ID FuSa 要求 安全状态 分配 ASIL FTTI 跟踪至
1.1 逆变器应借助接口电路,将通信数据从 VCU 正确传输至 MCU。 对 MCU 生成警报。进入 0 扭矩控制。 硬件、E5
软件、E4
硬件及软件
D FTTI GT5
1.2 逆变器应为接口电路提供正确供电。 进入 0 扭矩控制。 硬件、E7、E5
软件、E4
硬件及软件
D FTTI GT6
1.3 逆变器应通过 MCU 正确执行来自 VCU 的通信命令解码。 丢弃扭矩命令并进入 0 扭矩控制。 硬件、E4、E5
软件、E4
硬件及软件
D FTTI GT4
1.4 逆变器应通过电流传感器正确测量电机相电流。 对 MCU 生成警报。进入 ASC 或续流。 硬件、E1
软件、E4
硬件及软件
D FTTI GT13
1.5 逆变器应为电流传感器提供正确供电。 对 MCU 生成警报。进入 ASC 或续流。 硬件、E7
软件、E4
硬件及软件
D FTTI GT14
1.6 逆变器应通过位置传感器正确测量转子位置。 对 MCU 生成警报。进入 ASC 或续流。 硬件、E2
软件、E4
硬件及软件
D FTTI GT15
1.7 逆变器应为位置传感器提供正确供电。 对 MCU 生成警报。进入 ASC 或续流。 硬件、E7
软件、E4
硬件及软件
D FTTI GT16
1.8 逆变器应通过电压传感器正确采集高压电池电压。 对 MCU 生成警报。进入 ASC 或续流。 硬件、E3
软件、E4
硬件及软件
D FTTI GT18
1.9 逆变器应为电压传感器提供正确供电。 对 MCU 生成警报。进入 ASC 或续流。 硬件、E7
软件、E4
硬件及软件
D FTTI GT19
1.10 逆变器应正确为电压传感器提供隔离电源。 对 MCU 生成警报。进入 ASC 或续流。 硬件、E7、E11
软件、E4
硬件及软件
D FTTI GT20
1.11 逆变器应正确测量功率模块温度。 对 MCU 生成警报。限制最大扭矩。 硬件、E12
软件、E4
硬件及软件
D MPFDTI GT21
1.12 逆变器应正确支持 MCU 中运行的电机控制软件算法。 阻止 MCU 输出。进入 ASC 或续流。 硬件、E4、E5
软件、E4
硬件及软件
D FTTI GT22
1.13 逆变器应正确提供来自 MCU 的 PWM 控制信号输出。

阻止 MCU PWM 输出。

进入 ASC 或续流。

硬件、E4、E5
软件、E4
硬件及软件
D FTTI GT23
1.14 逆变器应为 MCU 提供正确供电。

复位 MCU。

进入 ASC 或续流。

硬件、E7、E5
软件、E4
硬件及软件
D FTTI GT30
1.15 逆变器应在栅极驱动器中正确地将 PWM 信号放大为驱动信号。 对 MCU 生成警报。进入 ASC 或续流。 硬件、E6
软件、E4
硬件及软件
D FTTI GT25
1.16 逆变器应正确地为栅极驱动器供电。 对 MCU 生成警报。进入 ASC 或续流。 硬件、E7、E6
软件、E4
硬件及软件
D FTTI GT26
1.17 逆变器应正确为栅极驱动器高压侧提供隔离电源。 对 MCU 生成警报。进入 ASC 或续流。 硬件、E7、E6
软件、E4
硬件及软件
D FTTI GT27
1.18 逆变器应正确执行功率级的激活/停用控制。 对 MCU 生成警报。进入 ASC 或续流。 硬件、E6、E10
软件、E4
硬件及软件
D FTTI GT28

如表 2-3 所示,存在多种直接违背顶层安全目标的失效模式。失效发生后,系统必须强制进入安全状态。对于搭载 PMSM 的牵引逆变器,电机高速运行时会产生幅值较高的反电动势。我们定义了四种可能的安全状态:

  • 降级为 0 扭矩模式

该安全状态适用于牵引逆变器仍可完整执行电机控制与检测功能的场景。MCU 继续根据检测信号运行 FOC 算法,令 Iq = 0,实现零扭矩输出。此安全状态适用于通信故障,例如接收不正确的 VCU 命令或线束断开。由于逆变器的其他器件仍可正常运行,因此故障解决后可便捷恢复正常功能。

  • 续流

该安全状态适用于牵引逆变器低速工况下,无法按命令生成正确交流电流及扭矩的场景。在此安全状态下,所有电源开关均关断,以断开所有三个相位。在低电机转速下,PMSM 将仅产生低于高压电池电压的反电动势。

  • 主动短路 (ASC)

该安全状态适用于牵引逆变器高速工况下,无法按命令生成正确交流电流及扭矩的场景。高速工况下,PMSM 产生的反电动势高于高压电池电压,会产生较大回馈电流、过大制动扭矩,存在电池损坏风险。因此,在高速工况下,逆变器应通过导通全部三个高侧功率开关或全部三个低侧功率开关来短接三相,从而进入 ASC。该方式将相电流限制为恒定值,产生的制动扭矩较低。

  • 限制扭矩输出

该降级失效可运行策略用于功率模块温度超出告警阈值的场景。若在该降级模式下温度仍持续升高,超过关断阈值,则牵引逆变器进入 ASC 或续流模式。