ZHDA308 May 2026 UCC34141
根据 FTA 结果,某些故障被确定为直接违反顶层安全目标的一阶割集,引发意外扭矩并造成潜在损坏。例如,如果 GT15 — 电机位置传感器输出错误的位置信号 成立,MCU 将从传感器接收错误位置信号用于 FOC 控制,并触发事件 GT10 与 GT7。该故障会造成 FOC 算法输出错误 PWM 信号,生成错误交流电流与扭矩,最终导致顶事件 TP1 产生超出预期的意外加速扭矩。
根据此分析,用户可以提出一个 FSR,例如逆变器应通过位置传感器正确测量转子位置 并将此要求分配给电机位置传感器实现。采用该系统化方法,基于安全目标避免产生超出预期的意外加速扭矩,已将全部一阶、二阶割集转化为 FSR,如表 2-3 中所列。
| FSR ID | FuSa 要求 | 安全状态 | 分配 | ASIL | FTTI | 跟踪至 |
|---|---|---|---|---|---|---|
| 1.1 | 逆变器应借助接口电路,将通信数据从 VCU 正确传输至 MCU。 | 对 MCU 生成警报。进入 0 扭矩控制。 | 硬件、E5 软件、E4 硬件及软件 |
D | FTTI | GT5 |
| 1.2 | 逆变器应为接口电路提供正确供电。 | 进入 0 扭矩控制。 | 硬件、E7、E5 软件、E4 硬件及软件 |
D | FTTI | GT6 |
| 1.3 | 逆变器应通过 MCU 正确执行来自 VCU 的通信命令解码。 | 丢弃扭矩命令并进入 0 扭矩控制。 | 硬件、E4、E5 软件、E4 硬件及软件 |
D | FTTI | GT4 |
| 1.4 | 逆变器应通过电流传感器正确测量电机相电流。 | 对 MCU 生成警报。进入 ASC 或续流。 | 硬件、E1 软件、E4 硬件及软件 |
D | FTTI | GT13 |
| 1.5 | 逆变器应为电流传感器提供正确供电。 | 对 MCU 生成警报。进入 ASC 或续流。 | 硬件、E7 软件、E4 硬件及软件 |
D | FTTI | GT14 |
| 1.6 | 逆变器应通过位置传感器正确测量转子位置。 | 对 MCU 生成警报。进入 ASC 或续流。 | 硬件、E2 软件、E4 硬件及软件 |
D | FTTI | GT15 |
| 1.7 | 逆变器应为位置传感器提供正确供电。 | 对 MCU 生成警报。进入 ASC 或续流。 | 硬件、E7 软件、E4 硬件及软件 |
D | FTTI | GT16 |
| 1.8 | 逆变器应通过电压传感器正确采集高压电池电压。 | 对 MCU 生成警报。进入 ASC 或续流。 | 硬件、E3 软件、E4 硬件及软件 |
D | FTTI | GT18 |
| 1.9 | 逆变器应为电压传感器提供正确供电。 | 对 MCU 生成警报。进入 ASC 或续流。 | 硬件、E7 软件、E4 硬件及软件 |
D | FTTI | GT19 |
| 1.10 | 逆变器应正确为电压传感器提供隔离电源。 | 对 MCU 生成警报。进入 ASC 或续流。 | 硬件、E7、E11 软件、E4 硬件及软件 |
D | FTTI | GT20 |
| 1.11 | 逆变器应正确测量功率模块温度。 | 对 MCU 生成警报。限制最大扭矩。 | 硬件、E12 软件、E4 硬件及软件 |
D | MPFDTI | GT21 |
| 1.12 | 逆变器应正确支持 MCU 中运行的电机控制软件算法。 | 阻止 MCU 输出。进入 ASC 或续流。 | 硬件、E4、E5 软件、E4 硬件及软件 |
D | FTTI | GT22 |
| 1.13 | 逆变器应正确提供来自 MCU 的 PWM 控制信号输出。 |
阻止 MCU PWM 输出。 进入 ASC 或续流。 |
硬件、E4、E5 软件、E4 硬件及软件 |
D | FTTI | GT23 |
| 1.14 | 逆变器应为 MCU 提供正确供电。 |
复位 MCU。 进入 ASC 或续流。 |
硬件、E7、E5 软件、E4 硬件及软件 |
D | FTTI | GT30 |
| 1.15 | 逆变器应在栅极驱动器中正确地将 PWM 信号放大为驱动信号。 | 对 MCU 生成警报。进入 ASC 或续流。 | 硬件、E6 软件、E4 硬件及软件 |
D | FTTI | GT25 |
| 1.16 | 逆变器应正确地为栅极驱动器供电。 | 对 MCU 生成警报。进入 ASC 或续流。 | 硬件、E7、E6 软件、E4 硬件及软件 |
D | FTTI | GT26 |
| 1.17 | 逆变器应正确为栅极驱动器高压侧提供隔离电源。 | 对 MCU 生成警报。进入 ASC 或续流。 | 硬件、E7、E6 软件、E4 硬件及软件 |
D | FTTI | GT27 |
| 1.18 | 逆变器应正确执行功率级的激活/停用控制。 | 对 MCU 生成警报。进入 ASC 或续流。 | 硬件、E6、E10 软件、E4 硬件及软件 |
D | FTTI | GT28 |
如表 2-3 所示,存在多种直接违背顶层安全目标的失效模式。失效发生后,系统必须强制进入安全状态。对于搭载 PMSM 的牵引逆变器,电机高速运行时会产生幅值较高的反电动势。我们定义了四种可能的安全状态:
该安全状态适用于牵引逆变器仍可完整执行电机控制与检测功能的场景。MCU 继续根据检测信号运行 FOC 算法,令 Iq = 0,实现零扭矩输出。此安全状态适用于通信故障,例如接收不正确的 VCU 命令或线束断开。由于逆变器的其他器件仍可正常运行,因此故障解决后可便捷恢复正常功能。
该安全状态适用于牵引逆变器低速工况下,无法按命令生成正确交流电流及扭矩的场景。在此安全状态下,所有电源开关均关断,以断开所有三个相位。在低电机转速下,PMSM 将仅产生低于高压电池电压的反电动势。
该安全状态适用于牵引逆变器高速工况下,无法按命令生成正确交流电流及扭矩的场景。高速工况下,PMSM 产生的反电动势高于高压电池电压,会产生较大回馈电流、过大制动扭矩,存在电池损坏风险。因此,在高速工况下,逆变器应通过导通全部三个高侧功率开关或全部三个低侧功率开关来短接三相,从而进入 ASC。该方式将相电流限制为恒定值,产生的制动扭矩较低。
该降级失效可运行策略用于功率模块温度超出告警阈值的场景。若在该降级模式下温度仍持续升高,超过关断阈值,则牵引逆变器进入 ASC 或续流模式。