ZHDA308 May   2026 UCC34141

 

  1.   1
  2.   摘要
  3.   商标
  4. 1简介
    1. 1.1 终端设备牵引逆变器
    2. 1.2 逆变器为何需要安全性？
    3. 1.3 FuSa 开发流程
      1. 1.3.1 V 模型开发
      2. 1.3.2 逆变器安全生命周期
  5. 2牵引逆变器的 FuSa 要求
    1. 2.1 牵引逆变器结构与功能介绍
    2. 2.2 FuSa 要求推导过程
    3. 2.3 安全目标
    4. 2.4 FuSa 概念
      1. 2.4.1 FSC 设计架构
      2. 2.4.2 故障树分析
      3. 2.4.3 FuSa 要求
    5. 2.5 技术安全概念
      1. 2.5.1 TSC 设计体系结构
      2. 2.5.2 失效模式和影响分析
      3. 2.5.3 技术安全要求
  6. 3逆变器上的安全设计实现方案
    1. 3.1 TI FuSa 产品
    2. 3.2 TSR 如何实现？
      1. 3.2.1 位置传感器
      2. 3.2.2 MCU
      3. 3.2.3 逻辑电路
      4. 3.2.4 智能隔离式栅极驱动器
    3. 3.3 相关失效注意事项
    4. 3.4 牵引逆变器的详细 FuSa 设计结构
    5. 3.5 借助 TI 安全器件实现 FuSa 要求
      1. 3.5.1 MCU
      2. 3.5.2 栅极驱动器
        1. 3.5.2.1 栅极监控电路和过流保护
        2. 3.5.2.2 UCC5881-Q1 中的其他安全机制
      3. 3.5.3 隔离辅助电源
        1. 3.5.3.1 集中式低压隔离式电源架构
        2. 3.5.3.2 全分布式低压隔离式电源架构
        3. 3.5.3.3 半分布式低压隔离式电源架构
        4. 3.5.3.4 高压隔离式偏置电源
        5. 3.5.3.5 TI 的牵引逆变器中隔离式偏置电源设计
      4. 3.5.4 电源管理 IC
        1. 3.5.4.1 具有保护和独立热关断功能的多路径电源轨
        2. 3.5.4.2 电源轨电压监控
        3. 3.5.4.3 MCU 故障监控和其他保护机制
      5. 3.5.5 位置传感器
      6. 3.5.6 电流传感器
      7. 3.5.7 电压传感器
        1. 3.5.7.1 隔离式直流电压检测
        2. 3.5.7.2 非隔离式直流电压检测
      8. 3.5.8 温度传感器
  7. 4总结
  8. 5参考资料

3.2.2 MCU

F29H859TU-Q1 微控制器属于高性能 C2000™ 实时微控制器系列。C2000 产品线采用适用于汽车和工业应用中多种产品的通用安全架构。它拥有三个 C29x CPU（支持锁步功能），运行频率为 200Mhz，配备 4000kByte 闪存、452kByte RAM，支持 5 个 SAR ADC、多达 36 个通道 PWM 输出，以及 QFP-144/QFP-176/BGA 256 封装。其符合 ISO26262 与 IEC61508 标准，最高可满足 ASIL‑D/SIL3 等级的安全要求，同时支持用于网络安全的 HSM。它具有先进的功能和丰富的连接选项，可提供一套完整解决方案。

在牵引逆变器应用中，一对锁步 (LS) 内核可专用于 FuSa 运算，另一个内核则可用于主 FOC 电机控制算法。LS 内核运行完全一致的 FuSa 代码，以检测程序执行或存储器完整性中的所有故障。如果 MCU 检测到来自 ADC 的超出范围信号，它会将位置传感器标记为故障并自动切换到读取冗余位置传感器输出。如果 MCU 检测到两个位置传感器的输出不匹配，它将通过 GPIO 向外部逻辑电路发送 ASC 命令，然后触发智能隔离式栅极驱动器中的 ASC 功能。MCU 还将通过 SPI 传输相应的状态信息，以便为 ASC 模式正确配置栅极驱动器。

ADC 硬件冗余实现方式：外设多个实例对同一输入进行采样，同步执行相同运算，再对输出结果交叉校验。通过在不同 ADC 实例中同时交叉校验 ADC 转换数据，硬件 ADC 检查电路可以检测并处理 ADC 转换故障。可以通过（增强型捕获）具有交叉开关 (XBAR) 的 eCAP 回读 PWM 输出，以检测 PWM 输出是否正确或是否已在 ASC 命令之后通过 PWM 跳闸区 (TZ) 成功禁用。可以为 ASC（GPIO 输出）实施类似的安全机制，以验证安全状态命令的输出是否正确。

这些全面的安全功能可确保 MCU 能够可靠地检测传感器故障、处理安全关键型信号并在必要时启动适当的安全状态，从而保持牵引逆变器系统的 FuSa 完整性。