廣告
永磁同步電機控制器電控系統(tǒng)功能安全開發(fā)技術(shù)研究
2020-04-13 20:18:26· 來源：電動學堂
文章來源：《永磁同步電機控制器電控系統(tǒng)功能安全開發(fā)技術(shù)研究》作者單位：中國第一汽車股份有限公司技術(shù)中心汽車電子部引言隨著電子電氣系統(tǒng)在汽車上的廣泛應(yīng)用
文章來源：《永磁同步電機控制器電控系統(tǒng)功能安全開發(fā)技術(shù)研究》
作者單位：中國第一汽車股份有限公司技術(shù)中心汽車電子部
引言
隨著電子電氣系統(tǒng)在汽車上的廣泛應(yīng)用，電子電器產(chǎn)品的功能安全問題得到越來越多的關(guān)注。道路車輛功能安全標準ISO 26262為汽車電子／電氣系統(tǒng)功能安全開發(fā)提供了指導。在理解此標準的基礎(chǔ)上，結(jié)合永磁同步電機控制單元（Motor Control Unit，簡稱MCU）電控系統(tǒng)開發(fā)項目，進行功能安全技術(shù)開發(fā)，主要進行MCU系統(tǒng)的對象定義、危害分析和風險評估、確定功能安全完整性等級、設(shè)計功能安全方案。從測試結(jié)果來看，在故障發(fā)生的情況下，系統(tǒng)能夠切斷動力輸出，進入安全狀態(tài)，保證人員安全，有效減少危害的發(fā)生。
1 功能安全標準簡介
1.1 ISO 26262標準來源及適用范圍
ISO 26262標準是從可編程電子電器系統(tǒng)的功能安全標準IEC 61508發(fā)展而來，根據(jù)汽車行業(yè)的分布式開發(fā)特點而產(chǎn)生的功能安全應(yīng)用標準。2011年11月15日正式發(fā)布。主要適用于3.5t 下量產(chǎn)乘用車（特殊用途車輛除外，如殘疾人用車）上的與安全相關(guān)的電子電氣系統(tǒng)。
1.2 ISO 26262標準主要內(nèi)容
ISO 26262標準包括術(shù)語定義、功能安全管理等10部標準中的概念階段、系統(tǒng)產(chǎn)品開發(fā)、硬件產(chǎn)品開發(fā)、軟件產(chǎn)品開發(fā)、生產(chǎn)和運行5部分遵循V流程開發(fā)方法，被定義為系統(tǒng)安全生命周期。其中硬件產(chǎn)品開發(fā)和軟件產(chǎn)品開發(fā)在各自的開發(fā)階段遵循V流程開發(fā)方法，如圖1準提供了一個基于汽車安全生命周期開發(fā)的指導方法，并支持在安全生命周期各階段內(nèi)對必要活動進行剪裁，能夠在產(chǎn)品的開發(fā)流程中，預(yù)先分析和評估潛在的危害和風險現(xiàn)通過實施科學的安全技術(shù)措施、規(guī)范和方法來降低風險，利用軟、硬件系統(tǒng)化的測試、驗證方法，使電子電器產(chǎn)品的安全功能在安全生命周期內(nèi)滿足汽車安全完整性等級的要求，提升系統(tǒng)可靠性，避免不合理的殘余風險。
1.3 汽車安全完整性等級
汽車安全完整性等級（ASIL）在ISO 26262標準第三部分《概念階段》的7-4-4中進行了定義。通過危害分析和風險評估的結(jié)果得到：系統(tǒng)的功能安全風險越大，對系統(tǒng)的功能要求越高，系統(tǒng)就具有更高的汽車安全完整性等級。A、B、C、D四個等級，ASILA等級最低，ASILD最高，QM表示對安全不做要求。每一個危害事件的ASIL等級使用“嚴重度（s)''、“暴露率（E）”和“可控性(C）”這三個參數(shù)來確定，具體如表1所示。
2 電機控制系統(tǒng)研究背景及簡介
電驅(qū)動系統(tǒng)是電動汽車的關(guān)鍵動力總成之一，因此電驅(qū)動系統(tǒng)相關(guān)電子電器產(chǎn)品的功能安全開發(fā)至關(guān)重要，電機控制系統(tǒng)的功能安全開發(fā)，為電驅(qū)動系統(tǒng)在極端工況下正常運行提供了有效地保障，具有重要意義。
電機控制系統(tǒng)的基本工作原理如圖2所示：MCU接收駕駛員指令、CAN信息、故障信息通過工況識別功能識別整車運行工況，將識別到的工況需求以目標扭矩的形式，分配給各個功能模塊進行相應(yīng)運算，通過電壓調(diào)制模塊輸出六記PWM信號，驅(qū)動IGBT工作，IGBT輸出可變頻率的電流驅(qū)動電機工作，控制電機按照整車運行工況需求工作。
3 電機控制系統(tǒng)功能安全開發(fā)
3.1 對象定義
依據(jù)IS0 26262標準第3部分《概念階段》中的對象定義5.4章節(jié)“要求和建議”定義電機控制系統(tǒng)主要功能、接口、法規(guī)要求等。目的是定義并描述對象，及其與環(huán)境和其他對象的依賴性和相互影響聲充分理解對象，以便在執(zhí)行后續(xù)階段的活動時，提供更好的支持。電機控制系統(tǒng)的主要功能是控制電機按照整車工況需求輸出動力衷主要研究對象為電機控制單元和驅(qū)動板，如圖3中虛線框所示。接口關(guān)系有主繼電器、點火開關(guān)、整車CAN、旋轉(zhuǎn)變壓器、電機溫度傳感器、三路IGBT溫度傳感器、以及六路PWM驅(qū)動信號組成。法規(guī)約束為標準GB/T18488-2015《電動汽車用電機及其控制器試驗方法》。
3.2 危害分析和風險評估
危害分析和風險評估的目的是識、別對象定義中因故障而引起的危害，并對危害進行分類，制定安全目標句避免不合理的風險，根據(jù)對象定義中的潛在失效模式，定義ASIL等級，下面分析電機控制系統(tǒng)功能安全完整性等級中的車輛場景定義，如表2所示，從道路類型、路面等幾方面分析得出電機控制系統(tǒng)可能的駕駛場景，得出暴露率等級。
通過經(jīng)驗總結(jié)分析，得出海合動力汽車永磁同步電機控制系統(tǒng)，存在11種危害定義，分別是：
①車輛無預(yù)期加速（C），
②車輛無逾期減速（C），
③車輛朝駕駛員預(yù)期的反方向驅(qū)動（B），
④力矩小于期望值（QM），
⑤制動力矩不足／制動力矩損失（C），
⑥車輪抱死（C），
⑦動力統(tǒng)部件非預(yù)期旋轉(zhuǎn)（QM），
⑧失火、煙、表面發(fā)(C)，
⑨高壓電電擊事故（C），
⑩泄露有毒氣體（C），
?力矩抖動（C）。
下面以車輛元預(yù)期加速為例，詳細展示如何對危害事件進行場景分析、嚴重度度量、可控度定義，確認由車輛無逾期加速引起的多個危害事件的ASIL等級，如表3所示，通過對各危害事件進行分析，得出各個危害事件的ASIL等級，車輛無預(yù)期加速定義為各危害事件中最高級別的ASIL等級，因此車輛無預(yù)期加的ASIL等級為C。
通過對上述11中危險事件進行危害分析和風險評估得出系統(tǒng)的安全目標：阻止這11種危害的發(fā)生。
3.3 功能安全概念設(shè)計
功能安全概念設(shè)計的目的是從功能安全目標中得出功能安確保達到預(yù)期的功能安全目標。MGU電控系統(tǒng)遵循三級技術(shù)安MGTl電控系統(tǒng)定義了在不同運行模式下的故障檢測、故障容錯時間、在國際上，構(gòu)設(shè)計方法在汽車電于產(chǎn)品等安全相關(guān)的領(lǐng)域得到了普遍應(yīng)用。
3.4 監(jiān)控功能設(shè)計與驗證
MCU電控系統(tǒng)三級監(jiān)控中的第一層結(jié)構(gòu)為：系統(tǒng)的主要控制功能和故障診斷功能；第二層結(jié)構(gòu)為功能安全相關(guān)的監(jiān)控部分；第三層結(jié)構(gòu)的監(jiān)控功能分為兩部分：一部分在主控芯片上，另一部分在監(jiān)控芯片上，監(jiān)控芯片降低外部風險，為單獨硬件，主要監(jiān)控控制器是否正常工作。由圖4可以看出，當?shù)诙踊虻谌龑影l(fā)生故障珍觸發(fā)故障使能標均能關(guān)斷執(zhí)行器的驅(qū)動，確保系統(tǒng)進入安全狀態(tài)。
根據(jù)功能安全三層監(jiān)控設(shè)計方案，驗證電機控制系統(tǒng)發(fā)生嚴重故障時，系統(tǒng)是否切斷IGBT輸出，進入安全狀態(tài)。從試驗結(jié)果來看，當故障發(fā)生時，系統(tǒng)能夠及時切斷執(zhí)行器，進入安全狀態(tài)，因此驗證通過，詳見圖5所示。
4 結(jié)束語
通過永磁同步電機控制系統(tǒng)的功能安全開發(fā)，實現(xiàn)對象范圍定義、電機控制系就危害和風險分析、定義ASIL等級，導出安全目標；在此基礎(chǔ)上，實現(xiàn)功能安全概念設(shè)計功能，從測試結(jié)果來看，當故障發(fā)生時，系統(tǒng)能夠切斷動力輸出，保障了駕駛員和車輛周邊人員安全，有效的減少危害發(fā)生，提高了車輛安全性。
廣告 編輯推薦
最新資訊
-
國內(nèi)首個“路空一體”國家質(zhì)檢中心落戶廣東
2026-03-04 09:06
-
全國156個！IAE智行眾維入選！工信部2025年
2026-03-04 09:05
-
瓦力大作戰(zhàn)｜輕科普——誤碼儀（BERT）架構(gòu)
2026-03-04 09:03
-
是德科技推出適用于AI數(shù)據(jù)中心的Scale-Up驗
2026-03-04 09:03
-
“汽車爬坡試驗方法”將有國家標準
2026-03-03 12:44
