乘用車電驅(qū)動總成的保護機制至少需要包括下列內(nèi)容，具體處理策略實施可由整車廠與電驅(qū)動總成供應商協(xié)商達成一致。商用車電驅(qū)動總成的保護機制可參考乘用車要求，可按照與整車廠協(xié)商結果執(zhí)行。

乘用車涉及功能安全相關的故障保護需要考慮安全狀態(tài)。故障觸發(fā)機制和恢復機制需要根據(jù)整車廠需求來完成設計和驗證。

一、故障觸發(fā)機制

根據(jù)一個或多個條件的判斷，在一定的時間內(nèi)判定當前故障狀態(tài)是否已被觸發(fā)的機制，叫做故障觸發(fā)機制。

基本的故障觸發(fā)機制包括以下類型：

當故障狀態(tài)被觸發(fā)后，根據(jù)當前的實際運行狀態(tài)，在盡量減小對駕駛?cè)水a(chǎn)生干擾的前提下將系統(tǒng)進入安全狀態(tài)的機制，叫做故障保護機制。

基本的故障保護機制包括以下類型：

1）電路板上單一物理量單次超出既定限值，觸發(fā)故障狀態(tài)?？梢允悄M信號觸發(fā)硬件故障保護，也可以是硬件驅(qū)動故障觸發(fā)故障保護。

2）軟件內(nèi)部單一量單次超出限值【可標定】，觸發(fā)故障狀態(tài)。

3）軟件內(nèi)部單一量多次超出限值【可標定】，觸發(fā)故障狀態(tài)。

4）軟件內(nèi)部單一量在一段時間T【可標定】內(nèi)N【可標定】次超出限值【可標定】，觸發(fā)故障狀態(tài)。

5）軟件內(nèi)部單一量與實時監(jiān)控計算值【不可標定，變量】的偏差超出限值【可標定】，觸發(fā)故障狀態(tài)。

6）軟件內(nèi)部多個量超出限值【可標定】，并根據(jù)一定的邏輯判斷后，觸發(fā)故障狀態(tài)。

7）主控芯片利用本身的檢測機制保證程序執(zhí)行正確性，否則觸發(fā)故障狀態(tài),(例如：主控芯片檢測時鐘等信息，故障的觸發(fā)是檢測鎖相環(huán)PLL 的丟失（不可標定），)同時也要保證計算結果的正確，通過例如lockstep 等機制檢測故障，程序流也可以依據(jù)芯片內(nèi)置watchdog 保證執(zhí)行周期，同時檢測故障。

8）外設其他功能安全芯片保證主控芯片正常工作，否則觸發(fā)故障狀態(tài)。具體時序參考芯片手冊。外設功能安全相關芯片檢測程序運行狀態(tài)。問答式檢測在線機制或超時時間（可標定）進入Safety Sate 狀態(tài)。

9）在一段時間T【可標定】內(nèi)未完成預設功能，觸發(fā)故障狀態(tài)。這里預設功能不是指芯片本身的故障，而是電機控制器設計的基本功能，常見如：自學習，主動放電等。

二、故障保護機制（進入安全狀態(tài)或切換安全狀態(tài)）

基本的故障保護機制包括以下類型：

1）軟件檢測模擬值包含電壓、轉(zhuǎn)速、溫度等是否超出設置值【可標定】，系統(tǒng)進入ASC 主動短路狀態(tài)或三相開路狀態(tài)，上報故障信息，存儲故障信息，凍結相關數(shù)據(jù)幀。

2）根據(jù)IGBT 當前的狀態(tài)（正常、上橋故障、下橋故障），系統(tǒng)進入ASC 上橋短路狀態(tài)或ASC 下橋短路狀態(tài)。硬件檢測模擬值是否超出限制值或存在硬件驅(qū)動故障，系統(tǒng)進入ASC 主動短路狀態(tài)。

3）根據(jù)系統(tǒng)狀態(tài)，系統(tǒng)進入ASC 主動短路狀態(tài)或三相開路狀態(tài)，上報故障信息，存儲故障信息，凍結相關數(shù)據(jù)幀。根據(jù)IGBT 當前的狀態(tài)（正常、上橋故障、下橋故障），系統(tǒng)進入ASC 上橋短路狀態(tài)或ASC 下橋短路狀態(tài)。

4）進入零轉(zhuǎn)矩模式。上報故障信息，存儲故障信息，凍結相關數(shù)據(jù)幀。

5）進入跛行回家(Limp-home)模式，采取降額措施，具體降額的量以及比例與故障源物理量相關，其相關性可標定。上報故障信息，存儲故障信息，凍結相關數(shù)據(jù)幀。

6）進入冗余模式，不做故障上報，存儲故障信息。

7）故障條件消失時，清除故障，根據(jù)當前轉(zhuǎn)速、電壓等模擬信號，經(jīng)過一定時間（可以標定）從主動短路ASC 的安全狀態(tài)可以切換到三相開路的安全狀態(tài)，進入低壓上電完成后的初始狀態(tài)模式。

當故障狀態(tài)被觸發(fā)并進入安全狀態(tài)后，根據(jù)當前的實際運行狀態(tài)，使系統(tǒng)退出故障狀態(tài)并具備重新實現(xiàn)原有功能的能力的機制，叫做故障恢復機制。

基本的故障恢復機制包括以下類型：

1）鑰匙拔出，等待數(shù)秒后，重新執(zhí)行KL15 重新上低壓電喚醒，清除故障。

2）KL15 重新上低壓電喚醒，清除故障。

3）故障條件不滿足時，KL50 重新上高壓電，清除故障。

4）故障條件不滿足時，CAN 通信發(fā)出特定指令后，清除故障。

5）故障條件不滿足時，經(jīng)過一段時間T【可標定】后，或者滿足一定計數(shù)條件【可標定】，清除故障。

6）故障條件不滿足時，自動清除故障。一些降額故障或者0 扭矩模式可以自動恢復，但是建議恢復閾值的設計考慮滯環(huán)。

四、電驅(qū)動系統(tǒng)故障保護示例

下面是保護策略實施案例，供參考：

1、轉(zhuǎn)矩反饋異常

故障描述：實際轉(zhuǎn)矩與命令轉(zhuǎn)矩偏差超過一定范圍時，進行故障計數(shù)，同時，偏差在正常范圍內(nèi)，故障計數(shù)值需要減少。根據(jù)故障計數(shù)值達到不同閾值進行分級處理，故障分級閾值可以進行標定。轉(zhuǎn)矩異常的原因可能是初始旋變位置錯誤或者電機參數(shù)不正常。

故障處理策略：

1）1 級故障進行降額處理，降額系數(shù)可標定，如果計數(shù)值小于故障閾值表示此故障可以進行恢復。取消降額保護。

2）3 級故障根據(jù)當前轉(zhuǎn)速信息進行關管封脈沖或者主動短路處理，當轉(zhuǎn)速降低到一定轉(zhuǎn)速時，主動短路狀態(tài)建議進入低壓上電完成后的初始狀態(tài)。

2、CAN 通訊故障

故障描述：

1）超時監(jiān)控。通過檢測同ID 報文的Livecounter 計數(shù)值來進行監(jiān)控，當Livercounter的不連續(xù)的情況出現(xiàn)一次，則記一次故障計數(shù)，當故障計數(shù)在一定時間內(nèi)出現(xiàn)一定次數(shù)，則報出通訊失效故障，否則清0 故障計數(shù)值。

2）探測總線通信失效，發(fā)送信息回讀。MCU 從總線上回讀已發(fā)送信息并與原始信息做比較。MCU 發(fā)送一幀特殊信息幀給整車控制器，整車控制器經(jīng)過一個周期回復此信息，MCU 接收到之后進行比較。如信息不一致，報出通訊故障。

3）用于探測幀丟失，幀計數(shù)器。MCU 接收整車報文時，整車發(fā)送給MCU 的報文，對同一幀ID，進行計數(shù)每個單獨的安全相關幀包含一個作為信息一部分的計數(shù)器。在生成每個連續(xù)幀時計數(shù)器值增加(翻轉(zhuǎn))。MCU 隨后能通過驗證計數(shù)器的值是否增加了1 來探測任何的幀丟失或者幀未更新。如果幀未更新的話，報出幀丟失故障。

故障保護策略：通訊故障報出后可以進行降額處理，此故障在CAN 通訊監(jiān)測恢復后可以設置一定的扭矩恢復斜率，但是當can 故障在一定時間內(nèi)多次出現(xiàn)故障后建議取消恢復機制。

3、微控制器故障（舉三個例子，依賴芯片本身的安全機制）

故障描述：

1）時鐘頻率監(jiān)測，MCU 提供內(nèi)部時鐘監(jiān)控功能，可以監(jiān)測芯片各模塊的時鐘信號。

芯片內(nèi)可以生成100MHz 的時鐘信號，獨立于PLL 系統(tǒng)工作。系統(tǒng)以這個時鐘為參考，生成一個參考計數(shù)器來校驗其他模塊的時鐘。如果計數(shù)器有溢出，則說明發(fā)生錯誤?？梢詸z測到計數(shù)器要么低于下限值（時鐘過慢）要么高于上限值（時鐘過快）。

2）靜態(tài)隨機存取存儲器的錯誤探測糾錯碼，靜態(tài)隨機存取存儲器可以執(zhí)行4 個代碼間距的錯誤代碼修正，修正單字節(jié)錯誤和檢測雙字節(jié)錯誤。

3）程序存儲器錯誤探測糾錯碼，為了預防數(shù)據(jù)損壞，程序存儲器中數(shù)據(jù)包含錯誤探測糾錯碼。在程序存儲器中數(shù)據(jù)可以進行兩個位誤差校正，三個位錯誤檢測。

故障保護策略：根據(jù)芯片手冊查詢相關安全機制同時和硬件外圍電路的設計相關。

4、高壓電容快速放電故障

故障描述：當主動放電時間超過3 秒鐘，且母線電壓未降低到放電要求電壓時，報放電超時。

故障保護策略：退出放電模式，或者切入其他放電模式，建議采用電機放電和電阻放電的其中一種方案。

5、控制器直流側(cè)短路

故障描述：當檢測到直流側(cè)發(fā)生短路時，報出故障。

故障保護策略：控制器一般報出Desat 故障，驅(qū)動芯片會關掉IGBT，如果進入三相短路狀態(tài)，需要知道當前是哪個管報的Desat 故障，轉(zhuǎn)速較低時，可以采用封脈沖處理。

6、控制器交流側(cè)短路

故障描述：分為相間短路、對殼體短路，對母線正或者對母線負短路，當交流傳感器檢測到過流或者其他驅(qū)動芯片報Desat 故障。

故障保護策略：過流故障根據(jù)當前轉(zhuǎn)速信息進入關管封脈沖或者主動短路的處理策略，當轉(zhuǎn)速降低到一定值時，主動短路可以退出并進入關管狀態(tài)。Desat 故障同上。其中對殼體短路，一般會檢測出三相電流之和較大不合理。

7、自檢異常

故障描述：MCU 檢測異常。

故障保護策略：報自檢故障，禁止執(zhí)行預充操作。自檢時間整車廠一般會明確要求。

此外根據(jù)整車廠單獨要求會添加自學習功能，那么就要考慮自學習時間和自學習失敗的報警。

8、過壓(高壓)

故障描述：母線檢測電壓高于過壓閾值。

故障保護策略：

1）一級過壓：隨著電壓升高，電機響應扭矩線性降低。

2）二級過壓：電機響應扭矩保持為0。

3）三級過壓：三相短路。當轉(zhuǎn)速降低到一定值時，主動短路可以退出并進入關管狀態(tài)。避免車輛靜止狀態(tài)還處于三相短路中，導致IGBT 燒毀。

9、欠壓(高壓)

故障描述：母線檢測電壓低于過壓閾值。

故障保護策略：

1）一級欠壓：隨著電壓降低，電機響應扭矩線性降低。

2）二級欠壓：電機響應扭矩保持為0。

10、斷路/開路(高壓)

故障描述：當檢測到斷路/開路時，報出故障，交流側(cè)斷路可以檢測三相不平衡。

故障保護策略：根據(jù)當前轉(zhuǎn)速信息進入關管封脈沖或者主動短路的處理策略，當轉(zhuǎn)速降低到一定值時，主動短路可以退出并進入關管狀態(tài)。

11、過流(高壓)

故障描述：當檢測到過流時，報出故障。

故障保護策略：根據(jù)當前轉(zhuǎn)速信息進入關管封脈沖或者主動短路的處理策略，當轉(zhuǎn)速降低到一定值時，主動短路可以退出并進入關管狀態(tài)。

12、驅(qū)動電機過溫保護

故障描述：電機溫度檢測高于過溫閾值，這里需要注意在熱安全中有提及，電機轉(zhuǎn)子溫度需要有必要的監(jiān)控手段。

故障保護策略：

1）一級過溫：隨著電機溫度上升，電機響應扭矩線性降低。

2）二級過溫：電機響應扭矩為0。

3）三級過溫：根據(jù)當前轉(zhuǎn)速信息進入關管封脈沖或者主動短路的處理策略，當轉(zhuǎn)速降低到一定值時，主動短路可以退出并進入關管狀態(tài)。

13、驅(qū)動電機控制器過溫保護

故障描述：控制器溫度檢測高于過溫閾值。

故障保護策略：

1）一級過溫：隨著電機控制器溫度上升，電機響應扭矩線性降低。

2）二級過溫：電機響應扭矩為0。

3）三級過溫：根據(jù)當前轉(zhuǎn)速信息進入關管封脈沖或者主動短路的處理策略，當轉(zhuǎn)速降低到一定值時，主動短路可以退出并進入關管狀態(tài)。

14、驅(qū)動電機控制器低壓欠壓

故障描述：當檢測到電機控制器低壓欠壓時，報出故障。

故障保護策略：根據(jù)當前轉(zhuǎn)速信息進入關管封脈沖或者主動短路的處理策略，當轉(zhuǎn)速降低到一定值時，主動短路可以退出并進入關管狀態(tài)。

15、旋變故障

故障描述：

1）SIN/COS 超出范圍（幅值超限）(DOS)；

2）EXC 短路、開路，EXC 的相位和SIN/COS 相位超范圍（LOT）；

3）SIN/COS 短路、開路（LOS）；

4）SIN/COS 正弦度不好（DOS）；

5）SIN/COS 大小波（包絡幅值周期性變化）(DOS)。

故障處理策略：進行故障計數(shù)，同時，偏差在正常范圍內(nèi)，故障計數(shù)值需要減少。根據(jù)故障計數(shù)值達到不同閾值進行分級處理，故障分級閾值可以進行標定。

1）1 級故障進行降額處理，降額系數(shù)可標定，如果計數(shù)值小于故障閾值表示此故障可以進行恢復，取消降額保護。

2）3 級故障根據(jù)當前轉(zhuǎn)速信息進行關管封脈沖或者主動短路處理，當轉(zhuǎn)速降低到一定轉(zhuǎn)速時，主動短路應當退出進入關管狀態(tài)。

16、位置信息檢測異常

故障描述：電機在轉(zhuǎn)矩控制過程中，不管是根據(jù)外部解碼芯片得到的位置信息，還是MCU 本身自帶的軟件解碼功能得到的位置信息，都建議與估算轉(zhuǎn)子位置進行二次校驗。保證轉(zhuǎn)子位置信息的正確性。

故障處理策略：當檢測到轉(zhuǎn)子位置偏差較大時，根據(jù)當前轉(zhuǎn)速選擇策略，需要切換無位置傳感器控制算法并降低扭矩輸出還是進入三相短路保護狀態(tài)。

17、驅(qū)動電機超速

故障描述：當檢測到電機轉(zhuǎn)速超過超速閾值時，報出故障。

故障保護策略：

1）一級超速：隨著電機轉(zhuǎn)速上升，電機響應扭矩線性降低。

2）二級超速：電機響應扭矩為0。

3）三級超速：三相短路當轉(zhuǎn)速降低到一定轉(zhuǎn)速時，主動短路應當退出進入關管狀態(tài)。

18、12V/24V 供電丟失或者異常

故障描述：

1）無供電、毛刺、震蕩、偏移；

2）過壓；

3）欠壓。

故障處理策略：芯片檢測到供電異常切入備用12V/24V 電源，如果沒有備用電源則考慮延遲下電來進行降額停機處理。

19、PWM 輸出異常

故障描述：

1）常開；

2）缺相（無輸出）；

3）頻率漂移；

4）占空比漂移；

5）上升下降沿漂移。

故障處理策略：根據(jù)當前轉(zhuǎn)速信息進行關管封脈沖或者主動短路處理，當轉(zhuǎn)速降低到一定轉(zhuǎn)速時，主動短路應當退出進入關管狀態(tài)。

20、IGBT 功率輸出模塊異常

故障描述：

1）短路；

2）過壓（母線電壓主接觸器斷開、集成電感過大）；

3）過流（負載過大導致過流）；

4）開路。

故障處理策略：根據(jù)當前轉(zhuǎn)速信息進行關管封脈沖或者主動短路處理，當轉(zhuǎn)速降低到一定轉(zhuǎn)速時，主動短路應當退出進入關管狀態(tài)。

21、IGBT 結溫過高

故障描述：控制器借助IGBT 損耗等信息進行結溫估算，當超過一定閾值時，進行故障處理。

故障處理策略：

1）一級過溫：隨著電機控制器溫度上升，電機響應扭矩線性降低。

2）二級過溫：電機響應扭矩為0。

3）三級過溫：根據(jù)當前轉(zhuǎn)速信息進入關管封脈沖或者主動短路的處理策略，當轉(zhuǎn)速降低到一定值時，主動短路可以退出并進入關斷狀態(tài)。