乘用車電驅(qū)動總成的保護(hù)機(jī)制至少需要包括下列內(nèi)容，具體處理策略實(shí)施可由整車廠與電驅(qū)動總成供應(yīng)商協(xié)商達(dá)成一致。商用車電驅(qū)動總成的保護(hù)機(jī)制可參考乘用車要求，可按照與整車廠協(xié)商結(jié)果執(zhí)行。

乘用車涉及功能安全相關(guān)的故障保護(hù)需要考慮安全狀態(tài)。故障觸發(fā)機(jī)制和恢復(fù)機(jī)制需要根據(jù)整車廠需求來完成設(shè)計(jì)和驗(yàn)證。

一、故障觸發(fā)機(jī)制

根據(jù)一個(gè)或多個(gè)條件的判斷，在一定的時(shí)間內(nèi)判定當(dāng)前故障狀態(tài)是否已被觸發(fā)的機(jī)制，叫做故障觸發(fā)機(jī)制。

基本的故障觸發(fā)機(jī)制包括以下類型：

當(dāng)故障狀態(tài)被觸發(fā)后，根據(jù)當(dāng)前的實(shí)際運(yùn)行狀態(tài)，在盡量減小對駕駛?cè)水a(chǎn)生干擾的前提下將系統(tǒng)進(jìn)入安全狀態(tài)的機(jī)制，叫做故障保護(hù)機(jī)制。

基本的故障保護(hù)機(jī)制包括以下類型：

1）電路板上單一物理量單次超出既定限值，觸發(fā)故障狀態(tài)。可以是模擬信號觸發(fā)硬件故障保護(hù)，也可以是硬件驅(qū)動故障觸發(fā)故障保護(hù)。

2）軟件內(nèi)部單一量單次超出限值【可標(biāo)定】，觸發(fā)故障狀態(tài)。

3）軟件內(nèi)部單一量多次超出限值【可標(biāo)定】，觸發(fā)故障狀態(tài)。

4）軟件內(nèi)部單一量在一段時(shí)間T【可標(biāo)定】內(nèi)N【可標(biāo)定】次超出限值【可標(biāo)定】，觸發(fā)故障狀態(tài)。

5）軟件內(nèi)部單一量與實(shí)時(shí)監(jiān)控計(jì)算值【不可標(biāo)定，變量】的偏差超出限值【可標(biāo)定】，觸發(fā)故障狀態(tài)。

6）軟件內(nèi)部多個(gè)量超出限值【可標(biāo)定】，并根據(jù)一定的邏輯判斷后，觸發(fā)故障狀態(tài)。

7）主控芯片利用本身的檢測機(jī)制保證程序執(zhí)行正確性，否則觸發(fā)故障狀態(tài),(例如：主控芯片檢測時(shí)鐘等信息，故障的觸發(fā)是檢測鎖相環(huán)PLL 的丟失（不可標(biāo)定），)同時(shí)也要保證計(jì)算結(jié)果的正確，通過例如lockstep 等機(jī)制檢測故障，程序流也可以依據(jù)芯片內(nèi)置watchdog 保證執(zhí)行周期，同時(shí)檢測故障。

8）外設(shè)其他功能安全芯片保證主控芯片正常工作，否則觸發(fā)故障狀態(tài)。具體時(shí)序參考芯片手冊。外設(shè)功能安全相關(guān)芯片檢測程序運(yùn)行狀態(tài)。問答式檢測在線機(jī)制或超時(shí)時(shí)間（可標(biāo)定）進(jìn)入Safety Sate 狀態(tài)。

9）在一段時(shí)間T【可標(biāo)定】內(nèi)未完成預(yù)設(shè)功能，觸發(fā)故障狀態(tài)。這里預(yù)設(shè)功能不是指芯片本身的故障，而是電機(jī)控制器設(shè)計(jì)的基本功能，常見如：自學(xué)習(xí)，主動放電等。

二、故障保護(hù)機(jī)制（進(jìn)入安全狀態(tài)或切換安全狀態(tài)）

基本的故障保護(hù)機(jī)制包括以下類型：

1）軟件檢測模擬值包含電壓、轉(zhuǎn)速、溫度等是否超出設(shè)置值【可標(biāo)定】，系統(tǒng)進(jìn)入ASC 主動短路狀態(tài)或三相開路狀態(tài)，上報(bào)故障信息，存儲故障信息，凍結(jié)相關(guān)數(shù)據(jù)幀。

2）根據(jù)IGBT 當(dāng)前的狀態(tài)（正常、上橋故障、下橋故障），系統(tǒng)進(jìn)入ASC 上橋短路狀態(tài)或ASC 下橋短路狀態(tài)。硬件檢測模擬值是否超出限制值或存在硬件驅(qū)動故障，系統(tǒng)進(jìn)入ASC 主動短路狀態(tài)。

3）根據(jù)系統(tǒng)狀態(tài)，系統(tǒng)進(jìn)入ASC 主動短路狀態(tài)或三相開路狀態(tài)，上報(bào)故障信息，存儲故障信息，凍結(jié)相關(guān)數(shù)據(jù)幀。根據(jù)IGBT 當(dāng)前的狀態(tài)（正常、上橋故障、下橋故障），系統(tǒng)進(jìn)入ASC 上橋短路狀態(tài)或ASC 下橋短路狀態(tài)。

4）進(jìn)入零轉(zhuǎn)矩模式。上報(bào)故障信息，存儲故障信息，凍結(jié)相關(guān)數(shù)據(jù)幀。

5）進(jìn)入跛行回家(Limp-home)模式，采取降額措施，具體降額的量以及比例與故障源物理量相關(guān)，其相關(guān)性可標(biāo)定。上報(bào)故障信息，存儲故障信息，凍結(jié)相關(guān)數(shù)據(jù)幀。

6）進(jìn)入冗余模式，不做故障上報(bào)，存儲故障信息。

7）故障條件消失時(shí)，清除故障，根據(jù)當(dāng)前轉(zhuǎn)速、電壓等模擬信號，經(jīng)過一定時(shí)間（可以標(biāo)定）從主動短路ASC 的安全狀態(tài)可以切換到三相開路的安全狀態(tài)，進(jìn)入低壓上電完成后的初始狀態(tài)模式。

當(dāng)故障狀態(tài)被觸發(fā)并進(jìn)入安全狀態(tài)后，根據(jù)當(dāng)前的實(shí)際運(yùn)行狀態(tài)，使系統(tǒng)退出故障狀態(tài)并具備重新實(shí)現(xiàn)原有功能的能力的機(jī)制，叫做故障恢復(fù)機(jī)制。

基本的故障恢復(fù)機(jī)制包括以下類型：

1）鑰匙拔出，等待數(shù)秒后，重新執(zhí)行KL15 重新上低壓電喚醒，清除故障。

2）KL15 重新上低壓電喚醒，清除故障。

3）故障條件不滿足時(shí)，KL50 重新上高壓電，清除故障。

4）故障條件不滿足時(shí)，CAN 通信發(fā)出特定指令后，清除故障。

5）故障條件不滿足時(shí)，經(jīng)過一段時(shí)間T【可標(biāo)定】后，或者滿足一定計(jì)數(shù)條件【可標(biāo)定】，清除故障。

6）故障條件不滿足時(shí)，自動清除故障。一些降額故障或者0 扭矩模式可以自動恢復(fù)，但是建議恢復(fù)閾值的設(shè)計(jì)考慮滯環(huán)。

四、電驅(qū)動系統(tǒng)故障保護(hù)示例

下面是保護(hù)策略實(shí)施案例，供參考：

1、轉(zhuǎn)矩反饋異常

故障描述：實(shí)際轉(zhuǎn)矩與命令轉(zhuǎn)矩偏差超過一定范圍時(shí)，進(jìn)行故障計(jì)數(shù)，同時(shí)，偏差在正常范圍內(nèi)，故障計(jì)數(shù)值需要減少。根據(jù)故障計(jì)數(shù)值達(dá)到不同閾值進(jìn)行分級處理，故障分級閾值可以進(jìn)行標(biāo)定。轉(zhuǎn)矩異常的原因可能是初始旋變位置錯(cuò)誤或者電機(jī)參數(shù)不正常。

故障處理策略：

1）1 級故障進(jìn)行降額處理，降額系數(shù)可標(biāo)定，如果計(jì)數(shù)值小于故障閾值表示此故障可以進(jìn)行恢復(fù)。取消降額保護(hù)。

2）3 級故障根據(jù)當(dāng)前轉(zhuǎn)速信息進(jìn)行關(guān)管封脈沖或者主動短路處理，當(dāng)轉(zhuǎn)速降低到一定轉(zhuǎn)速時(shí)，主動短路狀態(tài)建議進(jìn)入低壓上電完成后的初始狀態(tài)。

2、CAN 通訊故障

故障描述：

1）超時(shí)監(jiān)控。通過檢測同ID 報(bào)文的Livecounter 計(jì)數(shù)值來進(jìn)行監(jiān)控，當(dāng)Livercounter的不連續(xù)的情況出現(xiàn)一次，則記一次故障計(jì)數(shù)，當(dāng)故障計(jì)數(shù)在一定時(shí)間內(nèi)出現(xiàn)一定次數(shù)，則報(bào)出通訊失效故障，否則清0 故障計(jì)數(shù)值。

2）探測總線通信失效，發(fā)送信息回讀。MCU 從總線上回讀已發(fā)送信息并與原始信息做比較。MCU 發(fā)送一幀特殊信息幀給整車控制器，整車控制器經(jīng)過一個(gè)周期回復(fù)此信息，MCU 接收到之后進(jìn)行比較。如信息不一致，報(bào)出通訊故障。

3）用于探測幀丟失，幀計(jì)數(shù)器。MCU 接收整車報(bào)文時(shí)，整車發(fā)送給MCU 的報(bào)文，對同一幀ID，進(jìn)行計(jì)數(shù)每個(gè)單獨(dú)的安全相關(guān)幀包含一個(gè)作為信息一部分的計(jì)數(shù)器。在生成每個(gè)連續(xù)幀時(shí)計(jì)數(shù)器值增加(翻轉(zhuǎn))。MCU 隨后能通過驗(yàn)證計(jì)數(shù)器的值是否增加了1 來探測任何的幀丟失或者幀未更新。如果幀未更新的話，報(bào)出幀丟失故障。

故障保護(hù)策略：通訊故障報(bào)出后可以進(jìn)行降額處理，此故障在CAN 通訊監(jiān)測恢復(fù)后可以設(shè)置一定的扭矩恢復(fù)斜率，但是當(dāng)can 故障在一定時(shí)間內(nèi)多次出現(xiàn)故障后建議取消恢復(fù)機(jī)制。

3、微控制器故障（舉三個(gè)例子，依賴芯片本身的安全機(jī)制）

故障描述：

1）時(shí)鐘頻率監(jiān)測，MCU 提供內(nèi)部時(shí)鐘監(jiān)控功能，可以監(jiān)測芯片各模塊的時(shí)鐘信號。

芯片內(nèi)可以生成100MHz 的時(shí)鐘信號，獨(dú)立于PLL 系統(tǒng)工作。系統(tǒng)以這個(gè)時(shí)鐘為參考，生成一個(gè)參考計(jì)數(shù)器來校驗(yàn)其他模塊的時(shí)鐘。如果計(jì)數(shù)器有溢出，則說明發(fā)生錯(cuò)誤?？梢詸z測到計(jì)數(shù)器要么低于下限值（時(shí)鐘過慢）要么高于上限值（時(shí)鐘過快）。

2）靜態(tài)隨機(jī)存取存儲器的錯(cuò)誤探測糾錯(cuò)碼，靜態(tài)隨機(jī)存取存儲器可以執(zhí)行4 個(gè)代碼間距的錯(cuò)誤代碼修正，修正單字節(jié)錯(cuò)誤和檢測雙字節(jié)錯(cuò)誤。

3）程序存儲器錯(cuò)誤探測糾錯(cuò)碼，為了預(yù)防數(shù)據(jù)損壞，程序存儲器中數(shù)據(jù)包含錯(cuò)誤探測糾錯(cuò)碼。在程序存儲器中數(shù)據(jù)可以進(jìn)行兩個(gè)位誤差校正，三個(gè)位錯(cuò)誤檢測。

故障保護(hù)策略：根據(jù)芯片手冊查詢相關(guān)安全機(jī)制同時(shí)和硬件外圍電路的設(shè)計(jì)相關(guān)。

4、高壓電容快速放電故障

故障描述：當(dāng)主動放電時(shí)間超過3 秒鐘，且母線電壓未降低到放電要求電壓時(shí)，報(bào)放電超時(shí)。

故障保護(hù)策略：退出放電模式，或者切入其他放電模式，建議采用電機(jī)放電和電阻放電的其中一種方案。

5、控制器直流側(cè)短路

故障描述：當(dāng)檢測到直流側(cè)發(fā)生短路時(shí)，報(bào)出故障。

故障保護(hù)策略：控制器一般報(bào)出Desat 故障，驅(qū)動芯片會關(guān)掉IGBT，如果進(jìn)入三相短路狀態(tài)，需要知道當(dāng)前是哪個(gè)管報(bào)的Desat 故障，轉(zhuǎn)速較低時(shí)，可以采用封脈沖處理。

6、控制器交流側(cè)短路

故障描述：分為相間短路、對殼體短路，對母線正或者對母線負(fù)短路，當(dāng)交流傳感器檢測到過流或者其他驅(qū)動芯片報(bào)Desat 故障。

故障保護(hù)策略：過流故障根據(jù)當(dāng)前轉(zhuǎn)速信息進(jìn)入關(guān)管封脈沖或者主動短路的處理策略，當(dāng)轉(zhuǎn)速降低到一定值時(shí)，主動短路可以退出并進(jìn)入關(guān)管狀態(tài)。Desat 故障同上。其中對殼體短路，一般會檢測出三相電流之和較大不合理。

7、自檢異常

故障描述：MCU 檢測異常。

故障保護(hù)策略：報(bào)自檢故障，禁止執(zhí)行預(yù)充操作。自檢時(shí)間整車廠一般會明確要求。

此外根據(jù)整車廠單獨(dú)要求會添加自學(xué)習(xí)功能，那么就要考慮自學(xué)習(xí)時(shí)間和自學(xué)習(xí)失敗的報(bào)警。

8、過壓(高壓)

故障描述：母線檢測電壓高于過壓閾值。

故障保護(hù)策略：

1）一級過壓：隨著電壓升高，電機(jī)響應(yīng)扭矩線性降低。

2）二級過壓：電機(jī)響應(yīng)扭矩保持為0。

3）三級過壓：三相短路。當(dāng)轉(zhuǎn)速降低到一定值時(shí)，主動短路可以退出并進(jìn)入關(guān)管狀態(tài)。避免車輛靜止?fàn)顟B(tài)還處于三相短路中，導(dǎo)致IGBT 燒毀。

9、欠壓(高壓)

故障描述：母線檢測電壓低于過壓閾值。

故障保護(hù)策略：

1）一級欠壓：隨著電壓降低，電機(jī)響應(yīng)扭矩線性降低。

2）二級欠壓：電機(jī)響應(yīng)扭矩保持為0。

10、斷路/開路(高壓)

故障描述：當(dāng)檢測到斷路/開路時(shí)，報(bào)出故障，交流側(cè)斷路可以檢測三相不平衡。

故障保護(hù)策略：根據(jù)當(dāng)前轉(zhuǎn)速信息進(jìn)入關(guān)管封脈沖或者主動短路的處理策略，當(dāng)轉(zhuǎn)速降低到一定值時(shí)，主動短路可以退出并進(jìn)入關(guān)管狀態(tài)。

11、過流(高壓)

故障描述：當(dāng)檢測到過流時(shí)，報(bào)出故障。

故障保護(hù)策略：根據(jù)當(dāng)前轉(zhuǎn)速信息進(jìn)入關(guān)管封脈沖或者主動短路的處理策略，當(dāng)轉(zhuǎn)速降低到一定值時(shí)，主動短路可以退出并進(jìn)入關(guān)管狀態(tài)。

12、驅(qū)動電機(jī)過溫保護(hù)

故障描述：電機(jī)溫度檢測高于過溫閾值，這里需要注意在熱安全中有提及，電機(jī)轉(zhuǎn)子溫度需要有必要的監(jiān)控手段。

故障保護(hù)策略：

1）一級過溫：隨著電機(jī)溫度上升，電機(jī)響應(yīng)扭矩線性降低。

2）二級過溫：電機(jī)響應(yīng)扭矩為0。

3）三級過溫：根據(jù)當(dāng)前轉(zhuǎn)速信息進(jìn)入關(guān)管封脈沖或者主動短路的處理策略，當(dāng)轉(zhuǎn)速降低到一定值時(shí)，主動短路可以退出并進(jìn)入關(guān)管狀態(tài)。

13、驅(qū)動電機(jī)控制器過溫保護(hù)

故障描述：控制器溫度檢測高于過溫閾值。

故障保護(hù)策略：

1）一級過溫：隨著電機(jī)控制器溫度上升，電機(jī)響應(yīng)扭矩線性降低。

2）二級過溫：電機(jī)響應(yīng)扭矩為0。

3）三級過溫：根據(jù)當(dāng)前轉(zhuǎn)速信息進(jìn)入關(guān)管封脈沖或者主動短路的處理策略，當(dāng)轉(zhuǎn)速降低到一定值時(shí)，主動短路可以退出并進(jìn)入關(guān)管狀態(tài)。

14、驅(qū)動電機(jī)控制器低壓欠壓

故障描述：當(dāng)檢測到電機(jī)控制器低壓欠壓時(shí)，報(bào)出故障。

故障保護(hù)策略：根據(jù)當(dāng)前轉(zhuǎn)速信息進(jìn)入關(guān)管封脈沖或者主動短路的處理策略，當(dāng)轉(zhuǎn)速降低到一定值時(shí)，主動短路可以退出并進(jìn)入關(guān)管狀態(tài)。

15、旋變故障

故障描述：

1）SIN/COS 超出范圍（幅值超限）(DOS)；

2）EXC 短路、開路，EXC 的相位和SIN/COS 相位超范圍（LOT）；

3）SIN/COS 短路、開路（LOS）；

4）SIN/COS 正弦度不好（DOS）；

5）SIN/COS 大小波（包絡(luò)幅值周期性變化）(DOS)。

故障處理策略：進(jìn)行故障計(jì)數(shù)，同時(shí)，偏差在正常范圍內(nèi)，故障計(jì)數(shù)值需要減少。根據(jù)故障計(jì)數(shù)值達(dá)到不同閾值進(jìn)行分級處理，故障分級閾值可以進(jìn)行標(biāo)定。

1）1 級故障進(jìn)行降額處理，降額系數(shù)可標(biāo)定，如果計(jì)數(shù)值小于故障閾值表示此故障可以進(jìn)行恢復(fù)，取消降額保護(hù)。

2）3 級故障根據(jù)當(dāng)前轉(zhuǎn)速信息進(jìn)行關(guān)管封脈沖或者主動短路處理，當(dāng)轉(zhuǎn)速降低到一定轉(zhuǎn)速時(shí)，主動短路應(yīng)當(dāng)退出進(jìn)入關(guān)管狀態(tài)。

16、位置信息檢測異常

故障描述：電機(jī)在轉(zhuǎn)矩控制過程中，不管是根據(jù)外部解碼芯片得到的位置信息，還是MCU 本身自帶的軟件解碼功能得到的位置信息，都建議與估算轉(zhuǎn)子位置進(jìn)行二次校驗(yàn)。保證轉(zhuǎn)子位置信息的正確性。

故障處理策略：當(dāng)檢測到轉(zhuǎn)子位置偏差較大時(shí)，根據(jù)當(dāng)前轉(zhuǎn)速選擇策略，需要切換無位置傳感器控制算法并降低扭矩輸出還是進(jìn)入三相短路保護(hù)狀態(tài)。

17、驅(qū)動電機(jī)超速

故障描述：當(dāng)檢測到電機(jī)轉(zhuǎn)速超過超速閾值時(shí)，報(bào)出故障。

故障保護(hù)策略：

1）一級超速：隨著電機(jī)轉(zhuǎn)速上升，電機(jī)響應(yīng)扭矩線性降低。

2）二級超速：電機(jī)響應(yīng)扭矩為0。

3）三級超速：三相短路當(dāng)轉(zhuǎn)速降低到一定轉(zhuǎn)速時(shí)，主動短路應(yīng)當(dāng)退出進(jìn)入關(guān)管狀態(tài)。

18、12V/24V 供電丟失或者異常

故障描述：

1）無供電、毛刺、震蕩、偏移；

2）過壓；

3）欠壓。

故障處理策略：芯片檢測到供電異常切入備用12V/24V 電源，如果沒有備用電源則考慮延遲下電來進(jìn)行降額停機(jī)處理。

19、PWM 輸出異常

故障描述：

1）常開；

2）缺相（無輸出）；

3）頻率漂移；

4）占空比漂移；

5）上升下降沿漂移。

故障處理策略：根據(jù)當(dāng)前轉(zhuǎn)速信息進(jìn)行關(guān)管封脈沖或者主動短路處理，當(dāng)轉(zhuǎn)速降低到一定轉(zhuǎn)速時(shí)，主動短路應(yīng)當(dāng)退出進(jìn)入關(guān)管狀態(tài)。

20、IGBT 功率輸出模塊異常

故障描述：

1）短路；

2）過壓（母線電壓主接觸器斷開、集成電感過大）；

3）過流（負(fù)載過大導(dǎo)致過流）；

4）開路。

故障處理策略：根據(jù)當(dāng)前轉(zhuǎn)速信息進(jìn)行關(guān)管封脈沖或者主動短路處理，當(dāng)轉(zhuǎn)速降低到一定轉(zhuǎn)速時(shí)，主動短路應(yīng)當(dāng)退出進(jìn)入關(guān)管狀態(tài)。

21、IGBT 結(jié)溫過高

故障描述：控制器借助IGBT 損耗等信息進(jìn)行結(jié)溫估算，當(dāng)超過一定閾值時(shí)，進(jìn)行故障處理。

故障處理策略：

1）一級過溫：隨著電機(jī)控制器溫度上升，電機(jī)響應(yīng)扭矩線性降低。

2）二級過溫：電機(jī)響應(yīng)扭矩為0。

3）三級過溫：根據(jù)當(dāng)前轉(zhuǎn)速信息進(jìn)入關(guān)管封脈沖或者主動短路的處理策略，當(dāng)轉(zhuǎn)速降低到一定值時(shí)，主動短路可以退出并進(jìn)入關(guān)斷狀態(tài)。