符合功能安全ASIL-D的汽车牵引逆变器设计
1
安全目标及开发流程
功能安全的目标是将风险最小化到可接受的水平，风险定义为：发生损害的概率和该损害对人员的影响（以及在较小程度上对设备和环境的影响）；
常用降低风险的措施分为故障避免、故障检测和故障处理措施；
iso26262中阐述的v模型，非常经典；
对于功能安全的开发，从概念阶段的项目定义开始，经过危害分析及影响，形成技术安全需求，再到具体的软硬件开发，验证及生产及生产后的管理；
全流程主要分概念阶段，开发阶段，量产阶段，如下：
这里说明一下，item definition，则是我们具体设计/分析的产品的系统或子系统，它是我们进行安全设计的对象，或载体，比如本文重点描述的电机牵引逆变器；
2
概念阶段的核心思想和关键词
确认目标对象后，分析其功能需求，子系统及和外部系统的交互
牵引逆变器接收来自整车控制器(vcu)的命令，完成电机状态的控制；
明确对象的危险分析及风险评估(hara:hazards analysis and risk assesment)，提出安全目标(sg:safety goal)，这里的sg的衡量标准就是大家常听到asil-a/b/c/d，比如
非驾驶员意图的加速、刹车；在低速/高速，城市/高速等不同状态下可能导致的伤害是轻微碰撞/验证碰撞
安全目标：保证输出的加速扭矩不超过给定量的5%，最大不超过50 nm；
由safty goal，抽象细化出功能安全需求(fsr，functional safety requirements)，比如
fsr1：获取当前电机转速，对转速获取全链路进行监测，及对比校验；
fsr2: 当识别到的输出扭矩超过给定扭矩5%，在1us内将三相桥臂开关切换至安全状态
基于功能安全需求进行拆分，得出软硬件的技术安全需求（tsr，technical safety requirements）
3
牵引逆变器的考虑
牵引逆变器在新能源汽车中的主要作用，是基于整车控制器(vcu)给出的扭矩指令，控制电机的运行：
加速电机；
制动电机，回馈能量；
对于电池供电的电动车，电机通用通过一个8:1或10:1的变速箱连接到车轮；
因此，主要的危害有：非预期的过度牵引，非预期的制动，以及高压电击；
这些危害被整车厂识别，并标识以asil-b，asil-d不同的安全级别（asil，automotive safety integrity level）
因此，在本文的分析中，安全目标(safty goal)考虑如下：
sg1：避免加速扭矩超过50nm，或超过+5%的预期控制扭矩（asil-d，ftti=200ms）
sg2：避免制动扭矩超过50nm，或超过+5%的预期制动扭矩
牵引逆变器的典型控制流程如下
vcu通过can总线，向处理单元发送扭矩控制指令
处理单元收到扭矩控制指令
处理单元基于当前的电机运行状态（通过传感器获取），以及收到的控制指令，计算出需要输出的pwm占空比；
驱动电路基于pwm占空比驱动桥臂开关
处理器测量系统的状态，包括电流，电机轴位置，电机转速，电压等，完成闭环控制
下面，将基于iso26262的理论和要求，介绍安全目标，功能需求，技术需求，硬件需求，软件需求
4
执行-检查的处理架构
在处理器域，导致违反sg1和sg2安全目标的主要的失效机制，可以总结为：
通信的失效，或者计算的失效；本文不讨论通信的失效，这类失效一般通过对can通信消息的数据完整性校验来实现；
上图中执行-检查架构，用于预防处理器的计算失效；
架构中，执行单元实现了主要电机控制需要功能，包括foc控制算法，电机控制算法，数学计算库等；
检查单元负责检查非安全状况并保证系统运行在安全状态；
架构中，执行单元聚焦在功能及性能，检查单元聚焦实现安全目标；在iso26262的定义里意味着，执行单元只需要符合qm（quality managed）标准，而检查单元需要符合asil-d的标准；
在本文研究中，我们将检查单元的功能以及需求，提炼并在名叫安全管理(safety manager)的系统单元中；
如上图，结合nxp公司的mpc5775e微控制器，以及fs65功能安全sbc（system basic chip），可以轻松的实现执行-检查的安全架构；
我们将执行器的工作分配给core 0(non-lockstep)，将安全管理的工作分配给cpu1(lockstep)；
常见的两个内核的失效，通过mpc5775e内部的安全机制检查，或者通过外部的安全sbc fs65检查，这些机制可以包括故障收集及控制单元，时钟监控单元，电源管理单元，内存保护单元，这些单元可以运行在fs sbc上；安全单元的失效，需要再通过监控fs65实现，并在识别出故障或失效时候，控制系统进入安全状态（通过直接配置电机控制接口）；
逆变器的安全运行状态的机制，可以通过灵活的，模块化的方式，在nxp的安全概念指引下实现；
5
永磁同步电机控制接口的安全概念
针对电动汽车的一个限制，是永磁同步电机电机运行产生的高反电动势；在高速运行情况下，如果永磁同步电机的相绕组处于断开状态，如下图所示
那么将可能导致高于电池电压的反电动势,这将引起可再生的电流，以及非预期的制动扭矩；为了防止这个危害，系统需要短路桥臂所有的高边开关，或者所有的低边开关
上述的应用安全需求，可以通过如下架构实现
一套独立的，用于控制高边以及低边开关的控制电路；
如果单点故障，可能导致高边或低边不可控制，系统将无法正常运行；
快速的短路保护电路（上图a）
短路电路，可能永久性损害开关桥，并导致系统进入非安全状态；因为短路失效需要在非常短的时间内处理，mcu无法满足，因此需要通过门驱动电路gd3100来实现；
上层应用的诊断以及安全的应对措施（上图b）
电机控制接口的失效，可能的原因很多：电机相绕组，igbt开关，门驱动，分立的芯片，冷却系统，针对不同的原因，需要不同的应对措施；高边的失效保护需要快速将三相绕组短路到电池，而低边的开路保护则是短路到地gnd；gd3100门驱动电路是基于asil-d级别进行开发的，因此其内部有丰富的自诊断机制，能够检查出99%的内部故障，并可以通过冗余的通信机制通知到mcu的安全管理单元
反应通道（上图c）
当mcu接收到故障上报，内部的安全管理逻辑可以决策出最合适的安全状态；并通过gd3100专门的io引脚进行控制；整个决策和响应需要在~100us的ftti内；
nxp的gd3100门驱动是上述架构的重要组成，主要的差异特性有：
直接控制igbt/sic开关管；在降低整体失效率的同时，提供了一条独立的电机控制路径
快速的短路保护特性，对igbt的保护时间<2us，对sic则更快；
高诊断覆盖率：gd3100基于iso26262进行设计，针对内部故障，内部自检测试以及crc校验有高覆盖率；
6
通信以及传感器的安全概念
为了实现闭环，电机控制算法需要采样电流，电机的转子角度以及电池的电压；如果如上的传感器信息采集有错误，将直接影响输出给电机的指令；因此，对于传感器的安全需求，是针对传感器传输全链路的故障诊断，包括传感器，放大调理单元，模拟数字转换，以及传感器数据的预处理等；
本文，我们以电机位置传感器为例阐述；方法论和电流以及电压采样的类似；
系统采用固定在转轴上的旋转变压器，放大调理电路，以及解码模块（etpu）；etpu是基于处理器及定时器完成的位置解码算法模块；这个架构的优势在于避免浪费cpu0的算力；
转速反馈的全流程说明：
etpu产生旋转变压器的激励信号
物理相位相差90°c的两个绕组，感应出sin/cos两路信号；
sigma delta adcs采样两路经过调理放大后的信号，并与激励信号完成同步；处理完成的结果，存储在etpu的ram中；
信号基于观测器模型进行处理，解调后得到角度及速度信息；
计算得到的角度传递给电机控制算法
位于安全内核cpu1的rdc检测器，针对上述的信号链路进行监测及诊断；
输入监控的单元检查原始数据，并通过过零检测计算与激励信号的同步，信号的最大和最小幅度，单位向量；
整个检测功能可以识别出99%由于调理，绕组，激烈链路，sigma delta adc可能存在的硬件失效；
其中
ato检测功能，采用和etpu不同的角度计算方法，并运行合理性检测程序；它可以检测etpu的故障；
外推检测单元（extrapolation tracker）检查角度外推法可能存在的失效；
如何用一些不同的廉价材料来有效地替代导热膏？
VR为医疗带来了革命性的变化 VR医疗正在朝着更好的方向发展
浅谈单片机的发展趋势，单片机可以用来做些什么
新华三智能工厂成功实现并网发电
LIFI代替WiFi 有光线的地方就能上网
符合功能安全ASIL-D的汽车牵引逆变器设计
什么是VPU/TCP/Throughput?
国防与航空航天领域，益莱储测试方案一览
国产手机出货大减25.4%步入‘寒冬’
中兴事件后国内半导体产业在投融资上掀起高潮
一种基于GPRS通信的车辆检测器的设计与实现[图]
TDA16850各引脚功能及电压
狄耐克智能家居荣获“2019年度中国智能建筑行业十大匠心产品品牌企业”奖项
电动机保护断路器的瞬时脱扣电流值如何整定？
只见收并购，不见大整合，移动机器人市场未来如何发展？
硬件TWI使用及案例说明
LM3102同步整流降压转换器
Renesas仪表放大器的主要特征
NSFConverter软件的工作原理
工业网关数据采集方式是怎样的？
安全目标及开发流程
功能安全的目标是将风险最小化到可接受的水平，风险定义为：发生损害的概率和该损害对人员的影响（以及在较小程度上对设备和环境的影响）；
常用降低风险的措施分为故障避免、故障检测和故障处理措施；
iso26262中阐述的v模型，非常经典；
对于功能安全的开发，从概念阶段的项目定义开始，经过危害分析及影响，形成技术安全需求，再到具体的软硬件开发，验证及生产及生产后的管理；
全流程主要分概念阶段，开发阶段，量产阶段，如下：
这里说明一下，item definition，则是我们具体设计/分析的产品的系统或子系统，它是我们进行安全设计的对象，或载体，比如本文重点描述的电机牵引逆变器；
2
概念阶段的核心思想和关键词
确认目标对象后，分析其功能需求，子系统及和外部系统的交互
牵引逆变器接收来自整车控制器(vcu)的命令，完成电机状态的控制；
明确对象的危险分析及风险评估(hara:hazards analysis and risk assesment)，提出安全目标(sg:safety goal)，这里的sg的衡量标准就是大家常听到asil-a/b/c/d，比如
非驾驶员意图的加速、刹车；在低速/高速，城市/高速等不同状态下可能导致的伤害是轻微碰撞/验证碰撞
安全目标：保证输出的加速扭矩不超过给定量的5%，最大不超过50 nm；
由safty goal，抽象细化出功能安全需求(fsr，functional safety requirements)，比如
fsr1：获取当前电机转速，对转速获取全链路进行监测，及对比校验；
fsr2: 当识别到的输出扭矩超过给定扭矩5%，在1us内将三相桥臂开关切换至安全状态
基于功能安全需求进行拆分，得出软硬件的技术安全需求（tsr，technical safety requirements）
3
牵引逆变器的考虑
牵引逆变器在新能源汽车中的主要作用，是基于整车控制器(vcu)给出的扭矩指令，控制电机的运行：
加速电机；
制动电机，回馈能量；
对于电池供电的电动车，电机通用通过一个8:1或10:1的变速箱连接到车轮；
因此，主要的危害有：非预期的过度牵引，非预期的制动，以及高压电击；
这些危害被整车厂识别，并标识以asil-b，asil-d不同的安全级别（asil，automotive safety integrity level）
因此，在本文的分析中，安全目标(safty goal)考虑如下：
sg1：避免加速扭矩超过50nm，或超过+5%的预期控制扭矩（asil-d，ftti=200ms）
sg2：避免制动扭矩超过50nm，或超过+5%的预期制动扭矩
牵引逆变器的典型控制流程如下
vcu通过can总线，向处理单元发送扭矩控制指令
处理单元收到扭矩控制指令
处理单元基于当前的电机运行状态（通过传感器获取），以及收到的控制指令，计算出需要输出的pwm占空比；
驱动电路基于pwm占空比驱动桥臂开关
处理器测量系统的状态，包括电流，电机轴位置，电机转速，电压等，完成闭环控制
下面，将基于iso26262的理论和要求，介绍安全目标，功能需求，技术需求，硬件需求，软件需求
4
执行-检查的处理架构
在处理器域，导致违反sg1和sg2安全目标的主要的失效机制，可以总结为：
通信的失效，或者计算的失效；本文不讨论通信的失效，这类失效一般通过对can通信消息的数据完整性校验来实现；
上图中执行-检查架构，用于预防处理器的计算失效；
架构中，执行单元实现了主要电机控制需要功能，包括foc控制算法，电机控制算法，数学计算库等；
检查单元负责检查非安全状况并保证系统运行在安全状态；
架构中，执行单元聚焦在功能及性能，检查单元聚焦实现安全目标；在iso26262的定义里意味着，执行单元只需要符合qm（quality managed）标准，而检查单元需要符合asil-d的标准；
在本文研究中，我们将检查单元的功能以及需求，提炼并在名叫安全管理(safety manager)的系统单元中；
如上图，结合nxp公司的mpc5775e微控制器，以及fs65功能安全sbc（system basic chip），可以轻松的实现执行-检查的安全架构；
我们将执行器的工作分配给core 0(non-lockstep)，将安全管理的工作分配给cpu1(lockstep)；
常见的两个内核的失效，通过mpc5775e内部的安全机制检查，或者通过外部的安全sbc fs65检查，这些机制可以包括故障收集及控制单元，时钟监控单元，电源管理单元，内存保护单元，这些单元可以运行在fs sbc上；安全单元的失效，需要再通过监控fs65实现，并在识别出故障或失效时候，控制系统进入安全状态（通过直接配置电机控制接口）；
逆变器的安全运行状态的机制，可以通过灵活的，模块化的方式，在nxp的安全概念指引下实现；
5
永磁同步电机控制接口的安全概念
针对电动汽车的一个限制，是永磁同步电机电机运行产生的高反电动势；在高速运行情况下，如果永磁同步电机的相绕组处于断开状态，如下图所示
那么将可能导致高于电池电压的反电动势,这将引起可再生的电流，以及非预期的制动扭矩；为了防止这个危害，系统需要短路桥臂所有的高边开关，或者所有的低边开关
上述的应用安全需求，可以通过如下架构实现
一套独立的，用于控制高边以及低边开关的控制电路；
如果单点故障，可能导致高边或低边不可控制，系统将无法正常运行；
快速的短路保护电路（上图a）
短路电路，可能永久性损害开关桥，并导致系统进入非安全状态；因为短路失效需要在非常短的时间内处理，mcu无法满足，因此需要通过门驱动电路gd3100来实现；
上层应用的诊断以及安全的应对措施（上图b）
电机控制接口的失效，可能的原因很多：电机相绕组，igbt开关，门驱动，分立的芯片，冷却系统，针对不同的原因，需要不同的应对措施；高边的失效保护需要快速将三相绕组短路到电池，而低边的开路保护则是短路到地gnd；gd3100门驱动电路是基于asil-d级别进行开发的，因此其内部有丰富的自诊断机制，能够检查出99%的内部故障，并可以通过冗余的通信机制通知到mcu的安全管理单元
反应通道（上图c）
当mcu接收到故障上报，内部的安全管理逻辑可以决策出最合适的安全状态；并通过gd3100专门的io引脚进行控制；整个决策和响应需要在~100us的ftti内；
nxp的gd3100门驱动是上述架构的重要组成，主要的差异特性有：
直接控制igbt/sic开关管；在降低整体失效率的同时，提供了一条独立的电机控制路径
快速的短路保护特性，对igbt的保护时间<2us，对sic则更快；
高诊断覆盖率：gd3100基于iso26262进行设计，针对内部故障，内部自检测试以及crc校验有高覆盖率；
6
通信以及传感器的安全概念
为了实现闭环，电机控制算法需要采样电流，电机的转子角度以及电池的电压；如果如上的传感器信息采集有错误，将直接影响输出给电机的指令；因此，对于传感器的安全需求，是针对传感器传输全链路的故障诊断，包括传感器，放大调理单元，模拟数字转换，以及传感器数据的预处理等；
本文，我们以电机位置传感器为例阐述；方法论和电流以及电压采样的类似；
系统采用固定在转轴上的旋转变压器，放大调理电路，以及解码模块（etpu）；etpu是基于处理器及定时器完成的位置解码算法模块；这个架构的优势在于避免浪费cpu0的算力；
转速反馈的全流程说明：
etpu产生旋转变压器的激励信号
物理相位相差90°c的两个绕组，感应出sin/cos两路信号；
sigma delta adcs采样两路经过调理放大后的信号，并与激励信号完成同步；处理完成的结果，存储在etpu的ram中；
信号基于观测器模型进行处理，解调后得到角度及速度信息；
计算得到的角度传递给电机控制算法
位于安全内核cpu1的rdc检测器，针对上述的信号链路进行监测及诊断；
输入监控的单元检查原始数据，并通过过零检测计算与激励信号的同步，信号的最大和最小幅度，单位向量；
整个检测功能可以识别出99%由于调理，绕组，激烈链路，sigma delta adc可能存在的硬件失效；
其中
ato检测功能，采用和etpu不同的角度计算方法，并运行合理性检测程序；它可以检测etpu的故障；
外推检测单元（extrapolation tracker）检查角度外推法可能存在的失效；
如何用一些不同的廉价材料来有效地替代导热膏？
VR为医疗带来了革命性的变化 VR医疗正在朝着更好的方向发展
浅谈单片机的发展趋势，单片机可以用来做些什么
新华三智能工厂成功实现并网发电
LIFI代替WiFi 有光线的地方就能上网
符合功能安全ASIL-D的汽车牵引逆变器设计
什么是VPU/TCP/Throughput?
国防与航空航天领域，益莱储测试方案一览
国产手机出货大减25.4%步入‘寒冬’
中兴事件后国内半导体产业在投融资上掀起高潮
一种基于GPRS通信的车辆检测器的设计与实现[图]
TDA16850各引脚功能及电压
狄耐克智能家居荣获“2019年度中国智能建筑行业十大匠心产品品牌企业”奖项
电动机保护断路器的瞬时脱扣电流值如何整定？
只见收并购，不见大整合，移动机器人市场未来如何发展？
硬件TWI使用及案例说明
LM3102同步整流降压转换器
Renesas仪表放大器的主要特征
NSFConverter软件的工作原理
工业网关数据采集方式是怎样的？