純電動或混動動力汽車上的電機控制器MCU（Motor Control Unit），其主要功能就是將電池的高壓直流電，轉換為交流電，來驅動電機運行。作為電動汽車傳動鏈上的重要一環，如果MCU失效，直接威脅到人員的生命安全。這就是所謂的功能安全問題，國際上也有相關的ISO 26262標準，國內對應的是GBT 34590。

現在功能安全話題很熱門，出門交流不談功能安全，就顯得自己外行一樣。那什么是功能安全？用人話解釋就是，電子器件組成的MCU，在工作過程中，如果任何軟硬件出了問題，產生的后果都不應該威脅到人身安全。

如上圖所示，MCU的主要作用就是用矢量控制驅動電機運行，要實現矢量控制就要檢測電機電流、電池電壓和電機轉子位置等信號。另外MCU通過CAN通訊來接收VCU的指令、反饋本身的運行狀態。

通常硬件設計和功能安全相關的目標有兩個：

1、降低隨機失效（器件老化）和系統失效（人為設計）；

2、如果出現隨機失效后，系統能達到安全狀態，同時盡量消除系統失效。

可以這樣簡便但不嚴謹的來區分隨機失效和系統失效，隨機失效就是找不到根本原因的、不可復現的，系統失效是能復現的、能找到根本原因的。

降低隨機失效通常的原則是監控、冗余、分散、診斷等。

消除系統失效通常的原則是跟蹤設計需求、模塊化設計等，主要是加強設計流程的管理。

安全狀態

MCU如果失效后，希望其能進入一種安全的狀態，在安全狀態下，MCU不會損壞，同時電機不會產生非預期的轉矩。

電動汽車上MCU控制的電機通常是永磁電機，永磁電機是感性負載，而且高速下有危險的反電動勢存在，所以MCU故障后，并不能僅僅通過IGBT開路來達到安全的狀態。常用的安全狀態有如下兩種：

a. 主動短路ASC（Active short circuit）

通過同時開通三相橋的全部上管或全部下管，將電機的三相繞組短路。電機短路后，反電動勢不會影響MCU的直流端，高壓安全。但電機會有短路電流，通常情況下該電流不會超過電機的峰值電流，短時間不會影響電機和MCU的發熱。電機有了電流，會產生一定的制動轉矩。另外，如何短路也有一定的學問，要避免產生過高的瞬態短路電流。

b. 續流Freewheeling

也即三相橋的六個管子均關閉，電機通過反并聯二極管將自身的能量輸送到直流端，相當于三相不控整流。直流電壓值和電機反電動勢1.414倍關系。為了人身安全，只能在低轉速下才能進入該安全狀態，否則整流的高壓也很危險。

故障監控和問詢式開門狗

對于如MCU之類重要的應用，故障監控（過壓、欠壓、復位等）需要獨立于主CPU做冗余，也即在主CPU之外，多一個CPU做故障的冗余監控。現在很多芯片廠家都有多核的控制芯片，主芯片用于實現基本的控制功能和保護功能，副芯片用于做冗余監控。

這里介紹一種用CPLD做冗余監控的案例。CPLD會監控驅動芯片產生的IGBT過壓、過流，同時監控控制弱電的電壓故障，若故障發生，則快速的封鎖PWM信號，保護IGBT。同時它還定時查崗，通過SPI通訊的方式發送暗號，查看電源管理芯片和主CPU是否在工作狀態，如果發現有人不在崗，立即拉響警報，走綠色獨立通道，短路或開路PWM的方式，讓MCU快速進入ASC或Freewheeling安全狀態。

電流傳感器（冗余和差異）

電機控制需要知道電機電流值，理想情況下，三相電流之和為0，只要知道其中兩相電流，就可以計算出第三相電流。所以從低成本設計的思路，用兩個電流傳感器就夠了。

Ia+Ib+Ic=0

如果用兩個傳感器，就會帶來某種失效情況下，過流檢測不到。比如我們只用兩個傳感器檢測A和B相電流，然后B相傳感器壞了，同時B相和C相短路，BC間流過大電流，現在MCU能準確知道的僅僅A相電流值，而且還是正常的，根本不能檢測到過流故障。所以從冗余的角度，需要采用三個電流傳感器（安全需要付出代價）。

另外，三個傳感器不能采用同一個廠家的，因為同一個廠家的產品設計參數都是一樣的，有可能因為同一個原因失效（共因失效），比如EMI。所以通常將其中一個傳感器選擇第二供應商的產品。這樣通過差異，降低了共因失效的風險。

MCU可以用三級來實現過流保護，分別應對不同的場景。

1、通過CPU的定時ADC采集。該采樣頻率較低，通常為百us級，只能通過軟件判斷，應對一些電機過載。

2、通過硬件的運放比較。電流傳感器的值通過和某一閾值電平比較，輸出硬件過流信號，再由CPLD處理。通常響應速率為十幾us級，能應對一些接地短路故障。

3、驅動級。通過驅動芯片，監控IGBT的Vce電壓，實現過流保護。通常響應速率為ns至us級，能應對IGBT驅動故障、MCU內部短路等。

旋變（冗余和差異）

要取得轉子位置和轉速，需要給旋變激勵正弦信號，然后從旋變反饋的正余弦信號中提取所需信息。傳統的做法是用一片旋變芯片（如1210），完成解碼功能，CPU需要做的僅僅是定期去讀取轉速和位置信號，但這沒有冗余，不符合功能安全。

這里給的一種的方案是完全不用解碼芯片，CPU自己完成軟解碼。

CPU輸出PWM信號，通過硬件低通濾波和放大，形成旋變的正弦激勵信號。旋變的激勵和反饋的正余弦信號，均送給CPU的ADC引腳，軟件讀取后內部進行解碼和鎖相，得到轉子位置和轉速，用于電機控制。

為了實現冗余和差異，模擬信號會送給ADC的不同轉換通道，由不同的AD轉換器實現轉換。同時模擬信號還會送至監控芯片，用于評估信號完整性。