1 引言

　　電機(jī)控制系統(tǒng)是電動(dòng)汽車(chē)的重要組成部分。電機(jī)控制系統(tǒng)的可靠性對(duì)電動(dòng)汽車(chē)的安全尤為重要。ISO26262定義的汽車(chē)安全完整性等級(jí)，把整車(chē)的安全目標(biāo)由低到高劃分為ASIL A、ASIL B、ASIL C和ASIL D四個(gè)等級(jí)。根據(jù)整車(chē)安全目標(biāo)分解的功能安全需求并對(duì)應(yīng)到相關(guān)零部件，可知電機(jī)控制系統(tǒng)相關(guān)的功能安全需求至少要滿(mǎn)足ASIL C的安全等級(jí)，才能符合整車(chē)的功能安全目標(biāo)。然而傳統(tǒng)電機(jī)控制器是由單個(gè)電機(jī)控制芯片做處理器，往往很難達(dá)到ASIL C。故本文給出了一種純電動(dòng)汽車(chē)電機(jī)控制系統(tǒng)安全監(jiān)控的設(shè)計(jì)方案，通過(guò)增加一個(gè)安全監(jiān)控芯片CIC61508 來(lái)對(duì)電機(jī)控制芯片進(jìn)行監(jiān)控，提升了系統(tǒng)的安全等級(jí)，使其達(dá)到ASIL C的標(biāo)準(zhǔn)，從而滿(mǎn)足汽車(chē)安全方面日益增長(zhǎng)的要求。

　　2 安全監(jiān)控功能系統(tǒng)架構(gòu)

　　本文所述的純電動(dòng)汽車(chē)電機(jī)控制系統(tǒng)安全監(jiān)控功能分為兩級(jí)——硬件級(jí)和軟件級(jí)。

　　硬件級(jí)的安全監(jiān)控功能系統(tǒng)架構(gòu)包括控制電機(jī)運(yùn)行的電機(jī)控制芯片、安全監(jiān)控芯片、監(jiān)測(cè)電機(jī)控制芯片供電電壓的電源監(jiān)控模塊、監(jiān)測(cè)直流電壓的電壓監(jiān)控模塊、監(jiān)測(cè)電機(jī)相電流的電流監(jiān)控模塊、監(jiān)測(cè)逆變器溫度的溫度監(jiān)控模塊以及硬件看門(mén)狗模塊等。

　　圖1 電機(jī)控制系統(tǒng)硬件級(jí)安全監(jiān)控結(jié)構(gòu)圖

　　軟件級(jí)的安全監(jiān)控功能包括在電機(jī)控制芯片中實(shí)現(xiàn)的電壓監(jiān)控、電流監(jiān)控、溫度監(jiān)控、速度監(jiān)控、扭矩監(jiān)控、功率監(jiān)控、模式監(jiān)控、通訊監(jiān)控以及在安全監(jiān)控芯片中實(shí)現(xiàn)的安全監(jiān)控調(diào)用程序。

　　3 軟硬件設(shè)計(jì)

　　3.1 硬件系統(tǒng)設(shè)計(jì)

　　3.1.1 電機(jī)控制芯片的選型

　　電機(jī)控制芯片選擇的是Infineon公司的32位TriCore系列的TC1782高性能微處理器。TC1782在功耗、運(yùn)算能力、存儲(chǔ)空間、數(shù)字量模擬量輸入輸出以及CAN通訊等方面均有良好的表現(xiàn)，并具有較高的性?xún)r(jià)比，非常適用于電動(dòng)汽車(chē)電機(jī)控制系統(tǒng)。

　　圖2 電機(jī)控制系統(tǒng)軟件級(jí)安全監(jiān)控結(jié)構(gòu)圖

　　3.1.2 安全監(jiān)控芯片的選型

　　安全監(jiān)控芯片采用Infineon CIC61508芯片。CIC61508安全監(jiān)測(cè)芯片封裝尺寸很小，使用起來(lái)節(jié)省空間，是安全應(yīng)用領(lǐng)域的高性?xún)r(jià)比之選。安全監(jiān)測(cè)電路通過(guò)檢測(cè)電機(jī)控制芯片的時(shí)鐘、電源和與溫度相關(guān)的計(jì)算誤差等常見(jiàn)故障模式來(lái)監(jiān)測(cè)電機(jī)控制芯片的工作狀況。

　　CIC61508

　　3.1.3 硬件電路設(shè)計(jì)

　　電機(jī)控制芯片TC1782分別通過(guò)兩組SPI與安全監(jiān)控芯片CIC61508以及旋變解碼芯片AU6803進(jìn)行通訊;通過(guò)GPIO接收或發(fā)送數(shù)字量;通過(guò)PWM通道發(fā)送六路PWM信號(hào)給門(mén)驅(qū)動(dòng)芯片;通過(guò)ADC模塊采樣電流、電壓、溫度等信息;通過(guò)CAN模塊與總線通訊。該硬件電路還包括電源模塊與看門(mén)狗模塊等。硬件電路原理圖如圖3所示。

　　圖3 硬件電路原理圖

　　3.2 軟件設(shè)計(jì)

　　3.2.1 設(shè)計(jì)原理

　　本文提出的安全監(jiān)控功能，通過(guò)硬件級(jí)與軟件級(jí)的兩級(jí)監(jiān)控來(lái)確保電機(jī)控制系統(tǒng)正常工作，包括對(duì)電機(jī)負(fù)載的監(jiān)控以及對(duì)電機(jī)控制芯片的監(jiān)控。

　　對(duì)電機(jī)負(fù)載監(jiān)控功能的原理是通過(guò)采樣的電流、電壓、溫度、位置等信號(hào)以及來(lái)自于硬件監(jiān)控電路的故障信息來(lái)判斷電機(jī)負(fù)載是否工作在正常狀態(tài)，一旦檢測(cè)出異常，電機(jī)控制系統(tǒng)即進(jìn)入到故障處理程序。

　　對(duì)于電機(jī)控制芯片的安全監(jiān)控功能是以電機(jī)控制芯片的自檢和CIC61508安全監(jiān)控芯片共同完成的。電機(jī)控制芯片會(huì)在開(kāi)機(jī)上電后自檢，測(cè)試各個(gè)模塊的配置是否正常，若異常則進(jìn)入到故障處理程序;在程序正常運(yùn)行過(guò)程中電機(jī)控制芯片會(huì)周期性對(duì)各個(gè)模塊的配置、內(nèi)存及控制任務(wù)進(jìn)行測(cè)試，同時(shí)，電機(jī)控制芯片會(huì)把特定的測(cè)試任務(wù)發(fā)給CIC61508安全監(jiān)控芯片測(cè)試，并將測(cè)試結(jié)果反饋給電機(jī)控制芯片。電機(jī)控制芯片將自身運(yùn)行的結(jié)果與反饋結(jié)果進(jìn)行比較，以此來(lái)判斷電機(jī)控制芯片的工作是否正常。

　　3.2.2 具體實(shí)現(xiàn)

　　電機(jī)控制芯片通過(guò)ADC模塊采樣傳感器供電電壓，芯片供電電壓，母線電流，母線電壓，A、C相的相電流，電機(jī)溫度，逆變器溫度等信號(hào);通過(guò)GPI接口接收來(lái)自硬件監(jiān)控電路的故障信息，主要有電機(jī)控制芯片供電電壓故障、直流電壓過(guò)壓故障、電機(jī)相電流過(guò)流故障、逆變器過(guò)溫故障、逆變器飽和故障、位置傳感器故障等;通過(guò)SPI接收電機(jī)位置信息與安全監(jiān)控芯片的信息。電機(jī)控制芯片通過(guò)SPI發(fā)送測(cè)試任務(wù)給安全監(jiān)控芯片，安全監(jiān)控芯片將測(cè)試結(jié)果反饋給電機(jī)控制芯片用于比對(duì)，若測(cè)試結(jié)果一致，則證明電機(jī)控制芯片工作正常，否則進(jìn)入故障處理程序。

　　CIC61508

　　4 工作過(guò)程

　　電機(jī)控制系統(tǒng)安全監(jiān)控算法主流程圖如圖4所示，當(dāng)控制器開(kāi)機(jī)后：

　　第一步，對(duì)電機(jī)控制芯片各個(gè)模塊進(jìn)行初始化配置，使各個(gè)模塊配置在正常工作時(shí)的狀態(tài)，初始化結(jié)束后判斷各模塊初始化的狀態(tài)，若有初始化失敗的模塊，報(bào)出模塊故障代碼，進(jìn)入故障模式。

　　圖4 安全監(jiān)控算法流程圖

　　圖5 自檢算法流程圖

　　第二步，對(duì)電機(jī)控制芯片各個(gè)模塊進(jìn)行自檢。如圖5所示，自檢程序會(huì)對(duì)內(nèi)存、IO模塊、AD采樣模塊、通信模塊、PWM模塊、看門(mén)狗等模塊進(jìn)行測(cè)試，具體測(cè)試如下：

　　內(nèi)存測(cè)試：主要對(duì)程序使用到的RAM、ROM、Flash進(jìn)行測(cè)試，校驗(yàn)RAM是否工作正常，ROM中軟件是否被改動(dòng)，讀取是否正常;

　　IO模塊測(cè)試：測(cè)試IO模塊工作是否正常，IO控制單元配置是否正確;

　　AD采樣模塊測(cè)試：測(cè)試AD采樣模塊工作是否正常，采樣頻率，通道選擇是否正確，控制單元設(shè)置是否正確;

　　通信模塊測(cè)試：測(cè)試CAN通信、SPI通信模塊是否工作正常，波特率設(shè)置是否正確，模塊配置是否正確，和安全監(jiān)控芯片通信是否正常，安全監(jiān)控芯片工作是否正常;

　　PWM模塊測(cè)試：測(cè)試PWM模塊工作是否正常，時(shí)鐘設(shè)置是否正確，輸出通道配置是否正確;

　　看門(mén)狗測(cè)試：測(cè)試看門(mén)狗定時(shí)，時(shí)間配置是否正確，能否正常工作。

　　如果這些測(cè)試通過(guò)，說(shuō)明各模塊工作正常，系統(tǒng)配置正確，滿(mǎn)足系統(tǒng)運(yùn)行條件，系統(tǒng)可以繼續(xù)運(yùn)行;若測(cè)試不通過(guò)，則需要記錄不通過(guò)的模塊錯(cuò)誤代碼，系統(tǒng)進(jìn)入故障模式，并把這個(gè)錯(cuò)誤代碼通過(guò)CAN發(fā)送出去。

　　當(dāng)這些測(cè)試都通過(guò)后，系統(tǒng)進(jìn)入正常周期運(yùn)行模式;若自檢不通過(guò)，系統(tǒng)報(bào)出自檢故障代碼，進(jìn)入故障模式。

　　第三步，系統(tǒng)周期控制任務(wù)。對(duì)電機(jī)控制的所有工作都在這部分完成，這部分也是傳統(tǒng)的電機(jī)控制部分。供電電源監(jiān)控、電壓監(jiān)控、電流監(jiān)控、溫度監(jiān)控、速度監(jiān)控和外部看門(mén)狗等監(jiān)控都在這部分完成，如果系統(tǒng)有故障，則報(bào)出故障代碼，進(jìn)入故障模式;若系統(tǒng)正常進(jìn)入下一步。

　　圖6 周期測(cè)試算法流程圖

　　第四步，系統(tǒng)周期測(cè)試任務(wù)，如圖6所示。周期測(cè)試任務(wù)是同時(shí)在電機(jī)控制芯片與安全監(jiān)控芯片中進(jìn)行的。周期測(cè)試任務(wù)開(kāi)始后，首先對(duì)電機(jī)控制芯片各個(gè)模塊的配置文件進(jìn)行檢測(cè)，測(cè)試各個(gè)模塊的配置是否被非法改動(dòng)，是否與正常配置一致;然后向安全監(jiān)控芯片發(fā)送特定的測(cè)試任務(wù)，安全監(jiān)控芯片收到任務(wù)后，按照預(yù)定的算法計(jì)算出測(cè)試結(jié)果反饋給電機(jī)控制芯片，這些測(cè)試任務(wù)可以根據(jù)實(shí)際的需要增加或者減少。電機(jī)控制芯片根據(jù)接收到的安全監(jiān)控芯片的測(cè)試結(jié)果判斷程序運(yùn)行是否正常，是否有非預(yù)期的運(yùn)行結(jié)果，如果測(cè)試結(jié)果通過(guò)，則系統(tǒng)進(jìn)入周期運(yùn)行模式，循環(huán)的運(yùn)行系統(tǒng)周期控制任務(wù)和周期測(cè)試任務(wù);若測(cè)試不通過(guò)，則報(bào)出故障代碼，同時(shí)系統(tǒng)進(jìn)入故障模式。

　　5 結(jié)論

　　電機(jī)驅(qū)動(dòng)系統(tǒng)安全監(jiān)控功能不但能夠?qū)崟r(shí)監(jiān)控電機(jī)負(fù)載的運(yùn)行情況，而且還能對(duì)電機(jī)控制芯片的運(yùn)行狀態(tài)進(jìn)行監(jiān)控，及時(shí)發(fā)現(xiàn)故障并處理，故障診斷全面，覆蓋率高，大大提高了電機(jī)驅(qū)動(dòng)系統(tǒng)運(yùn)行的安全性與可靠性。