新書搶先購｜《電動汽車動力電池系統(tǒng)設(shè)計與制造技術(shù)》火熱預(yù)購中

時間：2017/08/26

主講人：黃洪劍 上海大郡動力控制技術(shù)有限公司 副總工程師

主題：電機(jī)控制器可靠性和功能安全關(guān)鍵技術(shù)

主辦方：杭州水云間信息技術(shù)有限公司

整理：天風(fēng)電新楊藻團(tuán)隊

一、電機(jī)控制器可靠性概述

1.1 電機(jī)控制系統(tǒng)介紹

功能：接收整車控制器的指令,，驅(qū)動電機(jī)輸出制定的轉(zhuǎn)矩,；

電機(jī)控制器的力矩控制原理：

首先，從電機(jī)上通過電流傳感器取得相電流,，只需兩項電流就可以,；通過位置傳感器取得電機(jī)轉(zhuǎn)子為止；通過轉(zhuǎn)子位置和兩相電流進(jìn)行坐標(biāo)變換,，得到ID和IQ

然后,，通過PI調(diào)節(jié)器,，輸出D軸電壓和Q軸電壓，再通過坐標(biāo)變換變成Uα和Uβ,，通過PMW區(qū)域發(fā)生脈沖控制信號,，驅(qū)動電子電子裝置，給電機(jī)產(chǎn)生差不多正弦的電壓,。

1.1在整車中的應(yīng)用

整車壽命：20萬公里,，一般整車廠給的指標(biāo)20萬公里，有些更長,，現(xiàn)在有些要求50萬公里,；

工作使勁：10-15年，

電機(jī)控制器：8000-1萬小時

工作環(huán)境溫度：純電動車-40℃~80℃,；混合動力因為放置在發(fā)動機(jī)邊上,，所以上限溫度到了105℃。

溫度循環(huán)次數(shù)：主要和IGBT有關(guān)的要求,，2萬次以上

振動次數(shù)：如果放在發(fā)動機(jī)或者變速箱上,，回到18-20；一般3-5G,；

環(huán)境：各種各樣的環(huán)境都有,。

可以看出來，電機(jī)控制在整車應(yīng)用非常復(fù)雜,，工況本身循環(huán)反復(fù)波動,，工作歡迎和一般的工業(yè)應(yīng)用比起來非常惡劣，主要是溫度和振東很厲害,，長時間工作溫度比較高的環(huán)境,。因為放在車上，所以裝配的體積和重量也有嚴(yán)格的限制,。

1.2 電機(jī)控制器可靠性概述——可靠性的幾重定義

1）在規(guī)定條件下,、規(guī)定時間內(nèi)，無故障執(zhí)行規(guī)定的功能（自身功能以及不影響系統(tǒng)中其他部件正常工作）

2）在超出規(guī)定條件時（一定限度）,，及時輸出故障信號,，進(jìn)入故障保護(hù)模式，自身不損壞,；

3）自身發(fā)生故障時,，及時輸出故障信號，進(jìn)入故障保護(hù)模式,，自身以及外部系統(tǒng)不發(fā)生次生硬件損壞,；

4）外部相關(guān)對象發(fā)生故障時，及時輸出故障信號,、進(jìn)入故障保護(hù)模式,，自身以及外部系統(tǒng)不發(fā)生次生硬件損壞,；

5）發(fā)生故障時（內(nèi)部、外部）,，對系統(tǒng)影響較小,，（功能受限狀態(tài)→無功能但未造成其他損害→無功能但不影響安全）

6）預(yù)見故障的發(fā)生，在故障影響較小提前報警,。

二,、可控性設(shè)計與驗證

下面講一些與可靠性有關(guān)的技術(shù)

2.1 可靠性設(shè)計與驗證——IGBT壽命

IGBT在控制器里應(yīng)該是最關(guān)鍵的一個部件，IGBT失效的因素很多,，比如機(jī)械失效（連接線,、焊接層、塑殼段子等）,、電器失效（過溫,、過壓、過流等）,，其他失效,。

這種圖來源于IGBT廠商的一張圖，

2.2 可靠性設(shè)計與驗證——IGBT壽命計算

IGBT壽命以循環(huán)工作次數(shù)來衡量的,，IGBT壽命δT結(jié)——結(jié)溫變化的次數(shù),。評估IGBT壽命計算方法，下圖是絕大部分IGBT廠商用的方法：

首先：運行工況輸入,。對于IGBT廠商來說沒有工況輸入這個環(huán)節(jié),，主要是對整車廠來講，做控制器的時候有一個運行工況的輸入,。常規(guī)有幾種循環(huán)工況,，但不會只用一個，每種工況占有一定的比例,。

然后：根據(jù)運行工況、整車特性,、電機(jī)特性等,，計算得到對應(yīng)運行工況控制器的電壓、電流運行曲線,。

然后：根據(jù)控制器損耗模型,，確定IGBT損耗曲線；

然后：通過控制器熱模型確定IGBT結(jié)溫曲線,，到這一步得到了一個運行工況對應(yīng)的在整個生命周期中,，IGBT的結(jié)溫變化，這一步已經(jīng)可以計算IGBT壽命,。

然后：通過雨流計數(shù)法確定IGBT結(jié)溫變化值與循環(huán)次數(shù)的關(guān)系,。其實就是把不同結(jié)溫變化時間,，折算到一個固定的結(jié)溫下面，結(jié)合廠商提供的壽命曲線,，確定IGBT的壽命,。

這是整個計算過程。

如果簡單用這樣一個曲線來看,，按照要求的8000-10000小時,，按照整車廠工況數(shù)據(jù)折算下來，可能折算出幾十年,。從目前計算情況來看大概這樣,。實際情況，從整車這么多年跑下來經(jīng)驗數(shù)據(jù)來看,，也的確沒有因為這樣一個壽命造成電機(jī)損壞,。

2.3 可靠性設(shè)計與驗證——IGBT壽命評估

前面講到，根據(jù)實際計算情況和實際整車運行情況數(shù)據(jù)來看,，IGBT壽命遠(yuǎn)遠(yuǎn)大于實際的要求,。但正常情況，所有整車廠有要求,，會有耐久試驗,。控制器也會做這個試驗,。

1）仿真計算：通過計算得到全生命周期實際工況對應(yīng)的等價循環(huán)工作次數(shù),，查壽命曲線是否滿足IGBT壽命限制。

2）耐久試驗：模擬實際運行工況進(jìn)行全生命周期耐久試驗,，實驗過程監(jiān)控是否損壞,；

3）加速壽命試驗：

方法一：基于耐久試驗工作條件，不改變工況循環(huán),，提高水冷系統(tǒng)入口溫度,，從而提高ＩＧＢＴ工作溫度，此條件下的工作循環(huán)次數(shù)等價于數(shù)倍的正常耐久試驗條件下的工作循環(huán)次數(shù),，具體倍數(shù)需要根據(jù)運行條件進(jìn)行計算,，此方法受限于正常耐久試驗時水冷系統(tǒng)入口溫度要求，可能無法提升或提升有限（提升后可能控制器內(nèi)部器件溫度超標(biāo)無法正常工作）

方法二：基于耐久試驗工作條件,，不改變環(huán)境溫度和水冷系統(tǒng)入口溫度,，改變工況，提升負(fù)載（轉(zhuǎn)速,、轉(zhuǎn)矩）變化幅度和次數(shù),，平均負(fù)載與正常耐久試驗工況一致，使同等時間下等價循環(huán)工作次數(shù)提升,。從而在較短時間內(nèi)達(dá)到與正常耐久試驗等價的工作循環(huán)次數(shù),，此方法需要進(jìn)行仿真計算得到不同工況下等循環(huán)次數(shù),。

方法一與方法二的結(jié)合。

2.3 可靠性設(shè)計與驗證——IGBT結(jié)溫估算

IGBT結(jié)溫估算對于可靠性的意義

１,、結(jié)溫是判定ＩＧＢＴ是否安全工作的重要條件之一,，而ＮＴＣ相應(yīng)慢，不能正確,、及時反映結(jié)溫波動狀況,，通過結(jié)溫估計，得到ＩＧＢＴ實時的接吻狀況,，可以提前保護(hù),，避免ＩＧＢＴ過熱導(dǎo)致失效。

2,、通過結(jié)溫估算,，得到ＩＧＢＴ的結(jié)溫循環(huán)情況，進(jìn)而預(yù)估ＩＧＢＴ工作壽命,。

3,、通過ＩＧＢＴ損耗實時計算，聯(lián)合熱模型,，可評估散熱系統(tǒng)的狀態(tài)（導(dǎo)熱硅脂,、水冷系統(tǒng)是否正常）

ＩＧＢＴ結(jié)溫估算流程：

首先：檢測出輸出電流直流母線電壓；

然后：根據(jù)控制狀態(tài)判斷ＩＧＢＴ導(dǎo)通還是二極管導(dǎo)通工作,；

如果ＩＧＢＴ導(dǎo)通,，可以查擬合曲線導(dǎo)致的Ｖｃｅ電壓，還有Ｅｏｎ,、Ｅｏｆｆ,，計算導(dǎo)通損耗和開關(guān)損耗，合成總損耗,，然后通過ＭＴＣ的溫度估計出結(jié)溫,。這是一個很常規(guī)的結(jié)溫估算方式，但有效性,，試驗中很難證明其有效性,。穩(wěn)態(tài)可以，損態(tài)證明不是那么容易,。

２.４　可靠性設(shè)計與試驗——薄膜電容壽命

控制系統(tǒng)另外一個關(guān)鍵部件——薄膜電容。薄膜電容在控制器里,，應(yīng)該說承受溫度標(biāo)準(zhǔn)最低的,， 影響薄膜電容壽命的主要因素：電壓、溫度,。

１）電壓：金屬化膜并不是理想均勻的,，電壓會使金屬化膜產(chǎn)生自愈點,，從而使電容的容量下降，絕緣老化等,；

２）溫度：溫度應(yīng)力作用會加速介質(zhì)老化,、加速電參數(shù)退化、促進(jìn)電場強度下降,；

薄膜電容壽命也是工作時間衡量的,，計算方法和ＩＧＢＴ有點兒像：

從運行工況的輸入，來輸入控制器的電壓電流這些曲線,；然后通過仿真可以確定薄膜電容上面的電壓,、電流曲線，通過薄膜電容內(nèi)部的ＥＳＲ可以確定損耗,。然后通過壽命曲線計算出電容的壽命,。

薄膜電容壽命評估方法

１）仿真計算：通過計算得到全生命周期實際工況對應(yīng)的等價工作時間，查壽命曲線是否滿足薄膜電容壽命限制,；

２）耐久試驗：模擬實際運行工況進(jìn)行全生命周期耐久試驗,，試驗過程監(jiān)控是否損壞。

３）加速壽命試驗：

方法一：基于耐久試驗工作條件,，不改變工況循環(huán),，提高水冷系統(tǒng)入口溫度，從而提高薄膜電容工作溫度,，此條件下的工作時間等價于數(shù)倍的正常耐久試驗條件下的工作時間,，具體倍數(shù)需要根據(jù)運行條件進(jìn)行計算。此方法受限于正常耐久實驗時水冷系統(tǒng)入口溫度要求,，可能無法提升或提升有限（提升后可能控制器內(nèi)部器件溫度超標(biāo)無法正常工作）,。

方法二：基于耐久試驗工作條件，不改變環(huán)境溫度和水冷系統(tǒng)入口溫度,，提高直流母線電壓,，此條件下的工作時間等價于數(shù)倍的正常耐久試驗條件下的工作時間，具體倍數(shù)需要根據(jù)運行條件進(jìn)行計算,，此方法受限于正常耐久試驗的直流母線電壓要求,，可能提升有限（最高提升到滿功率輸出最高工作電壓），且會提高控制器的內(nèi)部溫升（ＩＧＢＴ損耗會增加）,。

方法一與方法二結(jié)合,。

２.５　可靠性設(shè)計與驗證——汽車級器件

汽車級器件涉及到設(shè)計、質(zhì)量,、成本和交付方面的要求：

２.６　可靠性設(shè)計與驗證——控制器整機(jī)可靠性驗證試驗

三,、電機(jī)控制器的功能安全

３.１　功能安全概述

汽車上的功能安全就是ＩＳＯ２６２６２，當(dāng)然不止是說產(chǎn)品符合，更重要的是開發(fā)流程遵循２６２６２的規(guī)定,。像軟件很多時候驗證手段,，都是在開發(fā)流程上。

電機(jī)控制器的安全目標(biāo)比較單純,，就是轉(zhuǎn)矩安全,。一般設(shè)定的電機(jī)控制器的安全目標(biāo)有幾個：非預(yù)期的增大、非預(yù)期的反向,、抖動,。

安全狀態(tài)：關(guān)管（ＩＧＢＴ　ＯＦＦ）,、電機(jī)端部短路（ＡＳＣ）,。

這種狀態(tài)又可能產(chǎn)生大的付轉(zhuǎn)矩。

３.２　功能安全基本架構(gòu)

功能安全基本架構(gòu)：輸入－執(zhí)行－輸出幾塊組成,。

輸入：來自電機(jī)信號,，三相電流、直流母線電壓,；有些公司還會把電機(jī)溫度也加上去

執(zhí)行：分幾層,，正常轉(zhuǎn)矩控制單元、轉(zhuǎn)矩監(jiān)控單元,、CPU運行監(jiān)控層次

輸出：輸出驅(qū)動

３.３　功能安全——安全機(jī)制

對應(yīng)上面基本架構(gòu),，有相應(yīng)的安全機(jī)制來保證收到的東西是正常的，或者異常能馬上發(fā)現(xiàn),。

１）對于ＣＡＮ通訊監(jiān)控,，需要ＣＡＮ的Ｅ２Ｅ保護(hù)，就是ＣＡＮ有一個應(yīng)答機(jī)制,，必須把收到的命令再反饋給整車,，確認(rèn)理解這個命令是對的。這個講起來比較簡單,，但是電機(jī)控制器自己做不到這一點,，必須有整車系統(tǒng)配合才能達(dá)成。另外是電流和電壓采樣監(jiān)控,，正常來說,，電流只要兩相就可以控制，為了電流監(jiān)控會采用三相電流傳感器,。

２）母線電壓監(jiān)控：相對簡單,，母線電壓采樣本身和整車進(jìn)行比較，就能達(dá)成電壓監(jiān)控,；

３）位置監(jiān)控：硬件解碼ｓｅｎｓｏｒｌｅｓｓ位置比較,，然后軟件診斷；

４）ＰＷＭ和ＩＧＢＴ監(jiān)控：這一塊實踐起來有一定難度，如果要完整實現(xiàn)需要付出高成本代價,。對ＰＷＭ路徑，CPU出去的時候監(jiān)控一次信號,，后面輸出還可以再監(jiān)控一次,。但是到了IGBT輸出，如果要監(jiān)控就會對輸出電壓采樣,。對輸出電壓硬件電壓采樣,，需要成本代價。

５）電源與MCU監(jiān)控：電源芯片也一樣,，采用專用的芯片

６）安全關(guān)斷：所有安全狀態(tài)都需要關(guān)斷,，需要保證關(guān)斷本身是安全的。

所有東西加在一起,，沒有辦法完全覆蓋所謂的安全,。所以，最后有一級,，轉(zhuǎn)矩的估算,。籠統(tǒng)放在一起,，控制和命令是否一致,。

３.４　功能安全——相電流采樣安全機(jī)制

剛剛講過，兩相電流就能實現(xiàn)控制,，為什么還要用三相,，就是為了冗余采樣。原理：只要電機(jī)正常沒有發(fā)生對地短路,。三相電流符合位０.所以第三相電流能用來確認(rèn)電機(jī)系統(tǒng)是否有問題,。

• Ｉｕ＋Ｉｖ＋Ｉｗ＝０

三相電流采樣通道，有一個作為冗余校驗使用,；

• Ａ／模塊失效（或Ａ／Ｄ參考電源失效）可通過與之無關(guān)的另外一個Ａ／Ｄ模塊采樣重復(fù)校驗,，也可以使用與之無關(guān)的標(biāo)準(zhǔn)電壓信號作為Ａ／Ｄ模塊的采樣輸入進(jìn)行比較校驗。

• 三個電流傳感器發(fā)生同等增益偏差,，由電機(jī)電壓方程進(jìn)行校驗

• 傳感器電源由獨立電源監(jiān)控回路監(jiān)控

３.５　功能安全——電機(jī)轉(zhuǎn)子位置采樣安全機(jī)制

• 由ＭＣＵ另外一個無關(guān)的Ａ／Ｄ模塊對旋變激勵信號和反饋信號進(jìn)行重復(fù)校驗,，保證信號物理特性無問題；

• 軟件上實施電機(jī)轉(zhuǎn)子位置估計算法,，對旋變解碼得到的轉(zhuǎn)子位置進(jìn)行重復(fù)校驗,。

３.６　功能安全——靜止時電機(jī)轉(zhuǎn)子位置估計算法

1. 脈沖電壓法：利用永磁同步電機(jī)的飽和性凸極效應(yīng)，通過向電機(jī)定子繞組中施加不同角度的電壓矢量,，通過其電流相應(yīng)來判斷永磁同步電機(jī)轉(zhuǎn)子位置

2. 脈振高頻電壓信號注入法：通過在估計旋轉(zhuǎn)坐標(biāo)系的Ｄ軸注入高頻正弦電壓信號,，使用其在ｑ軸產(chǎn)生的高頻電流信號進(jìn)行轉(zhuǎn)子位置估計。

３.７　功能安全——轉(zhuǎn)矩估計算法

1. 功率法：根據(jù)三相電流和三相電壓計算輸入到電機(jī)的功率，再查表得知電機(jī)損耗,，可以得到電機(jī)輸出功率,，根據(jù)輸出功率和轉(zhuǎn)速即可計算出輸出轉(zhuǎn)矩，極低速時不可用,。

2. 電壓磁鏈法

在高速區(qū),，可以用功率法計算轉(zhuǎn)矩，因為非常直接,，算出來的精度至少在實驗室和外面實車相比精度也不錯,。電壓磁鏈法，稍微復(fù)雜一點兒,，大多用在低速和高速疊加的地方,，兩種方法相互校驗。

四,、故障保護(hù)和容錯運行

４.１　自診斷功能

時機(jī)：整車上電初始化完成后

自檢項目：

１）電源（高壓,、低壓、各個控制電源）

２）ＥＥＰＲＯＭ數(shù)據(jù)

３）電流傳感器偏置

４）旋轉(zhuǎn)編碼器信號斷線,、短路

５）旋轉(zhuǎn)編碼器位置

６）電流傳感器增益,、ＩＧＢＴ回路

７）電機(jī)繞組電阻

８）電機(jī)繞組電感、電機(jī)退磁

９）輸出缺相

４.２　外部相關(guān)部件診斷功能

１）電機(jī)磁鋼局部退磁：反電勢諧波估算技術(shù)

２）電機(jī)轉(zhuǎn)子過熱：電機(jī)損耗估算技術(shù)

３）散熱系統(tǒng)異常

４）軸承異常：轉(zhuǎn)速諧波分析技術(shù)

５）電機(jī)參數(shù)異常：在線參數(shù)估計技術(shù)

現(xiàn)在講的這些外部專斷,，和功能安全沒有必然聯(lián)系,。甚至，有些地方考慮功能安全的話,，這里面有些東西是不能用的,。