基于FPGA的車載電機控制器故障保護機制的研究

秦輝

合肥工業大學微電子學院，安徽合肥，230002

0 引言

汽車行業是碳排放的主要源頭之一，近幾年，國家在政策上積極推進新能源汽車尤其是電動汽車的發展，目的是減少燃油車的數量，進而減少對化石燃料的使用，減少碳排放[1]。新能源汽車的主要核心部件為電池、電機和電機控制器。電機控制器是連接電池和電機的關鍵部件，高安全性的電機控制器對新能源汽車的安全性至關重要。傳統新能源電機控制器采用數字信號處理器（Digital Signal Processor，DSP）作為控制核心，隨著對電機控制要求的提高，控制算法越加復雜，尤其是功能安全需求的提出，使得采用DSP為核心的電機控制出現負載率過高和部分保護功能處理時間較長的問題。針對類似情況，許多電機控制器廠家漸漸將現場可編程門陣列（Field Programmable Gate Array，FPGA）引入電機控制系統，以提升電機控制器系統的運算速度和提高系統安全性能[2-3]。

運行中的電機控制器出現故障時，需要根據故障的不同類型，采取不同故障保護方式，實現電機控制器在出現故障的情況下整車運行進入安全模式，進而實現安全停車。新能源電動汽車的安全模式分為兩大類：一類為驅動封波模式（Freewheeling模式），即驅動逆變單元的六個橋臂全部關閉，防止在出現故障時產生未知大扭矩，加重整車損害；另一類為主動短路模式（Active Short Circuit，ASC），主動短路模式分為上主動短路和下主動短路，上主動短路模式指三相上半橋臂的IGBT全開通，三相下半橋臂的IGBT全關斷，下主動短路模式指三相下半橋臂的IGBT全開通，三相上半橋臂的IGBT全關斷[4]。

本文主要研究基于DSP+FPGA實現在電機控制器出現故障的情況下，整車進入安全模式的實現方法，最后利用臺架測試，驗證了基于FPGA開發的電機控制系統故障保護的性能。

1 系統框圖及功能實現流程

基于FPGA構成的電機控制器故障處理單元，如圖1所示。FPGA故障處理單元通過SPI通信實現與控制單元進行信息交互?？刂茊卧ㄟ^SPI通信向FPGA故障處理單元配置驅動PWM波形死區時間，用于設置逆變驅動單元死區時間，在確保逆變驅動單元在正常工作的同時，避免出現上下橋臂直通的概率，提供系統穩定性；FPGA故障處理單元通過SPI通信向控制單元上傳FPGA軟件版本號、故障信息和驅動狀態等信息，便于控制單元了解FPGA故障處理單元的工作狀態及系統整體的故障類型及處理機制。FPGA故障處理單元接收來自控制單元的六路驅動信號，并根據SPI通信接收的死區時間，對收到的六路驅動信號進行調理，并將調理后的六路驅動信號傳輸到逆變驅動單元，控制IGBT模塊工作。信號濾波模塊實現對故障信號和故障復位信號的接收和處理功能，其處理后的故障信號（故障信號標注位）用于控制六路驅動波形輸出狀態。時鐘監控模塊用于接收外部時鐘和判斷外部時鐘是否滿足要求。

圖1 系統功能框圖

1.1 時鐘監控模塊

時鐘監控模塊用于生成內部時鐘和監控外部輸入時鐘。檢測外部輸入時鐘的頻率是否滿足設計要求，當外部輸入時鐘符合設計要求時，以外部輸入時鐘為FPGA故障處理單元的參考時鐘，否則切換為FPGA內部時鐘。FPGA內部產生一個頻率為3.9～5.3MHz參考時鐘信號，用于監控外部輸入時鐘，當外部時鐘信號處于合理范圍內（4.5～5.5MHz，可配置）時，使用外部時鐘信號；當外部時鐘信號不處于合理范圍內時，則使用FPGA內部時鐘頻率作為FPGA故障處理單元的運行時鐘，同時鎖存時鐘故障指示信號。即FPGA內部時鐘使能信號oscen高電平時，系統使用FPGA內部時鐘；FPGA內部時鐘使能信號oscen低電平時，系統使用輸出外部時鐘。

時鐘監控模塊功能流程如圖2所示。當握手信號有效后，進入時鐘監控功能。先對外部時鐘信號進行分頻處理，通過內部時鐘信號的邊沿跳變方式，檢測分頻后PWM信號的高電平（低電平）長度，當內部時鐘信號邊沿跳變的次數在設定閾值范圍內時，則認為外部時鐘滿足使用要求，采用外部時鐘作為FPGA故障處理單元運作時鐘；反之，采用內部時鐘作為FPGA故障處理單元的運作時鐘。

圖2 時鐘監控模塊功能流程圖

1.2 SPI通信模塊

首先對SPI通信片選信號CS進行檢測，當CS為低電平時，標志位CS_N_Flag置1，CS為高電平時，標志位CS_P_Flag置1；當CS_A_Flag為1后開始檢測通信，CLK高電平后第二個全局時鐘開始發送MRST，由高位至低位發送數據，CLK低電平后第二個全局時鐘開始接收MTSR。SPI通信為32位、500kHz。在片選信號CS邊沿跳變判斷通信故障，若通信數據≥1且＜32位，則SPI通信故障信號SPI_Err輸出低電平，反之輸出高電平，并在下一次片選信號有效且第一個通信時鐘有效時清除故障，重新進行判斷，如圖3所示。

圖3 SPI 通信模塊功能流程圖

1.3 信號濾波處理模塊

信號濾波處理模塊實現對接收到的信號進行防抖濾波處理。當檢測到類似過流故障信號和過壓故障信號之類的故障信號時，FPGA軟件會執行“故障信號處理”流程，如圖4所示，在時鐘下降沿時刻，判斷所接收到的信號電平，當電平為故障電平時，對故障電平進行延遲濾波處理，若延遲濾波處理期間，檢測到的信號的電平均為故障電平，則判斷為真實故障，將故障標志位置位，并鎖存故障信息；僅當檢測到故障復位信號或故障清零信號后，解除故障信息的鎖存，對應的故障標志位置低。

圖4 故障信號檢測流程圖

在信號濾波處理模塊檢測到為非故障信號時，執行“其他信號處理流程”，如圖5所示。信號濾波處理模塊對檢測到的信號進行有效電平判斷，當檢測到的為有效電平后，對有效電平進行延遲濾波處理，若在延遲濾波處理期間，信號電平均為有效電平，位置對應信號標志位，反之，則標志信號無效，信號標志位置低。

圖5 其他信號檢測流程圖

1.4 驅動調制模塊

驅動調制模塊用于對控制單元發出的IGBT模塊的六路驅動波形增加相匹配的死區時間，防止IGBT模塊在工作過程中出現上下橋臂直通，此模塊主要執行死區保護功能，如圖6所示。當標志位CS_A_Flag和CS_P_Flag同時為1時，啟動死區時間處理，FPGA程序默認最小死區時間為1.5us，控制單元通過SPI通信設定系統執行的死區時間，若控制單元設定的死區時間小于1.5us，則系統實際執行的死區時間為1.5us；若控制單元設定的死區時間大于1.5us，則系統實際執行的死區時間為控制單元設定的死區時間。

圖6 U 相PWM 調整流程圖

1.5 基于FPGA的安全保護機制

驅動逆變單元的六路PWM控制信號為經過驅動調理模塊進行死區限制的驅動PWM信號。M0、M1用來表示驅動狀態，通過SPI通信傳輸給控制單元。定義三相電流過流故障、上橋臂短路故障、下橋臂短路故障、上橋臂欠壓故障、下橋臂欠壓故障低電平有效，母線過壓故障高電平有效，用于信號濾波處理模塊對故障信號電平的判斷。握手信號有效之前FPGA進入全關斷；即，FPGA在握手信號有效之前，不響應控制單元的指令，不執行故障處理機制。當握手信號由低電平跳變為高電平且持續一定時間有效。FPGA故障處理單元開始檢測故障信號電平，在檢測到有效的故障信號電平后，對檢測到的故障信號的有效電平進行濾波處理，并將相應的故障標志信號置位，然后驅動調理模塊根據故障標志位信號的不同輸出不同的PWM波形，使電機控制器系統進入不同的安全模式，如圖7所示。

圖7 FPGA 故障保護流程圖

2 功能驗證測試

基于系統的功能需求，針對FPGA單元功能特性開展故障注入測試，驗證在控制器單體和整機臺架測試兩種測試環境下故障保護機制設置的合理性及故障保護的時效性。

2.1 控制器單板功能驗證

基于開發功能驗證流程，在單控制板狀態下對FPGA故障處理單元的保護功能特性進行故障注入測試。驗證在不同故障發生時，FPGA處理單元輸出的六路驅動波形情況，進而判斷系統進入何種故障安全保護模式，檢驗FPGA故障處理單元功能狀態的同時，關注不同模塊的處理時間以及整個FPGA故障處理單元的動作之間是否符合設計需求。為了盡可能地模擬正常運行狀態下電機控制系統的工作狀態，在整個測試過程中，確?？刂破飨到y處于強制開關管狀態，即逆變驅動單元在軟件的控制下處于工作狀態。通過向FPGA故障處理單元故障檢測引腳施加不同的電平，模擬FPGA故障處理單元接收故障信號，同時通過示波器監控FPGA故障處理單元任意一種驅動波形的狀態，觀察故障注入后驅動波形的輸出情況，如圖8和圖9所示。

圖8 高速狀態下故障模式測試圖

圖9 低速狀態下故障模式測試圖

不同故障注入，系統的保護機制如表1所示。

表1 單板系統故障注入測試統計

通過電機控制器單體故障注入測試結果可知，在不同類型的故障注入時，逆變驅動單元進入相應故障安全狀態，且故障保護邏輯滿足FPGA故障處理單元設計要求。

2.2 控制器整機臺架性能驗證

在測功機臺架上進入故障注入測試。根據項目電機功率，要求測功機功率大于250kW，驗證電機控制器系統在滿功率運行工況下，分別出現三相過流、母線過壓、上橋驅動類故障和下橋驅動類故障時，系統對應采取的保護工作狀態。依據測試結果，判斷FPGA故障處理單元的故障處理機制是否滿足安全保護要求。

依據不同故障類型的產生的機理，在測功機臺架模擬不同故障觸發情況，通過示波器監控對應信號情況和軟件上位機監控上報的故障類型，如圖10和圖11所示，分別表示在低速和高速工況下系統對過流故障采取的保護策略。

圖10 2000rpm 轉速下，觸發過流故障，逆變驅動單元進入Freewheeling 模式

圖11 4000rpm 轉速下，觸發過流故障，逆變驅動單元進入下橋ASC 狀態

臺架故障模擬測試結果如表2所示。

表2 測功機臺架系統故障注入測試統計

根據測功機臺架測試結果可知，系統在發生故障時，系統能夠進入相應的安全保護模式，滿足FPGA功能設計要求。

3 結語

目前新能源電動汽車處于發展高速期，汽車的安全保護問題是當今新能源汽車發展的重點研究課題。采用DSP+FPGA模式電機控制器系統保護方案逐漸成為主流，此方案不僅解決了DSP運行空間不足問題，而且使用FPGA構成的故障處理單元也提高了控制器系統的集成程度，減少分立元器件使用，優化BOM清單。同時，基于FPGA構建的故障保護機制在實現各類故障保護動作時間可配置的同時，也有效地規避系統保護測試對DSP的依賴程度，防止DSP“跑飛”時保護策略無法正常執行，也為后期構建電機控制器整體功能安全方案做準備。當然如何能夠更好地發揮FPGA在電機控制器系統中的重要作用，需要匹配不同電機系統進行反復的調試以及搭載整車運行工況制定合理的控制保護策略。