秦辉

合肥工业大学微电子学院，安徽合肥，230002

0 引言

汽车行业是碳排放的主要源头之一，近几年，国家在政策上积极推进新能源汽车尤其是电动汽车的发展，目的是减少燃油车的数量，进而减少对化石燃料的使用，减少碳排放[1]。新能源汽车的主要核心部件为电池、电机和电机控制器。电机控制器是连接电池和电机的关键部件，高安全性的电机控制器对新能源汽车的安全性至关重要。传统新能源电机控制器采用数字信号处理器（Digital Signal Processor，DSP）作为控制核心，随着对电机控制要求的提高，控制算法越加复杂，尤其是功能安全需求的提出，使得采用DSP为核心的电机控制出现负载率过高和部分保护功能处理时间较长的问题。针对类似情况，许多电机控制器厂家渐渐将现场可编程门阵列（Field Programmable Gate Array，FPGA）引入电机控制系统，以提升电机控制器系统的运算速度和提高系统安全性能[2-3]。

运行中的电机控制器出现故障时，需要根据故障的不同类型，采取不同故障保护方式，实现电机控制器在出现故障的情况下整车运行进入安全模式，进而实现安全停车。新能源电动汽车的安全模式分为两大类：一类为驱动封波模式（Freewheeling模式），即驱动逆变单元的六个桥臂全部关闭，防止在出现故障时产生未知大扭矩，加重整车损害；另一类为主动短路模式（Active Short Circuit，ASC），主动短路模式分为上主动短路和下主动短路，上主动短路模式指三相上半桥臂的IGBT全开通，三相下半桥臂的IGBT全关断，下主动短路模式指三相下半桥臂的IGBT全开通，三相上半桥臂的IGBT全关断[4]。

本文主要研究基于DSP+FPGA实现在电机控制器出现故障的情况下，整车进入安全模式的实现方法，最后利用台架测试，验证了基于FPGA开发的电机控制系统故障保护的性能。

1 系统框图及功能实现流程

基于FPGA构成的电机控制器故障处理单元，如图1所示。FPGA故障处理单元通过SPI通信实现与控制单元进行信息交互。控制单元通过SPI通信向FPGA故障处理单元配置驱动PWM波形死区时间，用于设置逆变驱动单元死区时间，在确保逆变驱动单元在正常工作的同时，避免出现上下桥臂直通的概率，提供系统稳定性；FPGA故障处理单元通过SPI通信向控制单元上传FPGA软件版本号、故障信息和驱动状态等信息，便于控制单元了解FPGA故障处理单元的工作状态及系统整体的故障类型及处理机制。FPGA故障处理单元接收来自控制单元的六路驱动信号，并根据SPI通信接收的死区时间，对收到的六路驱动信号进行调理，并将调理后的六路驱动信号传输到逆变驱动单元，控制IGBT模块工作。信号滤波模块实现对故障信号和故障复位信号的接收和处理功能，其处理后的故障信号（故障信号标注位）用于控制六路驱动波形输出状态。时钟监控模块用于接收外部时钟和判断外部时钟是否满足要求。

图1 系统功能框图

1.1 时钟监控模块

时钟监控模块用于生成内部时钟和监控外部输入时钟。检测外部输入时钟的频率是否满足设计要求，当外部输入时钟符合设计要求时，以外部输入时钟为FPGA故障处理单元的参考时钟，否则切换为FPGA内部时钟。FPGA内部产生一个频率为3.9～5.3MHz参考时钟信号，用于监控外部输入时钟，当外部时钟信号处于合理范围内（4.5～5.5MHz，可配置）时，使用外部时钟信号；当外部时钟信号不处于合理范围内时，则使用FPGA内部时钟频率作为FPGA故障处理单元的运行时钟，同时锁存时钟故障指示信号。即FPGA内部时钟使能信号oscen高电平时，系统使用FPGA内部时钟；FPGA内部时钟使能信号oscen低电平时，系统使用输出外部时钟。

时钟监控模块功能流程如图2所示。当握手信号有效后，进入时钟监控功能。先对外部时钟信号进行分频处理，通过内部时钟信号的边沿跳变方式，检测分频后PWM信号的高电平（低电平）长度，当内部时钟信号边沿跳变的次数在设定阈值范围内时，则认为外部时钟满足使用要求，采用外部时钟作为FPGA故障处理单元运作时钟；反之，采用内部时钟作为FPGA故障处理单元的运作时钟。

图2 时钟监控模块功能流程图

1.2 SPI通信模块

首先对SPI通信片选信号CS进行检测，当CS为低电平时，标志位CS_N_Flag置1，CS为高电平时，标志位CS_P_Flag置1；当CS_A_Flag为1后开始检测通信，CLK高电平后第二个全局时钟开始发送MRST，由高位至低位发送数据，CLK低电平后第二个全局时钟开始接收MTSR。SPI通信为32位、500kHz。在片选信号CS边沿跳变判断通信故障，若通信数据≥1且＜32位，则SPI通信故障信号SPI_Err输出低电平，反之输出高电平，并在下一次片选信号有效且第一个通信时钟有效时清除故障，重新进行判断，如图3所示。

图3 SPI 通信模块功能流程图

1.3 信号滤波处理模块

信号滤波处理模块实现对接收到的信号进行防抖滤波处理。当检测到类似过流故障信号和过压故障信号之类的故障信号时，FPGA软件会执行“故障信号处理”流程，如图4所示，在时钟下降沿时刻，判断所接收到的信号电平，当电平为故障电平时，对故障电平进行延迟滤波处理，若延迟滤波处理期间，检测到的信号的电平均为故障电平，则判断为真实故障，将故障标志位置位，并锁存故障信息；仅当检测到故障复位信号或故障清零信号后，解除故障信息的锁存，对应的故障标志位置低。

图4 故障信号检测流程图

在信号滤波处理模块检测到为非故障信号时，执行“其他信号处理流程”，如图5所示。信号滤波处理模块对检测到的信号进行有效电平判断，当检测到的为有效电平后，对有效电平进行延迟滤波处理，若在延迟滤波处理期间，信号电平均为有效电平，位置对应信号标志位，反之，则标志信号无效，信号标志位置低。

图5 其他信号检测流程图

1.4 驱动调制模块

驱动调制模块用于对控制单元发出的IGBT模块的六路驱动波形增加相匹配的死区时间，防止IGBT模块在工作过程中出现上下桥臂直通，此模块主要执行死区保护功能，如图6所示。当标志位CS_A_Flag和CS_P_Flag同时为1时，启动死区时间处理，FPGA程序默认最小死区时间为1.5us，控制单元通过SPI通信设定系统执行的死区时间，若控制单元设定的死区时间小于1.5us，则系统实际执行的死区时间为1.5us；若控制单元设定的死区时间大于1.5us，则系统实际执行的死区时间为控制单元设定的死区时间。

图6 U 相PWM 调整流程图

1.5 基于FPGA的安全保护机制

驱动逆变单元的六路PWM控制信号为经过驱动调理模块进行死区限制的驱动PWM信号。M0、M1用来表示驱动状态，通过SPI通信传输给控制单元。定义三相电流过流故障、上桥臂短路故障、下桥臂短路故障、上桥臂欠压故障、下桥臂欠压故障低电平有效，母线过压故障高电平有效，用于信号滤波处理模块对故障信号电平的判断。握手信号有效之前FPGA进入全关断；即，FPGA在握手信号有效之前，不响应控制单元的指令，不执行故障处理机制。当握手信号由低电平跳变为高电平且持续一定时间有效。FPGA故障处理单元开始检测故障信号电平，在检测到有效的故障信号电平后，对检测到的故障信号的有效电平进行滤波处理，并将相应的故障标志信号置位，然后驱动调理模块根据故障标志位信号的不同输出不同的PWM波形，使电机控制器系统进入不同的安全模式，如图7所示。

图7 FPGA 故障保护流程图

2 功能验证测试

基于系统的功能需求，针对FPGA单元功能特性开展故障注入测试，验证在控制器单体和整机台架测试两种测试环境下故障保护机制设置的合理性及故障保护的时效性。

2.1 控制器单板功能验证

基于开发功能验证流程，在单控制板状态下对FPGA故障处理单元的保护功能特性进行故障注入测试。验证在不同故障发生时，FPGA处理单元输出的六路驱动波形情况，进而判断系统进入何种故障安全保护模式，检验FPGA故障处理单元功能状态的同时，关注不同模块的处理时间以及整个FPGA故障处理单元的动作之间是否符合设计需求。为了尽可能地模拟正常运行状态下电机控制系统的工作状态，在整个测试过程中，确保控制器系统处于强制开关管状态，即逆变驱动单元在软件的控制下处于工作状态。通过向FPGA故障处理单元故障检测引脚施加不同的电平，模拟FPGA故障处理单元接收故障信号，同时通过示波器监控FPGA故障处理单元任意一种驱动波形的状态，观察故障注入后驱动波形的输出情况，如图8和图9所示。

图8 高速状态下故障模式测试图

图9 低速状态下故障模式测试图

不同故障注入，系统的保护机制如表1所示。

表1 单板系统故障注入测试统计

通过电机控制器单体故障注入测试结果可知，在不同类型的故障注入时，逆变驱动单元进入相应故障安全状态，且故障保护逻辑满足FPGA故障处理单元设计要求。

2.2 控制器整机台架性能验证

在测功机台架上进入故障注入测试。根据项目电机功率，要求测功机功率大于250kW，验证电机控制器系统在满功率运行工况下，分别出现三相过流、母线过压、上桥驱动类故障和下桥驱动类故障时，系统对应采取的保护工作状态。依据测试结果，判断FPGA故障处理单元的故障处理机制是否满足安全保护要求。

依据不同故障类型的产生的机理，在测功机台架模拟不同故障触发情况，通过示波器监控对应信号情况和软件上位机监控上报的故障类型，如图10和图11所示，分别表示在低速和高速工况下系统对过流故障采取的保护策略。

图10 2000rpm 转速下，触发过流故障，逆变驱动单元进入Freewheeling 模式

图11 4000rpm 转速下，触发过流故障，逆变驱动单元进入下桥ASC 状态

台架故障模拟测试结果如表2所示。

表2 测功机台架系统故障注入测试统计

根据测功机台架测试结果可知，系统在发生故障时，系统能够进入相应的安全保护模式，满足FPGA功能设计要求。

3 结语

目前新能源电动汽车处于发展高速期，汽车的安全保护问题是当今新能源汽车发展的重点研究课题。采用DSP+FPGA模式电机控制器系统保护方案逐渐成为主流，此方案不仅解决了DSP运行空间不足问题，而且使用FPGA构成的故障处理单元也提高了控制器系统的集成程度，减少分立元器件使用，优化BOM清单。同时，基于FPGA构建的故障保护机制在实现各类故障保护动作时间可配置的同时，也有效地规避系统保护测试对DSP的依赖程度，防止DSP“跑飞”时保护策略无法正常执行，也为后期构建电机控制器整体功能安全方案做准备。当然如何能够更好地发挥FPGA在电机控制器系统中的重要作用，需要匹配不同电机系统进行反复的调试以及搭载整车运行工况制定合理的控制保护策略。