电驱动系统作为电动汽车的动力来源，当系统功能出现故障时，分析其危害和风险，确保电驱动系统进入安全工作状态：主动短路工作状态ASC、开路工作状态OC或0-Torque控制状态，是一项必要任务。
下面将从以下几点来介绍高压电驱系统安全保护策略：
(相关资料图)
1. 主动短路工作状态：ASC
主动短路又叫ASC（active shortcircuit），以电驱系统搭载三相IGBT功率模块为例，通过关断IGBT的上桥臂三个管，同时开通下桥臂三个管，如图1所示；或者开通IGBT的上桥臂三个管，同时关断下桥臂三个管，即为主动短路保护安全工作状态。
图1.下桥臂主动短路时IGBT的工作状态
主动短路工作状态时，电机定子绕组与下桥臂的IGBT形成闭环回路，电机产生的反电动势能量通过定子绕组释放出来，电机输出端产生相应的制动力矩。以峰值为150kw的永磁同步电机为例，仿真ASC工作状态下电流和电机制动力矩随转速的变化情况。
永磁同步电机的磁链方程如下：
当进入ASC工作状态时，电机输入d轴和q轴电压为0，当达到稳态时，则得：
ASC工作状态时，不同转速下，稳态Id电流随着转速升高而急速升高，到达一定转速后，电流基本不变，就等于特征电流，如图2所示，仅供参考。具体值与电机的设计参数：磁链、电感、极对数、绕组电阻等相关。
图2. ASC状态下Id电流仿真曲线
ASC工作状态时，不同转速下，稳态Id电流随在低速区随着转速升高而急速增大，后随着转速升高而急速减小，高速区趋于稳定，如图3所示。
图3. ASC状态下Iq电流仿真曲线
ASC工作状态时，不同转速下，电机输出扭矩在低速区随着转速升高而急速增大，后随着转速升高而急速减小，高速区趋于稳定，如图4所示。
图4. ASC状态下电机制动力矩仿真曲线
主动短路ASC****时，电驱系统的特性：
低速区产生显著的制动力矩；反电动势产生的持续电流可能会引起电机过热；电机过热导致转子磁钢退磁风险；电机过热引起逆变器过热，导致逆变器损坏；2. 开路工作状态：OC
开路保护工作状态又叫OC（open circuit）或Freewheeling，以电驱系统搭载三相IGBT功率模块为例，通过开通IGBT上桥臂和下桥臂所有的管，逆变器进入被动整流的状态，即为开路保护，如图5所示。
图5.开路时IGBT的工作状态
当电机运行在高转速区，如果进入开路保护工作状态，则电机产生的反电动势高于母线电压，经过续流二极管向高压电池整流回馈，形成闭合回路，如图5所示，此时电机端产生较大制动转矩。同时，这种不可控的被动整流使得电机反电动势对挂在直流母线上的器件，例如：母线电容、IGBT等，产生较大冲击危害。
当电机运行在低转速区，如果进入开路保护工作状态，则电机产生的反电动势低于母线电压，无法经过续流二极管向高压电池整流回馈，也就无法形成闭合回路，此时电机端空载运行。此时，电机反电动势对挂在直流母线上的器件不会产生冲击危害。
开路保护OC时，电驱系统的特性：
高速区相电流流过续流二极管；高速区高反电动势给母线上器件带来冲击危害；高速区电机输出端产生非预期的大制动力矩；低速区电机输出端只存在轴承等摩擦力矩。3. 0-torque控制工作状态
0-torque控制顾名思义就是逆变器进入0Nm控制状态，即电机输出扭矩为0Nm。然而，0-torque控制工作状态的前提条件是：高压、低压供电正常，电驱系统能执行0Nm输出。
4. 安全保护策略：ASC、OC、0-torque的选择机制
汽车功能安全标准ISO26262严格要求：电驱动系统以及整车其他系统（如：电池、DCDC、充电器、整车VCU等）出现故障时，电机控制器接受到故障，并做出及时响应，进入安全工作状态，以便电驱动运行在适当的工作状态，避免人员遭受伤害，同时，也尽可能免电驱系统再次破坏。电驱系统在安全工作状态运行时，需规避以下事件的发生：
避免整车出现无目的扭矩和车速输出造成人员伤亡；
避免过高的反电动势或高电池包电压输出造成人员伤亡；
避免过高的反电动势对挂在母线上各器件（如：IGBT、DC电容等）的损坏；
避免过高的温度造成逆变器的损坏或转子磁钢退磁；
等等……..
通过分析电驱动系统安全工作状态：ASC、OC的特性，可大致按下述机制来进入安全工作状态，如图6所示：
当母线电压足够大时，则考虑进入开路保护工作状态OC；当母线电压不够大，存在反电势反超母线电压现象时，则考虑在低速区进入开路保护工作状态OC，高速区进入主动短路保护工作状态ASC。因此，低速区采用OC避免采用ASC产生大的制动力给车辆运行造成大冲击，而影响驾驶舒适性；高速区采用ASC避免采用OC产生大的反电动势给母线上器件带来冲击危害。图6.安全工作状态选择机制一
考虑到主动短路工作状态容易造成电机或逆变器过热，可在高速区设计主动短路和0-torque控制相结合的方式来调节安全工作状态，如图7所示，当0-torque控制引入时，还需要考虑功能安全标准ISO26262的话，则整个安全工作状态选择机制的控制系统将需设计得更复杂：在故障发生时，不仅需要实时监控0-torque控制是否能正常执行，还需监控0-torque控制的路径不会引起无目的地扭矩输出，对于容错时间间隔（FTTI）的控制也是个严峻的挑战。
图7.安全工作状态选择机制二
整车系统或电驱系统出现故障影响到驾驶安全性时，基于高压功能安全考虑，整车系统会第一时间断开高压继电器，禁止电池高压输出，避免故障发生时高压电源还在输出造成人员危险，此时也就无法执行0-Torque控制。
相对而言，OC和ASC的实现就更简单、更快速。无论何种系统故障或硬件故障的发生，逆变器硬件层面都可通过器件或电路相互监控达到OC和ASC快速实现和切换。因此，为了追求简单、高效，当前大部电驱系统开采用了如图6所示的安全工作状态选择机制一，当然，少部分供应商采用ASC与0-torque控制相结合的方式，如图7所示安全工作状态选择机制二。
基于系统架构、软件架构以及硬件架构，触发安全工作状态，不同的故障，需要结合故障发生的时间、发生的位置以及功能安全等信息，来选择软件层面或硬件层面触发对应的安全工作状态。
5. 拖车保护应用
车辆发生故障或某些特殊情况时，需驱动轮着地被临时拖车，当电动汽车驱动电机与传动轴间没有脱离装置时，则电机将产生反电势。此时，我们就需要考虑电动车在临时被拖车时的安全工作状态：
若将电驱系统进入OC模式，则存在反电动势对电机控制器开关管、母线电容及其它器件形成安全威胁；若将电驱系统进入ASC模式，则反电势电能通过电机定子绕组释放，有效起到保护用电器安全，但也存在低速拖车时制动力矩大、高速拖车时间长导致过热的风险。正所谓：两害取其轻，故电动车在临时被拖车时往往将电驱系统进入ASC模式。购买了新能源电动汽车的朋友会发现电动车使用说明书标注：不允许驱动轮着地拖车，如图8所示，必要时，可允许短距离、短时间的情况下保持低车速（如5km/h）的牵引拖动，就是因为被拖车时电驱系统进入了ASC工作状态。另外，有人可能会提出0-torque控制用于临时拖车，但往往是车辆出现了故障才要求临时拖车，正如前面提到:基于功能安全考虑，故障发生后母线电压是断开的，导致无法实现0-torque控制。
特殊情况下，如电池电量低，找不到备用电，需要临时拖车抢援，可实现驱动轮着地牵引电动车，具体操作如下：被牵引电动车辆必须挂入D挡，并踩压油门踏板保持一定的行程。这样的操作是模拟被牵引车辆的电驱系统进入发电模式的运行工况，前提是车辆动力/控制系统能正常工作，牵引速度可达到较高车速，如45千米每小时，被牵引的车辆相当于在充电。
关键词：
