CN108493904A - 用于车用电机关断的igbt安全关断系统及方法 - Google Patents

Abstract

本发明用于车用电机关断的IGBT安全关断系统及方法，针对系统中出现的不同失效，采取不同的关闭路径以保证系统的安全。第一故障类型包括电机的转矩违规、高边驱动模块故障、单片机故障和电源芯片故障，第二故障类型包括低边驱动模块故障，第三故障类型包括单片机故障、电源故障和电源芯片故障。当出现第一故障类型时，监控模块控制低边主动短路逻辑电路，低边主动短路逻辑电路控制高边驱动模块截止且低边驱动模块导通；当出现第二故障类型时，监控模块控制高边驱动模块导通且低边驱动模块截止；当出现第三故障类型时，电源芯片控制低边主动短路逻辑电路，低边主动短路逻辑电路控制高边驱动模块截止且低边驱动模块导通。

Description

用于车用电机关断的IGBT安全关断系统及方法

技术领域

本发明涉及电机控制领域，具体涉及一种用于车用电机关断的IGBT安全关断系统及方法。

背景技术

随着新能源汽车的大量普及，汽车系统日益电气化、复杂化和联网化，汽车电子系统的安全性越发引起人们的关注。对于纯电动汽车而言，电机是唯一的动力输出装置，电机控制器是电动汽车动力总成的核心部件，其主要作用就是驱动电机，输出转矩，驱动汽车正常行驶。一旦电机和电机控制器发生故障，轻则导致车辆失去动力，重则导致严重交通事故，过程中可能导致人员伤亡。

目前电机控制器的方案主要是由控制器和驱动器组成，其中控制器通过接收整车控制器的转矩指令，以此作为依据，按照指令对驱动器进行控制，然后将驱动器信号进行放大，并输出到电机以驱动电机的运行，实现电机控制。

在电机控制系统出现安全相关的故障时，首先要保证人身的安全，那么需要将系统切入安全状态，一般我们认为关闭电机的转矩输出，使车辆处于惯性滑行状态，为车辆的安全状态。对电机的关断方式有两种，一种是断开电机三相桥臂，一种是短路电机三相桥臂。考虑到在高速条件下，反电动势高于母线电压时，如果断开电机的三相桥臂，电机电流会经过续流二极管向高压电池整流回馈，并产生较大的制动转矩。而在车辆高速运行时，如果突然间紧急制动，容易发生后车追尾事故。因此，需实施电机三相桥臂短路方案。如图1所示，通过闭合桥臂T2、T4和T6，同时打开T1、T3和T5的方法可以使系统进入下三桥三相短路。通过闭合桥臂T1、T3和T5，同时打开T2、T4和T6的方法可以使系统进入上三桥三相短路。

目前的电机控制器大部分都只能实现电机控制的功能，但是不具备电机输出实际转矩的监视能力。目前的电机控制器在检测到电机出现过温过流故障的时候，会进行降功率输出，即降低转矩输出，但是有时候如果IGBT本身出现故障，或者驱动电路本身出现故障，或者控制算法运行故障的时候，转矩是无法降低的，降功率输出只能在有限范围内保护器件，而不能保障人身的安全，因此需要一种安全关断的方法，能够使车辆运行安全。

发明内容

由于除了电机控制算法原因引起的电机输出转矩违规以外的错误，各种硬件电路和电子元器件也会存在故障，甚至于系统的电源会存在故障，针对不同的故障需要有不同的处理方式。为了提供一种更加全面的电机安全关断的方案，使车辆运行安全，本发明提供了一种用于车用电机关断的IGBT安全关断系统及方法。

本发明提供的用于车用电机关断的IGBT安全关断系统包括电机、连接于所述电机的高边驱动模块和低边驱动模块、连接于所述电机且运行在单片机上的监控模块、连接并向所述单片机供电的电源芯片、连接并向所述电源芯片供电的电源以及低边主动短路逻辑电路，所述监控模块连接于所述高边驱动模块、所述低边驱动模块和所述低边主动短路逻辑电路，所述低边主动短路逻辑电路连接于所述高边驱动模块和所述低边驱动模块；

第一故障类型包括所述电机的转矩违规、所述高边驱动模块故障、所述单片机故障和所述电源芯片故障，第二故障类型包括所述低边驱动模块故障，第三故障类型包括所述单片机故障、所述电源故障和所述电源芯片故障；

所述监控模块用于监视是否出现所述第一故障类型或所述第二故障类型，所述电源芯片用于监视是否出现所述第三故障类型；

当出现所述第一故障类型时，所述监控模块控制所述低边主动短路逻辑电路，所述低边主动短路逻辑电路控制所述高边驱动模块截止且所述低边驱动模块导通；

当出现所述第二故障类型时，所述监控模块控制所述高边驱动模块导通且所述低边驱动模块截止；

当出现所述第三故障类型时，所述电源芯片控制所述低边主动短路逻辑电路，所述低边主动短路逻辑电路控制所述高边驱动模块截止且所述低边驱动模块导通。

本发明针对系统中出现的不同失效，采取不同的关闭路径以保证系统的安全。正常工作时，系统允许电机控制算法进行电机的矢量控制。本发明用于车用电机关断的IGBT安全关断系统，针对电机运行中出现的不同种类故障，采取不同的方式保证电机运行安全；在方式一中，监控模块可监视是否出现第一故障类型，当出现第一故障类型时，即当转矩违规、高边驱动模块、单片机和电源芯片出现故障时，监控模块通过低边主动短路逻辑电路控制高边驱动模块和低边驱动模块导通或关断；在方式二中，监控模块可监视是否出现第二故障类型，当出现第二故障类型时，即当低边驱动模块出现故障时，监控模块通过PWM控制信号控制高边驱动模块和低边驱动模块导通或关断；在方式三中，电源芯片可监视是否出现第三故障类型，当出现第三故障类型时，即当单片机、电源和电源芯片出现故障时，电源芯片通过低边主动短路逻辑电路控制高边驱动模块和低边驱动模块导通或关断。通过多条关闭路径的组合，覆盖系统中所有可能的失效，保证系统在任何时候都能进入安全状态。

本发明用于车用电机关断的IGBT安全关断系统的进一步改进在于，所述高边驱动模块包括连接且控制所述电机的高边IGBT、连接且控制所述高边IGBT的高边IGBT驱动芯片和连接且向所述高边IGBT驱动芯片供电的低压取电模块，所述电源连接并向所述低压取电模块供电；

所述用于车用电机关断的IGBT安全关断系统还包括高压电池，所述低边驱动模块包括连接且控制所述电机的低边IGBT、连接且控制所述低边IGBT的低边IGBT驱动芯片和连接且向所述低边IGBT驱动芯片供电的高压取电模块，所述高压电池连接并向所述高压取电模块供电；

所述高边IGBT驱动芯片和所述低边IGBT驱动芯片均具有错误诊断功能，所述高边驱动模块故障时，所述高边IGBT驱动芯片向所述监控模块发送高边诊断信号，所述低边驱动模块故障时，所述低边IGBT驱动芯片向所述监控模块发送低边诊断信号。

本发明用于车用电机关断的IGBT安全关断系统的更进一步改进在于，当出现所述第一故障类型或所述第三故障类型时，所述低边主动短路逻辑电路控制所述高边IGBT驱动芯片断开、所述低边IGBT驱动芯片导通，进入低边主动短路状态；

当出现所述第二故障类型时，所述监控模块产生PWM控制信号控制所述高边IGBT驱动芯片导通、所述低边IGBT驱动芯片断开，进入高边主动短路状态。

本发明用于车用电机关断的IGBT安全关断系统的进一步改进在于，所述电源芯片设有error监视模块，所述单片机设有SMU模块，所述电源芯片通过所述error监视模块和所述SMU模块对所述单片机内部的硬件及软件运行进行监视；

所述电源芯片和所述单片机均设有看门狗模块，所述电源芯片通过所述看门狗模块对所述单片机进行程序流监视。

本发明用于车用电机关断的IGBT安全关断系统的进一步改进在于，当出现所述第一故障类型时，所述监控模块向所述低边主动短路逻辑电路发出第一控制信号，所述监控模块设有用于输出所述第一控制信号的两个第一引脚；

当出现所述第三故障类型时，所述电源芯片向所述低边主动短路逻辑电路发出第二控制信号，所述电源芯片设有用于输出所述第二控制信号的两个第二引脚。

本发明用于车用电机关断的IGBT安全关断系统的更进一步改进在于，还包括两个接插件，两个所述第一引脚与两个所述接插件一一对应连接，两个所述第二引脚与两个所述接插件一一对应连接。

本发明还提供一种用于车用电机关断的IGBT安全关断方法，包括步骤：

提供用于车用电机关断的IGBT安全关断系统，包括电机、连接于所述电机的高边驱动模块和低边驱动模块、连接于所述电机且运行在单片机上的监控模块、连接并向所述单片机供电的电源芯片、连接并向所述电源芯片供电的电源以及低边主动短路逻辑电路，所述监控模块连接于所述高边驱动模块、所述低边驱动模块和所述低边主动短路逻辑电路，所述低边主动短路逻辑电路连接于所述高边驱动模块和所述低边驱动模块；

监视并判断故障类型，所述故障类型包括第一故障类型、第二故障类型和第三故障类型，若所述监控模块监视并判断出现所述第一故障类型，则执行步骤S1，若所述监控模块监视并判断出现所述第二故障类型，则执行步骤S2，若所述电源芯片监视并判断出现所述第三故障类型，则执行步骤S3；

步骤S1，所述监控模块控制所述低边主动短路逻辑电路，所述低边主动短路逻辑电路控制所述高边驱动模块截止且所述低边驱动模块导通；

步骤S2，所述监控模块控制所述高边驱动模块导通且所述低边驱动模块截止；

步骤S3，所述电源芯片控制所述低边主动短路逻辑电路，所述低边主动短路逻辑电路控制所述高边驱动模块截止且所述低边驱动模块导通；

其中，所述第一故障类型包括所述电机的转矩违规、所述高边驱动模块故障、所述单片机故障和所述电源芯片故障，所述第二故障类型包括所述低边驱动模块故障，所述第三故障类型包括所述单片机故障、所述电源故障和所述电源芯片故障。

本发明用于车用电机关断的IGBT安全关断方法的进一步改进在于，所述高边驱动模块包括连接且控制所述电机的高边IGBT、连接且控制所述高边IGBT的高边IGBT驱动芯片和连接且向所述高边IGBT驱动芯片供电的低压取电模块，所述电源连接并向所述低压取电模块供电；

所述用于车用电机关断的IGBT安全关断系统还包括高压电池，所述低边驱动模块包括连接且控制所述电机的低边IGBT、连接且控制所述低边IGBT的低边IGBT驱动芯片和连接且向所述低边IGBT驱动芯片供电的高压取电模块，所述高压电池连接并向所述高压取电模块供电；

其中，所述监视并判断故障类型的步骤中，所述高边IGBT驱动芯片和所述低边IGBT驱动芯片均具有错误诊断功能，所述高边驱动模块故障时，所述高边IGBT驱动芯片向所述监控模块发送高边诊断信号，所述低边驱动模块故障时，所述低边IGBT驱动芯片向所述监控模块发送低边诊断信号。

本发明用于车用电机关断的IGBT安全关断方法的更进一步改进在于，所述步骤S1和所述步骤S3中，所述低边主动短路逻辑电路控制所述高边IGBT驱动芯片断开、所述低边IGBT驱动芯片导通，进入低边主动短路状态；

所述步骤S2中，所述监控模块产生PWM控制信号控制所述高边IGBT驱动芯片导通、所述低边IGBT驱动芯片断开，进入高边主动短路状态。

本发明用于车用电机关断的IGBT安全关断方法的进一步改进在于，所述电源芯片设有error监视模块，所述单片机设有SMU模块，且所述电源芯片和所述单片机均设有看门狗模块；

所述监视并判断故障类型的步骤中，所述电源芯片通过所述error监视模块和所述SMU模块对所述单片机内部的硬件及软件运行进行监视，所述电源芯片通过所述看门狗模块对所述单片机进行程序流监视。

附图说明

图1为现有技术中三相电压型逆变器的拓扑结构。

图2为出现第一故障类型时本发明实施例的用于车用电机关断的IGBT安全关断系统的安全关断路径电路示意图。

图3为出现第二故障类型时本发明实施例的用于车用电机关断的IGBT安全关断系统的安全关断路径电路示意图。

图4为出现第三故障类型时本发明实施例的用于车用电机关断的IGBT安全关断系统的安全关断路径电路示意图。

图5为本发明实施例的用于车用电机关断的IGBT安全关断系统的电路示意图。

图6为图4中电源芯片与单片机的连接关系示意图。

图7为本发明实施例的用于车用电机关断的IGBT安全关断系统中的第一引脚和第二引脚的连接关系示意图。

图8为本发明实施例的用于车用电机关断的IGBT安全关断系统中的电源芯片、单片机、接插件和低边主动短路逻辑电路的连接关系示意图。

图9为本发明用于车用电机关断的IGBT安全关断方法的流程图。

具体实施方式

为了提供一种更加全面的电机安全关断的方案，使车辆运行安全，本发明提供了一种用于车用电机关断的IGBT安全关断系统及方法。

下面结合附图和具体实施例对本发明一种用于车用电机关断的IGBT安全关断系统及方法的较佳实施例作进一步说明。本领域技术人员可由本说明书所揭露的内容轻易地了解本发明的其他优点与功效。

结合图2至图5所示，本发明提供的用于车用电机关断的IGBT安全关断系统，包括电机M、连接于电机M的高边驱动模块10和低边驱动模块20、连接于电机M且运行在单片机30上的监控模块31、连接并向单片机30供电的电源芯片40、连接并向电源芯片40供电的电源50以及低边主动短路逻辑电路60，监控模块31连接于高边驱动模块10、低边驱动模块20和低边主动短路逻辑电路60，低边主动短路逻辑电路60连接于高边驱动模块10和低边驱动模块20；

第一故障类型包括电机M的转矩违规、高边驱动模块10故障、单片机30故障和电源芯片40故障，第二故障类型包括低边驱动模块20故障，第三故障类型包括单片机30故障、电源50故障和电源芯片40故障；

监控模块31用于监视是否出现第一故障类型或第二故障类型，电源芯片40用于监视是否出现第三故障类型；

当出现第一故障类型时，监控模块31控制低边主动短路逻辑电路60，低边主动短路逻辑电路60控制高边驱动模块10截止且低边驱动模块20导通；

当出现第二故障类型时，监控模块31控制高边驱动模块10导通且低边驱动模块20截止；

当出现第三故障类型时，电源芯片40控制低边主动短路逻辑电路60，低边主动短路逻辑电路60控制高边驱动模块10截止且低边驱动模块20导通。

正常工作时，系统允许电机M控制算法进行电机M的矢量控制。如图2至图5所示，本发明用于车用电机关断的IGBT安全关断系统，针对电机M运行中出现的不同种类故障，采取不同的方式保证电机M运行安全；如图2所示，在方式一中，监控模块31可监视是否出现第一故障类型，当出现第一故障类型时，即当转矩违规、高边驱动模块10、单片机30和电源芯片40出现故障时，监控模块31通过低边主动短路逻辑电路60控制高边驱动模块10和低边驱动模块20导通或关断；如图3所示，在方式二中，监控模块31可监视是否出现第二故障类型，当出现第二故障类型时，即当低边驱动模块20出现故障时，监控模块31通过PWM控制信号控制高边驱动模块10和低边驱动模块20导通或关断；如图4所示，在方式三中，电源芯片40可监视是否出现第三故障类型，当出现第三故障类型时，即当单片机30、电源50和电源芯片40出现故障时，电源芯片40通过低边主动短路逻辑电路60控制高边驱动模块10和低边驱动模块20导通或关断。

进一步地，如图5所示，高边驱动模块10包括连接且控制电机M的高边IGBT11、连接且控制高边IGBT11的高边IGBT驱动芯片12和连接且向高边IGBT驱动芯片12供电的低压取电模块13，电源50连接并向低压取电模块13供电；用于车用电机关断的IGBT安全关断系统还包括高压电池70，低边驱动模块20包括连接且控制电机M的低边IGBT21、连接且控制低边IGBT21的低边IGBT驱动芯片22和连接且向低边IGBT驱动芯片22供电的高压取电模块23，高压电池70连接并向高压取电模块23供电；高边IGBT驱动芯片12和低边IGBT驱动芯片22均具有错误诊断功能，高边驱动模块10故障时，高边IGBT驱动芯片12向监控模块31发送高边诊断信号，低边驱动模块20故障时，低边IGBT驱动芯片22向监控模块31发送低边诊断信号。

第一故障类型包括电机M的转矩违规、高边驱动模块10故障、单片机30故障和电源芯片40故障，其中，高边驱动模块10故障包括高边IGBT11故障、高边IGBT驱动芯片12故障和低压取电模块13故障，当高边驱动模块10故障时，高边IGBT驱动芯片12向监控模块31发送高边诊断信号；第二故障类型包括低边驱动模块20故障，低边驱动模块20故障包括低边IGBT21故障、低边IGBT驱动芯片22故障和高压取电模块23故障，当出现低边驱动模块20故障时，低边IGBT驱动芯片22向监控模块31发送低边诊断信号。

进一步地，当出现第一故障类型时，低边主动短路逻辑电路60控制高边IGBT驱动芯片12断开、低边IGBT驱动芯片22导通，进入低边主动短路状态。

本实施例中，监控模块31通过测量三相相电流相电压，估算电机M实际输出转矩，监控模块31如果发现转矩过大或反向，则认为转矩违规，即监控模块31判断为第一故障类型；高边驱动模块10故障时，如来自高边的3个IGBT驱动中任意一个或多个有故障，如过流，短路，电源故障等，高边IGBT驱动芯片12向监控模块31发送高边诊断信号，监控模块31接收并判断为第一故障类型；单片机30故障时，监控模块31可自动诊断并判断为第一故障类型；电源芯片40故障时，监控模块31可自动诊断并判断为第一故障类型，具体地，单片机30刚一上电的时候，会执行对电源芯片40的测试，测试其是否能够正常的执行安全关断的操作、电源50监视、故障检测的功能，如果发现电源芯片40在故障的时候不动作，则认为电源芯片40故障，同时单片机30内部提供安全机制检测电源芯片40输出的电源50，如果发现错误，也认为电源芯片40故障；监控模块31判断为第一故障类型后，监控模块31控制低边主动短路逻辑电路60，低边主动短路逻辑电路60控制高边IGBT驱动芯片12断开、低边IGBT驱动芯片22导通，进入低边主动短路状态。驱动芯片报故障时，输出为开路状态。

进一步地，当出现第二故障类型时，监控模块31产生PWM控制信号控制高边IGBT驱动芯片12导通、低边IGBT驱动芯片22断开，进入高边主动短路状态。

本实施例中，低边驱动模块20故障时，如来自低边的3个IGBT驱动中任意一个或多个有故障，如过流，短路，电源故障等，低边IGBT驱动芯片22向监控模块31发送低边诊断信号，监控模块31接收并判断为第二故障类型；监控模块31判断为第二故障类型后，监控模块31产生6路PWM控制信号，控制输出高边3路PWM信号输出高电平，同时低边3路PWM信号输出低电平。此种关断方式用于在低边发生任意故障，无法完整执行低边主动短路的时候，将系统迁移到安全状态。这种时候，我们认为高边IGBT11可以执行主动短路，并且单片机30可以执行PWM的产生工作，电源50部分电路工作正常，否则认为是多点故障，多点故障同时发生的概率很低，给系统带来风险的概率也极低。

为了避免共因失效和降低系统失效率，高边IGBT驱动芯片12和低边IGBT驱动芯片22需采用6路独立的驱动芯片，本设计中采用英飞凌1EDI2002芯片，专利范围不限于此，采用相类似功能的驱动芯片都认为与本发明相同。

本实施例中电源50为12V电源，由于12V电源来自车载蓄电池，如果蓄电池故障，系统无法正常工作，因此本专利中设计了高压取电电路，高压取电电路电源50来自于高压电池70，将高压电池70的高压电源50转换为驱动芯片所需的工作电压，从而保证系统的正常工作。本设计中，低边驱动采取高压取电电源50，高边驱动采取低压取电电源50，为冗余设计，同时，若采用低边驱动取低压取电，高边驱动取高压取电也认为是相同设计。

进一步地，当出现第三故障类型时，低边主动短路逻辑电路60控制高边IGBT驱动芯片12断开、低边IGBT驱动芯片22导通，进入低边主动短路状态。

如图6所示，进一步地，电源芯片40设有error监视模块42，单片机30设有SMU模块32，电源芯片40通过error监视模块42和SMU模块32对单片机30内部的硬件及软件运行进行监视；电源芯片40和单片机30均设有看门狗模块43，两个看门狗模块43相互配合，电源芯片40通过看门狗模块43对单片机30进行程序流监视。

本实施例中，单片机30本身的安全机制监视到自身内部的硬件及软件运行故障时，SMU模块32可直接向error监视模块42发送SMUFSP信号，电源芯片40接收SMUFSP信号并判断为单片机30故障，即电源芯片40判断为出现第三故障类型；同时，通过看门狗模块43使用SPI通信的方式，对单片机30程序流监视，通过一问一答的形式实现看门狗功能，只有答案和问题相对应，并且答案的时间也正确的时候才认为是正确的，如果出现错误，那么电源芯片40判断为出现第三故障类型；本实施例中，电源50具体地为12V电源，12V电源故障时，电源芯片40自动诊断并判断为出现第三故障类型；电源芯片40中的芯片电源41向单片机30中的单片机电源33供电，如果电源芯片40发生严重故障，无法提供电源时，电源芯片40自动诊断并判断为出现第三故障类型；电源芯片40判断为第三故障类型后，电源芯片40控制低边主动短路逻辑电路60，低边主动短路逻辑电路60控制高边IGBT驱动芯片12断开、低边IGBT驱动芯片22导通，进入低边主动短路状态。

进一步地，当出现第一故障类型时，监控模块31向低边主动短路逻辑电路60发出第一控制信号，监控模块31设有用于输出第一控制信号的两个第一引脚；当出现第三故障类型时，电源芯片40向低边主动短路逻辑电路60发出第二控制信号，电源芯片40设有用于输出第二控制信号的两个第二引脚。

如图7所示，第一引脚包括LS_ASC_Ctrl1和LS_ASC_Ctrl2，第二引脚包括SS1_Ctrl1和SS1_Ctrl2；监控模块31通过LS_ASC_Ctrl1和LS_ASC_Ctrl2输出第一控制信号，电源芯片40通过SS1_Ctrl1和SS1_Ctrl2输出第二控制信号；ASC引脚高电平时，IGBT驱动芯片强制打开，输出为ON；当EN引脚为低电平时，IGBT驱动芯片输出关闭，输出为OFF状态；图中ASC2_O_LS、ASC4_O_LS、ASC6_O_LS为低边3路驱动控制信号；图中EN1_O_HS、EN3_O_HS、EN5_O_HS为高边3路驱动控制信号；当SS1_Ctrl1和SS1_Ctrl2引脚任一个为低电平时或者LS_ASC_Ctrl1和LS_ASC_Ctrl2任意一个为高电平时，ASC2_O_LS，ASC4_O_LS，ASC6_O_LS三个引脚输出为高电平，强制下三桥IGBT进入导通状态，同时EN1_O_HS，EN3_O_HS，EN5_O_HS三个引脚输出为低电平，强制上三桥IGBT进入断开状态，由此进入低边主动短路状态。较佳地，为了保证上下桥IGBT不会直通，下三桥导通控制采取RC延时电路控制，保证上三桥断开以后，再导通下三桥电路。

进一步地，如图8所示，还包括两个接插件，两个第一引脚与两个接插件一一对应连接，两个第二引脚与两个接插件一一对应连接。本实施例中，SS1_Ctrl1和LS_ASC_Ctrl1引脚连接至接插件D1，同时SS1_Ctrl2和LS_ASC_Ctrl2连接至接插件D2，本实施例的引脚分配上采取隔离设计，安全关键的信号相邻引脚不分配信号，可有效防止接插件出现松动、短路等故障。

本发明针对系统中出现的不同失效，采取不同的关闭路径以保证系统的安全。当电机M或其他系统故障(非IGBT或其驱动系统故障)导致系统输出转矩持续与驾驶员预期转矩不符时，系统通过监控模块31控制低边主动短路逻辑电路60来进入低边主动短路。若由于低边IGBT21或其驱动系统故障，不论是否导致转矩与驾驶员预期不符，系统通过监控模块31输出PWM控制信号来进入高边主动短路。若由于高边IGBT11或其驱动系统故障，不论是否导致转矩与驾驶员预期不符，系统通过监控模块31控制低边主动短路逻辑电路60来进入低边主动短路。若电源50供电故障或单片机30运行故障，则认为系统失去控制能力，不论是否导致转矩与驾驶员预期不符，系统通过电源芯片40控制低边主动短路逻辑电路60来进入低边主动短路，来保证整个系统的安全。通过多条关闭路径的组合，覆盖系统中所有可能的失效，保证系统在任何时候都能进入安全状态。

以上分析基于不会发生多点故障，系统在进行设计的时候，需要设计防止多点失效的机制，如在运行过程中实时监视关闭路径中的关键部分工作是否正常，上下电时，测试关闭路径能否正常执行。从而降低系统无法关断的风险。

如图9所示，本发明还提供一种用于车用电机关断的IGBT安全关断方法，包括步骤：

步骤101：提供用于车用电机关断的IGBT安全关断系统；

步骤102：监视并判断故障类型，故障类型包括第一故障类型、第二故障类型和第三故障类型，若监控模块监视并判断出现第一故障类型，则执行步骤S1，若监控模块监视并判断出现第二故障类型，则执行步骤S2，若电源芯片监视并判断出现第三故障类型，则执行步骤S3；

步骤S1，监控模块控制低边主动短路逻辑电路，低边主动短路逻辑电路控制高边驱动模块截止且低边驱动模块导通；

步骤S2，监控模块控制高边驱动模块导通且低边驱动模块截止；

步骤S3，电源芯片控制低边主动短路逻辑电路，低边主动短路逻辑电路控制高边驱动模块截止且低边驱动模块导通；

步骤101中，用于车用电机关断的IGBT安全关断系统包括电机、连接于电机的高边驱动模块和低边驱动模块、连接于电机且运行在单片机上的监控模块、连接并向单片机供电的电源芯片、连接并向电源芯片供电的电源以及低边主动短路逻辑电路，监控模块连接于高边驱动模块、低边驱动模块和低边主动短路逻辑电路，低边主动短路逻辑电路连接于高边驱动模块和低边驱动模块；

第一故障类型包括电机的转矩违规、高边驱动模块故障、单片机故障和电源芯片故障，第二故障类型包括低边驱动模块故障，第三故障类型包括单片机故障、电源故障和电源芯片故障。

进一步地，高边驱动模块包括连接且控制电机的高边IGBT、连接且控制高边IGBT的高边IGBT驱动芯片和连接且向高边IGBT驱动芯片供电的低压取电模块，电源连接并向低压取电模块供电；用于车用电机关断的IGBT安全关断系统还包括高压电池，低边驱动模块包括连接且控制电机的低边IGBT、连接且控制低边IGBT的低边IGBT驱动芯片和连接且向低边IGBT驱动芯片供电的高压取电模块，高压电池连接并向高压取电模块供电；其中，步骤102中，高边IGBT驱动芯片和低边IGBT驱动芯片均具有错误诊断功能，高边驱动模块故障时，高边IGBT驱动芯片向监控模块发送高边诊断信号，低边驱动模块故障时，低边IGBT驱动芯片向监控模块发送低边诊断信号。

更进一步地，步骤S1和步骤S3中，低边主动短路逻辑电路控制高边IGBT驱动芯片断开、低边IGBT驱动芯片导通，进入低边主动短路状态；步骤S2中，监控模块产生PWM控制信号控制高边IGBT驱动芯片导通、低边IGBT驱动芯片断开，进入高边主动短路状态。

进一步地，电源芯片设有error监视模块，单片机设有SMU模块，且电源芯片和单片机均设有看门狗模块；步骤102中，电源芯片通过error监视模块和SMU模块对单片机内部的硬件及软件运行进行监视，电源芯片通过看门狗模块对单片机进行程序流监视。

本发明提供用于车用电机关断的IGBT安全关断系统及方法，针对不同的故障类型，采取不同的输出控制，提供了一种更加全面的电机安全关断的方案，使车辆运行更加安全。

以上仅是本发明的较佳实施例而已，并非对本发明做任何形式上的限制，虽然本发明已以较佳实施例揭露如上，然而并非用以限定本发明，任何熟悉本专业的技术人员，在不脱离本发明技术方案的范围内，当可利用上述揭示的技术内容作出些许更动或修饰为等同变化的等效实施例，但凡是未脱离本发明技术方案的内容，依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化与修饰，均仍属于本发明技术方案的范围内。

需要说明的是，本说明书所附图式所绘示的结构、比例、大小等，均仅用以配合说明书所揭示的内容，以供熟悉此技术的人士了解与阅读，并非用以限定本发明可实施的限定条件，故不具技术上的实质意义，任何结构的修饰、比例关系的改变或大小的调整，在不影响本发明所能产生的功效及所能达成的目的下，均应仍落在本发明所揭示的技术内容的能涵盖的范围内。

Claims (10)

1.一种用于车用电机关断的IGBT安全关断系统，其特征在于：包括电机、连接于所述电机的高边驱动模块和低边驱动模块、连接于所述电机且运行在单片机上的监控模块、连接并向所述单片机供电的电源芯片、连接并向所述电源芯片供电的电源以及低边主动短路逻辑电路，所述监控模块连接于所述高边驱动模块、所述低边驱动模块和所述低边主动短路逻辑电路，所述低边主动短路逻辑电路连接于所述高边驱动模块和所述低边驱动模块；

第一故障类型包括所述电机的转矩违规、所述高边驱动模块故障、所述单片机故障和所述电源芯片故障，第二故障类型包括所述低边驱动模块故障，第三故障类型包括所述单片机故障、所述电源故障和所述电源芯片故障；

所述监控模块用于监视是否出现所述第一故障类型或所述第二故障类型，所述电源芯片用于监视是否出现所述第三故障类型；

当出现所述第一故障类型时，所述监控模块控制所述低边主动短路逻辑电路，所述低边主动短路逻辑电路控制所述高边驱动模块截止且所述低边驱动模块导通；

当出现所述第二故障类型时，所述监控模块控制所述高边驱动模块导通且所述低边驱动模块截止；

当出现所述第三故障类型时，所述电源芯片控制所述低边主动短路逻辑电路，所述低边主动短路逻辑电路控制所述高边驱动模块截止且所述低边驱动模块导通。

2.如权利要求1所述的用于车用电机关断的IGBT安全关断系统，其特征在于：所述高边驱动模块包括连接且控制所述电机的高边IGBT、连接且控制所述高边IGBT的高边IGBT驱动芯片和连接且向所述高边IGBT驱动芯片供电的低压取电模块，所述电源连接并向所述低压取电模块供电；

所述用于车用电机关断的IGBT安全关断系统还包括高压电池，所述低边驱动模块包括连接且控制所述电机的低边IGBT、连接且控制所述低边IGBT的低边IGBT驱动芯片和连接且向所述低边IGBT驱动芯片供电的高压取电模块，所述高压电池连接并向所述高压取电模块供电；

所述高边IGBT驱动芯片和所述低边IGBT驱动芯片均具有错误诊断功能，所述高边驱动模块故障时，所述高边IGBT驱动芯片向所述监控模块发送高边诊断信号，所述低边驱动模块故障时，所述低边IGBT驱动芯片向所述监控模块发送低边诊断信号。

3.如权利要求2所述的用于车用电机关断的IGBT安全关断系统，其特征在于：当出现所述第一故障类型或所述第三故障类型时，所述低边主动短路逻辑电路控制所述高边IGBT驱动芯片断开、所述低边IGBT驱动芯片导通，进入低边主动短路状态；

当出现所述第二故障类型时，所述监控模块产生PWM控制信号控制所述高边IGBT驱动芯片导通、所述低边IGBT驱动芯片断开，进入高边主动短路状态。

4.如权利要求1所述的用于车用电机关断的IGBT安全关断系统，其特征在于：所述电源芯片设有error监视模块，所述单片机设有SMU模块，所述电源芯片通过所述error监视模块和所述SMU模块对所述单片机内部的硬件及软件运行进行监视；

所述电源芯片和所述单片机均设有看门狗模块，所述电源芯片通过所述看门狗模块对所述单片机进行程序流监视。

5.如权利要求1所述的用于车用电机关断的IGBT安全关断系统，其特征在于：当出现所述第一故障类型时，所述监控模块向所述低边主动短路逻辑电路发出第一控制信号，所述监控模块设有用于输出所述第一控制信号的两个第一引脚；

当出现所述第三故障类型时，所述电源芯片向所述低边主动短路逻辑电路发出第二控制信号，所述电源芯片设有用于输出所述第二控制信号的两个第二引脚。

6.如权利要求5所述的用于车用电机关断的IGBT安全关断系统，其特征在于：还包括两个接插件，两个所述第一引脚与两个所述接插件一一对应连接，两个所述第二引脚与两个所述接插件一一对应连接。

7.一种用于车用电机关断的IGBT安全关断方法，其特征在于，包括步骤：

提供用于车用电机关断的IGBT安全关断系统，包括电机、连接于所述电机的高边驱动模块和低边驱动模块、连接于所述电机且运行在单片机上的监控模块、连接并向所述单片机供电的电源芯片、连接并向所述电源芯片供电的电源以及低边主动短路逻辑电路，所述监控模块连接于所述高边驱动模块、所述低边驱动模块和所述低边主动短路逻辑电路，所述低边主动短路逻辑电路连接于所述高边驱动模块和所述低边驱动模块；

监视并判断故障类型，所述故障类型包括第一故障类型、第二故障类型和第三故障类型，若所述监控模块监视并判断出现所述第一故障类型，则执行步骤S1，若所述监控模块监视并判断出现所述第二故障类型，则执行步骤S2，若所述电源芯片监视并判断出现所述第三故障类型，则执行步骤S3；

步骤S1，所述监控模块控制所述低边主动短路逻辑电路，所述低边主动短路逻辑电路控制所述高边驱动模块截止且所述低边驱动模块导通；

步骤S2，所述监控模块控制所述高边驱动模块导通且所述低边驱动模块截止；

步骤S3，所述电源芯片控制所述低边主动短路逻辑电路，所述低边主动短路逻辑电路控制所述高边驱动模块截止且所述低边驱动模块导通；

其中，所述第一故障类型包括所述电机的转矩违规、所述高边驱动模块故障、所述单片机故障和所述电源芯片故障，所述第二故障类型包括所述低边驱动模块故障，所述第三故障类型包括所述单片机故障、所述电源故障和所述电源芯片故障。

8.如权利要求7所述的用于车用电机关断的IGBT安全关断方法，其特征在于：所述高边驱动模块包括连接且控制所述电机的高边IGBT、连接且控制所述高边IGBT的高边IGBT驱动芯片和连接且向所述高边IGBT驱动芯片供电的低压取电模块，所述电源连接并向所述低压取电模块供电；

所述用于车用电机关断的IGBT安全关断系统还包括高压电池，所述低边驱动模块包括连接且控制所述电机的低边IGBT、连接且控制所述低边IGBT的低边IGBT驱动芯片和连接且向所述低边IGBT驱动芯片供电的高压取电模块，所述高压电池连接并向所述高压取电模块供电；

其中，所述监视并判断故障类型的步骤中，所述高边IGBT驱动芯片和所述低边IGBT驱动芯片均具有错误诊断功能，所述高边驱动模块故障时，所述高边IGBT驱动芯片向所述监控模块发送高边诊断信号，所述低边驱动模块故障时，所述低边IGBT驱动芯片向所述监控模块发送低边诊断信号。

9.如权利要求8所述的用于车用电机关断的IGBT安全关断方法，其特征在于：所述步骤S1和所述步骤S3中，所述低边主动短路逻辑电路控制所述高边IGBT驱动芯片断开、所述低边IGBT驱动芯片导通，进入低边主动短路状态；

所述步骤S2中，所述监控模块产生PWM控制信号控制所述高边IGBT驱动芯片导通、所述低边IGBT驱动芯片断开，进入高边主动短路状态。

10.如权利要求7所述的用于车用电机关断的IGBT安全关断方法，其特征在于：所述电源芯片设有error监视模块，所述单片机设有SMU模块，且所述电源芯片和所述单片机均设有看门狗模块；

所述监视并判断故障类型的步骤中，所述电源芯片通过所述error监视模块和所述SMU模块对所述单片机内部的硬件及软件运行进行监视，所述电源芯片通过所述看门狗模块对所述单片机进行程序流监视。