具体实施方式

微控制器或其它数据处理装置(例如，芯片上系统)通常用于经由逆变器系统来控制电动机的运行。在基本方面，逆变器系统是使DC电源变成AC电源以供电动机使用的电子装置。微控制器可以监测逆变器或电动机的其它组件中的错误或危险条件。如将在下文更充分地描述，如果微控制器检测到危险条件或错误，则微控制器可以选择并激活例如使逆变器与电池隔离的安全状态。

图1示出了用于EV的示例电动机的相关组件。电动机包括可以控制示例三相脉冲宽度调制(PWM)逆变器系统100的微控制器110。如图所示，逆变器系统100包括分别经由端节点N1-N3分别与低侧功率晶体管TL1-TL3串联连接的高侧功率晶体管TH1-TH3，所述端节点N1-N3又分别连接到导线绕组L1-L3。仅出于解释的目的，功率晶体管TH1-TH3和TL1-TL3呈绝缘栅双极晶体管(IGBT)形式，应理解，术语功率晶体管不应限于此。高侧晶体管TH1-TH3的集电极连接到由电池(未示出)直接或间接提供的DC电源电压HVBat(例如，12V、48V、1kV等)，而低侧晶体管TL1-TL3的发射极连接到地回路。

逆变器系统100的控制相对简单。高侧栅极驱动器H101-H103和低侧栅极驱动器L101-L103在相应输入PWM_In处从微控制器110接收控制信号(即，脉冲宽度调制信号PWM-HI到PWM-H3和PWM-L1到PWM-L3)。响应于控制信号，高侧栅极驱动器H101-H103分别经由栅极控制电压VGH1-VGH3分别选择性地激活高侧晶体管THl-TH3，并且低侧栅极驱动器L101-L103分别经由栅极控制电压VGL1-VGL3分别选择性地激活低侧晶体管TL1-TL3。如果正常工作，则功率晶体管中的每一个功率晶体管在被其对应的栅极驱动器激活时，应将电流传导到对应的绕组或从对应的绕组传导电流。通过配合激活高侧晶体管和低侧晶体管，电流的方向发生持续且规律地翻转(电流进入绕组，然后突然反向并流回)。图2示出了例如控制电压VGH1-VGH3和VGLl-VGL3及其协作关系的时序图。耦合到驱动轴的转子的磁场与导线绕组L1-L3中的电流之间的相互作用产生推进EV的旋转力。

微控制器110是紧凑集成电路。尽管未示出，但微控制器110包括在单芯片上的中央处理单元(CPU)、存储器和例如定时器、输入/输出(I/O)端口等外围设备。CPU可以根据在CPU上执行的软件对定时器进行编程。一旦编程并启动，这些定时器就可以自主地生成用于分别输出到栅极驱动器H101-H10的PWM信号PWM-H1到PWM-H3，以及用于分别输出到栅极驱动器L101-L10的PWM信号PWM-L1到PWM-L3。栅极驱动器H101-H103基于PWM信号PWM-H1到PWM-H3生成栅极控制电压VGH1-VGH3，并且栅极驱动器L101-L103基于PWM信号PWM-L1到PWM-L3生成栅极控制电压VGL1-VLH3。CPU可以对计时器进行重新编程，以调整PWM信号的占空比和周期，进而调整EV的驱动轴的转速。

回到逆变器系统100，栅极驱动器H101-H103和L101-L103中的每一个栅极驱动器具有用于接收故障安全启用(FSE)信号的输入FSE_In。另外，栅极驱动器H101-H103和L101-L103中的每一个栅极驱动器具有用于接收故障安全高(FSH)信号或故障安全低(FSL)信号的输入FSS_In。响应于FSE信号的断言，栅极驱动器H101-H103和L101-L103将忽略在PWM_In处接收到的信号，而倾向于在FSS_In处接收到的信号。响应于FSH信号或FSL信号的断言，栅极驱动器H101-H103或L101-L103将分别激活其相应的功率晶体管，由此使所述功率晶体管的集电极和发射极短路。响应于未断言(取消断言)FSH信号或FSL信号，栅极驱动器H101-H103或L101-L103将分别去激活其相应的功率晶体管，由此在所述功率晶体管的集电极与发射极之间形成开路。

逆变器系统和电动机的其它组件容易出现错误或故障。栅极驱动器H101-H103和L101-L103中的每一个栅极驱动器可以检测内部或外部电故障或错误。如果栅极驱动器检测到错误或故障，则所述栅极驱动器可以断言误差信号(未示出)。例如，栅极驱动器H101可以在端节点N1处监测电压，仅当TH1由栅极驱动器H101激活时，所述电压才应为HVBat。如果当晶体管THl被去激活时，栅极驱动器H101在N1处检测到电压(即HVBat)，则假设TH1的集电极与发射极之间存在短路，并且栅极驱动器H101将断言其误差信号。栅极驱动器H101还可以在感测电阻器(未示出)两端监测电压，所述感测电阻器战略性地放置在HVBat与TH1的集电极之间的导电路径中。电流应在TH1由栅极驱动器H101激活时流过感测电阻器。如果当晶体管TH1被激活时，栅极驱动器H101在感测电阻器两端没有检测到电压，则假设存在开路。如果检测到此条件，则栅极驱动器H101可以断言其误差信号。栅极驱动器H101可以检测内部故障，这可能会导致无法激活TH1。如果检测到此条件，则栅极驱动器H101可以断言其误差信号。还设想了其它错误或故障。

微控制器110从栅极驱动器H101-H103和L101-L103和/或电动机的其它组件接收误差信号。另外，微控制器接收表示轮轴、驱动轴、转子或其它组件的转速的输入信号MS，所述输入信号MS又对应于EV正移动的速度。MS信号可以呈PWM信号形式，所述PWM信号的占空比与轮轴、转子等的转速成比例。可替换的是，MS信号可以呈表示轮轴、转子等的转速的数字信号或模拟信号形式。可以从图1所示的电动机外部的系统接收MS信号，或可以在电动机内部生成MS信号。微控制器ll0可以将MS信号转换为可以与存储在存储器中的预定阈值TH进行比较的EV速度值。在一个实施例中，EV速度值和阈值可以是数字值。当接收到误差信号时，微控制器110可以通过基于许多因素中的任一个或多个因素选择逆变器100的安全状态来作出响应，所述因素例如EV速度、错误或故障类型(例如，功率晶体管的电短路)、错误或故障位置(例如，逆变器系统中的低侧功率晶体管)等。为了说明，当MS信号指示EV速度高于阈值TH时，微控制器110可以从栅极驱动器接收误差信号。作为响应，微控制器110可以选择第一安全状态，所述第一安全状态是通过断言FSE信号和FSH信号并且取消断言FSL信号来实施的。作为响应，功率晶体管THI-TH3将激活且使每一节点N1-N3短路到HVBat，而功率晶体管TL1-TL3被去激活且使节点N1-N3与地断开连接。微控制器110在继续经由输入信号MS监测EV速度的同时，可以随后通过取消断言FSH而使电动机处于第二安全状态，在微控制器110确定EV速度低于阈值TH之后，所述取消断言FSH去激活THI-TH3且使节点N1-N3与HVBat断开连接。

不利的是，微控制器可能会出现故障。当微控制器110出现故障时，所述微控制器110可能无法对其接收到的误差信号作出响应。故障安全IC是与微控制器一起提供的，并且作为所述微控制器的安全备份。如果微控制器出现故障，则通常形成于单独的IC管芯上的故障安全IC可以介入并激活逆变器的安全状态。图1示出了监测微控制器110的软件和/或硬件运行状况的故障安全IC 112。更具体地说，IC 112监测来自微控制器110的至少一个误差信号MES。当被断言时，MES信号指示微控制器110中的软件或硬件故障。在一个实施例中，微控制器110可以包括用于检测故障的看门狗定时器。在正常运行期间，微控制器会定期重置看门狗定时器，以防止其出现时间流逝或“超时”。如果由于硬件错误或程序错误，微控制器110未能重置看门狗定时器，则定时器将出现时间流逝，并且误差信号MES将被断言。如果误差信号MES被断言，则假设微控制器110是不可操作的，并且IC 112激活逆变器系统100的安全状态。虽然微控制器110能够激活逆变器系统100的许多不同安全状态中的任一个安全状态，但IC 112仅激活一个安全状态(在下文中被称作“IC安全状态”)。故障安全IC通过在输出FSO0b和FSO2b输出处断言FSE信号和FSL信号，并且在FSO1b输出处取消断言FSH信号来实施IC安全状态。作为响应，高侧栅极驱动器H101-H103去激活THl-TH3，而低侧栅极驱动器L101-L103激活TL1-TL3。在IC安全状态中，节点N1-N3应连接到地GND并且与HVBat隔离。IC112使逆变器系统100处于IC安全状态，而与EV速度无关。不利的是，IC安全状态可能会在驱动轴上诱发力矩制动，并且力矩制动可能会造成对EV的损坏、对EV乘客的伤害或其它问题，尤其是在IC状态被激活时EV速度较高的情况下。

图3示出了图1的系统，其中故障安全IC 112由故障安全IC 312替换。故障安全IC112和312的结构和功能基本上不同。在一个实施例中，故障安全IC 312形成于半导体管芯上，并且可以包括分别在输出FSO0B、FS01b和FS02b处生成FSE、FSH和FSL的组合逻辑。尽管故障安全IC 312不必限于组合逻辑电路，但故障安全IC 312不是复杂的数据处理装置，因为所述故障安全IC 312不具有CPU以及存储可由CPU执行的指令的存储器。与图1所示的故障安全IC 112不同，故障安全IC 312接收可以转换为瞬时EV速度值的MS信号。在替代实施例中，故障安全IC 312可以接收除MS外的信号，所述信号也可以转换为瞬时EV速度。MS信号可以呈PWM信号形式，所述PWM信号的占空比与轮轴、转子等的转速成比例。可替换的是，MS信号可以呈表示轮轴、转子等的转速的数字信号或模拟信号形式。可以从图1所示的电动机外部的系统接收MS信号，或可以在电动机内部生成MS信号。故障安全IC 312可以将MS信号转换为可以与预定阈值TH进行比较的EV速度值。如下文更充分地描述，故障安全IC 312可以基于MS信号使逆变器系统100处于多个安全状态中的任一个安全状态。

与故障安全IC 112一样，故障安全IC 312监测微控制器110。更具体地说，IC 312监测来自微控制器110的MES信号。如果MES信号由于硬件或软件故障而被断言，则假设微控制器110不可操作，并且IC312动态地激活逆变器系统100的安全状态。图4是响应于微控制器110故障而由故障安全IC 312实施的示例过程。在步骤402，当微控制器110断言MES信号时，故障安全IC 312检测微控制器故障。此后，在步骤404，故障安全IC 312将其计算的瞬时EV速度值与阈值TH进行比较，所述阈值TH存储在故障安全IC 312的可配置存储器中。在一个实施例中，可配置存储器是只读的，并且TH是基于电动机和/或包含所述电动机的EV的参数而预定的。如果EV速度值由故障安全IC 312确定为大于TH，则在步骤406，故障安全IC312断言FSH且取消断言FSL，或断言FSL且取消断言FSH。此后，故障安全IC 312在其FSO0b输出处断言FSE，所述FSO0b输出连接到栅极驱动器H101-H103和L101-L103的每一FSE_In输入。响应于FSE断言，栅极驱动器将在其输入PWM_In处忽略控制信号，并且对IC 312的FSH输出信号和FSL输出信号作出响应。在步骤408之后，或响应于在步骤404由故障安全IC 312确定EV速度值小于阈值TH，过程进行到步骤410，其中故障安全IC 312持续地将阈值TH与EV速度值进行比较，因为所述EV速度值会发生变化。在步骤412，如果发现速度小于阈值TH，则故障安全IC 312取消断言FSH和FSL两者。此后，如果FSE还没有被断言，则IC 312将断言所述FSE。应注意，IC 312可以随后取消断言FSE，并且在MES信号被取消断言的情况下向微控制器发送重置信号。

公开了一种基于车辆速度来控制电动机的动态安全状态控制电路。微控制器或其它处理装置被配置成控制电动机的逆变器系统。所述动态安全状态控制电路被配置成接收对应于所述电动机的速度的第一信号。所述电路被配置成基于所述第一信号并且响应于所述微控制器中的故障，激活所述逆变器系统中的多个安全状态中的任一个安全状态。

尽管已经结合若干实施例描述了本发明，但并不希望本发明限于本文中所阐述的特定形式。相反，希望涵盖可以合理地包括在如所附权利要求书限定的发明的范围内的此类替代方案、修改和等效物。