4、执行器冗余设计：双绕组电机设计、双驱动桥设计、机械备份(离合器)设计、故障切换与降级模式
各位工程师朋友，咱们今天聊聊执行器冗余。这是转向系统里最“硬核”的部分之一。说白了，就是当主执行器罢工时，备份怎么顶上，让车还能安全开回家。
我个人习惯把执行器冗余分成三个层次：电机内部冗余、驱动电路冗余、机械备份冗余。这三个层次，缺一不可。你想想看，如果电机本身坏了，驱动桥再好也没用；如果驱动桥坏了，电机再强也转不动；如果机械部分卡死了，电子部分再聪明也白搭。
4.1 双绕组电机设计
双绕组电机，说白了就是一个定子上绕了两套独立的线圈。这两套线圈在物理上是隔离的，电气上也是独立的。我最早接触这个设计是在一个EPS项目中，当时客户要求ASIL D，单绕组根本过不了功能安全分析。
设计要点：
- 物理隔离：两套绕组在定子槽内要分开放置，中间有足够的绝缘距离。我在项目中遇到过，如果绕组间距不够，一旦发生匝间短路，两套绕组会互相影响，那就失去了冗余的意义。
- 电气独立：每套绕组有自己的接线端子、自己的温度传感器、自己的霍尔/旋变信号。说白了，就是两套“小电机”共享一个转子。
- 热管理：双绕组电机在满负荷运行时，发热量是单绕组的两倍。我曾经吃过这个亏——第一次设计时没考虑散热，结果温升超标，降级模式都撑不过10分钟。
关键参数对比：
| 参数 | 单绕组电机 | 双绕组电机 |
|---|---|---|
| 绕组数量 | 1 | 2 |
| 最大输出扭矩 | 100% | 200%（双绕组同时工作） |
| 故障时输出 | 0% | 50%（单绕组工作） |
| 功能安全等级 | QM / ASIL A | ASIL D |
| 成本增加 | 基准 | 约+40%~60% |
嗯，这里要注意：双绕组电机并不是简单地把两个电机拼在一起。它的转子设计、磁路优化、甚至绕线工艺都有讲究。我建议在设计初期就找电机供应商深度介入，否则后期改起来成本极高。
4.2 双驱动桥设计
双驱动桥，就是给双绕组电机配两套独立的驱动电路。每套驱动桥有自己的MOSFET、预驱芯片、电流采样、电源管理。说白了，就是两套“小驱动”背靠背工作。
架构方案：
- 方案A：全冗余桥——两套驱动桥完全独立，各带一个绕组。故障时，坏掉的那套完全断电，好的那套继续工作。这是最稳妥的方案，但成本最高。
- 方案B：半冗余桥——共用部分电路（比如电源、MCU），只在功率级做冗余。成本低一些，但故障隔离效果差一些。
我个人更倾向于方案A。为什么？因为我在一个项目中试过方案B，结果MCU供电短路，两套驱动桥同时失效，整个转向系统直接“硬掉”。那次教训太深刻了。
避坑指南：我曾经在双驱动桥的电流采样上踩过坑。两套驱动桥的电流采样如果共用一个ADC通道，一旦ADC故障，两套桥都读不到电流。后来我改成每套桥独立ADC，并且加上了硬件过流保护，这才算真正安全。
4.3 机械备份（离合器）设计
机械备份，说白了就是当电子系统完全失效时，靠机械连接把方向盘和转向机硬连起来。这个设计在L3/L4级自动驾驶中尤其重要——因为系统可能没有驾驶员随时接管。
离合器类型：
- 电磁离合器：通电吸合，断电分离。优点是响应快，缺点是断电后失去备份能力。
- 机械锁止离合器：靠机械结构锁止，断电后自动进入备份模式。我比较推荐这种，因为它符合“失效安全”原则。
设计关键：
- 切换时间：从故障发生到离合器完全啮合，时间要控制在50ms以内。我见过一个项目，切换时间做到了120ms，结果驾驶员在高速上感觉转向“断了一拍”，非常危险。
- 啮合冲击：离合器啮合时，如果转速差太大，会产生冲击。我建议在软件上做预同步——先让电机把转速拉到接近值，再让离合器啮合。
- 磨损寿命：机械备份不是天天用的，但万一要用，必须可靠。我建议做至少1000次耐久测试，确保离合器不会在关键时刻“卡壳”。
警告：机械备份不是万能的。如果转向机本身卡死（比如齿轮损坏），离合器啮合也没用。所以机械备份只能应对电子故障，不能应对机械故障。这一点在功能安全分析中要明确区分。
4.4 故障切换与降级模式
故障切换，说白了就是当系统检测到故障时，怎么从“正常模式”切换到“降级模式”。这个切换过程，我把它叫做“优雅降级”——不能突然断电，不能产生冲击，不能让驾驶员感到恐慌。
降级模式分类：
| 故障类型 | 降级模式 | 输出能力 | 驾驶员感受 |
|---|---|---|---|
| 单绕组故障 | 单绕组工作 | 50%扭矩 | 转向变沉，但可用 |
| 单驱动桥故障 | 单桥+单绕组 | 50%扭矩 | 转向变沉，但可用 |
| 双绕组故障 | 机械备份 | 100%机械连接 | 转向很沉，但可控 |
| MCU故障 | 硬件看门狗复位 | 短暂中断后恢复 | 瞬间卡顿，然后正常 |
| 电源故障 | 备用电源供电 | 有限时间工作 | 转向变沉，有提示 |
切换逻辑设计：
- 故障检测：我建议用“投票机制”——三个传感器同时检测，两个以上报故障才确认。这样可以避免误报。
- 切换时机：不是所有故障都要立即切换。比如单绕组故障，可以先报警，等驾驶员松油门后再切换。但如果是驱动桥短路，必须立即切断电源，毫秒都不能等。
- 恢复策略：降级后，如果故障消失（比如瞬时干扰），系统可以自动恢复。但如果是永久故障，必须锁死在降级模式，直到维修。
核心逻辑流程图：
嗯，这里要特别强调：降级模式不是“凑合着用”，而是“安全地撑到维修站”。我建议在降级模式下，仪表盘要有明确的提示，比如“转向系统故障，请谨慎驾驶”或者“转向助力降低，请尽快维修”。
个人经验：我曾经在一个项目中，把降级模式的扭矩输出设成了30%。结果驾驶员反馈说“转向太沉，几乎打不动”。后来我改成50%，并且加上了车速补偿——低速时给50%，高速时给30%。这样既保证了低速可操作性，又避免了高速时转向过轻导致的不稳定。
最后说一句：执行器冗余设计，不是堆料就能解决问题的。双绕组、双驱动桥、机械备份，这三者要协同工作，才能实现真正的“失效安全”。我见过太多项目，每个部件都冗余了，但切换逻辑没做好，结果故障时反而更乱。所以，设计时一定要从系统层面考虑，把切换逻辑、降级策略、故障恢复都做扎实了。
公众号:蓝海资料掘金营，微信deep3321