功率控制单元（以下简称PCU）是电驱动系统的主要组成部分，对其效率、功率密度和可靠性起着主导作用。
在PCU系统工作过程中，如发生系统性失效或硬件随机失效，有可能会导致电机发出非预期的驱动或制动扭矩，在某些驾驶场景下使车辆发生碰撞、追尾等事故，危及驾乘人员安全。
本文以某款混合动力汽车上搭载的PCU系统为例，从功能安全开发概念阶段的分析出发，提出安全目标、功能安全要求和技术安全要求。并在V模型开发右侧，以故障注入测试方法为例，给出验证和确认方法的示例。
1 相关项定义
开展PCU系统功能安全概念阶段开发，首先要对PCU系统进行相关项定义，包括：功能概念、边界和接口、运行模式和状态、相关项的约束、法规要求、已知的失效模式和危害等。
本文所分析的为某款紧凑型插电式混合动力汽车上所搭载的电驱动系统，其主要功能是为整车提供动力、通过车载充电器为电池充电等，而PCU主要负责电驱动系统的能量流向和分配。整体动力总成方案如图1所示，其中虚线框为PCU相关项范围，主要包括：高压变换器/复用充电机（BOOST/OBC）、控制器（MCU）、逆变器、电动机（E-Motor）和发电机（G-Motor）等。
1）电动机：通过以一定开关管动作的逆变器控制实现功率转换过程，其可工作于电动模式或发电模式。在发电模式，电机为高压电池充电；在电动模式，电机为系统提供驱动力。
2）发电机：同样通过以一定开关管动作的逆变器控制实现动能向电能转换的过程，其由发动机驱动发电机为高压电池充电或者为电动机提供电能。
3）控制器：控制逆变器实现直流高压与交流电压的互相转换，控制三相交流电压的幅值与频率，进而控制电动机和发电机的输出扭矩。本文选取了TI公司的TMS570LS1115芯片实现系统故障监控、故障处理等控制功能，以及TMS320F28379D芯片，实现电动机、发电机、BOOST/OBC的控制功能。
4）逆变器：根据MCU发出的PWM控制指令将Boost升压的直流电转换为高压交流电，以此控制发电机和电动机工作。5）高压变换器/复用充电机：高压Boost变换器受MCU控
制以实现电池高压与电机输入直流高压的升降压。复用充电机受MCU控制将交流电转换为直流电，将电网的电能转化为车载高压电池的电能。在本项目中OBC被集成在Boost中。
PCU系统的主要功能列表见表1。
2 危害分析和风险评估
基于上文的相关项定义，对PCU系统开展危害分析和风险评估。首先对PCU系统发生功能异常表现时，车辆所处的运行场景及运行模式进行描述，包括正确使用车辆和合理可预见的不正确使用车辆的情况。
表2提供了本文中所分析车辆的典型运行场景示例。然后在整车层面定义由PCU系统的功能异常表现导致的危害，可通过FMEA、HAZOP、STPA等危害识别方法系统性地识别危害。以“输出驱动扭矩”功能为例，表3提供了应用HAZOP分析方法识别相关项的功能异常表现的示例。
