芝能智芯出品
NXP做了一份简单的材料，介绍设计Fail-safe的DC-DC控制器，很多科普性质的内容，加入了一点点MBD的材料。
● 安全设计
在纯电动汽车的动力系统内，不同DC-DC必须具备安全性和容错性，以提高其可用性。自动驾驶的不断发展要求推动了下一代EV转换器的开发。
车企和一级供应商（Tier1s）正在研究容错系统解决方案，以满足自动驾驶的需求，这将增加动力系统的可用性，这需要采用ISO26262安全流程来开发展转换器的安全架构。
◎ OBC 
◎ 逆变器 
◎ DC-DC
HV到LV DC/DC转换器内的主要功能：
1 确保逆变器上的滤波电容在放电时，电荷被释放掉
2 通过隔离变压器传递输入的DC电压，转换成12V
3 将HV电压转换为低压12VDC电压
4 给低压电池充电
5 采样输出状态（可以是输出电压或电流）
6 调节和控制信号变化以维持低压电池的额定电压
● 典型的DC-DC结构 
● 安全目标
● DC-DC的安全概念
● 高压架构的Fail-safe
◎ 高压拓扑的容错性
使硬件结构容错的一种解决方案是添加一个T型结构。如果主要支路开关之一出现故障（用红色突出显示），则会激活重新配置的T型结构（用蓝色突出显示）来支持剩余的开关。
◎ 测量数据
可用的一种解决方案是冗余和测量算法，应使用冗余系统和/或测量算法来监测转换器的测量数据，并重新组合测量信号（例如：Kalman滤波器、自适应观察器等）。
◎ 控制器可用
可能解决方案是：使用NXP S32 MCU架构，具有多个核心和存储器冗余 对降级模式的软件架构进行虚拟化 利用S32的功能安全能力 NXP S32的外围设备，如FCCU，使客户能够创建对硬件故障做出响应的软件。
使用模型驱动开发（MBD）工具来开发DC-DC转换器，验证和验证MBD流程至关重要，包括模型在环（MIL）、软件在环（SIL）、处理器在环（PIL）和硬件在环（HIL）流程。
