Tests die Tests Steuerung auf ihre Sicherheit, bevor hardware angeschlossen wird

Wichtigste Erkenntnisse

• Die Fehlerinjektion ist die sicherste Methode, um software eines Umrichters zu testen, software die tatsächliche Stromversorgung eingeschaltet wird.
• Anlagenmodelle mit geschlossenem Regelkreis decken Fehler in den Bereichen Zeitsteuerung, Schutz und Wiederherstellung auf, die bei Standardtests übersehen werden.
• Hardware eine stabile Fehlerabdeckung gewährleisten und nicht der Ort sein, an dem unsichere Logik zum ersten Mal auftritt.

Tests für die Umrichtersteuerung Tests mit der Fehlerinjektion in ein Modell der in Betrieb befindlichen Anlage, bevor die Leistungsstufe unter Spannung gesetzt wird.

Diese Abfolge ist von Bedeutung, da der Steuerungscode unter Vorteil wie Transienten, fehlerhaften Messwerten und Schutzereignissen häufig ausfällt. Der weltweite Absatz von Elektroautos überstieg im Jahr 2024 die Marke von 17 Millionen – das bedeutet mehr Umrichter, mehr software und weniger Spielraum für versteckte Logikfehler in elektrifizierten Systemen. Sie sind auf der sicheren Seite, wenn die erste Überstromabschaltung, der erste Sensorausfall und der erste Gleichstrom-Bus-Einbruch innerhalb eines Modells auftreten, das keine Halbleiter beschädigen kann. Hardware eine Steuerungsstrategie bestätigen, die bereits ihre schlimmsten Fallbeispiele überstanden hat.

Tests unsicheres Steuerungsverhalten Tests , bevor hardware .

Tests werden absichtlich abnormale Zustände in das Umrichtermodell, die Reglereingänge oder den Sensorpfad eingespeist, um die Reaktion des Regelcodes zu beobachten. Dies ist der sicherste Weg, unsichere Logik aufzudecken, bevor Strom-, Spannungs- und Schalttransienten hardware beschädigen können. So erhält man einen Nachweis der Wiederherstellungsfähigkeit, anstatt sich allein auf Nennwerttests zu verlassen.

Ein nützlicher Testfall beginnt mit einem stromgesteuerten Wechselrichter, der bei Nennlast einwandfrei regelt. Der Test wird aussagekräftig, wenn man einen Phasenstromsensor für 5 Millisekunden einfriert, den Wert des Gleichstrombusses um 10 % verschiebt oder die Last so stark erhöht, dass die Strombegrenzung ausgelöst wird. Jeder erzeugte Fehler prüft einen anderen Teil der software. Ein Testfall prüft die Plausibilitätsprüfungen, ein anderer die Sättigungsbehandlung und ein dritter die Schutzzeitabläufe.

Das ist wichtig, weil sich Fehler in Umrichtern selten eindeutig ankündigen. Ein Regler kann bei einem Test auf dem Prüfstand stabil erscheinen und dennoch unsichere Einschaltdauern vorgeben, sobald sein Rückkopplungspfad veraltet oder widersprüchlich wird. Wenn Sie darauf warten, hardware physische hardware diese Lücke aufdeckt, werden Sie Zeit damit verbringen, beschädigte Teile, unklare Protokolle und unter Zeitdruck vorgenommene Codeänderungen zu sortieren.

Tests absichtlich abnormale Bedingungen in das Umrichtermodell, die Reglereingänge oder den Sensorpfad eingespeist, um zu beobachten, wie der Regelcode darauf reagiert.“

Für die sichere Steuerung von Umrichtern Tests , die ein Regelkreis-Anlagenmodell Tests

Tests sichere Tests der Umrichtersteuerung Tests der Regler im geschlossenen Regelkreis mit einem Anlagenmodell betrieben werden, das genauso schnell reagiert wie der Code. Überprüfungen im offenen Regelkreis bestätigen zwar die mathematischen Berechnungen und die Ablaufplanung, zeigen jedoch nicht, wie PWM-Befehle, Messverzögerungen und Schutzlogik unter Belastung zusammenwirken. Im geschlossenen Regelkreis zeigen sich unsichere Annahmen.

Ein Beispiel mit einem Abwärtswandler verdeutlicht dies. Versorgt man einen Regler mit vorab aufgezeichneten Wellenformen, besteht er oft die Grenzwertprüfungen, da das Regelobjekt niemals Gegenreaktionen zeigt. Verbindet man denselben Code jedoch mit einem Live-Modell aus Induktivität, Kondensator, Schalter und Last, kann bereits eine kurze Änderung des Tastverhältnisses im selben Test zu Überschwingen, Sättigung und verzögerter Stromrückkopplung führen. Die software muss software etwas steuern, das auf sie reagiert.

Gerade bei dieser Regelung mit geschlossenem Regelkreis kommt es auf die Ausführungsqualität an. OPAL-RT kommt in dieser Phase zum Einsatz, da ein Echtzeit-Konvertermodell es dem Regler ermöglicht, I/O einer Anlage auszutauschen, die schnell genug aktualisiert wird, um die Schutzzeiten und die Regelkreisinteraktion aufrechtzuerhalten. Man muss nicht mehr raten, wie sich der Code unter fehlerhaften physikalischen Bedingungen verhält. Man beobachtet ihn unter reproduzierbaren Bedingungen, die nach jeder software erneut durchlaufen werden können.

Beginnen Sie zunächst mit Fehlern, die die Schutzzeitabläufe belasten

Fehler im Schutzzeitablauf sollten an erster Stelle stehen, da sie die schwerwiegendsten Ausfälle mit der geringsten Mehrdeutigkeit aufdecken. Wenn eine Steuerung ein schwerwiegendes Ereignis nicht innerhalb des vorgeschriebenen Zeitfensters erkennen, erfassen und darauf reagieren kann, ändern Tests mit niedrigerer Priorität nichts an der Sicherheitslage. Frühzeitige Zeitablaufprüfungen legen die Mindestanforderungen für jeden nachfolgenden Validierungsschritt fest.

Ein typischer Ablauf beginnt mit einem starken Überstrom, gefolgt von einer Gleichstrom-Sammelschienen-Überspannung und schließlich einem Gate-Befehlskonflikt. Ein Motorantriebsregler muss möglicherweise Störsignale für einige Mikrosekunden unterdrücken, innerhalb von einigen zehn Mikrosekunden abschalten und die PWM so lange ausgeschaltet halten, bis die Reset-Logik abgeschlossen ist. Ein netzgekoppelter Umrichter muss möglicherweise einen kurzen Spannungsabfall überstehen, bei einem anhaltenden Fehler jedoch schnell abschalten. In jedem dieser Fälle stehen Zeitsteuerung, Filterung und das Latch-Verhalten unter direktem Druck.

Diese Reihenfolge spart Aufwand, da sie katastrophale Schwachstellen von Optimierungsproblemen trennt. Sie erkennen schnell, ob der Interrupt-Pfad verzögert ist, ob die Fehlermaskierung zu großzügig ausgelegt ist oder ob die Reset-Logik den Ausgang zu früh wieder freigibt. Ein Controller, der ein Schutzfenster verpasst, ist für komplexere Szenarien nicht bereit – ganz gleich, wie gut seine Diagramme im stationären Zustand aussehen.

Fehler in die vom Regler wahrgenommenen Zustände des Wandlers einspeisen

Die nützlichsten Fehlerinjektionspunkte sind die Zustände, die der Regler tatsächlich wahrnimmt, und die Befehle, die er tatsächlich sendet. Das bedeutet, dass Sensorwerte, Schätzungsergebnisse, digitale Statusflags und Stellgliedpfade mehr Beachtung verdienen als interne Variablen des Regelobjekts allein. Fehler sind dann von Wert, wenn sie die Annahmen softwaredarüber, was wahr ist, in Frage stellen.

Ein Phasenstromversatz verdeutlicht den Unterschied. Wenn Sie nur den Induktionsstrom innerhalb der Anlage beeinflussen, erhält der Regler weiterhin einwandfreie Messwerte und kann möglicherweise problemlos wieder ins Gleichgewicht kommen. Führen Sie dasselbe Problem jedoch in den abgetasteten Stromkanal ein, kann der Regelkreis ins Schleudern geraten, einen Grenzwert verfehlen oder korrekte Daten als Rauschen ablehnen. Eine hängengebliebene PWM-Aktualisierung, eine Verzögerung bei der ADC-Abtastung oder ein Sprung im Encoder-Zählstand deuten oft auf mehr als nur eine einfache Laststörung hin.

Außerdem erzielen Sie eine bessere Abdeckung, wenn die Fehlerquellen mit der Steuerungsarchitektur übereinstimmen. In den inneren Regelkreisen sollten Sensorfehler und die Sättigung von Stellgliedern auftreten. In den Überwachungsebenen sollten Konflikte bei Modus-Anforderungen, Diskrepanzen bei der Rückmeldung von Schützen und unmögliche Zustandskombinationen auftreten. Durch diese Zuordnung werden Tests die Art und Weise Tests , wie Fehler software des physischen Betriebs in software gelangen.

Verwenden Sie eine Modellgenauigkeit, die dem Risiko des Controllers entspricht

Die Modellgenauigkeit sollte dem Steuerungsrisiko entsprechen, das Sie beseitigen möchten. Für die Schutzlogik und schnelle Stromregelkreise sind Schaltdetails, Verzögerungsdetails sowie nichtideale Effekte erforderlich, sofern diese Effekte Auslösungen oder die Stabilität beeinflussen. Überwachungsabläufe und Modusverwaltung lassen sich oft mit einem einfacheren System testen, solange die Fehlerpfade originalgetreu nachgebildet werden.

Ein Resonanzumrichter verdeutlicht, warum dies von Bedeutung ist. Wenn es Ihnen um die Startsequenzierung geht, kann ein Modell reduzierter Ordnung Zustandsübergänge und Verriegelungen effizient überprüfen. Wenn es Ihnen um Nullspannungs-Schaltverluste, Stromspitzen im Bereich der Kommutierung oder die Empfindlichkeit gegenüber Totzeiten geht, verbirgt die Vereinfachung genau das Verhalten, das Sie testen müssen. Bei Netzumrichtern steht noch mehr auf dem Spiel, da die Leistungselektronik mittlerweile in größeren elektrischen Systemen eingebettet ist. Der weltweite Zubau an erneuerbaren Energien erreichte im Jahr 2023 fast 510 Gigawatt – fast 50 % mehr als 2022 –, was bedeutet, dass die Umrichtersteuerungen eine größere Verantwortung für das Netz tragen.

Der folgende Checkpoint hilft Ihnen bei der Entscheidung, wie viele Details Sie beibehalten möchten, bevor Sie umfangreiche Fehleranalysen durchführen.

Messung der Reglererholung nach jedem simulierten Fehler

Das Bestehen eines Fehlertests bedeutet, dass die Steuerung den Zustand erkennt, in den korrekten Schutzzustand wechselt und nach klaren Regeln in einen sicheren Betriebsmodus zurückkehrt. Die Wiederherstellung verdient dieselbe sorgfältige Prüfung wie die Abschaltung selbst. Eine Steuerung, die zwar sicher auf Fehler reagiert, aber schlecht wieder anläuft, ist nach wie vor unsicher.

Ein aussagekräftiger Wiederherstellungstest für einen Batteriewandler erfasst mehr als nur ein einzelnes Fehlerflag. Sie sollten den Zeitpunkt aufzeichnen, zu dem der Fehler sichtbar wird, die Zeit bis zur Sperrung der PWM, den Zeitpunkt, zu dem die Integratoren zurückgesetzt werden, die Bedingung für die Wiederaktivierung sowie die ersten paar Zyklen nach dem Neustart. Ein Programmcode kann robust erscheinen, weil er schnell herunterfährt, dennoch aber versagen, wenn veraltete Referenzen oder nicht gelöschte Filter beim Neustart eine zweite Abschaltung auslösen.

Klare Bestehenskriterien gewährleisten die Einhaltung dieses Ziels. Sie achten auf begrenzte Stromstärken, keine unzulässigen Gate-Zustände, eine saubere Fehlerverriegelung und einen Neustartpfad, der bei jedem Durchlauf derselben Abfolge folgt. Die Wiederherstellungsverläufe sollten unspektakulär sein. Ist dies nicht der Fall, enthält der Regler noch immer verborgene Zustände, die durch eine nominale Abstimmung niemals aufgedeckt werden.

„Wiederherstellungsspuren sollten langweilig sein.“

Häufige Testlücken führen dazu, dass gefährliche Logik nicht getestet wird

Gefährliche Lücken entstehen in der Regel dadurch, dass Tests die Betriebspunkte abdecken, Ingenieur:innen . Der Steuerungscode für Umrichter versagt häufiger bei Übergängen, widersprüchlichen Signalen und teilweise unterbrochenen Rückkopplungspfaden als im Nenn-Stationärbetrieb. Diese Lücken lassen sich nur aufdecken, wenn Fehlerfälle entwickelt werden, die Annahmen hinsichtlich Timing, Zustand und Datenvalidität auf die Probe stellen.

Ein Stromregelkreis, der jede Sprungantwort besteht, kann dennoch schwerwiegende Ausfälle verursachen, wenn der Sensorwert während eines Moduswechsels einfriert. Eine digitale Leistungsstufe kann zudem beim ersten Fehler zwar korrekt abschalten, aber dennoch in denselben fehlerhaften Zustand zurückkehren, da die Fehlerverriegelung zurückgesetzt wird, bevor der Referenzpfad zurückgesetzt wird. Die häufigsten Fehler treten meist an wenigen Stellen gehäuft auf:

• Die Schutzprüfungen beschränken sich auf die Erkennung von Auslösungen und lassen das Wiederanlaufverhalten außer Acht.
• Sensorfehler werden ausschließlich als Rauschen und nicht als eingefrorene oder verzerrte Daten eingespielt.
• Nennlasten werden übermäßig häufig verwendet, während Grenzlasten kaum Beachtung finden.
• Der Fehlerzeitpunkt wird fest festgelegt, anstatt über Abtast- und Interrupt-Flanke hinweg verschoben zu werden.
• Die Kriterien für das Bestehen basieren auf Diagrammen statt auf expliziten Schwellenwerten und Zustandsprüfungen.

Sobald diese Lücken geschlossen sind, wird der Testsatz zuverlässiger und lässt sich leichter pflegen. Sie werden weniger Zeit damit verbringen, über eine Wellenform zu diskutieren, und mehr Zeit damit, Codepfade zu verbessern, die eindeutig mit unsicheren Ergebnissen in Verbindung stehen.

Wechsel zur hardware sich die Ausfallrate stabilisiert hat

Hardware sollte erst erfolgen, nachdem der Controller eine Reihe schwerwiegender und mittelschwerer Fehlerfälle in der Closed-Loop-Simulation stabil überstanden hat. Eine stabile Abdeckung bedeutet, dass neue Durchläufe konsistente Ergebnisse liefern, Vorteil verstanden wird und sich die Wiederherstellungslogik bei wiederholten Tests gleich verhält. Das ist der Punkt, an dem hardware eine Bestätigung hardware , anstatt für Überraschungen hardware .

Bei einer sinnvollen Übergabe wird zunächst nur begrenzt Energie eingesetzt. Sie können den Controller an eine risikoarme Stufe anschließen, Strom und Spannung begrenzen und dieselben Fehlerklassen nachstellen, die bereits in der Simulation verwendet wurden. Wenn ein Fall mit Unterspannung auf der Sammelschiene, ein Fall mit Sensor-Vorspannung und ein Neustartfall alle mit den erwarteten Kurven übereinstimmen, wird hardware zu einer Erweiterung früherer Erkenntnisse, anstatt zu einer neuen Suche nach Unbekanntem.

Hier zeigt sich der Wert der Tests . Teams, die OPAL-RT nutzen, um Fehler in ein Echtzeit-Umrichtermodell einzuspeisen, erreichen in der Regel hardware weniger offenen Fragen, da die software bereits die Fälle durchlaufen software , bei denen unsicheres Verhalten am ehesten zutage tritt. Eine gute Validierung der Umrichtersteuerung ist diszipliniert, wiederholbar und nüchtern. Man schaltet die Stromversorgung erst dann ein, wenn der Code bereits bewiesen hat, dass er fehlerhafte Eingaben, falsche Zeitabläufe und fehlerhafte Zustände überstehen kann, ohne hardware ersten Ausfall hardware .