AUX-C3 — Fail-Operational 冗余供电:为什么单点供电失效不许"安全地停下",以及冗余的本质是隔离共因、快切省的不是能量而是那口欠压

先把 fail-silent 和 fail-operational 这一字之差钉清楚,因为它直接决定要不要冗余。绝大多数车规电子是 fail-silent:测到故障就安静关掉自己,把控制权交还给一个更可靠的后备——司机、机械柱、液压回路。fail-silent 的电源因此允许"掉电 = 干净退出",一条轨就够,坏了进安全态即可。

by-wire 把这条退路物理地拆掉了。转向柱、制动主缸这些机械后备一旦取消,系统再没有"退给谁"的对象——关掉转向不是退化成"手感重一点",而是当场失去转向。所以 by-wire 强制 fail-operational:单点故障发生后系统必须继续提供功能,至少撑到车自己进入最小风险状态(MRC,Minimal Risk Condition:降速、靠边、停稳)。

这一字之差把供电架构从根上劈成两类:fail-silent 电源可以单路,fail-operational 电源最少要两条独立能量路径,且主路死掉后另一条要立刻顶上,还不能因为同一个原因一起死。ASIL 也随之从常见的 QM/A/B 跳到 D。这就是本讲的硬约束:by-wire 供电的每一个设计选择,都是在"单点失效不许丢功能"这条不可谈判的线下求解。

要理解为什么 EV 的 by-wire 供电这么难,得先看清油车的低压网本来就是冗余的,而且是免费的。燃油车低压侧天然挂着两个物理独立的能量源:铅酸电池(储能)+ 交流发电机 / alternator(发电)。一个坏了另一个还在——发电机皮带断了电池还能撑一段,电池亏了发电机还在灌。这份冗余没人专门设计,是动力总成结构白送的。

EV 把这份白送砍没了。没有发电机,能量全锁在 HV 电池里,经一个 DC-DC 降到一条 12V 轨,喂全车低压负载。因果链是单向串联的:HV 电池 → 单 DC-DC → 单 12V 轨 → 所有 by-wire ECU。这条链上任何一环都是单点:DC-DC 输出 MOSFET 短路、控制器死机、HV 输入断,任一发生,整条 12V 轨塌,转向制动同时欠压复位。fail-silent 思维("单轨够用")在 by-wire 上失效的根因就在这里:单轨 = 单点 = 违反 fail-operational。

所以 EV 的 by-wire 供电必须主动重建油车那份天然冗余——而不是像油车那样白捡。重建的最小结构是两条独立能量路径:典型是"主 HV DC-DC + 备份 HV DC-DC(取不同 HV 分段)",再叠一个不依赖 HV 的短时备份(超级电容 BPU 或第二块 12V 电池)兜住"HV 整体下电"那一档——因为双 DC-DC 再独立也都吊在 HV 上,HV 一断两路同时没输入(这正是下一节共因分析的一个特例)。

做了双路也可能白做,这是本讲最反直觉、也最值钱的一点。共因失效(CCF,Common Cause Failure) 指一个根因同时让多条"独立"路径失效。画在纸上是两条线,物理上却在某处并成一个点——那个点一坏,冗余瞬间归零。判定一个冗余架构合不合格,不是数它有几条路,而是逐条追问四条隐藏共因有没有被物理打断:

① 共线束 / 共连接器:两路输出走同一束线、过同一个插接件——线束被夹断、连接器进水,两路一起断。隔离:两路走物理分离的线束与连接器,最好跨舱布线。

② 共熔断 / 共配电:两路汇到同一个熔断盒或同一片配电芯片——该器件一坏两路全断。隔离:独立熔断 + 独立 eFuse,两块物理分开的配电单元(PDU)。

③ 共搭铁(地):两路用同一个搭铁螺栓——搭铁松脱 / 腐蚀,两路参考地一起浮,等于双失。隔离:双独立搭铁点,分开螺栓、分开位置。

④ 共 HV 输入:双 DC-DC 都从同一段 HV 母线、同一个 HV 接触器后取电——HV 侧一故障两路同时断输入。隔离:从 HV 电池不同分段取电,并叠一个不依赖 HV 的独立备份兜 HV 全断。

还有一条最隐蔽的系统性共因:两路 DC-DC 若跑同一份固件、用同一颗 MCU 的两个 PWM 通道生成驱动,一个固件 bug 就能让两路同时停振——物理分离但逻辑同源,ISO 26262 要求对独立通道做 independence analysis,同软件版本 + 同 IP 模块即判共因。消除要靠不同控制器、甚至不同架构 / 不同供应商。

一句话钉死这一节:冗余的本质不是"加一路",而是"隔离共因路径"。四条物理共因加一条系统性共因,只要有一条没断,你画的两条路就是纸面的——真实故障会顺着那个没断的共因点,一次打掉两条。

冗余顶上后,备份要储多少能量?这被一条时间线定死:故障发生 $t0$ → 检测确认 $tdet$ → 切到备份路径 $tsw$ → 系统靠备份运行到车停稳 $tmrc$。备份能量必须覆盖切换加续航两段:

这里藏着一个几乎人人会踩的直觉错误:"切换越快越省备份"。错。 代入真实量级就现形:by-wire 的 MRC(降速靠边停稳)是秒到十几秒级,$tride\approx 8\mathrm{s}$;而理想二极管 ORing 的切换是微秒级,$tsw\approx 0.5\mathrm{ms}$。两者比值 $tsw/tride\approx 0.0005/8\approx 0.006\%$——切换时间对备份能量的贡献可以忽略,备份容量几乎完全由 $tride$(MRC 有多快跑完)定。

那快切省什么?省的是切换缝隙里的那一口电压塌陷。主路死到备路稳定顶上之间有一段空窗,这段时间 by-wire ECU 全靠输出电容和 ORing 撑着;窗口越长,母线电压跌得越深,一旦跌破 ECU 的 UVLO(欠压锁定),ECU 复位——功能照样丢,和能量够不够无关。所以快切(微秒级 ORing 而非毫秒级继电器)的价值不在能量账,在保住那一口不跌破 UVLO 的连续性。这是"能量预算"和"切换连续性"两笔独立的账,混为一谈会把 ORing 的价值算错地方。

顺带把时序自洽核一遍:$tdet+tsw=2\mathrm{ms}+0.5\mathrm{ms}=2.5\mathrm{ms}$,远小于供电路径故障的容错窗(设计取 ${\mathrm{FTTI}}_{power}\approx 50\mathrm{ms}$ 量级,具体值按项目 ISO 26262 时序分析定、需核 Annex 条款),检测 + 切换在窗内闭合 ✓。这正是 FS-A3 那根 FTTI 时间轴在冗余架构下的复用:$tdet+tsw$ 是塞进 ${\mathrm{FTTI}}_{power}$ 的预算消耗,而 $tride$ 是备份能量的分母。

用一个 400V EV 的 by-wire 备份电源单元(BPU,超级电容做短时 hold-up)走一遍容量计算,数字与 冗余 12V fail-op 供电深度 §4 对标。核心是演示一个不做就会 EOL 失效的隐藏修正:超级电容的冷温 ESR。

Step 1 名义能量。MRC 低速工况负载 $Pbw=320\mathrm{W}$(EPS 驱动 200 + 制动 ECU 80 + 安全 ECU 40),续航 $tride=8\mathrm{s}$:

Step 2 电压边界。$Vfull=15.0\mathrm{V}$(由 12V 轨 boost 充上去),ECU UVLO 下限 $Vmin=9.0\mathrm{V}$。

Step 3 冷温 ESR 修正(关键)。EDLC 的 ESR 在 $-40{}^{\circ }\mathrm{C}$ 显著上升——据器件而定约为常温的 $3\text{-}4\times$(须按具体 datasheet 温度曲线核,不是普适常数)。取 6 串 $600\mathrm{F}/2.7\mathrm{V}$ 组、单体 ESR $0.8\mathrm{m}\Omega$、冷温取 $4\times$ 保守端:

最大放电电流出现在最低输出电压处:$Imax=Pbw/Vmin=320/9.0=35.6\mathrm{A}$。ESR 压降:

要让端子电压(开路电压减去 ESR 压降)仍 $\ge Vmin=9.0\mathrm{V}$,开路电压下限必须上抬:$Vocmin=9.0+0.68=9.68\mathrm{V}$。这 0.68 V 就是新手漏掉的那一截——直接拿 UVLO 阈值当放电截止电压,会高估可用能量。

Step 4 修正后容量。由 $E=\frac{1}{2}C(Vful{l}^2-Vocmi{n}^2)$ 反解:

Step 5 为什么漏掉修正会 EOL 失效。若不修 ESR,用 $Vmin=9.0$ 直接算:$Cnaive=5120/(225-81)=5120/144=35.6\mathrm{F}$,选 40 F 看似过关。但选 40 F 后,在正确的 $Vocmin=9.68$ 下实际可用能量只有 $\frac{1}{2}\times 40\times 131.3=2626\mathrm{J}$,仅 3% 裕量;等 EDLC 寿命末期容量衰减 20%(EOL SOH $=0.8$):

而 $-40{}^{\circ }\mathrm{C}$ 恰恰是 fail-operational 最严酷工况(低温转向 / 制动力矩需求更大)。结论:冷温 ESR 修正不是可选精细化,是决定 BPU 在 EOL + 冷温下够不够能量的分水岭。 修正后 $Cmin=39\mathrm{F}$,选 100 F(6 串 BCAP0650)留 $6565/2560\approx 2.6\times$ 裕量覆盖老化与温漂。

多条供电路径要喂同一组 by-wire 负载,得有个无中断的合并点:多路"二极管或"接到公共输出,谁电压高谁供电,某路掉了其余路自动零软件接管——这就是 ORing,前一节说的微秒级快切就靠它。问题在于普通二极管的正向压降 $VF$ 太大。

算一笔账。稳态电流 $I=Pbw/Vrail=320/12\approx 27\mathrm{A}$。用肖特基,$VF\approx 0.4\mathrm{V}$,单路白烧 $27\times 0.4=10.8\mathrm{W}$、还发热。改用理想二极管控制器(如 TI LM74700-Q1,已核实绝对最大输入 $\pm 65\mathrm{V}$,足以扛 ISO 7637-2 Pulse 5a 抛负载的 35 V 峰值)驱动一颗 N-FET 模拟二极管,导通压降降到 $I\cdot RDSon$ 量级。取车规 $RDSon=5\mathrm{m}\Omega @25{}^{\circ }\mathrm{C}$、热端 $125{}^{\circ }\mathrm{C}$ 乘温度系数 $\approx 1.7$ 得 $8.5\mathrm{m}\Omega$:

相对肖特基省 $27\times (0.40-0.23)=4.6\mathrm{W}$/路,双路合并约省 $9.2\mathrm{W}$,折算 320 W 系统效率提升 $9.2/320\approx 2.9\%$。但 ORing 的核心价值不在省这几瓦,而在三件功能焊成一体:① 无中断合并(微秒接管,保住中段三那口 UVLO);② 反向阻断(一路对地短路时挡住公共输出的电流倒灌,不让坏路把好路拖垮);③ 监测上报(FLT 引脚把逆向阻断事件报给 safety MCU)。它是把"双 DC-DC + BPU"真正连成 fail-operational 系统的胶水层,不是一颗省电器件。选型细节见 热插拔 / ORing 控制器深度。

设计任一 by-wire 供电,按这条链走:

1. 判等级:确认负载是 fail-silent(单路即可)还是 fail-operational(by-wire → ASIL D,强制双独立路径 + 无中断切换)。
2. 建冗余:最小结构 = 主 DC-DC + 备份 DC-DC(不同 HV 分段)+ 不依赖 HV 的短时备份(BPU / 第二电池)兜 HV 全断。
3. 审共因:逐条打断四条物理共因(线束 / 熔断 / 搭铁 / HV 输入)+ 一条系统性共因(同固件 / 同 MCU 通道);有一条没断,冗余作废。
4. 算备份能量:$Ebackup\ge Pload(tsw+tride)$,容量几乎全由 $tride$ 定;超级电容必做冷温 ESR + EOL SOH 双修正,否则最严酷工况失效。
5. 配 ORing 快切:理想二极管做无中断合并点,保住切换缝里的 UVLO;认它三重功能(合并 / 反向阻断 / 监测),别当省电器件砍掉。

带走三条准则:

1. fail-operational 没有"安全停下"这个退路。 单点失效不许丢功能,这一字之差把单路架构直接判死;EV 还得先把油车白捡的天然冗余亲手重建回来。
2. 冗余的本质是隔离共因,不是加一路。 真杀手是假冗余——四条物理共因加一条系统性共因,任一没断,两条路一次一起死。
3. 快切省的不是能量,是那口 UVLO。 备份容量由 $tride$ 定、与切换速度几乎无关;微秒级 ORing 的价值在保住切换缝隙里不跌破欠压锁定的连续性。这是两笔独立的账。