HV Active Discharge — 5 秒泄能安全 + 端到端 Worked Design

HV 安全L1别名 active discharge · HV 主动放电 · ECE R100 · DC link discharge · 5 second discharge · 更新

本质与导读

本质 「HV 断电后 5 秒内 Vlink ≤ 60V」是行业通行的泄能设计目标:源头是碰撞后电气安全法规的测量时点(UN R94/R95 撞后 5–60 s 窗内 ≤60 V,故 5 s 必须放完;FMVSS 305a/GTR 20 已放宽至 10 s 起测),ISO 6469-3:2021 / GB/T 18384-2020 的断电防护条款与之配套——R100 本身并无 5 s 泄能条款(§5.4 是氢排放,唯一带时限的是连接器分离后 1 s ≤60 V)。400V/100kW EV 的 DC link 电容 Clink = 3mF,储能 J。被动放电时间常数 taupass = Riso·Clink,达百万秒量级(本页 §8 C3 自算 500MΩ×3mF ≈ 1.5×10^6 s),远超法规要求。主动放电 = 硬件强制闭合一条低阻 R–MOSFET 串联路径,在 tau = R·Clink ≈ 0.45 s 内把 240 J 全部耗散在电阻里。工程核心是三件事:R 热容要扛住这批能量不烧 + MOSFET 要在 650V 额定以内 + fail-safe 路径必须在 MCU 失效时仍能触发。

这是本征电气安全,不是 ISO 26262 Safety Goal 60V/5s 是法规电气安全侧的硬约束(触电防护,基于 IEC 60479-1 的人体安全阈值),不是 ISO 26262 的 Safety Goal。两者是两套体系:碰撞电气安全由 Type Approval 强制、以电压/时间直接判定;26262 的 ASIL 则是对"主动放电功能失效"这一危害单独做 HARA 得到的分配(见 §2.2)。把 60V/5s 误当成一条 SG 写进安全概念,是本主题最常见的体系性错误。这与 Safety Validation §10.3「法规侧电气安全,不属 26262 SG」的定性一致。

与预充电镜像对称 HV 预充电 是上电时限流充电容到 Vbat,主动放电是下电时强制泄能到 ≤ 60V。两者电路拓扑镜像对称(充→泄),能量流向相反;放电电阻(150Ω)与预充电阻(100Ω)量级相近,单次能量也同量级(放电 240 J @ 400V/3mF vs 预充 320 J @ 800V/1mF)。注意两页的平台参数并不相同(母线电压、Clink 各异),不要跨页照搬数值。

系统级整合 → EV 上下电系统级 FSM 深度 本页讲 AD 的电路 / RC / 热 / MOSFET / fail-safe 路径细节。AD 在系统级 FSM 里是三级递进 Safe State 的 Level 3,多条 power-down 路径都以 AD 收尾但 trigger 不同(正常命令 / 碰撞硬线 / 故障兜底),完整 handoff 时序在 FSM deep 页。

主线坐标:HV 安全 · 充电/放电子链 · ↑ 全景主线

1. 电路总览

主动放电在 EV PEU 中是强制法规 + 简单电路 + 复杂能量管理的组合——电路只是 1 颗 MOSFET + 1 颗大功率电阻,但电阻必须扛住瞬时千瓦级功率与数百焦耳的单次能量,MOSFET 要在母线全电压下安全开关,fail-safe 触发路径要在 MCU 死锁时仍然生效。下图把电路 + 5 s 时间约束 + 能量计算一次说清:

HV Active Discharge — 5s 泄能安全 + 电路设计

2. 法规约束与 ASIL 分配

法规给的是电气安全硬约束,ASIL 给的是功能安全冗余要求——两条线各自独立、都要满足,这一节把两者拆开讲清楚。

2.1 5 秒泄能要求的法规源头 — 硬约束

碰撞后电气安全法规(UN R94/R95,电气附录)在撞后 5–60 s 测量窗内要求任何可接触部位电压低于人体安全阈值——工程上即泄能必须在 5 s 内完成;主动断电场景由 ISO 6469-3:2021 §6.3.4(de-energization,断开后 ≤60 Vdc 或 <0.2 J) / GB 18384-2020 §5.1.3(断开后 1 s ≤60 Vdc/30 Vac 或 <0.2 J;2020 版为强制 GB,§5.5 是阻燃条款) 给出同样的 60 V 防护要求,行业统一按 5s/60V 设计:

60V 阈值的物理来源:IEC 60479-1 定义人体对持续 DC 电压的安全阈值约为 60V(对应体阻约 1kΩ 时电流约 60mA,处于心脏颤动概率极低的区间)。5 秒是救援人员从事故发生到接触 HV 系统的最短预估响应时间,来自事故响应时序统计。

等效标准:GB 18384-2020 §5.1.3(断开后 1 s ≤60 Vdc/30 Vac 或 <0.2 J;2020 版为强制 GB,§5.5 是阻燃条款) 与 ISO 6469-3:2021 §6.3.4(de-energization,断开后 ≤60 Vdc 或 <0.2 J) 互为对应条款,与碰撞法规窗口协调一致,工程上统一按 5s/60V 设计以同时覆盖各要求。

2.2 ASIL 分配(功能安全侧)

主动放电功能失效(放电不发生 → HV 长时间可接触)的 ASIL,由 HARA 决定,而不是从 R100 直接得到。以典型 400V EV 主驱的碰撞-救援场景做 HARA:

参数取值依据
Hazard断电/碰撞后 HV 仍可接触(触电致伤)碰撞后电气安全场景
S(严重性)S3(可能致命)ISO 26262-3
E(暴露率)E2(碰撞低频) / E4(常规下电每次都发生)场景框定决定
C(可控性)C3(救援人员不知 HV 状态,难控)—

关键是 E 的框定决定结果,而 ISO 26262-3 Table 4 的算术必须自洽:

  • 纯碰撞-救援框定:S3 + E2 + C3 → ASIL B(从 S3/E4/C3 = D 起,E 每降一级降一个 ASIL:E4→E3→E2 降两级到 B)。
  • 常规下电框定(每次熄火都要放电,E4)+ 维修工按 LOTO 流程(C 降到 C1–C2)→ 仍落 ASIL B–C。

因此单看放电功能,HARA 多落 ASIL B–C;工程上通常保守取 ASIL C 作为设计基线,因为放电还是整条 HV 安全 SG 的共享安全机制。这与 HV 安全 §4.3(把放电失效当 ASIL D 高 AP 项处理——那是与主驱 ASC 安全状态合并后的保守分配)、EV 功能安全开发流(HV 安全 SG2 记为 ASIL C–D)一致:OEM 实践区间 C–D。

按 ASIL C 基线,主动放电必须具备:独立 fail-safe 路径(不依赖主 MCU)+ 故障诊断(AD 电路失效可检出)+ 明确的 FTTI 约束。放电动作的 FTTI 直接由 5 s 电气安全上限给出(碰撞窗口,§2.1)(不是扭矩安全那条 200ms FTTI——那属于主动驱动失控,见 §4 Step 5)。

3. 能量推导与 RC 分析

放电设计的所有数字都从两条一阶物理量长出来:电容储能与 RC 时间常数。先把这两条推清楚,后面的选型/热容/应力都是它们的推论。

400V/100kW EV 参考平台(与 DC Link 和 HV 预充电 同一主线):Clink = 3mF,V0 = 400V(最高 450V)。

放电从 V0 = 400V 到 Vf = 60V,实际耗散在电阻中的能量:

剩余约 5.4 J 留存于 Vlink = 60V 状态(法规合规边界上)。

3.2 RC 时间常数推导

一阶 RC 放电方程与法规约束联立,解出允许的最大时间常数:

要求 Vlink(5 s) ≤ 60V,解 taumax:

与 Safety Validatio…

与 Safety Validation §10.3 的标度律对齐 5 s 泄能要求守的是不变量 taumax = R·Clink = 2.635 s(400V→60V/5s,只由电压比与时间决定,与 Clink 无关),以及标度律 R = taumax/Clink。Safety Validation §10.3 取代表性 Clink ≈ 1mF → R ≈ 2.64 kΩ(那里用的是 taumax 边界值、无 margin,仅示意标度);本页放电专页取 Clink = 3mF(film-cap bank 偏上限,给足热/功率应力做完整 worked design)→ Rmax = 878Ω。两者不冲突:1mF→2.64kΩ、3mF→878Ω 都落在同一条 R = taumax/Clink 标度线上、都守住 5s 窗口。差别只是平台 Clink 取值(全 wiki 现有 1/2/3 mF 三档,以本页与 §10.3 为放电场景的锚)。

工程 margin:老化、温漂、容值散差叠加可把有效 tau 推高约 20%;若 R 取到 878Ω 上限,温漂后 tau 超 5s 即不合规。工程要求 5× margin,即 Rdesign ≤ Rmax/5 ≈ 176Ω。选标准值 R = 150Ω(偏保守):

放电全程 0.854 s,安全裕量 = 5 / 0.854 = 5.85×(含 20% 老化余量后仍 ≥ 4.9×,满足 ASIL C 基线)。注意 tau = R·Clink = 150×0.003 = 0.45 s 与上式所用 0.45 s 一致——这是最容易在设计文档里对不上的自洽点。

4. 端到端 Worked Design(5 步)

把上面的物理量落到真器件、真平台,走一遍可复核的五步设计。参考平台:400V/100kW EV 主驱,Clink = 3mF,V0 = 400V(最高 450V),SCT3080AL SiC 650V MOSFET,TLF35584 SBC,TC397 MCU。

Step 1 — 定义约束参数

第一步是把所有硬约束钉死成一张表,后面每一步都回指这张表:

约束项值来源
V0(最大)450V(快充后高 SOC)BMS SOC 管理
Clink3mFDC link 设计
法规放电目标≤ 60V @ 5s碰撞法规窗口 + ISO 6469-3(§2.1)
ASIL 基线ASIL C§2.2 HARA
工作温度−40°C … 125°CAEC-Q101 automotive
Rmax(标称 400V)878Ω§2.2
设计目标 R150Ω5.85× 裕量

Step 2 — 电阻选型与时序验证

以 V0 = 450V(worst case)重算放电时间与应力,确认最坏角仍达标:

峰值电流、峰值功率与总能量(450V):

选型:Vishay LPS600 系列厚膜大功率电阻,150Ω。datasheet 关键指标:连续额定 600W @ 85°C 壳温、额定电压 5kV(远高于 450V)、工作温度 −55…155°C、TCR ±150ppm/°C、热阻 0.039–0.112 °C/W(需拧到散热片上)、过载能力 2×PR / 10s。本应用单次能量 298 J、放电约 0.9 s → 脉冲期平均功率约 330W < 600W 连续额定,且远在 2×PR/10s(1200W×10s = 12kJ)过载包络内 → 单次放电充裕。

Step 3 — 电阻热容核算

单次短脉冲放电的能量沉积远快于向散热片的热传导,可用绝热上界估温升(最坏情形,不算散热):以电阻元件等效质量 m ≈ 150g、等效比热 cp ≈ 900 J/(kg·K):

即单次放电仅升温约 2.2°C。连续多次(如服务测试 10 次)在绝热下累积约 22°C:从 Tamb = 85°C 出发到约 107°C,远低于 155°C 上限。结论:LPS600 150Ω 热容充裕,稳态靠散热片(datasheet 热阻 0.039–0.112 °C/W);PCB 布局需与 MOSFET 隔热,避免电阻热灌进功率管。

Step 4 — MOSFET 应力核算

放电管沿用主驱功率级同型号 SCT3080AL,避免引入新器件型号。ROHM datasheet(SSOT,与 栅极驱动保护链 一致)额定:650V / ID = 30A(Tc=25°C)/ 21A(Tc=100°C)/ RDSon = 80mΩ @VGS=18V,RGint = 13Ω,Vth(datasheet min)= 2.7V。

应力项计算值额定裕量
VDSmax450V(正常)+ 预估尖峰 < 480V650V1.35×
IDpeak3.0A30A10×
IDavg约 0.9A30A33×
导通损耗3.0^2 × 0.08 ≈ 0.72W—可忽略

关键发现:外部 R = 150Ω 远大于 RDSon = 80mΩ,MOSFET 电压降仅约 0.24V,可忽略。AD 电路中 MOSFET 只是低阻开关,电阻才是电流路径的主控元件。因此不需要高频 SiC 专用门极驱动 IC、不需要 ±20V 双电源:一路正压单轨 enable(VGS ≈ 15V)即可把 SCT3080AL 充分开通(Vth,min 2.7V,余量充足)。注意 80mΩ 是 datasheet 在 VGS = 18V 下的值——15V enable 下 RDSon 略高于 80mΩ,但在 3A 低电流下导通损耗仍 < 1.5W,对放电时序无影响。DC 常闭开关下需确认 datasheet 的 VGS 绝对最大值与 BTI(bias-temperature instability)约束不被越界,取正压幅值时留裕量即可。

Step 5 — 时序验证(FTTI 闭合)

三条触发路径分别核时序,确认放电动作 + RC 放电时间都收在 5s 内。正常下电(Path A):VMU 经 CAN 发命令(约 10ms)+ K1 断开(约 15ms)+ AD enable(约 5ms):

总放电时间 = 30 ms + 854 ms = 884 ms ≪ 5s ✓。

碰撞触发(Path B,硬线):SRS 检测约 15 ms + 硬线约 0 ms + AD enable 约 1 ms = 16 ms;加放电 854 ms = 870 ms。

这里要澄清一个常见混淆:放电动作的 FTTI 不是扭矩安全那条 200ms。200ms FTTI 属于主动驱动失控(torque safety),而放电是电气安全,其 FTTI 直接由 5 s 泄能上限给出(FTTIdischarge = 5s)。Path B 裕量 = 5 / 0.870 = 5.75× ✓。

SBC fail-safe(Path C,MCU 失效):TC397 死锁 → TLF35584 窗口看门狗超时(典型 10ms)→ SBC 经 FS0B 失效安全输出驱动外部 gate-enable 逻辑(TLF35584 无专用 AD 引脚,靠 FS0B + 外部 wire-OR 逻辑触发)+ 信号路径 1ms = 11ms;加放电 854 ms = 865 ms < 5s ✓。

5. 三条 Fail-Safe 路径

主动放电是 ASIL C 安全功能,单点失效(AD 电路不触发)直接导致 HV 可接触。三条路径分别兜住三种失效场景,核心纪律是:放电必须在控制电源/MCU 丢失时仍能触发(fire on loss of control)。

Path A — 正常断电(MCU 主控)

VMU shutdown → [CAN/SPI 10ms] → BMS K1断开 → [继电器 15ms] →
VMU同时发AD命令 → PEU MCU拉AD_EN → [1ms gate drive] →
SCT3080AL 开通 → R=150Ω 放电 → 0.854s → Vlink≤60V

Path B — 碰撞紧急(硬件 wire-OR,绕过 MCU)

SRS气囊控制器 → [硬线 < 1ms] → AD_HW_TRIG pin →
wire-OR 到 gate driver EN → [1ms] → SCT3080AL 开通 → 放电

关键:Path B 用物理硬线直连 SRS 输出到 AD gate-drive enable,完全不经过 MCU / CAN。使能极性必须设计成 active-low ENABLE + 上拉到 12V——MCU 失效时引脚悬空 → 上拉 → gate enable → 放电触发(fire on loss)。

Path C — MCU 失效(TLF35584 WD 驱动)

TC397 MCU 挂死 → [WD_timeout ≈ 10ms] → TLF35584 →
[FS0B 驱动外部 gate-enable 逻辑] → gate driver EN → SCT3080AL 开通 → 放电

Path C 的独立性(ASIL C 要求):TLF35584 电源与监控路径必须与 TC397 独立(SBC 有独立的 12V 供电监控)。若 12V 总线共因失效会同时打掉三条路径,须在安全案例中论证 12V 总线的 DFA(依赖失效分析)并给出备份(如被动 bleeder 兜底)。

6. 验证测试

法规、老化、故障注入三件套构成放电功能的完整验证链,缺一条都不足以支撑 Type Approval + ASIL C 安全案例。

6.1 泄能合规性测试(Type Approval 必要条件)

台架真功率级测试是 SOP 前的硬 gate,HiL 仿真替代不了真实 Clink 的放电轨迹:

  1. 整车/PEU 上台架,充至 V0(标称 400V + worst-case 450V)。
  2. 触发下电(正常停车 / 模拟碰撞两条路径分别测)。
  3. 示波器记录 Vlink(t)。
  4. 验证 Vlink(5 s) ≤ 60V(含测量不确定度)。
  5. 重复取统计一致性。

6.2 寿命老化验证(8年 / 1000次循环)

EV 8 年质保内启停数千次,每次下电触发放电,必须验证电阻/MOSFET 不漂:

  • 执行 1000 次放电循环(间隔 ≥ 30s 让电阻冷却)。
  • 测 R 值漂移(允许 ±5%,超出则 tau 偏差超设计 margin)。
  • 测 MOSFET RDSon 漂移(允许 ±20%,量级远小于 150Ω,影响可忽略)。
  • 每 200 次测一次 t60V,确保不超 5s。

6.3 Fault Injection 测试(ASIL C FI 要求)

故障注入验证三条 fail-safe 真能跑,是 ASIL C 诊断覆盖的地面真相:

测试故障注入方法通过准则
MCU 失效TC397 WD 强制超时TLF35584 Path C 触发 AD → Vlink ≤ 60V @ 5s
R 开路断开 R(熔断器)系统检出 AD fault → 报警/升级备用路径
MOSFET 短路仿真(不可物理注入)确认熔丝在 R 短路时能保护 MOSFET
SRS path注入碰撞信号Path B 绕过 CAN/MCU → AD 触发
低温启动后断电−40°C 预浸 24h → 断电各路径时序不因低温延迟超标

7. 7 条 Gotcha 链

主动放电看似"1 管 + 1 电阻",但电阻烧、fail-safe 缺失、极性接反、时序错是反复出现的坑。下列 7 条按危害排序:

G1(最高危)— R 选到 800Ω 刚好过 ECE → 老化后 fail

设计 R = 800Ω,tau = 0.003×800 = 2.4 s,t60V(400V) = 4.56 s(看似 0.44s 裕量)。但高 SOC 快充后 V0 = 450V 时 t60V = 2.4×ln(450/60) = 4.84 s——仅剩 0.16s margin,任何延迟即超 5s。(老化里 R 偏高使 tau 增大、Clink 容值偏低使 tau 减小,两者方向相反不能对消,不能指望自相抵。)修复:设计 R 必须留 5× margin,取 ≤ 176Ω(如本设计 150Ω)。

G2 — MOSFET 落在线性区运行(电流不受控)

若把 AD MOSFET 设计在线性区(Vth < VGS < 完全开通)来"平缓"放电电流,则 MOSFET 承受 P = VDS×I;放电初期 VDS 接近 V0 = 400V、I = 3A,P ≈ 1200W 全砸在 MOSFET 上而非 R。修复:MOSFET 必须完全开通(正压 enable),让 R 承担全部功率,MOSFET 处 ohmic 区、功耗 < 1W。

G3 — 重复快速放电累积热量烧电阻

服务工程师短间隔重复触发放电(模拟检查),每次约 298 J 进 LPS600。热时间常数约 30s,10 次快速循环绝热累积约 22°C。从 85°C 起 10 次后约 107°C(安全);但从 125°C 高温工况(长坡制动后电池高温)起,10 次后约 147°C,逼近 LPS600 的 155°C 上限。修复:NTC 监控电阻温度;手册规定两次放电间隔 ≥ 30s;或选更大热容/更高温档电阻。

G4 — Fail-safe pin 极性接反(最常见静默失效)

AD_EN 的设计意图是"MCU 失效后 AD 自动开通",必须是 active-low ENABLE + 上拉到 12V(MCU 失效 → 引脚悬空 → 上拉 → AD enable)。若接成 active-high + 下拉(引脚悬空 → 下拉 → 0V → AD 不开通),则 MCU 挂死后 AD 永远不触发。这类错误静默不报警,只在实车事故时才暴露。修复:电路评审显式标注 fail-safe 极性;FI 测试的 MCU 失效场景必做。

G5 — 碰撞路径经 CAN 导致 FTTI 无法满足

部分早期设计把碰撞信号经 CAN 传给 VMU 再发 AD 命令。CAN 帧 latency(仲裁+传输+处理)可达 10–50ms,加 SRS 检测 15ms 共 30–65ms。这对 5s 放电本身没影响,但若 OEM 对 crash AD 另有 < 200ms 的 FTTI 要求,CAN 路径边界很紧。修复:crash 信号必须有硬线直连 AD enable 的 Path B(本设计已有),不依赖 CAN。

G6 — 高压尖峰经耦合反向打 MCU IO

放电初期若 AD_EN 走线与 DC link 铜皮相邻,电容耦合会在 MCU IO 注入尖峰(初始斜率 dV/dt|t=0 = V0/(R·Clink) = 400/0.45 ≈ 889 V/s,注意单位是 V/s 不是 V/ms;经约 1pF 耦合注入电流 I = C·dV/dt = 1pF × 889 V/s ≈ 0.9 nA,量级极小,稳落在 ESD 保护范围内。要得到 mA 级注入需 dV/dt ≈ 900 V/µs 或 nF 级耦合,与本页 0.45s 慢放电物理不符)。更危险的是 R 接地端布局:若放电回流经信号地而非强电地,会抬高信号地参考电位。修复:AD 电路独立强电地回路,禁止回流经信号地平面;AD_EN 走线远离 HV 母线。

G7 — R 短路后 MOSFET 无保护

若 R 绕线短路(老化断裂),AD 路径变成 Vlink 直接接 MOSFET VDS,电流仅受 RDSon 限制:Isc = 450 / 0.08 = 5625 A,远超 SCT3080AL 30A 额定,MOSFET 立即烧毁。修复:AD 串联路径加超快熔断器(1kV / 数 A 级),Isc 5625 A → 熔断时间 < 1ms,I²t 承受量须大于 MOSFET 的承受量(此处是 DC 运行,无栅极驱动的 SCWT 保护可依赖)。

8. 3 条 Corner 分析

三条边界工况检验设计在低温、高 SOC、器件开路下是否仍成立。

C1 — −40°C 冷启动后立即触发放电

  • 电阻 TCR ±150ppm/°C:−40°C 相对 25°C 约 65°C 温差 → R 变化约 1%,可忽略。
  • SCT3080AL Vth 在 −40°C 升高(datasheet min 2.7V @25°C,低温更高);正压 enable 下 VGS − Vth 仍足,MOSFET 完全开通,RDSon 变化远 ≪ 150Ω。
  • TLF35584 看门狗振荡器在 −40°C 可能慢 15–20%,WD timeout 从 10ms 延到约 12ms → Path C 总 FTTI 延约 2ms → 裕量仍充裕。
  • 结论:C1 无关键风险,但测试须覆盖 −40°C 断电场景。

C2 — 高 SOC 快充后立即触发(V0 = 450V)

  • tau = 0.45 s 不变(R、Clink 不变);t60V = 0.907 s(vs 标称 0.854s)。
  • Ppeak = 1350W(vs 400V 时 1067W,高约 26%);ER = 298 J(vs 235 J,高约 27%)。
  • 电阻单次温升约 2.2°C(安全);LPS600 600W 连续 + 2×PR/10s 过载可覆盖 1350W 峰值(< 1s)。
  • 结论:C2 下所有参数仍满足,须用 450V 作为 LPS600 与 SCT3080AL 的最终额定核算点。

C3 — R 开路(AD 功能失效)→ 冗余与诊断

  • R 断线 → AD 无放电路径,Vlink 不下降;被动放电 taupass = Riso·Clink ≈ 500MΩ × 3mF ≈ 1.5×10^6 s(几乎放不完)→ HV 在 5s 后仍约 400V → 5 s 泄能要求不合规。
  • ASIL C 要求 R 开路必须被诊断(diagnostic coverage)。可行方法:低压下施加已知电流测 R 两端电压判通断(需与放电功能切换);或更简单——AD 触发后监控 Vlink 下降斜率,若约 3τ 后未下降则判 fault。
  • 结论:诊断电路或"触发后 Vlink 监控"为必须,纯 fire-and-forget 不满足 ASIL C 的诊断覆盖要求;R 开路兜底靠被动 bleeder + 报警。

核心要点
  • HV 断电 5s 内 Vlink ≤ 60V(碰撞法规 R94/R95 测量窗 + ISO 6469-3/GB-T 18384 断电防护;R100 无此条款,勘正 2026-07-10)——本征电气安全(IEC 60479-1),不是 ISO 26262 SG;ASIL 是对放电功能失效单独 HARA 得到,基线 ASIL C(OEM 区间 C–D)。
  • 400V/3mF DC link 储能 240J;taumax = R·Clink = 2.635s(只由电压比定,与 §10.3 的 1mF→2.64kΩ 同一标度律),Rmax = 878Ω;工程取 150Ω 留 5.85× 裕量,tau = 0.45s 与放电时间自洽。
  • 放电全程 0.854s,峰值电流 3.0A / 峰值功率 1067W(400V)–1350W(450V)/ 单次能量 235–298J(全在 R 上);电阻单次绝热温升仅 2.2°C。
  • 放电电阻 Vishay LPS600 150Ω:600W@85°C / 5kV / 155°C / 2×PR·10s 过载 → 单次 298J 充裕。
  • MOSFET SCT3080AL(650V / 30A / 80mΩ@18V) 仅作 DC 开关,IDpeak 3A ≪ 30A(10× 裕量),RDSon 影响 < 0.2%;正压单轨 enable(约 15V)即可,无需 SiC 高频门极驱动。
  • ASIL C 强制三条独立 fail-safe 路径:正常(MCU 主控)/ 碰撞(硬件 wire-OR)/ MCU 失效(TLF35584 FS0B 触发);放电必须 fire on loss of control(悬空 → 上拉 → enable)。
  • 最高危 Gotcha:R 选型偏大(G1)、fail-safe pin 极性接反(G4)、R 短路无熔丝(G7);R 开路必须有诊断覆盖(C3)。

Cross-references