EV 功能安全开发 — 流程串联与三大 SG 协同
本质与导读
本质 EV 功能安全是一套 ISO 26262 V-Model 流程跑三个 Safety Goal(扭矩/HV/热),它们由 HARA 同时识别但 FTTI 跨三个数量级——所以优先级按 FTTI 倒序(最快的扭矩最高),且跨 SG 接力必须靠独立 cross-monitor(SG2 不能信任 SG1 已通知),否则系统死锁在 STO。
主线坐标:横轨 · 功能安全(跨站) · ↑ 全景主线
核心要点
EV 功能安全的本质是 "一个开发流程,三种时间尺度,六类子系统":开发流程严格按 ISO 26262 V-Model 跑完所有 11 个阶段,三大 Safety Goal(扭矩 / HV / 热)由 HARA 同时识别但 FTTI 跨三个数量级,六类子系统(主驱 inverter / BMS / 接触器 / 散热 / VCU / OBC)在 TSC 阶段被分配 TSR 后并行开发。三件事必须刻进 muscle memory:其一,SG 的优先级 = FTTI 倒序(扭矩最快 → 优先级最高),Safe State 冲突时取最严;其二,ASIL D 分解为 B(D) + B(D) 是工程上最实用的"成本 vs 安全"杠杆,但共因失效(CCF)必须独立证明;其三,跨 SG 的"接力"必须用 cross-monitor 协议——SG1 触发关栅后 SG2 必须独立检测(不能信任 SG1 已通知),否则系统可能死锁在 STO 状态。
1. 整车开发流程 — ISO 26262 V-Model
EV 整车 ISO 26262 V-Model 把整个开发拆成 11 个阶段,左半下行(Item → HARA → FSC → TSC → HW/SW),右半上行(Integration → V&V → Release)。每一阶段都有 deliverable + verification + traceability,跳过任意一项就拿不到 Safety Case 签字。这套流程的核心不在于"做完所有工作"而在于"追溯链不断" — 每条 HW 元件失效都能反查到 HARA 的某条危害,每个危害也能正向找到对应的硬件缓解。
1.1 HARA — 危害识别 + ASIL 评级
HARA(Hazard Analysis and Risk Assessment)在 ISO 26262 Part 3 §6 定义,EV 场景下输出物是一张表,每行一个"危害事件 + 驾驶场景 + S/E/C 评级 + ASIL"。EV 与传统燃油车的区别在于 HARA 多了 HV / 电池域的危害(燃油车没有的电触电 / TR 蔓延),所以这一步必须由跨域工程师共同评审,不能只靠传统底盘安全工程师。
S(Severity)/ E(Exposure)/ C(Controllability)三维评级:
- S0-S3:伤害严重度(无伤 / 轻伤 / 重伤 / 致命)
- E0-E4:发生频率(极少 / 偶尔 / 经常 / 总是)
- C0-C3:可控性(总能避免 / 通常可控 / 难以控制 / 几乎无法控制)
ASIL 查表 = S × E × C → A/B/C/D 或 QM(无 ASIL)。EV 三大典型 HARA 条目:
| 危害事件 | S | E | C | ASIL |
|---|---|---|---|---|
| 非预期加速 ≥ 10% 额定扭矩 | 3 | 4 | 3 | D |
| 绝缘失效 → 触电 | 3 | 2 | 2-3 | B-C |
| 单 cell TR → 蔓延起火 | 3 | 3 | 2 | B-D |
1.2 FSC → TSC → HW/SW 三级分解
FSC(Functional Safety Concept,Part 3 §8)把 SG 转成整车级安全要求 FSR(Functional Safety Requirement),不涉及具体技术实现。TSC(Technical Safety Concept,Part 4 §6)把 FSR 落到子系统 → TSR(Technical Safety Requirement),指定哪个 ECU / 哪条信号 / 哪个 IC。HW/SW(Part 5 / Part 6)把 TSR 拆成元件级要求 + FMEDA 量化。每一级都有正向分配 + 反向追溯,中间断一环就不通过审计。
1.3 ASIL 分解 (Decomposition)
ASIL D 直接做开发成本指数级上升(coding standard / tool qualification / 验证强度都大幅加严)。ASIL 分解 是把 ASIL D 拆成两个独立 ASIL B(D) 通道,每条只要满足 B 级开发流程,合起来等效 D 级。这是 EV 工业上唯一可行的成本控制手段。分解的硬约束:
- 独立性:两通道硬件 + 软件 + 时基 + 供电完全独立
- 共因失效 (CCF) 必须 < 10% — 单一根因不能同时让两通道失效
- 诊断激活:两通道任一失效都必须能立即检测出来
实践配置:扭矩 ASIL D = MCU 主功能 ASIL B(D) + 安全 MCU 监控 ASIL B(D),两 MCU 互相 alive-message,任一掉线进 STO。
2. 扭矩安全 (SG1, ASIL D)
扭矩安全的目标是 防止任何"驾驶员未请求的扭矩输出" — 包括非预期加速 / 非预期保持 / 非预期反向。FTTI 100-200ms(因为车辆动力学时间常数和驾驶员反应时间都在这个量级)。这是 EV 三大 SG 中 ASIL 最高 / 时序最严 / 工程量最大的一个,业界共识必须用 E-Gas 三级监控架构(借鉴燃油车油门安全)。
2.1 E-Gas 三级监控
Level 1 (功能层):正常驾驶逻辑,跑 FOC / DTC 控制算法,输出 PWM。
Level 2 (功能监控):独立计算"应该输出的扭矩"与 Level 1 实际输出对比,差超 10% 触发 fault。
Level 3 (控制器监控):监控 Level 1+2 这个芯片本身是否正常工作(MCU 看门狗 / RAM/ROM 自检 / 时序检查),芯片自身故障触发 STO。
三级一旦任意一级判定 fault → 切 STO(Safe Torque Off):HVG + LVG 同时拉低,inverter 输出三相高阻,电机自然减速。
2.2 关键信号链冗余
扭矩链信号必须双通道,典型组合:
2.3 STO 硬件实现
STO 不是软件命令,是 硬件中断 driver IC 的 enable 输入 — 任何软件 hang 都不能阻止 STO 生效。L6390 / UCC5870-Q1 / 1ED34xx 等都把 enable 引出独立 pin,接到安全 MCU GPIO + opto-isolator,双路冗余 任一路拉低即关栅。
3. 高压安全 (SG2, ASIL C-D)
高压安全的目标 = 防止 B 级电压(60-1500V DC)在异常时对人体或环境产生伤害。具体场景:绝缘失效 / 碰撞 / 维修接触 / 充电故障。FTTI 跨度大,接触器切断 5-10ms,但全系统泄能到 60V 以下要 1-5s(UN ECE R100 § 5.4 强制)。ASIL 取决于具体危害事件,通常 C 或 D。
3.1 五件保护硬件
EV HV 域必备五件保护元件(缺一不可):
| 元件 | 功能 | 触发条件 | 响应时间 |
|---|---|---|---|
| HVIL | 高压互锁回路监控连接器物理接触 | 任一连接断开 | 5-10ms |
| IMD | 持续测 Riso (绝缘电阻) | Riso < 100/500 Ω/V | 1-10s |
| 接触器 | 主回路通断 | VCU 命令 / HVIL 触发 | 10-50ms |
| Pyro Fuse | 碰撞紧急熔断 | 加速度阈值 / 气囊触发 | 几 ms |
| 主动放电 | bulk cap 储能泄放 | 接触器断开后立即启动 | 1-5s 泄到 60V |
详见 topic-hv-safety §2-6。
3.2 上下电时序
EV 上电序列:LV → HVIL 闭合 → IMD 自检 → 预充电(限流 50-100Ω 给 bulk cap 充电到 0.95×VHV) → 主接触器闭合 → 卸预充。下电序列反过来,但 接触器断开后必须立即启动主动放电,不能等"自然放电"(bulk 电阻百 MΩ 级别要小时级)。
3.3 主动放电与扭矩接力
主动放电有两种实现:
- 专用放电电阻 接在 bulk cap 上,继电器导通时放电(2-5s,典型 1-2kΩ / 50W)
- 复用 inverter 把 PWM 拉成持续偏置,让电机绕组当放电路径(Active Short Circuit,ASC)
后者更快(几百 ms)但需要 inverter 仍有 HVG/LVG 驱动能力 — 这就是 SG1 STO 与 SG2 主动放电的接力点:STO 关栅 = inverter 完全断电 = 无法 ASC,只能走专用放电电阻路径。
4. 热安全 (SG3, ASIL B-D)
热安全的目标 = 防止温度失控对人 / 车 / 环境造成伤害。EV 场景两类:功率器件过温(IGBT/SiC Tj > 150-175°C)和 电池热失控 TR(单 cell 起火 → 蔓延整 pack)。前者 FTTI 5-30s(器件热惯性),后者 5min 不蔓延即合格(UN GTR 20 / GB 38031-2020)。ASIL 范围 B-D,功率器件通常 B-C,电池 TR 蔓延通常 D。
4.1 功率器件 Tj 保护
功率器件 Tj 不能直接测,只能间接:
监控周期 100-1000ms 即可(热惯性大)。derating 策略 = Tj 接近上限时按 PI 控制器减小电流上限,保留扭矩控制平滑。详见 topic-thermal-safety §2-4 / topic-zth-transient-thermal。
4.2 电池 TR 触发与隔离
电池 TR 三大触发信号(任一即认 TR):
- 单 cell 温升 > 8 K/s
- 单 cell 电压陡降 > 25%
- 电池模组烟雾 / VOC 传感器报警
触发后:
- 立即向 VCU 报 TR
- VCU 启动主动放电 + 紧急下电
- 5min 内不蔓延 / 不爆燃 / 不喷火即满足 GB 38031
- 同步通知乘员舱(声光 + 5s 后强制开门解锁)
详见 topic-bms-safety §3-5 + topic-thermal-safety §5。
4.3 冷却系统的安全角色
冷却系统(水泵 + 散热器 + chiller + 阀门)本身是 ASIL B 元件 — 失效会让电池 / 功率器件温度失控,间接引发 SG3 触发。设计要点:
- 水泵接 12V 系统,不依赖 HV — 如果接 HV,SG2 主动放电后散热失效会立即引发 SG3 二次触发(死锁,见 §5.2)
- 冷却液流量传感器 + 出口温度传感器双冗余
- 阀门故障时默认"全开"(fail-open),让最大冷却量通过
5. 三大 SG 协同与冲突
孤立看每个 SG 都简单,真正的难题在 三者并行 / 接力 / 冲突时怎么协调。EV 系统级安全设计的 80% 工作量在这里。
5.1 时间优先级与 Safe State
三大 SG 的 FTTI 单调递增:扭矩 100ms < HV 1-5s < 热 5-60s。这意味着 触发时间优先级 = SG1 > SG2 > SG3 — 但 Safe State 优先级取最严:
| 同时触发 | Safe State 取哪个 |
|---|---|
| SG1 + SG2 | HV 断开 + STO (两个都做) |
| SG2 + SG3 | HV 断开 + 隔离 (并行) |
| SG1 + SG3 | STO + 降额 (STO 优先) |
| 三者全触发 | TR 隔离 + HV 断开 + STO,通报乘员 |
5.2 接力链 vs 死锁
接力链通畅时,扭矩失控 (SG1) → 关栅 + 信号给 BMS (SG2) → 主动放电 → 放电电阻散热监控 (SG3) → 整车 safe。但 EV 三大子系统的能量耦合让"通畅"是少数情况,工程上常见的两类死锁场景都源于"前级关断切断了后级的执行路径"。
死锁场景 1 — STO 后无放电路径:SG1 STO 关 HVG/LVG → inverter 三相高阻 → ASC 失能 → bulk cap 储能必须靠专用放电电阻泄放(1-5s,达不到 SG2 的 1s 目标)。修复:STO 状态下保留 LVG 路径,让三相通过下管短路放电(电机绕组当 dump load),时间能压到 100-300ms。
死锁场景 2 — 散热泵接 HV 失电:SG3 触发 → BMS 断主接触器 → 散热泵失电 → 局部 Tj 反而 ↑ → SG3 二次触发(永久)。修复:散热系统全部接 12V,不接 HV。
5.3 跨 SG cross-monitor 协议
不能信任"SG1 触发后会通知 SG2 / SG3" — 软件链路本身有失效概率。正确做法:
- 每个 SG 独立监测自己的安全状态(扭矩 / VHV / Tcell)
- 任一进入 Safe State 都 同时 广播到其它两个域
- 接收端不立即 trust,而是 独立验证(再测一遍信号源)
- 形成"安全状态二维握手":发送 + 接收 + 验证 + 应答
6. FMEDA 串联与 Safety Case
FMEDA(Failure Modes, Effects and Diagnostic Analysis)是 ISO 26262 Part 5 §8 强制的量化分析,要求每个 ASIL ≥ B 的硬件元件给出 FIT(Failure In Time)+ 诊断覆盖率(DC)。三大 SG 各自的 FMEDA 报告必须 使用同一套元件 FIT 数据(避免重复计算),并在系统级合并出 SPFM / LFM / PMHF 三个指标。
| 指标 | 目标 (ASIL D / C / B) | 含义 |
|---|---|---|
| SPFM | ≥ 99% / 97% / 90% | 单点失效抑制比 |
| LFM | ≥ 90% / 80% / 60% | 潜在失效抑制比 |
| PMHF | ≤ 10 / 100 / 100 FIT | 平均每小时随机失效概率 |
Safety Case 是最终交付物,把三大 SG 的所有 V&V 证据(HARA 表 + FSC 文档 + TSC 文档 + FMEDA 报告 + HIL 测试报告 + fault injection 报告)集中整理,签字归档。一辆 EV 的 Safety Case 通常 500-2000 页,每条 HARA 危害都能反查到至少一份硬件验证证据。详见 topic-safety-case + topic-iso26262-part10-guidelines。
Cross-references
- ← 索引
- L1 总论: topic-functional-safety — ISO 26262 概览 / ASIL / HARA
- L2 扭矩: topic-torque-safety — E-Gas 三级 / STO / FMEDA 完整
- L2 高压: topic-hv-safety — HVIL / IMD / 主动放电 / Pyro
- L2 热: topic-thermal-safety — derating / TR / 冷却
- L2 BMS: topic-bms-safety — 电芯监控 / 接触器逻辑
- L4 案例: topic-hv-inverter-iso26262-concept — NXP HV inverter safety concept
- L4 案例: topic-iso26262-part11-semiconductors — IC 供应商交付物
- 法规: topic-ev-regulations / topic-ev-regulations-regional-comparison
- ISO 26262 各 Part: topic-iso26262-part2-management / topic-iso26262-part3-concept / topic-iso26262-part4-system / topic-iso26262-part5-hardware / topic-iso26262-part6-software
延伸阅读
- ISO 26262:2018 Part 2-9 — 完整 V-Model 流程标准(每个 Part 自有 wiki 页)
- UN ECE R100 — EV 安全准入 / 高压泄能要求
- UN GTR 20 — 电池热失控全球技术法规
- GB 38031-2020 — 中国电动汽车用动力蓄电池安全要求
- NXP Whitepaper — High-Voltage Inverter Safety System Concept for ISO 26262 Compliance(已 ingest 到 topic-hv-inverter-iso26262-concept)
- ST Application Note AN5806 — Automotive grade L6390 用于 ASIL-B 半桥应用(topic-half-bridge-gate-driver-l6390 参考)