EV 功能安全开发 — 流程串联与三大安全域协同

HARA(Hazard Analysis and Risk Assessment)在 ISO 26262 Part 3 §6 定义,EV 场景下输出物是一张表,每行一个"危害事件 + 驾驶场景 + S/E/C 评级 + ASIL"。EV 与传统燃油车的区别在于 HARA 多了 HV / 电池域的危害(燃油车没有的电触电 / TR 蔓延),所以这一步必须由跨域工程师共同评审,不能只靠传统底盘安全工程师。

S(Severity)/ E(Exposure)/ C(Controllability)三维评级:

• S0-S3:伤害严重度(无伤 / 轻伤 / 重伤 / 致命)
• E0-E4:发生频率(极少 / 偶尔 / 经常 / 总是)
• C0-C3:可控性(总能避免 / 通常可控 / 难以控制 / 几乎无法控制)

ASIL 查表 = S × E × C → A/B/C/D 或 QM(无 ASIL)。EV 三大典型 HARA 条目(数值与 topic-hv-inverter-iso26262-concept §2.2 canonical 定级对齐):

FSC(Functional Safety Concept,Part 3 §7 / Clause 7)把 SG 转成整车级安全要求 FSR(Functional Safety Requirement),不涉及具体技术实现。TSC(Technical Safety Concept,Part 4 §6)把 FSR 落到子系统 → TSR(Technical Safety Requirement),指定哪个 ECU / 哪条信号 / 哪个 IC。HW/SW(Part 5 / Part 6)把 TSR 拆成元件级要求 + FMEDA 量化。每一级都有正向分配 + 反向追溯,中间断一环就不通过审计。

ASIL D 直接做开发成本指数级上升(coding standard / tool qualification / 验证强度都大幅加严)。ASIL 分解 是把 ASIL D 拆成两个独立 ASIL B(D) 通道,每条只要满足 B 级开发流程,合起来等效 D 级。这是 EV 工业上最实用的成本控制手段。分解的硬约束:

• 独立性:两通道硬件 + 软件 + 时基 + 供电完全独立
• 共因失效 (CCF) 必须足够低 — 单一根因不能同时让两通道失效;ISO 26262 通过 Part 9 Clause 7 DFA(Dependent Failure Analysis)+ Part 5 Annex E 论证独立性,β 因子按 IEC 61508-6 Annex D 方法量化,工程上常取 ≤ 1-2% 目标
• 诊断激活:两通道任一失效都必须能立即检测出来

实践配置:扭矩 ASIL D = MCU 主功能 ASIL B(D) + 安全 MCU 监控 ASIL B(D),两 MCU 互相 alive-message,任一掉线进 STO。

FTTI(Fault Tolerant Time Interval)不是拍脑袋定的,每个域的数值都有物理根因:

扭矩域 FTTI = 100-200ms:ISO 26262-3 给出汽车场景 FTTI 参考量级,canonical 主驱 worked example(topic-iso26262-part3-concept §4.2)取 200ms。物理根因是驾驶员反应时间约 1.5s,但系统不能把所有时间留给驾驶员——若"非预期加速"持续 200ms,100km/h(27.8 m/s)下车辆多行驶约 5.6m,超过这个距离司机已难以纠正,故 FTTI 取 100-200ms 区间,具体值由 OEM 按车辆动力学标定。

HV 域 FTTI(接触器断开) = 10-20ms:HVIL 断开 → 命令主接触器断开;量产 HV 主接触器机械断开时间典型约 10-20ms(Gigavac GX / TE EVC 量级,见 §3.1 表),软件检测 + 命令时间须压到毫秒内,总断开窗口才能落在 10-20ms。防止 HV 在开路连接器处拉弧(空气击穿场强约 3 kV/mm 量级)靠 HVIL 先导针先断 + 断电顺序保证,而非要求接触器在 5ms 内断开(器件物理不可达)。

HV 域 FTTI(泄能到 60V) = ≤5s:UN ECE R94/R95(碰撞后电气安全测量窗)规定碰撞后 HV 可接触部位必须在 5s 内降到 ≤60V DC(断电场景由 ISO 6469-3/GB-T 18384 约束)。60V 是人体安全电压阈值(IEC 60479-1,对应体阻约 1kΩ 时电流约 60mA,心颤概率极低区间)。这条是本征电气安全,不是 26262 SG(见顶部澄清框)。

热域器件 Tj FTTI = 5-30s:功率器件热惯性由 Zth(t) 决定,量级由器件热容与散热路径共同设定,且要分两个时间尺度。器件 junction-to-case Foster 网络(SCT3080AL 三单元最慢 τ ≈ 8.8ms,见 topic-thermal-management)决定 Tj 对功率阶跃的快响应——重过载下结温在毫秒到亚秒级就冲到 Tjmax(175°C),这条快通道由驱动级 DESAT / 限流兜,NTC 追不上。NTC(测壳温 Tc)监控的热域 FTTI 之所以落在 5-30s 量级,是由慢得多的 case → 散热器 → 冷却液热质(时间常数秒级)设定的,而非 j-c Foster 单元;具体值由实际过载功率与整条散热路径的 Zth(t) 曲线定。工程上取 5s 作为这条慢热通道的保护窗下界,NTC 监控周期设 100-200ms(即 25-50× 裕量)即可覆盖。

热域 TR FTTI = 5min:GB 38031-2020 / UN GTR 20 规定热失控开始后 5min 内不蔓延 / 不起火,这是结构 + 化学被动安全问题,不是主动控制问题。主动控制(冷却/隔离)只要确保在 5min 前给乘员逃生时间即可。

Level 1 (功能层):正常驾驶逻辑,跑 FOC / DTC 控制算法,输出 PWM。 Level 2 (功能监控):独立计算"应该输出的扭矩"与 Level 1 实际输出对比,差超 10% 触发 fault。 Level 3 (控制器监控):监控 Level 1+2 这个芯片本身是否正常工作(MCU 看门狗 / RAM/ROM 自检 / 时序检查),芯片自身故障触发 STO。

三级一旦任意一级判定 fault → 切 STO(Safe Torque Off):HVG + LVG 同时拉低,inverter 输出三相高阻,电机自然减速。

扭矩链信号必须双通道,典型组合:

• 加速踏板:两路独立电位器,差分超 5% 触发 fault
• 电机位置:旋转变压器 RDC + 备份编码器 / 备份 IPM 内置 hall
• 相电流:LEM 霍尔 + shunt + ADC 两通道独立采样
• 母线电压:HV 直采 + LV 端隔离放大独立通道

详见 topic-torque-safety §4 / topic-current-sensing-safety。

STO 不是软件命令,是 硬件中断 driver IC 的 enable 输入 — 任何软件 hang 都不能阻止 STO 生效。UCC21750-Q1 / UCC5870-Q1 / 1ED34xx 等都把 enable/reset 引出独立 pin,接到安全 MCU GPIO + opto-isolator,双路冗余 任一路拉低即关栅。

详见 topic-torque-safety §6 + topic-gate-driver-safety。

EV HV 域必备五件保护元件(缺一不可):

详见 topic-hv-safety §2-6 / topic-active-discharge-design。

EV 上电序列:LV → HVIL 闭合 → IMD 自检 → 预充电(限流 50-100Ω 给 bulk cap 充电到 0.95×VHV) → 主接触器闭合 → 卸预充。下电序列反过来,但 接触器断开后必须立即启动主动放电,不能等"自然放电"(bulk 电阻百 MΩ 级别要小时级)。

主动放电有两种实现:

• 专用放电电阻 接在 bulk cap 上,继电器导通时放电(典型 150Ω-2kΩ,依 τ = R·Clink 与热容折中)
• 复用 inverter 把 PWM 拉成持续偏置,让电机绕组当放电路径(Active Short Circuit,ASC)

后者更快(几百 ms)但需要 inverter 仍有 HVG/LVG 驱动能力 — 这就是扭矩域 STO 与 HV 域主动放电的接力点:STO 关栅 = inverter 完全断电 = 无法 ASC,只能走专用放电电阻路径。

功率器件 Tj 不能直接测,只能间接:

• NTC 测壳温 Tc,Zth(t) 反推 Tj 估值
• SiC 内置 PT-T sensor (Wolfspeed / Infineon 部分型号)
• VDS(on) 温感法(精度低,需校准)

监控周期 100-1000ms 即可(热惯性大)。derating 策略 = Tj 接近上限时按 PI 控制器减小电流上限,保留扭矩控制平滑。详见 topic-thermal-safety §2-4 / topic-zth-transient-thermal。

电池 TR 三大触发信号(任一即认 TR):

• 单 cell 温升 > 8 K/s
• 单 cell 电压陡降 > 25%
• 电池模组烟雾 / VOC 传感器报警

触发后:

• 立即向 VCU 报 TR
• VCU 启动主动放电 + 紧急下电
• 5min 内不蔓延 / 不爆燃 / 不喷火即满足 GB 38031
• 同步通知乘员舱(声光 + 5s 后强制开门解锁)

详见 topic-bms-safety §3-5 + topic-thermal-safety §5。

冷却系统(水泵 + 散热器 + chiller + 阀门)本身是 ASIL B 元件 — 失效会让电池 / 功率器件温度失控,间接引发热域触发。设计要点:

• 水泵接 12V 系统,不依赖 HV — 如果接 HV,HV 域主动放电后散热失效会立即引发热域二次触发(死锁,见 §5.2)
• 冷却液流量传感器 + 出口温度传感器双冗余
• 阀门故障时默认"全开"(fail-open),让最大冷却量通过

三大域的 FTTI 单调递增:扭矩 100-200ms < HV 5ms-5s < 热 5-60s。这意味着 触发时间优先级 = 扭矩 > HV > 热 — 但 Safe State 优先级取最严:

接力链通畅时,扭矩失控 → 关栅 + 信号给 BMS → 主动放电 → 放电电阻散热监控 → 整车 safe。但 EV 三大子系统的能量耦合让"通畅"是少数情况,工程上常见的两类死锁场景都源于"前级关断切断了后级的执行路径"。

死锁场景 1 — STO 后无放电路径:扭矩域 STO 关 HVG/LVG → inverter 三相高阻 → ASC 失能 → bulk cap 储能必须靠专用放电电阻泄放,可能达不到更快的泄能目标。修复:STO 状态下保留 LVG 路径,让三相通过下管短路放电(电机绕组当 dump load),时间能压到 100-300ms。

死锁场景 2 — 散热泵接 HV 失电:热域触发 → BMS 断主接触器 → 散热泵失电 → 局部 Tj 反而 ↑ → 热域二次触发(永久)。修复:散热系统全部接 12V,不接 HV。

不能信任"扭矩域触发后会通知 HV / 热域" — 软件链路本身有失效概率。正确做法:

• 每个域独立监测自己的安全状态(扭矩 / VHV / Tcell)
• 任一进入 Safe State 都 同时 广播到其它两个域
• 接收端不立即 trust,而是 独立验证(再测一遍信号源)
• 形成"安全状态二维握手":发送 + 接收 + 验证 + 应答

选定器件:TC397 三核 Lockstep MCU + TLF35584 ASIL D SBC + UCC21750-Q1 ASIL 隔离驱动 IC(×6,三相六管,SLUSDH9D)+ SCT3080AL SiC MOSFET(650V/30A,RthJC=0.86 K/W typ,驱动轨 +18/−4V)。器件时序/热参数取自 topic-gate-driver §11 与 topic-thermal-management 的已核 SSOT。

Safety Manual 版本锁定:TC397 SM-TC397、TLF35584 SM-TLF35584、UCC21750-Q1 Datasheet SLUSDH9D——三者须检查 AoU(Assumptions of Use)版本一致,OTA 升级触发重新确认(参见 topic-seooc)。

扭矩域系统层 FTTI = 200ms(canonical 主驱值,见 §1.4)。按 ISO 26262-4 §6 拆分 FDTI(Fault Detection Time Interval) + FRTI(Fault Reaction Time Interval):

• HW 路径(DESAT 短路保护):UCC21750 内部 leading-edge blank 200ns + 外部 CBLK blank ≈ 1.0μs(盖住开通尖峰 + 对侧反向恢复,总 blank ≈ 1.2μs,远小于 SiC 短路耐受 ~2μs)+ 传播延迟 tpd 90ns typ → HW 路径 FDTI+FRTI ≈ 1.3μs,余量 = 200ms / 1.3μs ≈ 1.5×10^5×(>5 个数量级)。数值取自 topic-gate-driver §11.1/§11.5 已核 datasheet 值。
• SW 路径:E-Gas Level 2 扭矩比较 → 检测周期 10ms(VCU FOC 控制频率) → STO 命令 → 驱动响应 ~1ms → SW 路径总 FDTI+FRTI ≈ 11ms,余量 = 200ms/11ms ≈ 18×。

结论:HW 路径是主保护(微秒级响应),SW 路径兜底(毫秒级)。两路时序独立,都满足 200ms FTTI,量级余量巨大——真正的约束不在裕量大小,而在 §7 G3 讲的"FTTI 语义不能跨层复用"。

系统参数:Vbus = 400V,Clink = 3000μF(3mF,典型 100kW 逆变器母线电容,与 topic-active-discharge-design 同一参考平台)。

目标:Vbus 从 400V 降至 60V 时间 ≤ 5s(UN ECE R94/R95 碰撞后测量窗)。

放电电阻上界推导(一阶 RC 放电):

令 V(tmax) = 60V,V0 = 400V,tmax = 5s:

即 R 必须 ≤ 878Ω 才能在 5s 内达标。峰值功率(t=0 瞬间,取 R=878Ω):Ppeak = V0^2 / R = 400^2 / 878 ≈ 182W。单次放电能量 E = ½ Clink V0^2 = ½ × 0.003 × 400^2 = 240J(与 active-discharge SSOT 一致)。

选型取向:直接贴 878Ω 上界等于零裕量,不可取。量产实践(见 topic-active-discharge-design)取 R ≈ 150Ω → τ ≈ 0.45s,给约 10× 时间裕量;代价是峰值功率升到 400^2/150 ≈ 1.07kW(短时脉冲),需按 240J 单次能量核电阻热容量。核心权衡:R 越小泄能越快、越安全,但峰值功率与热应力越大——选型是"τ 裕量 vs 电阻热容"的折中,不是贴着 5s 限值算。

以 SCT3080AL(Tjmax = 175°C,NTC derating 触发点 Tj = 150°C):

• NTC 测壳温 Tc,热阻链 Tj = Tc + Ploss × RthJC = Tc + Ploss × 0.86(K/W,值取自 topic-thermal-management datasheet 核验)
• 监控周期 = 100ms,热域 FTTI = 5s → 裕量 50×
• derating 斜率:Tj 从 150→175°C 共 25°C 窗口,PI 控制器按温升逐级降额电流上限,保持平滑

SCT3080AL j-c Foster 三单元:Cell1(Rth=0.117 K/W,τ=0.08ms,Cth1≈0.68 mWs/K,结层) / Cell2(Rth=0.729 K/W,τ=3.85ms,Cth2≈5.3 mWs/K) / Cell3(Rth=0.013 K/W,τ=8.8ms,Cth3≈677 mWs/K,封装层),总 RthJC = 0.859≈0.86 K/W(数据来自 topic-thermal-management Foster 三单元 SSOT)。

TR 监控时序:BMS 以 10ms 周期轮询每 cell 温度 + 电压,触发阈值 ΔT/Δt > 8 K/s 或 ΔV/V > 25%。TR 信号经 CAN 发给 VCU,VCU 响应 ≤ 100ms → 接触器断开 ≤ 200ms → 远满足 5min 蔓延 FTTI。

三大域各自 FMEDA 分析汇总(具体数字见对应 deep 页,此处呈现系统级视图):

系统级关键原则:三大域共享同一 TC397 / TLF35584 器件 FIT 数据(不重复计数),系统 PMHF 按 SG 逐条汇总(PMHF_sys = Σ PMHF_SG),ASIL D 那条 SG 须整体 ≤ 10 FIT(ISO 26262-5 Clause 9 / Table 6;共享元件的相关失效经 Part 9 DFA 处理)。SPFM/LFM/PMHF 阈值方向:ASIL D → SPFM ≥ 99% / LFM ≥ 90% / PMHF < 10 FIT。

独立性关键问题:若 TC397 同时承载扭矩(监控)+ HV(接触器控制)的安全功能,必须证明两条路径之间不存在 CCF — 通常通过 ASIL 分解(扭矩 ASIL D → B(D)+B(D),HV ASIL C 单通道 ≥97%)分配到不同软件分区 + MPU 隔离实现。

场景:扭矩域触发 STO,UCC21750 FLT pin 断言 → HVG+LVG 全部拉低 → inverter 三相高阻 → 本想借 ASC 快速泄能,但三相无法驱动 → 只能走专用放电电阻。陷阱:如果安全工程师在 Safety Case 里写"ASC 内快速泄能到 60V",但 STO 状态下根本无法 ASC,FSAR 会被 I3 拒绝。修复:STO 定义明确保留 LVG 路径用于电机绕组放电(ASC 变体),或设计独立放电继电器路径绕过 driver IC 控制。

场景:热域 TR 触发 → BMS 断主接触器(切 HV) → 水泵供电来自 HV→12V DC-DC,失电 → 泵停 → 局部 Tj 加速上升 → 热域二次触发 → 死锁。陷阱:散热设计阶段往往只考虑正常运行,不考虑 Safe State 下散热是否存续。修复:冷却系统供电强制走 12V LV 辅助电源,与 HV 完全解耦。

场景:系统级 FTTI = 200ms(V-Model 分配),器件 DESAT 响应 = ~1.3μs,SW 诊断周期 = 10ms。工程师在 FMEDA 里混用三者——把 FTTI=200ms 直接当 DC 论证的时间窗口,却忘记 FDTI + FRTI 还要再切分。后果:SPFM / LFM 计算漏掉了一段时间内无诊断的失效暴露。修复:FTTI 必须三层分明:系统层(整车 FTTI) → ECU 层(FDTI+FRTI) → 器件层(响应时间),每层向下分配,不能跨层复用。

场景:设计两路独立 ASIL B(D) 通道,但两路共用同一 TLF35584 SBC 供电(共 12V rail) → 12V 共因失效可同时让两通道 VCC 跌落 → CCF β 远超目标 → 分解等效性失效。陷阱:CCF 检查常只关注"软件相同吗",忽视电源拓扑共因。修复:ASIL 分解两通道供电必须完全独立(独立 LDO + 独立保险丝 + 独立过压保护链),DFA 全维独立性核到位(ISO 26262-9 Clause 7 + Part 5 Annex E)。

场景:SiC 驱动惯性照搬 IGBT 的 −5V 关断负压,但 SCT3080AL 的 VGSS DC abs-max 下限就是 −4V(datasheet)——取 −5V 已越绝对最大值,长期在栅氧上叠 1V 过应力,失效以缓慢退化 / 阈值漂移形式静默累积,室温出厂测试往往测不出来。陷阱:关断裕量"看起来更足",实则牺牲器件寿命与 FIT。修复:严格按 datasheet VGSS 取负压轨 = −4V(见 topic-gate-driver §11.3);−4V + UCC21750 Miller-clamp 已给足 Cross-talk 裕量,不需要更深负压。

场景:HV 域(BMS)等待扭矩域(VCU)的"扭矩=0"信号再切断接触器,以避免带载切断拉弧。但 VCU CAN 链路在扭矩域故障场景中本身可能中断 → BMS 永远等不到信号 → 接触器不断 → HV 安全失效。陷阱:跨域协议未考虑"信号缺失"和"故障信号"两类失效场景。修复:BMS 必须设超时(如 100ms 无 VCU 响应即独立断接触器),且须具备独立监测 VHV 的能力,不依赖 VCU 广播。

场景:扭矩域要求 STO(关 driver IC enable),HV 域要求 ASC(开下管释放能量)——两个 Safe State 在同一 inverter 上互斥。若 FSC 没有明确定义冲突优先级,VCU 软件收到两个同时激活的安全请求,状态机进入 undefined 分支,系统行为不确定。修复:FSC 文档必须包含 Safe State 优先级仲裁矩阵(见 §5.1),FMEA 中对"冲突域同时触发"独立列失效模式,编入安全测试用例。参见 topic-automotive-safety-concept §6 C1。

L4 自动驾驶中驾驶员不在控制回路,HARA C 参数应升级:原来 C3(驾驶员难以控制)在 L4 变为完全不可控 → ASIL 评级可能维持 D 但可控性论证的支撑证据完全不同(SAE J3016 / ISO 22736 定义自动化等级,但 ASIL 仍由 26262 HARA 得)。FTTI 也可能需要从 200ms 压缩(L4 系统响应比人快,但传感器误差引入可能更大)。设计影响:E-Gas Level 2 的比较阈值不能再用"10% 驾驶员踏板偏差"触发,需改为"L4 规划轨迹的轮距误差/时间误差阈值"——完全不同的监控维度,需重新做 HARA 和 FSC。

碰撞触发气囊 → Pyro Fuse 熔断 → HV 主回路断开 → IMD 可能读到 Riso 骤降(HV 线破损对地短路) → HV 域触发。同时扭矩域 E-Gas Level 3 检测到 MCU Reset(碰撞冲击) → STO。危险场景:Pyro Fuse 通常位于 Clink 之前(Pack 侧),Pyro 断后 Clink 与 pack 隔离但仍带 400V → 必须通过放电电阻泄能。若碰撞同时损坏了放电电阻继电器,Clink 储能无法释放 → 维修时触电风险。缓解:Clink 对地设 passive discharge 电阻(数十至数百 kΩ)作为最后兜底,泄能时间可接受分钟级(维修场景);主动放电路径的 fail-safe 触发必须独立于主 MCU(见 topic-active-discharge-design)。

车辆 OTA 更新 TC397 安全 SW 版本 → SM-TC397 AoU 中"集成商须对新 SW 版本执行 Confirmation Review"条款激活 → 若跳过 → Safety Case 版本漂移 → Field 中发现的失效可能因"SM 版本不匹配"导致责任归因争议。工程落地:OTA delta 必须检查 AoU 相关章节变化(自动对比 SM hash 或 version tag),触发 Δ-Confirmation 而非全量重走 V-cycle。ISO 26262-8 Clause 8(Change Management)对 Safety Element 变更有管理要求。