高压安全（HV Safety）

高压安全涉及两套并行体系：一是 ECE R100 / ISO 6469-3 / IEC 61140 等电气安全法规给出的电压/时间硬约束，由 Type Approval 强制执行；二是 ISO 26262 HARA 流程输出的 Safety Goal + ASIL（功能安全体系）。两套机制独立，不能互相替代——尤其是 ECE R100 的 60V/5s 约束不是 ISO 26262 Safety Goal，详见本节 NOTE。

HVIL 是 EV 安全设计的"机械-电气联锁"——一根低压回路串联所有 HV 接头，任何接头被拔出 HVIL 断路 → 整车 HV 立即下电。原理简单但可靠性是 ASIL D 级别。

工作原理：串联所有 HV 连接器的低压检测引脚构成一个闭环；任一连接器拔开 → 环路断开 → MCU 检测到 → 命令切断 HV 接触器。

ECE R100 §5.1.1.3 要求：所有 HV 连接器必须有某种防误插、误拔保护或互锁——HVIL 是业界事实上的实现。

设计要点：

• 低压信号通常 5 V 或 12 V 脉冲（不是静态电平，便于检测短路到地/到电源）
• 控制器用 PWM 挑战-应答：发脉冲 → 环路延迟 $tloop$ 后收到回信 → 正常
• 环路中任一处断开（拔连接器、断线、PCB 开路）→ 回信超时 → 触发断电
• 响应时间 $tdet$ ≤ 50 ms（比 HV 断开 + 放电快得多，留缓冲）

失效模式：

• 短路到 GND：被脉冲协议捕获（静态信号捕获不了）
• 短路到 12V：同上
• 接触不良造成间歇断开：计数器 + 滤波，避免误触发

工作原理：小爆炸装置（烟火药）被碰撞 airbag 信号触发 → 瞬间（< 2 ms）物理切断 HV 母线汇流排（铜排被剪断）。

典型参数（Sensata / Bosch / Mersen 量产）：

• 响应时间：< 2 ms（比接触器 10–30 ms 快一个量级）
• 切断电流：2–10 kA
• 电压等级：400 V 或 800 V 专型
• 一次性使用（打过就得换）

位置：通常在电池包正极主回路；也可在逆变器 HV+ 输入。

触发源：

• 整车 airbag ECU 的 crash signal（优先级最高）
• 电池包内压力/温度异常（热失控前）
• BMS 诊断到严重短路（I > 1 kA 持续 > 1 ms）

为什么需要 Pyro：HV 接触器机械触点粘连后无法断开；碰撞场景下几十毫秒内就会发生更严重事故。Pyro Fuse 是"最后一道物理开关"。

ASIL 贡献：Pyro 触发链路通常 ASIL B(D) 或 C；作为 HVIL / IMD / Active Discharge 之外的第四道防线。

Tesla Model 3 量产（2018 起）是业界示范；如今几乎所有 800 V 平台都配 Pyro。

接触器是 HV 链路的机械开关（LEV200 / TE LEVxx / Panasonic AEP2）。最主要失效 = 触点粘连焊死，控制线断电后仍导通。

HV 上下电严格按"先低压后高压、先 pre-charge 后主接触器"序列——任何顺序错误会导致大涌流损坏接触器或 DC-link 电容。下面给标准时序。

上电阶段（从钥匙 ON 到主接触器闭合）：

1. IMD + HVIL 自检 通过 → 允许上电
2. 预充：先闭合预充继电器（带限流电阻，通常 100 Ω），避免主电容大电流冲击造成触点烧蚀
3. Vlink 上升到 95% Vbat 时闭合主接触器，断开预充继电器
4. 进入正常运行

下电阶段：

1. 命令断开主接触器 + 预充继电器
2. 立即触发 ASC 主动放电（并联进行）
3. 监测 Vlink 降到 < 60 V（< 5 s）
4. 监测接触器粘连（辅助触点 + Vlink 行为）
5. 如检测到粘连：视严重度，必要时触发 Pyro Fuse
6. 标记 done，允许维修 / 下次上电

HV 安全国际、欧/美/中三地有平行标准——ECE R100 欧、FMVSS 305 美、GB 18384 中、ISO 6469 行业。各市场卖必过当地标准，不能一份代替。

HV 安全5 个常见陷阱——HVIL 单点失效、IMD 误报频繁、放电链冗余不足、上下电时序竞态、粘连检测不全面。这些都是 DV 阶段难暴露，要靠 PFMEA 评审挖。

HV 安全设计中有若干体系性错误——它们不是单一 bug，而是思维框架混乱或接口假设错误导致的，往往在 DV 阶段才暴露，有时直到量产后的服务事故才被发现。下列 7 条按危害排序。

G1（最高危）— ECE R100 60V/5s 当作 ISO 26262 ASIL D Safety Goal

安全概念文档写"SG-HV-1: 5s 内 Vlink ≤ 60V，ASIL D"。看似合理，实际混淆了两套体系：ECE R100 60V/5s 是 Type Approval 电气安全法规约束（IEC 60479-1 人体阈值），由工程直接判断电压/时间；而 ISO 26262 ASIL D 是对功能失效危害的风险分级（S3/E4/C3 等），需要 HARA 推导。把法规直接写成 ASIL D 会导致：ASIL 分配无 HARA 支撑、安全案例在审核时被退回、开发团队混淆两种验证方法。正确做法：ECE R100 约束单独列为法规合规要求（ER-1），ISO 26262 SG 另立并标明 HARA 来源（见 §1）。

G2 — ASC 与 STO 共用同一栅极 Enable 通道（冲突）

主动放电（ASC）需要持续输出 PWM 驱动三相短路来耗散能量；Safe Torque Off（STO）的定义恰恰是阻断所有 PWM，防止电机意外产生扭矩。如果两者共用同一个栅极 Enable 信号，则触发 ASC 时 STO 随即阻断 PWM，放电完全失效——STO 胜出，HV 不放电。后果：ECE R100 5s 超标 + SG-HV-1 失效。修复：STO 和 ASC 必须是两条独立的安全通道，栅极驱动 IC 选型时确认 DESAT/FAULT 与 STO 引脚的优先级逻辑，ASC 触发时 STO 不应被拉低。

G3 — Passive Bleeder 阻值选太小导致常态能耗巨大

某工程师为"保险起见"把 Bleeder 取 1 kΩ，800V 母线下常态功耗 $P=V^2/R=640\text{W}$——直接烧毁电阻。工程上合理 Bleeder 取 ≥ 10 kΩ（800V 时 64 W），但即使 50 kΩ 也是 12.8 W 持续损耗、全年 ≈ 110 kWh 无谓能耗。Bleeder 定位是主动放电失效的备份，不是主放电路径，取大电阻（≥ 50 kΩ）可接受其慢放电特性（RC ≈ 75 s），绝不能为缩短备份放电时间而降低阻值。

G4 — HVIL 用静态电平无法检测短路失效

HVIL 环路只测开路状态（断线/拔头）时，可以用静态电平判断。但如果 HVIL 连接器引脚碰到 GND（如线束磨穿），HVIL 信号短路到地 → 控制器读到"0"，误判为"连接器断开" → 立即触发 HV 下电（正常行驶中断电，危险）；或设计了下拉默认态，则短路到地无法与"环路正常闭合"区分（静默失效）。差模 PWM 协议（控制器发脉冲，回路返回相位偏移信号）可区分"开路/短路到地/短路到电源/正常"四种状态，是 ASIL C/D 的必要条件。

G5 — IMD 选单端注入，对称漏电无法识别

单端注入 IMD（只向 HV+ 注入信号）可以检测 HV+ 对底盘的绝缘失效。但如果 HV+ 侧 Riso+ = 20 kΩ（已触发阈值）同时 HV− 侧 Riso− = 20 kΩ（对称失效），单端注入只看到 HV+ 侧漏电，无法判断 HV− 侧是否同样失效。差模注入（向 HV+ 和 HV− 分别注入相位差 180° 的信号）可独立测 Riso+ 和 Riso−，识别对称失效。ISO 6469-3 对"可识别对称绝缘失效"的要求就是针对此场景。

G6 — 预充未完成就闭合主接触器（涌流焊触点）

DC-link 电容 3 mF 完全未充电时，主接触器闭合瞬间涌流 $Ipeak\approx Vbat/Rwire$；若线束阻抗 Rwire = 1 mΩ，则 400V/1mΩ = 400 kA——极短暂但足以将接触器触点焊死（粘连）。正确时序：先闭合预充继电器（串 100 Ω 限流电阻），等待 Vlink ≥ 95% Vbat，再闭合主接触器。时序监测点：Vlink ADC 必须在主接触器驱动线上建立监测，Vlink 未达阈值不允许主接触器闭合命令通过。

G7 — Pyro Fuse 触发链路经过可失效的 MCU

某平台将 Pyro 触发信号经 VMU CAN 总线转发给 Pyro 驱动器。碰撞发生时 VMU ECU 本身可能因碰撞损坏或 12V 掉电而失效，CAN 总线无法正常工作。此时 Pyro 无法触发，失去"最后物理开关"作用。标准做法：Pyro 触发链路直接走硬线连接 SRS airbag ECU（已是 ASIL D，抗碰撞加固），完全绕过 VMU 和 CAN。Pyro 是一次性器件，因此触发链路的误触发概率也极低要求（需在 airbag ECU ASIL D 框架下管理）。

三个边界工况检验设计在高温、低 SOC 和多次放电循环下是否仍成立，每条都有具体数值核算。

C1 — 高温工况（壳温 125 °C）：Bleeder 电阻 TCR 漂移

Bleeder 电阻（如 Vishay LPS600）TCR ≈ ±150 ppm/°C。从 25 °C 到 125 °C 升温 100 °C，阻值变化约 1.5%（150 ppm × 100）。对 ECE R100 5s 放电目标，1.5% 阻值变化带来 1.5% tau 变化，对于主动放电 tau = 0.45 s 只影响约 6.75 ms，完全可忽略。但对 IMD 测量精度影响更显著：IMD 注入电路的参考电阻温漂会改变注入电流，导致 Riso 测量值系统偏差约 1–2%——需在 IMD 阈值设置时留有足够裕量（通常 IMD 制造商已在芯片内补偿）。结论：主动放电链路对 Bleeder TCR 不敏感；高温对 IMD 精度影响需查 IMD datasheet 的温度补偿规格。

C2 — 低 SOC + 低温（冷 Vbat = 280 V）：放电时间重算

EV 在 EOL（低 SOC 且低温）场景下 Vbat 可低至约 280 V。重算放电时间：

裕量 = 5 / 0.693 = 7.2×，反而比标称 400 V 场景裕量更大（能量更少、放电更快）。单次储能 $Etotal=\frac{1}{2}\times 0.003\times 280^2=117.6\text{J}$（约为 400 V 场景的 49%），放电至 60 V 耗散约 112.2 J。结论：低 SOC 场景是轻松工况，不是受限角；受限角是高 SOC 快充后的 450 V 场景（见 §4.2.1）。

C3 — 多次放电循环（服务测试 10 次）：电阻热累积

服务工程师做台架测试时可能短间隔重复触发放电。每次 400 V/3 mF 放电约 235 J 进电阻；LPS600 绝热热容等效约 m·cp ≈ 0.15 kg × 900 J/(kg·K) = 135 J/K，单次温升约 1.7 °C。10 次连续放电（绝热上界，不算散热）累积约 17 °C。从工作环境 85 °C 出发，10 次后约 102 °C，远低于 LPS600 的 155 °C 上限。更严苛的高温角：从 125 °C 环境温度出发，10 次后约 142 °C，接近但仍在 155 °C 限值内（裕量仅 13 °C）。修复：高温服务测试规程应规定两次放电间隔 ≥ 30 s（让电阻通过散热片散热）；或选额定更高温度的电阻型号。

• case · case_precharge_failure_incident — HV Pre-charge Failure → Contactor Welding Incident
• component · component_hv_contactor — HV Contactor (Main Contactor)
• component · component_pyro_fuse — Pyrotechnic Fuse (Pyro Fuse)
• failure_mode · failure_mode_dc_bus_overvoltage — DC Bus Overvoltage
• mitigation · mitigation_active_discharge — HV Active Discharge
• mitigation · mitigation_emergency_hv_shutoff — Emergency HV Shutoff (Pyro Fuse)
• mitigation · mitigation_msd_manual_disconnect — MSD Manual Service Disconnect
• standard · standard_ece_r100 — UN ECE R100 EV HV Safety