热安全（Thermal Safety）

热安全Safety Goal 分两类——器件层 SG(防止 IGBT/SiC 过温炸管)和电池层 SG(防止 cell 热失控)。两类对应不同 ASIL 等级和不同保护机制。

热安全由全球多个法规并行管辖——UN GTR 20 国际、ECE R100 欧洲、GB 38031 中国、ISO 6469 行业标准。不同市场要按当地法规过认证——欧洲卖必过 ECE R100,中国卖必过 GB 38031。

• UN GTR 20（电动汽车安全全球技术规范）Part II：电池热传播5 min 内不得威胁乘员
• ISO 6469-1 EV 安全：热事件管理、警告与逃生
• SAE J2464 / J2929：电池滥用测试（过充、短路、针刺、挤压、热冲击）
• UL 2580：北美电池安全强制试验
• GB 38031-2020（中国 EV 电池）：单体热失控不起火、不爆炸的 5 min 提示窗
• ISO 26262 Part 5 §9：硬件度量（SPFM / LFM / PMHF）

功率器件热毁有三条独立物理路径——Spirito(MOSFET 线性区局部过热)、Thermal Runaway(整体热失控)、Latch-up(IGBT 寄生 SCR)。三者机制不同,要求不同的预防措施。

SiC MOSFET 在饱和区（短路瞬间）温度系数为负——局部热点越热，I 越大，功耗越高，温度更高。典型 SCWT 仅 2–5 μs：

• Spirito 失效必须由驱动 IC 在 SCWT 内检测并关断（DESAT 链路）
• SCWT 之外 → 芯片局部融化 → 永久损坏

IGBT 的 SCWT 更长（8–10 μs），因为它有双极性注入且 $VCE(sat)$ 温度系数正；但拖尾电流带来的能量仍可能触发 TR。

功率循环寿命（键合线 + 焊料疲劳）：

$Nf\propto \Delta T{j}^{-n}$, $n\approx 5$–$6$

工程含义：降 ΔT_j 10 ℃ 寿命 ~1.7×；降 ΔT_j 10 ℃ 比做单颗器件更贵的热管理值得。

详见 热管理 与 功率模块封装。

集成在模块内部的 NTC（如 Infineon HybridPACK Drive G2 的 NTC_on_DBC）：

• 精度：典型 ±3 ℃
• 热惯性：响应时间 3–5 s（从 die 到 NTC 有陶瓷基板 + 铜 + solder 热阻）
• 单次短路（μs 级）→ 完全来不及反应

实时估算结温：

$Tj(t)=TNTC+Pdissipated(t)\cdot Zth,JC(t)$

• 输入：实时相电流、$VCE/VDS$、开关频率、NTC 读数
• 输出：瞬态结温估计，响应 μs 级
• 优点：捕捉瞬态热冲击（短路 / 过流）
• 缺点：模型参数（$Rth$、$Zth$ 曲线）随老化漂移；系统性失效

工程实践：NTC 和热模型两路都跑；差异 > 10 ℃ 持续 > 1 s 视为某一路失效 → 进入降额或 STO。这是 ASIL C/D 温度 SM 的标准做法。

降额曲线让 PEU 在高温环境主动降功率——温度过 80°C 开始降扭矩,过 105°C 进 limp mode,过 120°C 直接 STO。这条曲线避免了"突然停机"的极端体验,让用户能开到安全位置。

参数设定原则：

• 上限留 10 ℃ 裕度（$Tj$,max 175 ℃ → 降额上限 165 ℃）避免生产离散
• 降额起点考虑热模型误差（5–10 ℃）
• 降额曲线单调——避免抖动

SiC 比 IGBT 耐温高 25-50°C(200°C+ vs 175°C),理论上可以晚些降额。但实际上 SiC 模块焊层和封装才是温度上限——die 能扛 200°C,但封装可能 150°C 就开始疲劳。

• SiC 在 175 ℃ 以上仍可工作（200–225 ℃ 材料极限），但 Ag 烧结焊层在 200+ ℃ 长期工作加速疲劳
• 正温系：SiC MOSFET $RDS(on)$ 在 25–150 ℃ 区间约 +2×；降额时要考虑 I²R 自强化
• 模块 SCWT 仅 2–3 μs，降额无法救回短路 → DESAT 仍是唯一手段

先分清两类温度:安全工作上限 Tcell,max(LFP 70°C、NMC 60°C、LCO 55°C,即 §1.1 SG-T-2 的监控阈值)和热失控自触发温度(下表,NMC ~140–150°C、LFP ~270°C)。SG 阈值必须钉在工作上限——从越限到 TR 自触发之间那段升温过程,就是保护链唯一的反应窗。新人最常的错有两种:把两类温度混为一谈,或用 NMC 阈值套 LFP 系统,导致触发过早(误报)或过晚(漏报)。

两条前兆信号：

• 温升速率 ΔT/Δt > 1 °C/s — TR 进行中
• 电压骤降 > 10 mV/s 持续 10 s+ — 内部短路
• 气体逸出（$C{O}_2$ / $H2$ / 电解液蒸汽）— 压力传感 / 烟感触发

电池 TR(Thermal Runaway) 防护用 5 层纵深防御——单体绝热 → cell 间隔热 → 模组分隔 → 包级泄压 → 整车隔离驾驶舱。任一层都不能保证 100% 防护,5 层叠加才能满足 GB 38031 的"5 分钟驾驶员逃生"要求。

1. BMS 单体监测：每串电压 + 温度；典型 1 ms 采样；异常 → 断主接触器
2. 液冷回路：维持单体 ΔT < 3 ℃，TR 初期带走热量延缓传播
3. 单体间隔热：气凝胶 / 云母片隔开单体；至少保证 5 min 不传播（UN GTR 20 / GB 38031）
4. Pyro Fuse：BMS 检测到严重短路时触发，物理切断
5. 顶盖泄压阀 + 灭火通道：TR 不可阻挡时让气体按设计方向排出，不进乘员舱

国内外电池巨头TR 防护各有创新——CATL 麒麟用 cell-to-pack 集成水冷板、BYD 刀片用长条形 LFP 自身耐 TR、特斯拉 4680 用结构化电池减少接触点。下面分别说明。

• CATL 麒麟：cell-to-pack；水冷板夹在单体之间；TR 直接排到底部
• BYD 刀片电池：LFP 长扁单体 + 顶部防爆阀；冲击 / 穿刺测试极端严苛
• Tesla 4680：极耳无铜引线降低阻抗；dry electrode 工艺
• CATL NP 2.0：5 min 不起火 + 模组隔热 + 智能诊断

冷却系统失效自身就是热安全 SG-T 的一部分——冷却液漏 / 水泵停 / 风扇坏都会让 PEU 在几分钟内过热。所以冷却必须有 ASIL C 级监测,不能当作"辅助系统"忽视。

ASIL C 级冷却监测多通过冗余实现——双流量传感器、流量+压差交叉验证、温度+流量联合诊断。任一组合都比单传感器可靠。

• 流量传感器 + 冗余：双传感器或流量 + 压差交叉
• 冷却液温度：$Tin$ 和 $Tout$ 同时监测，ΔT 过大提示换热不均
• 绝缘冷却液选型：50/50 乙二醇水溶液导电 → 注意接触 HV 必须隔离；或改用 dielectric 冷却液（PAO 合成油 / Novec）

温度 SM(Safety Mechanism) 诊断覆盖率因实施方式而异——单传感器+软件门限 60%、双传感器交叉验证 95%、独立硬件比较器 99%+。ASIL D 项目要求 SPFM ≥ 99% 推动用 99%+ 的方案。

热安全不是孤立 SG——与扭矩安全和 HV 安全高度耦合。$Tj$ 高触发降额会改变 扭矩安全 的 SG;过温 STO 触发会激活 HV 安全 的 active discharge。

• $Tj$ 高 → 降额或 STO — 耦合到 扭矩安全
• 电池 TR → 断 HV 主接触器 + Pyro — 耦合到 HV 安全
• 冷却液泄漏 + HV — 同时是热 + HV 绝缘问题；IMD 会先检出

热预算验证"正常工况 Tj 远低于 Tj,max"，确保有足够的 FTTI 窗口。

η = 97% → Ploss,total = 10 000 W × 0.03 = 300 W；P per device = 300 / 6 = 50 W

Ths,coolant = 65°C（水冷最大出口温度）

Tjnormal = 65 + 50 × 1.16 = 65 + 58 = 123°C

热余量 = 175 − 123 = 52°C；距降额触发阈值 150°C 尚有 27°C。

冷却泵失效是最常见的热安全触发根因——水流量归零，散热片温度以恒功率上升。

散热片热容（Al，300 g）：Cthhs = 300 × 0.9 = 270 J/K

泵失效后散热片升温速率（6 颗 SCT3080AL 挂同一散热片）：

由于 Tj − Ths = P × Rth(j–hs) = 50 × 1.16 ≈ 58°C 恒定（RthJC 0.86 + case-to-heatsink TIM ≈ 0.30；Ths 是散热片温,故须用 junction-to-heatsink 而非仅 RthJC;电流未变），Tj 跟随 Ths 等速上升：

FTTI（从泵失效到 Tj 超降额触发）= 24.3 s

保护链时序：

裕量比 = 24.3 s / 0.011 s ≈ 2 200×。NTC 路径 605 ms ≪ 24.3 s，可作为独立确认通道。

三条独立 SM 通道对 SG-T-1 危险失效模式（Tj 超限而未被探测）的诊断覆盖率：

三路并联（任一触发即保护）：

SG-T-1 ASIL C → SPFM ≥ 97%；三路合并 DC = 99% ≥ 97% ✓

独立核验（绝热最恶劣场景）：$\Delta Tj/\Delta t=P/Cthdev=50\text{W}/0.677\text{J/K}=73.9\text{K/s}$（设备热容，绝热瞬态——散热片物理断开）；从正常 123°C 到降额触发 150°C 约 0.37 s → 热模型 11 ms 保护时间仍有 34× 裕量，覆盖最快上升场景。