HV 电压采样的功能安全诊断（Voltage Sensing Diagnostics）

电流错会让控制器算错扭矩，影响在驱动级；电压错会让整车的物理状态进入危险区，影响范围跨控制 + 高压 + 维修三个面。下表对比电流 vs 电压错误的下游影响——电压链的 Hazard 类型更多，所以诊断要求更全面。

电压采样诊断的依据比电流多一层 —— 除 ISO 26262 外，还要满足 UN R100 / ISO 6469-3 对 HV 残压和绝缘的强制要求。两套依据要分清"管什么"。

HV 电压采样链 = HV 分压电阻 → 隔离运放（iso-amp，如 AMC1300 / ACPL-C87B）→ 模拟滤波 → ADC → DSP。由于强制电气隔离，链路比电流采样更复杂，fault model 更多，至少 10 类。

Range check 在 HV 链有多重门槛——不只是 ADC out-of-rail，还要按 HV 系统的 4 个工作区段切阈值。每个区段的反应也不同。

电压链最强的 SM 不是单点检查，而是 Vdc 与系统其它状态的联立约束——这是电压采样诊断比电流采样多出来的一层。

Vdc frozen 是电压链最危险的 fault——放电完成后控制器以为还在 HV 不开放维修是浪费时间；反过来 HV 实际还在但读数显示已放电，直接通往维修触电事故。所以 Vdc frozen 检测必须做且 DC 要高。

电压链有很多只能在特定时序窗口做的诊断，不能在运行中做。下表把这些窗口整理出来。

每个窗口都是一次免费 SM——不利用这些窗口就是浪费 DC。

电压采样不是孤岛——它是 HV 安全闭环里的"传感层"，和 HVIL（互锁）、IMD（绝缘监测）、active discharge（主动放电）配合才完整。

这层联立约束的本质就是 plausibility 在系统级的极致 —— 详见 HV 安全。

电压链有两套不同时效的反应——control loop 内的反应（µs 级）和 HV 系统级反应（s 级）。

下面是一个 ASIL D 主驱 Vdc 采样链的 FMEDA 骨架，演示数字怎么落。

Element: HV Vdc 采样链（HV 分压 + 双 AMC1311 iso-amp + 双 ADC, 一控一保）
Total FIT = 40
其中 safety-related FIT = 38

$\text{SPFM}=1-\frac{1.12}{38}=97.1\%$

差点到 ASIL D 99%。提升办法：

• ADC ABIST + 运行 BIST 升到 99%（用 datasheet 数字）
• 加 BMS CAN 上的 V_battery 跨 ECU 比较
• 用 ASIL decomposition (D = B(D)+B(D))，把要求摊到 control 通道和 safety 通道

电压采样诊断最常踩的 5 个反模式——这些坑在量产 OBC / 主驱中反复出现，识别它们比堆 SM 更重要。

• diagnostic · diagnostic_voltage_sensing — HV Voltage Sensing Diagnostic