HV 电压采样的功能安全诊断（Voltage Sensing Diagnostics）

读完本页后，你应该能够：

• 区分 Vdc / Vphase / Vaux 三类电压信号各自的 control 用途和 safety 用途
• 说出电压采样链失效如何穿透成 4 类 hazard：HV 过压、ASC 误触发、放电不完成、modulation 错→UT
• 把电压链 fault model 映射到对应 SM，并说出每种 SM 的 DC 区间
• 解释为什么电压链比电流链更需要"隔离侧 + 非隔离侧"双独立冗余
• 设计一条满足 ASIL D 的 Vdc 采样链（含 SM + FTTI + 与 HVIL/IMD/active discharge 协同）
• 区分 ADC plausibility 和系统级 plausibility（Vdc 与接触器状态、与充放电曲线、与 PWM × Vdc）
• 识别电压采样诊断 5 个反模式

电流错会让控制器算错扭矩，影响在驱动级；电压错会让整车的物理状态进入危险区，影响范围跨控制 + 高压 + 维修三个面。下表对比电流 vs 电压错误的下游影响——电压链的 Hazard 类型更多，所以诊断要求更全面。

关键认知：Vdc 错既可能让 control 出问题，也可能让 HV 系统误判"安全"导致维修触电——所以 Vdc 诊断必须同时满足 control loop 时效（µs 级）和 HV 维修流程时效（s 级）两套需求。

电压采样诊断的依据比电流多一层 —— 除 ISO 26262 外，还要满足 UN R100 / ISO 6469-3 对 HV 残压和绝缘的强制要求。两套依据要分清"管什么"。

电流采样诊断错了一般"只是" UT；电压采样诊断错了可能直接违反 UN R100 强制残压条款——这是不可豁免的法规罚则。

HV 电压采样链 = HV 分压电阻 → 隔离运放（iso-amp，如 AMC1300 / ACPL-C87B）→ 模拟滤波 → ADC → DSP。由于强制电气隔离，链路比电流采样更复杂，fault model 更多，至少 10 类。

flowchart LR
  HV["HV bus"]
  D["divider"]
  ISO["iso-amp"]
  F["filter"]
  ADC["ADC"]
  REG["DSP register"]
  HV -->|"f1 short/open"| D
  D -->|"f2 isolation breakdown"| ISO
  ISO -->|"f3 drift / f4 stuck / f8 CMTI"| F
  F --> ADC
  ADC -->|"f5/f6/f7 ADC fault"| REG
  REG -->|"f10 common cause"| BAD["wrong Vdc"]("wrong Vdc".md)
  D -.->|"f9 calibration"| BAD

Range check 在 HV 链有多重门槛——不只是 ADC out-of-rail，还要按 HV 系统的 4 个工作区段切阈值。每个区段的反应也不同。

4.1 阈值的依据

OVP 上限不是器件 datasheet 的 Vds_max，而要预留关栅瞬间的 di/dt × ESL 尖峰，所以 trip 通常 ≤ 0.85 × Vds_max。UVP 下限要保证 ASC 短路电流可以建立——低于一定 Vdc 后 ASC 进入"放电不收敛"状态，反而更危险。

4.2 阈值不能只看 ADC count

Range check 必须做在物理电压上（已乘分压比），不要在 ADC raw count 上设。原因：分压比标定漂移会让"raw count 在 range 内但实际电压超限"，这个组合最危险。

电压链最强的 SM 不是单点检查，而是 Vdc 与系统其它状态的联立约束——这是电压采样诊断比电流采样多出来的一层。

5.1 Vdc vs 接触器状态

接触器是 HV 上下电的物理开关，Vdc 必须跟接触器状态严格对应。任何不一致都是硬故障。

5.2 Vdc vs 充电 / 放电模型

工程上把"Vdc 与时间的关系"做成期望模型，实测值偏离模型超阈值就报 fault。这是 D.2.4 plausibility 在系统级的应用。

5.3 Vdc vs PWM × duty（重构 Vphase 反推）

在不直接装相电压传感器的设计里，可以用 PWM 占空比 × Vdc 反推三相平均相电压，再和电机方程算出来的反电动势对比——一致说明 Vdc 测得对，不一致说明 Vdc 漂或 PWM 链有问题。这是 ASIL D 主驱常用的"无相电压传感器"plausibility。

$V_{\alpha \_calc}=D_a\cdot V_{dc}-\frac{1}{2}(D_b+D_c)\cdot V_{dc}$

5.4 Vdc vs 电池 BMS 报上来的电压

整车 CAN 上 BMS 周期性广播 V_battery，逆变器把自己的 Vdc 和 BMS 的 V_bat 比较——一致说明读数都对，差异大说明至少一方在漂。这是跨 ECU 冗余，DC 很高，但要靠 CAN E2E 保护数据完整性（详见 安全机制目录 §6）。

Vdc frozen 是电压链最危险的 fault——放电完成后控制器以为还在 HV 不开放维修是浪费时间；反过来 HV 实际还在但读数显示已放电，直接通往维修触电事故。所以 Vdc frozen 检测必须做且 DC 要高。

6.1 三种 Frozen 检测策略

6.2 放电流程是免费的 frozen 自检

每次下电触发主动放电，Vdc 必然按 RC 曲线下降到 < 60 V。如果实测不下降或下降曲线异常，说明分压链断、iso-amp 卡死或 ADC 卡死——这是天赐的 active perturbation 自检窗口，必用。

7.1 ADC 侧

ADC 自检和电流链一致，参考 电流采样诊断 §8：启动 BIST、运行 BIST、Vref 监控、双独立 ADC 比较。FMEDA 直接引 MCU safety manual。

7.2 隔离运放（iso-amp）侧

iso-amp 是电压链特有的关键器件，自检手段：

7.3 双独立通道是 ASIL D 的硬要求

Vdc 在主驱和 BMS 都至少有两路独立测量是行业事实标准——control 通道 + safety 通道：

• Control 通道：高带宽（100+ kHz），用于 modulation 和过流保护协同
• Safety 通道：中带宽（1~10 kHz），用于 OV/UV 监控、放电完成判定，独立电源 + 独立 ADC + 独立 MCU pin

两路读数偏差超阈值（> 2%）报硬故障。这是 D.2.10.4 input comparison 的典型实施。

电压链有很多只能在特定时序窗口做的诊断，不能在运行中做。下表把这些窗口整理出来。

每个窗口都是一次免费 SM——不利用这些窗口就是浪费 DC。

电压采样不是孤岛——它是 HV 安全闭环里的"传感层"，和 HVIL（互锁）、IMD（绝缘监测）、active discharge（主动放电）配合才完整。

这层联立约束的本质就是 plausibility 在系统级的极致 —— 详见 HV 安全。

电压链有两套不同时效的反应——control loop 内的反应（µs 级）和 HV 系统级反应（s 级）。

OVP 反应必须是纯硬件链——单独的 comparator 直接拉 STO，不经 MCU 软件路径，因为软件 ISR 不一定能在 100 µs 内完成。

下面是一个 ASIL D 主驱 Vdc 采样链的 FMEDA 骨架，演示数字怎么落。

Element: HV Vdc 采样链（HV 分压 + 双 AMC1311 iso-amp + 双 ADC, 一控一保）
Total FIT = 40
其中 safety-related FIT = 38

$\text{SPFM}=1-\frac{1.12}{38}=97.1\%$

差点到 ASIL D 99%。提升办法：

• ADC ABIST + 运行 BIST 升到 99%（用 datasheet 数字）
• 加 BMS CAN 上的 V_battery 跨 ECU 比较
• 用 ASIL decomposition (D = B(D)+B(D))，把要求摊到 control 通道和 safety 通道

电压采样诊断最常踩的 5 个反模式——这些坑在量产 OBC / 主驱中反复出现，识别它们比堆 SM 更重要。

把两条诊断链并排放在一起看，规律就清楚了——电流抓控制层 fault，电压抓控制 + HV + 维修三层 fault。

• 电压错的危险面比电流大 —— 控制 + HV + 维修三层 hazard，所以诊断更全面
• 依据：ISO 26262 同电流，外加 UN R100 §5.1.4 / ISO 6469-3 强制残压判据
• 系统级 plausibility 是电压链最强 SM —— Vdc 必须和接触器状态、充放电曲线、PWM × duty、BMS V_bat 全部自洽
• Frozen Vdc 是触电直接原因 —— 必须双独立通道 + 放电期间 active perturbation 自检
• 强制电气隔离让链路比电流更复杂，双独立 iso-amp（不同 vendor / 不同技术） 是 ASIL D 标配
• 三段免费 SM 窗口：冷上电 offset 校准、pre-charge 增益验证、active discharge frozen 自检——必用
• OVP 必须硬件路径：100 µs FTTI 软件 ISR 不可靠，独立 comparator + STO 直拉
• 与 HVIL / IMD / active discharge / pyro fuse 联立形成 HV 安全闭环，电压采样是其中"传感层"
• 5 反模式戒除：range 在 raw count 上 / 双通道共用 iso-amp / 单点判放电完成 / plausibility 不分系统状态 / OVP 走软件

• ← 索引
• 电流采样诊断（并列页）
• HV 安全（HVIL / IMD / 主动放电 / Pyro fuse）
• 隔离技术
• 功能安全总论
• 安全机制目录
• 转矩安全
• HARA 危害分析
• DFA / FMEDA / FTA
• ASIL 分解
• ADC 与混合信号设计
• DC-Link 直流母线电容
• 失效模式速查表