4. 功能安全与法规要求

电驱逆变器是整车高压动力链的核心执行部件，其失效可能直接导致非预期扭矩输出、高压触电或车辆失速。因此量产验证不能只回答“功能是否正常”，还必须回答“失效是否可控、攻击是否可防、电磁是否兼容、高压是否安全”。本节把四类要求放在同一张验证地图上：ISO 26262 管功能安全，ISO 21434 管网络安全，EMC 法规管电磁兼容，高压安全标准管人身防护。它们共同决定验证项、样本量、判据和放行门槛。

一、四类要求的核心原理与验证对象

ISO 26262 以 ASIL 等级（A~D）约束危害分析与安全目标。逆变器典型安全目标包括“避免非预期扭矩”“避免意外失去扭矩”“避免高压暴露”。对应机制是扭矩监控、三相电流独立采样、PWM 使能路径冗余、看门狗与安全状态（主动短路 ASC 或自由停车）。验证要证明安全机制在故障注入下能在 FTTI（故障容错时间间隔）内生效。

ISO 21434 关注网络安全，逆变器面临的是 CAN/以太网报文伪造、诊断服务越权、OTA 刷写篡改和密钥泄露。验证重点是安全启动、SecOC 报文认证、诊断 27 服务种子密钥、刷写签名校验和入侵检测日志。

EMC 法规以 CISPR 25、ISO 11452、ISO 7637 为代表，分别约束传导发射、辐射抗扰和瞬态抗扰。逆变器因高 di/dt、高 dv/dt 成为整车最强干扰源之一，验证需覆盖 150 kHz~2.5 GHz 频段及 BCI、辐射抗扰、ESD、抛负载等场景。

高压安全标准以 ISO 6469、GB 18384、ECE R100 为核心，约束绝缘电阻、耐压、爬电距离、防触电和碰撞后安全。验证对象包括绝缘监测、高压互锁 HVIL、预充回路、主动放电和维修断开单元 MSD。

二、方法流程：从危害到验证用例

合规验证不是“测完就算”，而是从危害分析反向推导用例。推荐流程如下：

1. 建立危害事件清单（HARA），确定 S/E/C 与 ASIL。
2. 定义安全目标与安全状态，分配 FTTI。
3. 识别网络安全资产与攻击路径（TARA），确定 CAL 等级。
4. 确定 EMC 等级与适用频段、抗扰等级。
5. 确定高压安全等级与绝缘、耐压、放电判据。
6. 把上述要求映射为验证用例、样本量和通过判据。
7. 执行测试并保留原始数据、日志、偏差许可。

三、案例/场景：一次非预期扭矩的联合验证

某 150 kW 逆变器在台架出现偶发非预期扭矩。排查发现：电流传感器信号漂移未被诊断覆盖，同时 CAN 扭矩报文可被重放。该问题同时触发功能安全与网络安全两条线。

功能安全侧：增加三相电流独立采样与残差监控，故障注入验证在 100 ms FTTI 内进入 ASC。网络安全侧：启用 SecOC 与新鲜度值，重放报文被拒绝并记录 IDS 日志。EMC 侧：复测 BCI 大电流注入下扭矩波动，确认未超阈值。高压侧：确认 ASC 期间母线电压与放电时间满足安全要求。

故障注入用例示例：
[TC-FS-012] 电流传感器漂移 +20% → 期望：扭矩监控触发 → ASC
[TC-CS-007] 重放旧扭矩报文 → 期望：SecOC 校验失败 → 拒绝并记录
[TC-EMC-021] BCI 200 mA 注入 → 期望：扭矩波动 < 5 N·m
[TC-HV-009] 断开 HVIL → 期望：< 100 ms 切断高压

四、误区与复盘

• 误区一：把 ISO 26262 当成“文档合规”，忽视故障注入实测。复盘：安全机制必须用注入证明有效。
• 误区二：认为 ISO 21434 只影响车联网，与逆变器无关。复盘：诊断口、CAN、OTA 都是攻击面。
• 误区三：EMC 只在整车做，零部件不预测试。复盘：逆变器是主要干扰源，台架预测试可大幅降低整改成本。
• 误区四：高压安全只测绝缘电阻。复盘：耐压、爬电、放电时间、HVIL 响应同样关键。

五、验证要求对照清单

综上，ISO 26262、ISO 21434、EMC 法规与高压安全标准共同构成电驱逆变器量产验证的合规底座。验证工程师应把每一条要求转化为可执行、可追溯、可复现的测试用例，并在样本量、判据和证据链上保持一致，才能支撑量产放行。