1. 课程导入

车载充电机（On-Board Charger，OBC）是新能源汽车高压电气系统的关键部件之一，承担交流电网到动力电池直流充电的能量转换任务。随着整车电气化、800V高压平台、V2G与智能充电的快速演进，OBC不再只是一个“充电盒子”，而是同时承载功率变换、通信交互、安全监控与故障诊断的复杂电子控制单元。由此，功能安全（Functional Safety）与可靠性（Reliability）成为OBC设计中不可回避的两条主线。

一、学习目标：从知识到交付物

本课程不是单纯的标准解读课，而是以工程交付物为导向的能力训练。学完本课程后，学员应能够：

• 理解ISO 26262、ISO 21448（SOTIF）与IEC 61508在OBC场景下的适用边界与裁剪逻辑；
• 完成OBC的HARA分析，输出整车层面与OBC层面的ASIL等级分配；
• 编写OBC技术安全需求（TSR）与硬件/软件安全需求（HSR/SSR），并建立需求追溯矩阵；
• 运用FMEA、FTA、FMEDA、DFA等方法开展OBC可靠性与安全分析；
• 设计OBC的故障诊断、安全状态与降级策略，并验证其覆盖率达到目标值；
• 建立OBC可靠性预计、加速寿命试验与量产一致性验证的闭环流程。

二、核心概念：功能安全与可靠性的双螺旋

功能安全关注的是“避免由电子电气系统失效导致的不可接受风险”，其核心是风险可接受、失效可控制、过程可追溯。可靠性关注的是“产品在规定条件下、规定时间内完成规定功能的能力”，其核心是失效率、寿命分布与退化机理。两者在OBC中并非独立，而是相互支撑：功能安全依赖可靠性数据来量化失效率，可靠性设计又需要功能安全目标来约束关键部件。

在OBC中，典型的安全相关功能包括：充电功率控制、绝缘监测、过压/过流保护、温度监控、继电器粘连检测、通信超时保护与电池管理协同。这些功能一旦失效，可能导致电击、起火、过充或车辆无法行驶等危害。因此，OBC的功能安全目标通常围绕“防止非预期充电”“防止过充”“防止绝缘失效”“防止热失控”展开。

三、方法流程：从危害到验证的闭环

OBC功能安全与可靠性工程遵循“V模型+迭代”的流程。左侧从整车需求向下分解，右侧从部件验证向上集成。关键活动包括：

1. 相关项定义：明确OBC边界、接口、运行模式与依赖关系，输出相关项定义文档。
2. HARA分析：识别危害事件，评估严重度S、暴露率E、可控性C，确定ASIL等级与安全目标。
3. 安全需求分解：将安全目标转化为TSR，再分配到硬件与软件，形成HSR/SSR。
4. 安全机制设计：设计电压/电流监控、绝缘检测、温度保护、看门狗、锁步核等机制。
5. 可靠性与安全分析：通过FMEA、FTA、FMEDA量化失效率与诊断覆盖率。
6. 验证与确认：开展HIL测试、故障注入、环境试验与寿命试验，确认安全目标达成。
7. 量产与运维：建立安全档案、过程审核与现场数据回馈机制。

四、案例场景：OBC过充危害的安全设计

以“OBC在充电过程中因电压采样失效导致电池过充”为例。危害事件为电池过充引发热失控，严重度S3，暴露率E4，可控性C2，ASIL等级为D。安全目标为“防止充电电压超过电池允许上限”。技术安全需求包括：双路电压采样冗余、采样偏差检测、充电回路独立切断、BMS与OBC交叉校验。硬件层面需满足ASIL D的失效率目标，软件层面需实现安全监控与故障响应。可靠性层面需评估采样电路、继电器与MCU的失效率，并通过加速寿命试验验证长期稳定性。

五、行业背景与常见误区

当前OBC行业呈现三大趋势：一是800V高压平台普及，对绝缘与耐压提出更高要求；二是V2G与双向充电使OBC从“单向充电”变为“双向能量交互”，安全边界扩大；三是功能安全与网络安全融合，OBC成为攻击面之一。与此同时，常见误区包括：

六、关键参数与工程清单

在OBC项目中，以下参数与清单是功能安全与可靠性工作的基础输入：

OBC安全与可靠性关键参数示例：
- 输入电压范围：85VAC ~ 265VAC
- 输出电压范围：200VDC ~ 800VDC
- 最大输出功率：6.6kW / 11kW / 22kW
- 目标ASIL等级：ASIL C / ASIL D
- 硬件失效率目标：< 10 FIT（ASIL D场景）
- 诊断覆盖率目标：> 90%（安全相关故障）
- 绝缘电阻阈值：> 500Ω/V
- 工作温度范围：-40℃ ~ +85℃
- 设计寿命：15年 / 30万公里
- 加速试验模型：Arrhenius / Coffin-Manson

围绕这些参数，项目团队需要建立安全计划、可靠性计划、验证计划与配置管理计划，并在每个阶段输出对应的评审记录与证据文件。只有将功能安全与可靠性真正嵌入OBC的研发流程，才能实现从“能充电”到“安全可靠地充电”的跨越。