3. 高压安全风险分析

OBC（车载充电机）工作在交流输入与高压直流输出之间，内部既有市电侧的高压交流，也有动力电池侧的高压直流，还包含PFC、LLC、变压器、整流与滤波等功率环节。高压安全风险分析的目标，不是简单罗列“有电危险”，而是把电击、电弧、热失控三类危害与具体电路节点、工况、失效模式对应起来，形成可验证、可追溯的安全设计依据。

一、三类电气危害的物理本质

电击的本质是电流通过人体。对人体造成伤害的关键不是电压绝对值，而是通过心脏的电流大小与持续时间。OBC中一次侧PFC母线、二次侧高压直流母线、Y电容、变压器寄生电容都可能成为电击路径。尤其在变压器绝缘失效或Y电容击穿时，一次侧高压可能耦合到二次侧，使本应安全的输出端带电。

电弧是气体电离形成的持续放电，特点是温度高、能量集中、可引燃周边材料。OBC中连接器插拔、继电器触点弹跳、熔断器分断、PCB爬电距离不足、线束磨损等都可能引发电弧。与电击不同，电弧的危害不仅是触电，还包括高温烧蚀、金属飞溅和火灾。

热失控在OBC语境下有两层含义：一是功率器件（MOSFET、二极管、磁性元件）因过流、过温、驱动异常导致局部过热；二是OBC异常输出或通信失效导致电池过充，引发电池内部放热连锁反应。热失控往往由电气故障演化而来，因此风险分析必须把“电—热—化学”链路串起来看。

二、风险识别方法：从能量源到失效路径

风险识别应遵循“能量源—传播路径—暴露对象—后果”的链条。对OBC而言，第一步是列出所有能量源：交流输入端口、PFC母线电容、LLC谐振腔、输出整流与滤波、辅助电源、以及电池侧反灌能量。第二步是分析传播路径，包括导线、PCB铜箔、连接器、变压器、Y电容、散热器、外壳与接地。第三步是识别暴露对象，即人员可接触的金属外壳、输出端子、通信接口。第四步是评估后果，区分可恢复故障与不可恢复事故。

常用识别手段包括：检查爬电距离与电气间隙是否满足污染等级要求；用耐压测试验证绝缘；用故障注入模拟采样断线、驱动短路、继电器粘连；用热成像寻找局部过热点；用历史失效库和现场返回件反推薄弱环节。识别结果应形成风险清单，而不是停留在会议记录中。

三、FMEA在OBC中的应用：自下而上预防

FMEA适合在OBC设计阶段逐项分析元器件与子系统失效。以输出过压为例，失效模式为“输出电压高于限值”，影响为“电池过充、热失控”，原因为“采样电阻开路、基准漂移、控制环路失效”，措施为“冗余采样、独立过压比较器、软件看门狗”。严重度S、发生度O、探测度D分别打分，RPN越高越优先处理。

FMEA示例（输出过压）：
失效模式：OBC输出过压
影响：电池过充 → 热失控 → 起火
原因：采样分压电阻开路
S=9, O=4, D=5, RPN=180
措施：双路采样 + 硬件过压保护
措施后：O=2, D=3, RPN=54

FMEA的优势是覆盖面广、可量化、便于跟踪；局限是依赖团队经验，且对多故障组合与共因失效不敏感。因此FMEA不能替代FTA。

四、FTA在OBC中的应用：自上而下追溯

FTA从顶事件出发，用逻辑门分解事故路径。以“OBC输出端带电可触及”为顶事件，可分解为“变压器绝缘失效”或“Y电容击穿”或“接地失效”等中间事件，再继续分解到底事件。通过求最小割集，可以找出导致顶事件的最短路径组合，从而识别单点故障与共因失效。

FTA与FMEA互补：FMEA回答“这个器件坏了会怎样”，FTA回答“这个事故可能由哪些组合导致”。在OBC安全设计中，通常先用FTA确定关键顶事件与最小割集，再用FMEA对割集中的底事件逐一制定控制措施。

五、案例与复盘：一次输出过压的联合分析

某OBC在高温老化中出现输出过压保护动作。FMEA显示采样电阻开路RPN较高，但已加冗余采样；FTA进一步分析发现，两路采样共用同一基准源，基准漂移构成共因失效。最终措施是增加独立基准与硬件比较器，并在软件中加入交叉校验。该案例说明：FMEA看单点，FTA看组合，两者联合才能暴露共因失效。

综上，OBC高压安全风险分析应以三类电气危害为对象，以能量源—路径—暴露—后果为识别主线，以FMEA做自下而上的预防，以FTA做自上而下的追溯，最终把分析结果转化为绝缘、隔离、冗余、保护与验证的具体设计动作。