3. 安全冗余概念

整车高压架构的安全冗余设计，是保障电动汽车在高压大功率工况下安全运行的核心技术手段。在高压系统中，一旦发生绝缘失效、短路、过流或控制器失控，轻则导致车辆跛行，重则引发热失控或人员电击。因此，理解功能安全（ISO 26262）、预期功能安全（SOTIF）与冗余设计之间的逻辑关系，是每一位高压系统工程师的必修课。本章将从标准体系、冗余分类、设计原理与实战案例四个维度，系统拆解安全冗余的完整知识框架。

上图展示了整车高压安全冗余设计的完整体系。ISO 26262 关注的是“系统自身故障”导致的风险，SOTIF 关注的是“功能性能不足或误用”导致的风险，而冗余设计则是实现这两类安全目标的核心技术手段。三者相互支撑、缺一不可。下面我们将逐一深入剖析。

3.1 功能安全（ISO 26262）核心原理与工程落地

3.1.1 核心原理：从危害到安全机制的闭环

ISO 26262 是汽车电子电气系统功能安全的国际标准，其核心思想是：通过系统化的风险管理，将电子电气系统的系统性失效和随机硬件失效风险降低到可接受水平。在高压架构中，典型的安全目标包括：

• 防止高压电击：当检测到绝缘故障时，必须在规定时间内切断高压输出。
• 防止热失控：电池温度超过阈值时，必须执行降功率或断开接触器。
• 防止非预期加速/减速：电机控制器失效时，必须进入安全状态。

每个安全目标都对应一个 ASIL（汽车安全完整性等级），从 A 到 D 依次递增。高压系统通常涉及 ASIL C 或 ASIL D 等级，这要求极高的诊断覆盖率和极低的残余风险。

3.1.2 判断方法：安全机制与诊断覆盖率

在工程实践中，判断一个安全机制是否满足 ISO 26262 要求，需要关注以下关键指标：

关键指标	定义	高压系统典型要求
FFI（故障容错时间间隔）	从故障发生到可能造成危害的最短时间	绝缘故障：≤100ms；过流：≤10ms
FTTI（故障容错时间间隔）	系统从检测到故障到进入安全状态的最大允许时间	高压切断：≤50ms；降功率：≤200ms
诊断覆盖率（DC）	安全机制检测到故障的概率	ASIL D 要求 DC ≥ 99%
残余风险	安全机制未覆盖的故障概率	ASIL D 要求 < 10⁻⁸ / 小时

3.1.3 案例拆解：BMS 绝缘监测功能安全设计

某纯电动车型的 BMS 绝缘监测功能，安全目标为“防止人员电击”，ASIL 等级为 C。初始设计采用单路绝缘监测芯片，通过 CAN 上报绝缘电阻值。在 FMEA 分析中发现：

1. 绝缘监测芯片自身可能失效（如 ADC 通道短路），导致误报或漏报。
2. CAN 通信可能中断，导致 BMS 无法收到绝缘报警信号。
3. 接触器驱动电路可能失效，即使收到切断指令也无法执行。

针对上述风险，最终方案采用：

• 双路绝缘监测：主芯片采用主动注入法，备份芯片采用被动电桥法，两路结果交叉校验。
• 硬件看门狗 + 心跳报文：BMS 每 10ms 发送一次心跳，VCU 若 50ms 未收到心跳则强制断开高压。
• 接触器状态反馈：增加辅助触点检测，确认接触器是否真正断开，若未断开则触发二次切断（熔断器）。

最终该方案的诊断覆盖率从 90% 提升至 99.5%，满足 ASIL C 要求。复盘经验：功能安全设计不是“加一个安全机制”就完事，而是要从故障注入到安全状态的全链路闭环验证。

3.2 预期功能安全（SOTIF）核心原理与工程落地

3.2.1 核心原理：应对“功能不足”与“误用”

SOTIF（ISO 21448）关注的是系统在无故障情况下，由于功能性能不足或可合理预见的误用而引发的危害。在高压架构中，典型场景包括：

• 快充降功率策略不当：在低温环境下，BMS 未及时降功率，导致电池析锂。
• 绝缘监测灵敏度不足：在潮湿环境下，绝缘电阻下降但未达到报警阈值，导致漏电风险。
• 驾驶员误操作：在充电状态下强行挂挡行驶，可能导致高压系统损坏。

3.2.2 判断方法：触发条件分析与场景库构建

SOTIF 的核心方法论是“触发条件分析”，即找出导致危害的输入条件组合。具体步骤如下：

1. 定义系统功能边界：明确高压系统在哪些工况下运行（充电、行驶、驻车、维修等）。
2. 识别潜在危害行为：例如“充电时未断开电机控制器电源”。
3. 构建触发条件矩阵：列出可能导致危害的环境因素、操作因素、系统状态因素。
4. 评估残余风险：对于无法完全消除的风险，判断是否可接受。

触发条件类别	高压系统典型示例	应对策略
环境因素	高温（>45℃）快充	BMS 实时计算电池温度，超过阈值自动降功率
操作因素	充电时插枪未锁止	充电口电子锁 + 互锁检测，未锁止禁止充电
系统状态	SOC 估算误差 > 10%	多算法融合（安时积分 + 开路电压 + 卡尔曼滤波）
组合因素	低温 + 低 SOC + 大功率请求	功率限制曲线 + 电池加热策略

3.2.3 案例拆解：快充降功率策略的 SOTIF 优化

某车型在冬季快充时，多次出现“充电中断”用户投诉。初步排查发现 BMS 无故障码，硬件正常。进一步分析发现：

• 电池温度 -10℃ 时，BMS 允许的最大充电电流为 0.5C。
• 但用户从 20% SOC 开始充电，电池温度快速上升，BMS 逐步提升电流至 1C。
• 当温度升至 15℃ 时，BMS 突然将电流提升至 1.5C，导致电池电压骤升，触发过压保护。

根因是降功率策略的“阶梯跳变”，而非硬件故障。优化方案：

• 将电流提升改为连续平滑曲线，每 10s 调整一次，每次调整幅度不超过 0.05C。
• 增加电压变化率限制：若电压变化率超过 5mV/s，则暂停电流提升。
• 增加用户告知机制：仪表盘显示“电池加热中，充电功率受限”。

优化后，充电中断投诉率下降 90%。复盘经验：SOTIF 问题往往不是“故障”，而是“策略不完善”。需要从用户场景出发，构建完整的触发条件库。

3.3 冗余设计的基本原理与分类

3.3.1 核心原理：故障检测、隔离与恢复

冗余设计的本质是“用资源换可靠性”。在高压系统中，冗余设计遵循三个核心步骤：

1. 故障检测：通过诊断机制发现异常（如电流传感器双路比对）。
2. 故障隔离：将故障模块从系统中切除，防止故障扩散（如断开故障接触器）。
3. 故障恢复：切换到备份通道或进入安全状态（如启用备用接触器）。

3.3.2 冗余分类与选择策略

冗余类型	实现方式	优点	缺点	高压系统典型应用
硬件冗余	双接触器、双传感器、双控制器	响应快、可靠性高	成本高、体积大	主正/主负接触器串联
软件冗余	双 MCU 交叉校验、看门狗	成本低、灵活	开发复杂、需同步	BMS 主控 + 监控芯片
信息冗余	CAN 双通道、CRC 校验、多帧表决	抗干扰、防丢帧	增加通信负载	VCU 与 BMS 通信
时间冗余	信号重发、超时重试	实现简单	响应时间延长	接触器驱动指令重发
异构冗余	不同原理传感器（电压+电流+温度）	防共因失效	需多维度融合	电池状态估算

3.3.3 冗余架构模式：2oo2 与 2oo3

在高压系统中，最常用的冗余架构模式是 2oo2（双通道互锁） 和 2oo3（三通道表决）。

• 2oo2：两个通道必须同时输出“安全”才允许高压上电。任何一通道故障，系统进入安全状态。适用于接触器驱动、绝缘监测等安全关键功能。
• 2oo3：三个通道中至少两个输出“安全”才允许上电。允许单通道故障后继续运行，适用于对可用性要求高的场景（如电池 SOC 估算）。

3.3.4 实战场景：双接触器冗余设计

某车型高压回路采用主正接触器 + 主负接触器串联方案。初始设计仅依赖 BMS 控制接触器断开。在故障注入测试中发现：

• 当主正接触器触点熔焊时，BMS 无法通过线圈控制断开。
• 此时若主负接触器正常，仍可切断高压回路。

但进一步分析发现，若主负接触器也同时失效（如线圈断路），则高压无法切断。因此，最终方案增加：

• Pyro 熔断器：在接触器熔焊时，通过火药熔断器物理切断母线。
• 接触器状态诊断：每次下电后，通过辅助触点检测接触器是否正常断开，若异常则报警并禁止下次上电。

该方案将“双接触器串联”升级为“接触器 + 熔断器 + 诊断”的三重冗余，将残余风险降低至可接受水平。

3.4 总结与复盘

本章从功能安全、预期功能安全和冗余设计三个维度，系统梳理了整车高压架构安全冗余设计的核心概念。关键要点如下：

• ISO 26262 解决“系统故障”问题，核心是 ASIL 等级、FFI/FTTI 和诊断覆盖率。
• SOTIF 解决“功能不足”问题，核心是触发条件分析和场景库构建。
• 冗余设计 是实现安全目标的手段，需根据安全等级和可用性要求选择合适的冗余类型和架构模式。
• 共因失效 是冗余设计最大的敌人，必须通过独立电源、独立时钟、物理隔离来避免。

在实际项目中，建议工程师在概念设计阶段就引入功能安全工程师和系统架构师，共同完成危害分析与冗余策略制定，避免后期“打补丁”式的安全设计。