📚 课程目录第3章故障降级基本概念

3. 故障降级基本概念

在混合动力系统中，故障降级不是简单的“报故障、限功率”，而是一套以功能安全为约束、以失效模式为输入、以降级等级为输出、以法规要求为边界的工程决策体系。理解这四个概念之间的逻辑关系，是后续设计降级策略、标定阈值和验证安全目标的前提。

一、功能安全：降级的约束框架

功能安全的核心目标是避免因电子电气系统失效而导致不可接受的风险。在混合动力系统中，它通过安全目标、功能安全概念和技术安全需求三层结构，约束降级行为必须满足的边界。例如，当电池管理系统检测到单体过压时，安全目标可能是“防止电池热失控”，对应的技术安全需求则要求整车控制器在限定时间内将充放电功率降至安全区间。

功能安全并不直接规定“降多少”，而是规定“降级过程本身不能引入新的危害”。这意味着降级策略必须考虑降级动作的时序、可观测性和可恢复性。一个常见的误区是：只关注故障本身，却忽略了降级过程中扭矩突变、发动机频繁启停或继电器反复吸合带来的次生风险。

关键约束：降级策略必须满足功能安全的三项基本要求——故障可检测、降级可执行、状态可告知。缺少任何一项，降级行为都可能从“保护”变成“隐患”。

二、失效模式：降级的触发输入

失效模式是降级策略的输入信号。混合动力系统常见的失效模式可按部件域划分：电池域包括过压、欠压、过温、内短路、绝缘失效；电机域包括过流、过温、位置信号丢失、逆变器直通；发动机域包括失火、爆震、油压异常、节气门卡滞；传动域包括离合器打滑、挡位丢失、油温过高。此外还有传感器失效、通信丢失和控制器自身故障。

不同失效模式对降级等级的要求差异很大。例如，单体轻微过压可能只需部分功能降级，而绝缘失效则可能直接触发安全停车。因此，在工程实践中需要建立“失效模式—严重度—降级等级”的映射表，而不是用统一策略处理所有故障。

三、降级等级：从全功能到安全停车

降级等级描述了系统在故障后仍能提供的功能范围。通常分为四级：

全功能：无故障或故障不影响安全，系统保持全部功能，仅记录故障码。
部分功能：限制部分性能或功能，如限制电机功率、关闭空调、降低充电电流，但车辆仍可正常行驶。
跛行：仅保留最低限度行驶能力，如限速 30 km/h、限制扭矩、禁止发动机启停，驾驶员需尽快驶离危险区域。
安全停车：系统无法保证继续行驶安全，主动引导车辆靠边停车，切断高压或禁止扭矩输出。

降级等级的选择不是线性的，而是由故障严重度、车辆状态和驾驶员可操作性共同决定。例如，同一过温故障在低速城市工况下可能只需部分功能降级，而在高速爬坡工况下则可能直接进入跛行。

四、法规要求：降级的边界条件

降级策略不能只考虑技术可行性，还必须满足法规要求。在国内，GB/T 34590 系列标准对功能安全提出了完整要求，GB 18352 对 OBD 排放相关故障的降级行为有明确规定，GB/T 31498 对碰撞后的高压安全有强制要求，UN R100 则对高压系统安全提出了国际层面的约束。

法规要求通常表现为三类边界：一是降级动作的时间边界，例如 OBD 故障后必须在规定驾驶循环内点亮故障灯；二是降级程度的边界，例如排放相关故障不得随意进入安全停车而影响排放测试；三是信息告知的边界，例如驾驶员必须通过仪表明确感知降级状态。

工程提示：在制定降级策略时，建议先列出该故障模式涉及的所有法规条款，再确定降级等级。法规要求往往比技术能力更早地限定了降级的上限和下限。

五、案例：电池过温的降级决策

以某混动车型电池过温为例，当 BMS 检测到模组温度达到 55°C 时，系统按以下逻辑决策：

故障输入：BMS_TempMax = 55°C，持续 3s
严重度评估：中等偏高，存在热失控风险
降级决策：
  - 若车速 < 30 km/h 且 SOC > 30%：部分功能降级
    限制放电功率至 40%，关闭快充，开启主动冷却
  - 若车速 ≥ 30 km/h 或 SOC ≤ 30%：跛行降级
    限速 30 km/h，限制放电功率至 15%，禁止发动机启停
  - 若温度继续上升至 60°C：安全停车
    切断高压，禁止扭矩输出，引导靠边停车
法规校验：满足 GB/T 34590 安全目标，OBD 记录 P0A7A 故障码

这个案例说明，降级等级不是固定映射，而是随车辆状态动态调整的。同一故障在不同工况下可能对应不同等级，这正是功能安全中“风险可接受”原则的体现。

六、常见误区与复盘

误区一：降级等级越高越安全。过度降级可能导致车辆在高速上突然失去动力，反而增加追尾风险。降级等级应与风险匹配，而非一味求高。
误区二：只关注故障本身，忽略降级过程。扭矩突变、继电器反复吸合、发动机频繁启停都可能成为新的危害源。
误区三：法规要求只在最后校验。法规边界应在降级策略设计初期就作为输入，而不是事后补丁。
误区四：所有故障都用同一套降级逻辑。不同失效模式的严重度、可恢复性和法规约束差异很大，必须分类处理。

复盘要点：降级策略的验证不能只看“是否降级”，还要看“降级是否平顺、是否可恢复、是否告知驾驶员、是否满足法规”。建议在 HIL 台架上覆盖全功能、部分功能、跛行和安全停车四种状态，并记录每次状态切换的扭矩变化率和时间戳。

七、降级等级速查清单

降级等级	功能范围	典型触发条件	法规关注点
全功能	全部功能可用	无故障或轻微故障	仅记录 DTC，不影响排放与安全
部分功能	限制功率或关闭附件	电池过温、电机过流	OBD 故障灯、排放合规
跛行	限速、限扭矩、禁止启停	严重过温、通信丢失	安全驶离、驾驶员告知
安全停车	切断高压、禁止扭矩	绝缘失效、碰撞、内短路	高压安全、碰撞安全

掌握功能安全、失效模式、降级等级和法规要求这四个概念及其相互关系，是设计混合动力系统降级策略的基础。它们共同构成一个从“故障发生”到“安全响应”的完整决策链，任何一环缺失都可能导致降级行为失效或引入新的风险。