纳芯微丨SafeNovo® | 车载电源系统功能安全系统方案

　　在智能驾驶向高阶演进的过程中，高压直流转换器(DC-DC)作为车载电源系统的核心组成部分，承担着将动力电池高压直流电转换为低压稳定电压的关键功能，持续为激光雷达、域控制器及电子门把手等低压负载供电，其输出电压的稳定性与可靠性直接决定上述设备能否正常工作。DC-DC 处于新能源汽车高压电气架构的关键节点，除完成电压变换外，还须集成过压、欠压保护及诊断功能。

　　本文将围绕车载电源系统的低压安全目标，阐述其功能安全方案的设计思路与实现路径。

　　01

　　车载电源的功能安全要求

　　车载充电机(OBC)负责将外部交流电转换为高压直流电，为动力电池充电，并在 V2L/V2V/V2G 等场景下实现反向逆变;DC-DC 转换器则将电池高压直流电转换为低压为整车低压网络供电，并在整车上电时通过低压电池对高压电容进行反向预充(上高压)。两者在高压电气架构中共享高压直流母线接口，且在功率拓扑、开关器件及磁性元件上存在复用空间，这为集成化设计提供了技术基础。

　　基于上述特性，OBC 与 DC-DC 转换器的集成化已成为行业主流设计。此类“二合一”乃至“多合一”方案通过共享结构壳体、冷却流道及控制电路，或在功率拓扑层面进一步复用开关器件或磁性元件，有效提升了功率密度，降低了整机重量。集成后的电源系统需同时满足充电高压安全、热安全与低压供电安全等多重目标。尽管现行国标尚未要求低压系统按功能安全流程开发，但高阶智驾与线控底盘等应用的渗透率不断提升，行业实践已对其提出更严苛的要求。

　　整车安全目标的导出，须基于危害分析与风险评估(HARA)，分析故障行为对人员的影响，通过标准化流程评定风险等级，进而推导出整车层面的安全目标。

　　以车载电源系统的低压安全为例，若 DC-DC 低压侧输出过压，可能对下游低压负载造成直接且不可逆的损害。典型受影响的关键负载包括域控制器、激光雷达、摄像头等智能驾驶感知与决策单元，ABS/ESP 等线控制动执行模块，电动转向助力系统(EPS)控制器，以及行车大灯、制动灯等照明系统。一旦发生过压，上述负载可能在瞬间被击穿或烧毁，进而引发 ADAS 感知与决策功能完全丧失、转向与制动助力异常退出、全车灯光失效、车门锁止系统失控等连锁高危场景。依据 SAE J2980 给出的风险评估方法，可结合故障行为对人身安全影响的严重度、暴露概率与可控性三个维度，对上述场景进行危害分析与等级评定。

　　图二 低压安全目标推导示例

　　基于上述危害分析，国内外主流车企已形成技术共识：低压网络功能安全水平实质上构成了整车安全能力的上限。因此，DC-DC 须集成低压过压与欠压的检测及保护功能，一旦检测到相关事件，系统须在故障容错时间间隔(FTTI)内主动进入安全状态，以最大限度阻断故障对后端敏感负载的冲击。

　　在安全等级分配上，过压检测与关断功能通常按最高等级 ASIL D 进行开发。而在欠压工况下，由于整车低压蓄电池具备一定的储能容量，能在 DC-DC 输出跌落时短期维持关键负载供电，事故可控性相对较高，因此一般遵循 ASIL B 的要求予以实现。

　　根据上述安全目标，可进一步导出 DC-DC 输出过欠压分级保护的功能安全需求(本文中阈值相关参数仅为示例，具体定义应按主机厂要求)：

　　1. 过压保护

　　需依据过压幅值定义分层响应策略：

　　第一级阈值(16V~17V)：要求系统在百毫秒级完成检测与关断。该设计允许短时轻度过压不被误触发，以提升系统在负载动态及纹波扰动下的鲁棒性。

　　第二级阈值(21V及以上)：要求系统在微秒级快速响应并立即关断输出，以防止敏感低压负载瞬间击穿。

　　2. 欠压保护

　　同样采用分级策略，并根据故障严重程度施加额外的隔离措施：

　　第一级阈值(低于9V)：系统通过毫秒级检测进行故障报告。

　　第二级阈值(7V及以下)：低压蓄电池能量可能反向倒灌进入 DC-DC 输出端，需由硬件电路实现反向过流检测并立即触发保护。

　　强制隔离要求：与过压保护仅关断输出不同，欠压保护还要求 DC-DC 在停止工作的同时，主动断开与低压蓄电池之间的电气连接，以防止输出端口内部短路时反灌回路无法被安全切断。

　　未来随着整车低压网络向48V演进，过压与欠压的保护阈值及故障容错时间间隔(FTTI)窗口需重新标定，但分层保护的基本逻辑保持不变。该策略同样可应用于双 DC-DC 冗余供电架构中：当某一路 DC-DC 出现异常过压时，可在规定的时间窗口内关闭故障通道，并由另一路无故障通道持续供电，从而实现故障隔离与功能维持。这种双 DC-DC 冗余设计(例如两路独立的 DC-DC 分别供电或互为备份)在智驾、线控底盘控制器等高安全等级系统中已较为常见，可有效防止单点过压故障导致系统掉电。

　　02

　　低压过压保护功能安全方案

　　在当前的 OBC/DC-DC 控制架构中，主要存在几种不同的架构方案。一种方案采用单颗高性能 MCU 完成全部控制。另一种方案采用 DSP+MCU 的芯片架构：DSP 仅专注于 OBC、DC-DC 的功率算法控制，低压功能及系统相关控制则由 MCU 实现。在功能划分上，还有一种实践是将与交流桩、直流桩、充电插座、充电盖板的复杂交互功能全部集成到 BMS 或 VCU 中，此时 OBC/DC-DC 只需用 DSP 进行功率算法控制，无需 MCU。

　　上述不同的控制架构在芯片选型及功能集成度上差异显著，这直接决定了 DC-DC 两级过压保护(如第一级慢速保护与第二级硬件快速保护)在实现 ASIL D 系统功能安全时需要采取截然不同的分解与冗余策略。下文将分别围绕上述不同的架构方案，逐一探讨如何通过安全功能设计满足 DC-DC 两级过压保护的 ASIL D 要求。

　　架构一：单颗高性能 MCU

　　该架构升级功能安全的核心逻辑是追求每一个核心器件的“功能安全”，即 DC-DC 系统的 MCU、PMIC/SBC 等核心器件本身需要具备对应的 ASIL 等级。OBC 的控制功能视 MCU 资源而定，可以和 DC-DC 控制共用 MCU，或单独用 DSP 进行控制。

　　图三 单颗高性能 MCU 功能安全升级措施

　　通过单颗 ASIL D MCU 实现电压监控功能，部分关键安全机制如下：

　　冗余电压采样

　　低压电压采样故障在 DC-DC 系统中构成典型的单点失效：一旦采样值偏低，控制环路会误判输出电压不足而持续升压，导致实际电压过冲，同时依赖该采样值的过压保护功能也会随之失效。为消除这一单点风险，需设置两路独立的低压电压采样通道(图四.a)，其中一路供应用层软件实现控制功能，监控层软件则同时接入这两路采样信号，执行电压采样合理性校验，从而有效诊断并覆盖该单点故障。

　　控制与冗余关断

　　应用层软件专注于功率算法;监控层软件则作为独立安全通道，利用独立的采样与判断逻辑持续监测第一级慢速过压。一旦识别到故障，监控层直接控制安全状态输出信号(图四.b)。在此基础上，引入硬件过压比较器作为第二级快速过压检测，当输出电压超过硬件设定阈值时，比较器直接通过纯硬件链路触发关断，从而以极低延迟(微秒级)响应过压事件(图四.c)，与第一级过压保护形成时间域上的分层覆盖，满足对故障容错时间间隔的要求。

　　关键供电和基础设施安全

　　关键电源轨(采样参考供电、MCU 主核供电)及硬件比较器电路需由 ASIL D 等级的 PMIC/SBC 供电保障。该 PMIC/SBC 与 MCU 需建立相互看门狗机制，并对各自内部状态进行持续监控，同时通过上电自检确认硬件关断路径完好。任一监控项异常，均触发独立的故障关断路径使系统进入安全状态(图四.d)，避免因关键供电、芯片或安全机制失效导致安全目标被违背。

　　关断路径

　　故障汇总使能硬件单元(基于或门逻辑)，集中汇聚 MCU 监控层软件触发的安全状态、MCU/PMIC 硬件监控层触发的安全状态以及硬件故障相关的安全状态，并直接控制驱动芯片的使能端执行关断(图四.e)。任意一路信号有效，即触发硬件关断。

　　图四 架构一 功能安全系统框图

　　架构二：DSP+MCU 组合架构

　　该架构将功率控制、低压功能与功能安全进行了解耦拆分：两颗 DSP 芯片仅专注于功率算法控制，另由一颗独立的功能安全 MCU 承担低压功能管理、故障检测及安全状态使能。

　　图五 DSP+MCU 组合功能安全升级措施

　　与架构一相比，该方案将监控相关功能全部移植到 MCU 中。监控功能的安全等级可依据 DC-DC DSP 是否为功能安全芯片进行灵活分解：图六所示方案中，DC-DC DSP 自身仅执行基本看门狗等监控，达到 ASIL A(D) 等级;而核心监控功能则按照 ASIL C(D) 开发：

　　冗余电压采样(图六.a);

　　MCU 监控层检测第一级慢速过压，两路合理性故障过压触发安全状态(图六.b);

　　硬件第二级快速过压检测触发安全状态(图六.c);

　　硬件监控层触发安全状态(图六.d);

　　安全状态汇总触发驱动芯片关闭(图六.e);

　　与单 MCU 架构的唯一区别在于，该方案将功率相关的 PWM 控制放入了 DC-DC DSP。

　　图六 架构二 功能安全系统框图

　　架构三：纯 DSP 组合

　　升级方案一

　　当 OBC/DC-DC 的低压相关功能均集成到整车其他控制器的时候，对于 OBC/DC-DC 来说就仅需执行功率控制，这个时候功能安全实现也就转移到了 DSP 中。

　　图七 纯 DSP 组合功能安全升级措施一

　　在该双 DSP 冗余架构下，DC-DC 输出级的“检测—判断—执行”安全功能被分解至两颗 DSP，并通过 PMIC/SBC 及外围电路满足相应安全等级，以 DSP 冗余实现系统级高功能安全。关键安全机制细化为以下四个层面：

　　冗余电压采样

　　DC-DC 输出电压两路采样信号同时接入 DC-DC DSP 与 OBC DSP，第一路采样仅需提供给 DC-DC DSP 用于功率算法控制，另外两颗 DSP 监控层软件均采样两路进行合理性校验(图八.a)。

　　控制与冗余关断

　　正常工作时，由 DC-DC DSP 负责实现输出功率算法控制。与此同时，DC-DC DSP 与 OBC DSP 均具备独立检测第一级慢速过压的能力，并各自控制一路安全状态输出信号。任一 DSP 识别到过压，会通过监控层软件触发关断(图八.b/c)，即使 DC-DC DSP 发生失效，冗余 DSP 仍能可靠地使系统进入安全状态。同时第二级快速过压检测和前述架构保持一致(图八.d)。

　　关键供电与基础设施安全

　　两颗 DSP 的关键电源轨(包括采样参考供电、主核供电等)、硬件比较器电路均由满足 ASIL D 等级的 PMIC/SBC 提供。该 PMIC/SBC 与 DSP 需建立看门狗机制，并对各自内部状态进行持续监控。DC-DC DSP 也应具备上电自检功能检查硬件关断路径是否正常。任何监控机制检测到异常，都需触发安全状态输出(图八.e)。

　　关断路径

　　所有安全状态信号包括：两颗 DSP 监控层软件触发的故障、PMIC/SBC、两颗 DSP 硬件监控层触发的故障以及硬件过压比较器信号，统一汇入一个基于或门逻辑的故障汇总硬件单元，该单元直接控制驱动芯片的使能端执行关断(图八.f)。

　　图八 架构三 功能安全系统框图一

　　升级方案二

　　鉴于基于 DSP 的功能安全监控软件开发存在一定难度(需构建严格的软件分区隔离、双通道交叉比较、程序流检测与窗口看门狗等复杂冗余机制)，且对该软件监控自身的鲁棒性(如发生共因失效或软件本身缺陷时可能无法可靠关断)存在顾虑，下述方案完全摒弃 DSP 内部自带的安全机制，转而通过增加独立外部硬件电路来实现第一级电压监控，从而简化系统安全架构的设计。

　　图九 纯 DSP 组合功能安全升级措施二

　　与架构三的升级方案一相比，该方案将第一级过压检测移植到硬件比较器进行实现。图十所示方案中，DC-DC DSP 自身仅执行基本看门狗等监控，达到 ASIL A(D) 等级;两级的过压检测均由硬件实现：

　　控制用电压采样(图十.a);

　　硬件检测用电压采样(图十.b);

　　硬件第一级慢速过压检测触发安全状态(图十.c);

　　硬件第二级快速过压检测触发安全状态(图十.d);

　　硬件监控层触发安全状态(图十.e);

　　安全状态汇总触发驱动芯片关闭(图十.f);

　　图十 架构三 功能安全系统框图二

　　该方案有三个局限性：

　　硬件冗余关断与自检

　　硬件过压慢速保护提供冗余关断路径，必须通过关断路径自检覆盖潜伏失效;该保护路径的自检可能显著延长上电时间，需在安全覆盖与启动性能间取得平衡。

　　硬件过压滤波的响应

　　硬件 RC 滤波下，触发时间随过压幅值增大而缩短，无法实现软件的延时一致性;若采用该方案则滤波参数须与客户共同定义并达成一致，避免因响应差异导致鲁棒性问题。

　　图十一 硬件滤波时间示例

　　欠压保护功能安全实现

　　欠压保护采用冗余硬件实现难度较大，部分 DC-DC 要求不带小电池启动，一般由软件实现故障检测。

　　在电源系统升级的实际落地中，升级方案一采用系统集成与开发简化的设计思路：通过复用现有 MCU 资源实现高功能安全要求，无需额外使用高安全等级的 MCU，从而降低 BOM 成本和开发投入。该方案将软件及系统架构的改动限制在可控范围内，显著缩短开发周期。此外，该设计支持 OBC 系统后续平滑升级功能安全等级，具备良好的架构扩展性。

　　03

　　低压欠压保护功能安全方案

　　在基于上述架构的前提下，第一级欠压故障的检测方法与过压基本一致，但欠压无法采用硬件比较器进行快速检测。第二级欠压故障因 DC-DC 输出端口与小电池之间的压差较大，可利用低压侧反向过流检测实现快速判断。在故障响应中，为避免内部短路导致能量反灌，除停止 DC-DC 功率输出外，还需断开 DC-DC 输出端口与小电池的连接，这就要求在 DC-DC 输出端口配置一个安全开关。同时，DC-DC 还可利用该安全开关断开与闭合前后的电压变化，来判别故障属于 DC-DC 内部还是外部，进而采取不同的关断措施。

　　图十二 欠压检测功能安全系统框图