电动车高压安全设计

关于阐述HVIL 的文章很多，因为，它是电池系统三大安全（电池安全、高压安全、辐射安全）中，高压安全措施重要的一个功能环节。本文本着学习和思考目的加以梳理，分享给大家。

HVIL涵义

HVIL 缩写含义主要有两种：一种是“Hazardous Voltage interlock loop危险电压互锁回路”；另一种是：“High Voltage Interlock System and Control Strategy 高电压互锁系统和控制策略”。前者突出的是人体“危险电压” 通过互锁回路加以监测和监控,后者突出的是对 “B级电压”通过电路监测,并运用“主动控制策略”采取保护措施。两者内涵都是正确的。但从主动控制角度，我更倾向于后者。

HVIL的主动功能和被动功能

HVIL 高压互锁物理定义，主要是针对高压回路的母线束连接器及高压壳体护盖的安全性，使用小电流低压信号进行电路完整性监测和功能管理。高压母线回路主要针对高压易操作节点或高压安全薄弱的连接器进行低压信号联动互锁。

主动功能主要是通过低压回路对高压回路实时、连续性监测的结果进行即时管理，并通过整车诊断系统识别并及时采取报警、限功率直至切断高压措施。

被动功能主要是指可以直接通过断开HVIL 回路，达到断开高压的目的。属于被动干预断电功能。一方面，可以用于检验互锁回路的有效性，另一方面是在车辆事故状态等特殊情况下，可紧急断电使用的功能。被动功能很少被提到。

HVIL回路是否需要考虑EMC电磁兼容？

涉及安全的功能信号，在EMC方面是有严格要求的。HVIL信号是一定要考虑EMC电磁兼容问题的，并且需要有对应措施。HVIL信号源产生的信号形式，这部分在“朱玉龙的‘聊聊高压互锁（HVIL）一文中，已有详细的阐述，信号源使用的是PWM信号：用5V的PWM信号传输，主要有几个作用：PWM检测要略微快、逻辑控制简单、可以实现休眠和唤醒、节约功耗。”结合HVIL对PWM信号的即时性和连续性要求，面对车辆电磁环境复杂和恶劣现状， 信号也会出现中断、卡顿现象。同时，在整车或零件EMC 实验中，也是需要关注这项指标的。目前，我们还是按低压线束标准做设计，还没有特定的保护，这方面，需要持续关注和分析设计。

HVIL线路和硬件设计

1、线路设计就是小信号回路设计。

一般是由一个信号源发生器（HVIL SRC），结合外电路，形成一个闭环的回路。信号源通常集成在BMS内。回路检测(HVIL RTN)一般由一个到二个组成，而且是独立的闭环，不允许有支路存在。前期设计，为了把充电和放电回路分开检测，设立两个回路。目前设计，为了简化电路，多采用一个回路完成检测。下图是Tesla HVIL线路设计,由一个回路完成整车的HVIL检测。

The BMS produces a constant current and measures the voltage drop over 4 known resistance points in the loop (nominal: 0.02A x 240Ÿ = 4.8V). If the resistance changes, and the voltage drop is therefore higher or lower than the max thresholds, the BMS reports an HVIL failure.

Figure 1

Figure 2

Table: Connector voltage and resistance

分析： Tesla 的设计思路：信号源的外电路，是一个有已知四个电阻负载电路闭环电路。 利用电阻或电压的变化，来判定HVIL状态。电阻的存在，一方面可以限流，另一方面，电阻数值的确定，可以有效的监测电压状态。也就是说，低压回路除了判定电路的完整性功能外，还能准确有效的监测电路状态或着连接件状态。维修状态的车辆，当电路没有信号源的时候，也可以通过电阻值对电路进行判断。（对于tesla信号源形式，还在收集中，期待进一步深入分析）

2、手动维修开关或插件与HVIL 设计与结构关联性

连接器或护盖，是产品后端装配、维护维修最为频繁的节点。在操作中，如何保证安全，如何确保操作中，高压回路完整性或正常断开，从连接器件的结构和HVIL 电路建立起关联。如下图示：

Figure 3

• 连接器需要具备工具才能打开的结构，在无意识状态下，不能被打开或分离；
• 具有互锁结构的连接器或护盖，只有在HVIL 触点先断开，高压连接器才能被打开。目前很很多资料显示，间隔时间约150ms.

3、信号源模块的滥用设计

• 从ISO 26262功能安全等级方面要求HVIL 模块，应达到ASIL C ；
• 模块对于车辆12V供电，应有宽泛电压适应性，保证输出信号的稳定性；
• 当出现信号短路等故障，在故障消除后，信号能自动恢复等等。

HVIL的安全功能，更需要在滥用的苛刻状态下保持性能可靠和稳定。一般从过压、欠压、过流等电滥用，过温、热稳定等热滥用、机械滥用方面的对应设计，确保HVIL的可靠性。

HVIL的控制策略

1、对HVIL的诊断功能

诊断功能主要区分两个失效因素：其一，是低压信号回路完整性故障，也就是HVIL 的真故障；另一因素是HVIL 自身故障，如，信号模块故障：无信号，或信号对地短路。

类别	故障模式	描述
信号源、输出线路	信号源无电压输出	信号源模块损坏
输出端对12V 短路	由于PIN 脚接线错误、线束错误等，多发生在装配和维护阶段
输出端对END 短路
输出端断路
接地端断路
HVIL故障	连接器松脱或断开	通过回路电压信号或电阻逻辑判断
连接器因松脱接触不良	通过故障记录或逻辑关系判断

2、车辆控制策略，以最优先保证乘客安全为前提条件。而新能源车辆电池系统，是整车的动力源，在故障状态，除特殊中的特殊情况，是不能随便切断电源的。下面是tesla 的一个控制说明：

If the vehicle is in Standby, Support, or Charge mode, the failure is reported as a FAULT (example: BMS_f008_HW_HVIL). The vehicle opens contactors, or keeps them open.

If the vehicle is in Drive, the failure is reported as a WARNING (example: BMS_w008_HW_HVIL), but does not open the contactors, to prevent loss of drive.

只有在车辆停驶状态下，如果发生HVIL 故障，才能切断高压；如果在车辆行驶状态，是不能断开电源连接的，避免车辆失去动力。

当HVIL功能识别出故障时，首先通过整车系统发出报警或采取相应措施：

• 故障报警：这是车辆处理故障最常用的一种形式，通过“声”“光”给驾驶员提出警示。同时，根据故障类型，报警可以分为几个等级，“紧急”状态，需要立即靠边；一般故障，驶出公路或进维修站。
• 切断高压：当车辆处于停驶状态，通过整车控制可以采取切断高压；还有一种逻辑状态，当整车在一定时间内，没有采取措施，BMS等也能采取切断措施。这一点需要慎用。
• 限功率运行：当故障状态，在容忍的范围内，可以带故障运行一段时间，但是，为了不使故障恶化，采取限功率或台阶降功率措施，敦促驾驶员尽快处理。

小结：

HVIL 高压互锁，作为一项整车的安全设计，并非是零件个体功能实现哪么简单。所以，需要站在整车角度，对各个零件的HVIL 功能提出要求。每个项目设计中，HVIL设计差异，导致对零件末端要求也不同，是否都如tesla 内含一只60Ω电阻呢？信号源与电路是否匹配，这些都是需要考虑的。所以，全方位设计还需要考虑很多具体问题。

怎样在电动汽车整车上设计绝缘监测系统？

楼佳烽

在电动汽车新一轮的革命热潮中，电动化、智能化、网联化一直作为各厂商推陈出新的卖点。每个人对好车的定义不一样，但不可否认的基础是——好车首先得足够安全。

比如汽车碰撞，如何获得相关机构全五星安全性评级一直是各厂商努力的聚焦点之一，获得碰撞安全的车一般都能获得顾客的信赖，也会对汽车的销量产生积极正面的影响，如Tesla Model S(参数|图片)获得了NHTSA史上最高分5.4分，也创造了一个全新的记录，对Model S后来得到用户的认可和好评功不可没。

图1 各NCAP机构示意图

电动汽车的诞生就一直伴随着消费者的疑问，电动汽车涉水安全吗？、电动汽车碰撞后会触电吗？等等，诸如此类问题思考的背后折射出人们对于安全出行的强烈意愿。针对EV/HEV安全，中国新车评价规程C-NCAP（China-New Car Assessment Program）2018年新规率先将电安全纳入了评分方案。

在2018版C-NCAP中，关于EV/HEV防触电保护评测，其中，REESS（车载可充电储能系统）端高压母线与电底盘间绝缘电阻≥100Ω/V作为基本评测条款，而电力系统负载端绝缘电阻满足相关要求作为碰撞后车辆电安全评测选项条款之一。

EV/HEV绝缘故障监测

国内外电动汽车安全要求，是以高压电池系统防护为中心，按系统架构，进而到电机电控等，衍生出相关标准条款。整车安全规范则主要囊括了包括电气、机械、化学和功能安全。

图2 EV/HEV相关安全标准

绝缘性能作为EV/HEV电气安全设计的其中一项要求，在GB/T18384-2015中B级电压（＞60VDC或＞30VAC）系统绝缘电阻说明要求的基础上，在2018年1月GB《电动汽车安全要求》强制标准征求稿中对于绝缘警示作了进一步说明，参照GB7258-2017相关条例措施，强制要求具有绝缘电阻监测，在整车绝缘电阻低于规定要求时，应通过一个明显的信号（例如：声或光信号）装置提醒驾驶人。

另外，GB/T32960.3-2016《电动汽车远程服务与管理系统技术规范》第3部分整车数据，要求上报整车的绝缘电阻值数据到远程监测平台，以便监控管理及救援。

图3 绝缘监测装置接线示意图

绝缘监测装置设计/选择

虽然电动汽车安全要求强标中已明确整车高压系统需附加绝缘监测装置（IMD，Insulation monitoring device），但是并未规定何种绝缘监测装置设计才是符合要求的。

总体而言，绝缘监测装置需暴露在电噪声的环境中稳定可靠的运行。目前，国内外绝缘监测装置工作模型一般采用电桥平衡法、信号注入法、电压法及其他衍生电路方案。IDM设计与选型时基于“择优而定”原则，从整车系统需求出发分解各方案对系统的适用性，以此评估供应商或方案优势。

图4 IDM设计选型因素占比示意图

评价IDM设计选型方案，基于上图所示，可作要点评估，以期最优化选择。对于整车系统而言，IDM对高压平台的兼容性、测试响应时间、工作可靠性以及诊断时效性尤为重要。

关于设计选型因素评估说明举例：

1）在EV/HEV电气平台化架构推进下，不同系统/部件总配置变化，IDM硬件无法具有适配性，则产品就严重缺乏模块化的条件；

2）诊断电路对真实故障条件的响应时间是设计IDM时需要考虑的关键参数之一，如某些信号注入方案，脉冲信号会受到Y电容的RC充电特性影响，需要设置足够的固定时间，以此来避免Y电容对绝缘检测的影响，而过长的检测时间对及时响应故障处理不利。

3）IDM可诊断任何线路，包含AC线路（车载DCAC并不隔离设计），和底盘接地之间的泄露故障，但若IDM无法测量AC端接地故障，则整车系统可额外附加用于AC线路的绝缘监测功能，比如MCU控制器增设接地故障诊断。

另外，建立测试用例，检测IDM实际情况，这也是系统验证的一种有效途径。

绝缘电阻阈值设定

绝缘电阻，即绝缘介质所具有的电阻值，是衡量介质绝缘性能好坏的物理量。针对B级电压系统的绝缘性能要求，电动汽车安全相关标准（如ISO6469、GB/T18384等）均作了相关定义。

由于人体的交/直流电压安全阈值不同，非传导连接的高压电路在工作电压下绝缘电阻最小值要求也有所不同。

根据《IEC60147-1电流对人和家畜的效应指南 第1部分：通用部分》说明，人体无害过流能力电流要求＜10mA（DC）或＜2mA（AC），对应绝缘电阻需＞100Ω/V或＞500Ω/V。

图5 绝缘电阻阻值要求含义（数据来源：IEC60479-1 Effects of current on humanbeings and livestock）

值得注意的是，当高压系统回路同时具备交直流带电部分，在对AC电路进行双重或加强绝缘后，绝缘电阻可按＞100Ω/V要求执行，此点GB/T18384.3-2015（ISO6469）、SAE J2344-2010等安全要求标准均有说明。

◆ DC电路：＞100Ω/V

◆ AC电路：＞500Ω/V

◆ DC&AC电路：＞500或者100Ω/V

图6 DC&AC混合电路绝缘电阻要求

针对燃料电池电动汽车的特殊考虑，此次在GB《电动汽车安全标准》征求意见稿中，对于交流回路增加有附加防护的情况，绝缘电阻以100Ω/V设计予以了特别说明。

有关电动汽车高压零部件电气安全相关标准包括GB/T31467-2015、GB/T18488-2015及GB/T24347-2009、GBT/20234-2015等。实际上，整车“三电”高压系统包含多个部件，为避免系统绝缘总阻抗低于100Ω/V（或500Ω/V）要求，整车绝缘强度指标设定需高于国标要求，而各系统部件的绝缘强度应高于整车一个等级。

另外，由于绝缘监测电路存在对高压系统的附加影响，需要系统评估该监测电路工作或非工作状态下对于整车绝缘性能的影响。IDM在其绝缘电阻监测宽度范围内存在误差（IDM，非精准的测量仪器），因此绝缘电阻安全阈值的设置也需适当考虑绝缘检测精度。

IDM系统应用

1）正确理解IDM功能

EV/HEV含有危险的电压或电流等级，在某些超出正常操作范围之外的条件或事件下，电隔离保护作用会被弱化，此时，通过IDM对电隔离的弱化或隔离损失进行探测，进而可采取措施缓解这种弱化或减少（&避免）因弱化带来的危害。

整车电气安全作为一项重要的系统工程，IDM仅作为绝缘失效警示装置，即无法阻止故障的发生。如设计时总是理想化将电池视为一个整体，但实际中，如商用车电池系统，较容易出现电池内局部短路情况，此时，IDM绝缘报警，但无法避免因电池短路引起的热失控（如火灾）。

2）全生命周期的绝缘设计

关于安全，不存在无缘由的风险。如材料在长时间使用下老化，绝缘降级，虽未体现在法规要求下，但整车厂需贯穿整个寿命周期和使用场景对各个环节进行考虑。更进一步而言，在做整车电安全验证测试时，建议在最严酷的条件下展开。

图7 绝缘失效分类

3）IDM整车系统布置

结合相关整车厂家及供应商的专利说明，在IDM设计过程中，主要解决如何定位故障点、如何判断绝缘故障正负极性、如何解决杂散电容对监测带来的影响、如何校核IDM是否失效问题等等。

目前国内，普遍通过集成方式（如BMS）将IDM布局于高压网络，并进一步将相关电路（如电压检测）功能复用。不论是基于成本，亦或是出于功能安全考虑，IDM作为重要的电气安全设计措施之一，独立模块布置或集成设计，均需要考虑IDM失效时的系统措施以及作为B级电压部件的安全考虑。

另外，GB/T18487.1-2015规定直流充电时，充电机需具备绝缘监测，则要求车辆IDM和充电机的绝缘监测系统需相互协调配合，分时控制，避免充电时相互影响，导致误报警。

【总结】

整车绝缘电阻不仅仅是一个动态量值，同时也是一种衡量高压系统受破坏程度的维度，配置IDM对于电气安全设计至关重要，作为整车层面不能绕开的系统关注点，需要审慎设计与选择，以期达到最优化方案。