在智能驾驶向高阶演进的过程中，高压直流转换器（DC-DC）作为车载电源系统的核心组成部分，承担着将动力电池高压直流电转换为低压稳定电压的关键功能，持续为激光雷达、域控制器及电子门把手等低压负载供电，其输出电压的稳定性与可靠性直接决定上述设备能否正常工作。DC-DC 处于新能源汽车高压电气架构的关键节点，除完成电压变换外，还须集成过压、欠压保护及诊断功能。
本文将围绕车载电源系统的低压安全目标，阐述其功能安全方案的设计思路与实现路径。
01 车载电源的功能安全要求 车载充电机（OBC）负责将外部交流电转换为高压直流电，为动力电池充电，并在 V2L/V2V/V2G 等场景下实现反向逆变；DC-DC 转换器则将电池高压直流电转换为低压为整车低压网络供电，并在整车上电时通过低压电池对高压电容进行反向预充（上高压）。两者在高压电气架构中共享高压直流母线接口，且在功率拓扑、开关器件及磁性元件上存在复用空间，这为集成化设计提供了技术基础。 基于上述特性，OBC 与 DC-DC 转换器的集成化已成为行业主流设计。此类“二合一”乃至“多合一”方案通过共享结构壳体、冷却流道及控制电路，或在功率拓扑层面进一步复用开关器件或磁性元件，有效提升了功率密度，降低了整机重量。集成后的电源系统需同时满足充电高压安全、热安全与低压供电安全等多重目标。尽管现行国标尚未要求低压系统按功能安全流程开发，但高阶智驾与线控底盘等应用的渗透率不断提升，行业实践已对其提出更严苛的要求。 整车安全目标的导出，须基于危害分析与风险评估（HARA），分析故障行为对人员的影响，通过标准化流程评定风险等级，进而推导出整车层面的安全目标。 图一 SAE J2980 风险评估过程示例 以车载电源系统的低压安全为例，若 DC-DC 低压侧输出过压，可能对下游低压负载造成直接且不可逆的损害。典型受影响的关键负载包括域控制器、激光雷达、摄像头等智能驾驶感知与决策单元，ABS/ESP 等线控制动执行模块，电动转向助力系统（EPS）控制器，以及行车大灯、制动灯等照明系统。一旦发生过压，上述负载可能在瞬间被击穿或烧毁，进而引发 ADAS 感知与决策功能完全丧失、转向与制动助力异常退出、全车灯光失效、车门锁止系统失控等连锁高危场景。依据 SAE J2980 给出的风险评估方法，可结合故障行为对人身安全影响的严重度、暴露概率与可控性三个维度，对上述场景进行危害分析与等级评定。 图二 低压安全目标推导示例 基于上述危害分析，国内外主流车企已形成技术共识：低压网络功能安全水平实质上构成了整车安全能力的上限。因此，DC-DC 须集成低压过压与欠压的检测及保护功能，一旦检测到相关事件，系统须在故障容错时间间隔（FTTI）内主动进入安全状态，以最大限度阻断故障对后端敏感负载的冲击。 在安全等级分配上，过压检测与关断功能通常按最高等级 ASIL D 进行开发。而在欠压工况下，由于整车低压蓄电池具备一定的储能容量，能在 DC-DC 输出跌落时短期维持关键负载供电，事故可控性相对较高，因此一般遵循 ASIL B 的要求予以实现。 根据上述安全目标，可进一步导出 DC-DC 输出过欠压分级保护的功能安全需求（本文中阈值相关参数仅为示例，具体定义应按主机厂要求）： 1. 过压保护 需依据过压幅值定义分层响应策略： 2. 欠压保护 同样采用分级策略，并根据故障严重程度施加额外的隔离措施： 未来随着整车低压网络向48V演进，过压与欠压的保护阈值及故障容错时间间隔（FTTI）窗口需重新标定，但分层保护的基本逻辑保持不变。该策略同样可应用于双 DC-DC 冗余供电架构中：当某一路 DC-DC 出现异常过压时，可在规定的时间窗口内关闭故障通道，并由另一路无故障通道持续供电，从而实现故障隔离与功能维持。这种双 DC-DC 冗余设计（例如两路独立的 DC-DC 分别供电或互为备份）在智驾、线控底盘控制器等高安全等级系统中已较为常见，可有效防止单点过压故障导致系统掉电。 02 低压过压保护功能安全方案 在当前的 OBC/DC-DC 控制架构中，主要存在几种不同的架构方案。一种方案采用单颗高性能 MCU 完成全部控制。另一种方案采用 DSP+MCU 的芯片架构：DSP 仅专注于 OBC、DC-DC 的功率算法控制，低压功能及系统相关控制则由 MCU 实现。在功能划分上，还有一种实践是将与交流桩、直流桩、充电插座、充电盖板的复杂交互功能全部集成到 BMS 或 VCU 中，此时 OBC/DC-DC 只需用 DSP 进行功率算法控制，无需 MCU。 上述不同的控制架构在芯片选型及功能集成度上差异显著，这直接决定了 DC-DC 两级过压保护（如第一级慢速保护与第二级硬件快速保护）在实现 ASIL D 系统功能安全时需要采取截然不同的分解与冗余策略。下文将分别围绕上述不同的架构方案，逐一探讨如何通过安全功能设计满足 DC-DC 两级过压保护的 ASIL D 要求。 架构一：单颗高性能 MCU 该架构升级功能安全的核心逻辑是追求每一个核心器件的“功能安全”，即 DC-DC 系统的 MCU、PMIC/SBC 等核心器件本身需要具备对应的 ASIL 等级。OBC 的控制功能视 MCU 资源而定，可以和 DC-DC 控制共用 MCU，或单独用 DSP 进行控制。 图三 单颗高性能 MCU 功能安全升级措施 通过单颗 ASIL D MCU 实现电压监控功能，部分关键安全机制如下： 冗余电压采样 低压电压采样故障在 DC-DC 系统中构成典型的单点失效：一旦采样值偏低，控制环路会误判输出电压不足而持续升压，导致实际电压过冲，同时依赖该采样值的过压保护功能也会随之失效。为消除这一单点风险，需设置两路独立的低压电压采样通道（图四.a），其中一路供应用层软件实现控制功能，监控层软件则同时接入这两路采样信号，执行电压采样合理性校验，从而有效诊断并覆盖该单点故障。 控制与冗余关断 应用层软件专注于功率算法；监控层软件则作为独立安全通道，利用独立的采样与判断逻辑持续监测第一级慢速过压。一旦识别到故障，监控层直接控制安全状态输出信号（图四.b）。在此基础上，引入硬件过压比较器作为第二级快速过压检测，当输出电压超过硬件设定阈值时，比较器直接通过纯硬件链路触发关断，从而以极低延迟（微秒级）响应过压事件（图四.c），与第一级过压保护形成时间域上的分层覆盖，满足对故障容错时间间隔的要求。 关键供电和基础设施安全 关键电源轨（采样参考供电、MCU 主核供电）及硬件比较器电路需由 ASIL D 等级的 PMIC/SBC 供电保障。该 PMIC/SBC 与 MCU 需建立相互看门狗机制，并对各自内部状态进行持续监控，同时通过上电自检确认硬件关断路径完好。任一监控项异常，均触发独立的故障关断路径使系统进入安全状态（图四.d），避免因关键供电、芯片或安全机制失效导致安全目标被违背。 关断路径 故障汇总使能硬件单元（基于或门逻辑），集中汇聚 MCU 监控层软件触发的安全状态、MCU/PMIC 硬件监控层触发的安全状态以及硬件故障相关的安全状态，并直接控制驱动芯片的使能端执行关断（图四.e）。任意一路信号有效，即触发硬件关断。 图四 架构一 功能安全系统框图 架构二：DSP+MCU 组合架构 该架构将功率控制、低压功能与功能安全进行了解耦拆分：两颗 DSP 芯片仅专注于功率算法控制，另由一颗独立的功能安全 MCU 承担低压功能管理、故障检测及安全状态使能。 图五 DSP+MCU 组合功能安全升级措施 与架构一相比，该方案将监控相关功能全部移植到 MCU 中。监控功能的安全等级可依据 DC-DC DSP 是否为功能安全芯片进行灵活分解：图六所示方案中，DC-DC DSP 自身仅执行基本看门狗等监控，达到 ASIL A(D) 等级；而核心监控功能则按照 ASIL C(D) 开发： 与单 MCU 架构的唯一区别在于，该方案将功率相关的 PWM 控制放入了 DC-DC DSP。 图六 架构二 功能安全系统框图 架构三：纯 DSP 组合 升级方案一 当 OBC/DC-DC 的低压相关功能均集成到整车其他控制器的时候，对于 OBC/DC-DC 来说就仅需执行功率控制，这个时候功能安全实现也就转移到了 DSP 中。 图七 纯 DSP 组合功能安全升级措施一 在该双 DSP 冗余架构下，DC-DC 输出级的“检测—判断—执行”安全功能被分解至两颗 DSP，并通过 PMIC/SBC 及外围电路满足相应安全等级，以 DSP 冗余实现系统级高功能安全。关键安全机制细化为以下四个层面： 冗余电压采样 DC-DC 输出电压两路采样信号同时接入 DC-DC DSP 与 OBC DSP，第一路采样仅需提供给 DC-DC DSP 用于功率算法控制，另外两颗 DSP 监控层软件均采样两路进行合理性校验（图八.a）。 控制与冗余关断 正常工作时，由 DC-DC DSP 负责实现输出功率算法控制。与此同时，DC-DC DSP 与 OBC DSP 均具备独立检测第一级慢速过压的能力，并各自控制一路安全状态输出信号。任一 DSP 识别到过压，会通过监控层软件触发关断（图八.b/c），即使 DC-DC DSP 发生失效，冗余 DSP 仍能可靠地使系统进入安全状态。同时第二级快速过压检测和前述架构保持一致（图八.d）。 关键供电与基础设施安全 两颗 DSP 的关键电源轨（包括采样参考供电、主核供电等）、硬件比较器电路均由满足 ASIL D 等级的 PMIC/SBC 提供。该 PMIC/SBC 与 DSP 需建立看门狗机制，并对各自内部状态进行持续监控。DC-DC DSP 也应具备上电自检功能检查硬件关断路径是否正常。任何监控机制检测到异常，都需触发安全状态输出（图八.e）。 关断路径 所有安全状态信号包括：两颗 DSP 监控层软件触发的故障、PMIC/SBC、两颗 DSP 硬件监控层触发的故障以及硬件过压比较器信号，统一汇入一个基于或门逻辑的故障汇总硬件单元，该单元直接控制驱动芯片的使能端执行关断（图八.f）。 图八 架构三 功能安全系统框图一 升级方案二 鉴于基于 DSP 的功能安全监控软件开发存在一定难度（需构建严格的软件分区隔离、双通道交叉比较、程序流检测与窗口看门狗等复杂冗余机制），且对该软件监控自身的鲁棒性（如发生共因失效或软件本身缺陷时可能无法可靠关断）存在顾虑，下述方案完全摒弃 DSP 内部自带的安全机制，转而通过增加独立外部硬件电路来实现第一级电压监控，从而简化系统安全架构的设计。 图九 纯 DSP 组合功能安全升级措施二 与架构三的升级方案一相比，该方案将第一级过压检测移植到硬件比较器进行实现。图十所示方案中，DC-DC DSP 自身仅执行基本看门狗等监控，达到 ASIL A(D) 等级；两级的过压检测均由硬件实现： 图十 架构三 功能安全系统框图二 该方案有三个局限性： 硬件冗余关断与自检 硬件过压慢速保护提供冗余关断路径，必须通过关断路径自检覆盖潜伏失效；该保护路径的自检可能显著延长上电时间，需在安全覆盖与启动性能间取得平衡。 硬件过压滤波的响应 硬件 RC 滤波下，触发时间随过压幅值增大而缩短，无法实现软件的延时一致性；若采用该方案则滤波参数须与客户共同定义并达成一致，避免因响应差异导致鲁棒性问题。 图十一 硬件滤波时间示例 欠压保护功能安全实现 欠压保护采用冗余硬件实现难度较大，部分 DC-DC 要求不带小电池启动，一般由软件实现故障检测。 在电源系统升级的实际落地中，升级方案一采用系统集成与开发简化的设计思路：通过复用现有 MCU 资源实现高功能安全要求，无需额外使用高安全等级的 MCU，从而降低 BOM 成本和开发投入。该方案将软件及系统架构的改动限制在可控范围内，显著缩短开发周期。此外，该设计支持 OBC 系统后续平滑升级功能安全等级，具备良好的架构扩展性。 03 低压欠压保护功能安全方案 在基于上述架构的前提下，第一级欠压故障的检测方法与过压基本一致，但欠压无法采用硬件比较器进行快速检测。第二级欠压故障因 DC-DC 输出端口与小电池之间的压差较大，可利用低压侧反向过流检测实现快速判断。在故障响应中，为避免内部短路导致能量反灌，除停止 DC-DC 功率输出外，还需断开 DC-DC 输出端口与小电池的连接，这就要求在 DC-DC 输出端口配置一个安全开关。同时，DC-DC 还可利用该安全开关断开与闭合前后的电压变化，来判别故障属于 DC-DC 内部还是外部，进而采取不同的关断措施。 图十二 欠压检测功能安全系统框图
如您对我们的产品感兴趣，欢迎联系
我们将为您提供高效、贴心的解决方案！
咨询电话：135 1009 9916（微信同号）
↓ ↓ 点击图片免费领取产品规格书 ↓ ↓ 
想深入了解碳化硅功率器件产品知识？点击→「碳化硅（SiC）课堂」获取详情！
