新能源汽车高压安全设计之一：高压互锁HVIL

一、新能源汽车高压安全设计之一：高压互锁HVIL

随着电动汽车的不断发展，尤其是对充电效率的要求提高，电动汽车中使用的高压电也越来越高。

目前少部分车型采用200V电压平台，主流的车型多采用400V电压平台，部分高端车型开始应用800V高压系统。有些车企已经开始研发更高的900V-1000V平台，用以适配6C超快充。

随着电压的逐步升高，大家对电动车的高压安全问题也越来越关注和重视。

1.高电压带来的安全问题

使用高电压的安全风险我们最熟知的就是触电风险，尤其是在高压器件暴露时最危险；此外，车辆中的高电压在运行时还会带来另外两个的安全问题：1个是开关电弧，另1个是高压断电。

1.1高压暴露

人体安全电压的通用标准是指50伏交流电（AC）或120伏直流电（DC）。不过，实际安全性与环境、接触时间、人体电阻等因素密切相关。干燥环境中，36伏以下交流电或60伏以下直流电视为相对安全；而在潮湿或金属导电环境下，安全电压可能降至12-24伏。

在纯电动汽车中，主流高压系统的电压通常是400V左右的直流电，大大的超过了安全电压，这么高的电压一旦暴露，将对人员安全构成极大威胁。

防止高压暴露通常是在高压设备的外面加一个绝缘的保护盖，所以需要确保车辆中的所有高压部件的物理防护装置处于闭合状态，如果检测到异常打开，就需要及时处理。

1.2开关电弧

电路开关工作在高电压环境下，当开关断开时，触头间的电压很高。根据气体放电理论，当电压超过气体或绝缘介质的击穿电压时，介质中的电子会获得足够的能量挣脱原子束缚成为自由电子，初始的少量自由电子在强电场作用下加速并撞击其他中性原子或分子，产生更多的自由电子和离子，形成雪崩效应，最终导致气体介质导电，形成电弧。

开关电弧

在高压开关中，通常通过的电流较大。一旦电弧形成，电流就会在电弧通道中流动。随着电流的增加，电弧通道中的气体进一步电离，导致电阻下降，这又反过来使得维持电弧所需的电压降低。在高电流通过的区域，热能可以增加气体的电离概率，进一步增强电弧的稳定性。

电弧形成后会持续增强

电弧的高温不仅会损坏开关的接触点，还容易引燃周边的物体，对附近的人员和设备造成伤害。

电弧容易引发火灾

1.3高压断电

传统车的动力是由发动机提供的，发动机工作异常时，比如冷却液温度高，发动机排放故障、发动机运行故障时都要提前报警和处理。

电动车的动力是由动力电池的高压电驱动电机提供的，车辆行驶时，如果高压断电，使整车失去动力，也会影响车辆和人员的安全，需要提前预警和启动安全措施。

高压暴露、开关电弧和高压断电的问题都需要采取一定的方法检测、预警和处理才能避免由此引发的安全事故。而高压互锁HVIL就可以同时解决这几个问题。

2.高压互锁HVIL的基本概念

HVIL是High Voltage Interlock Loop的缩写，表示高压互锁。高压互锁是一种利用低压信号监测高压回路完整性的安全设计方法。通过检测电动汽车上所有与高压线束相连的组件，确保电气连接的完整性和连续性。

高压互锁使用低压回路来检查母线上的高压回路，汽车中的高压互锁系统可检测的范围包括电池组、BMS、VCU、PDU、MCU、DC-DC、PTC、线束、连接器及保护盖等所有使用高压电的设备。

当高压互锁回路的完整性受到破坏，有1个或多个地方出现了故障时，HVIL可以提供报警信息、启动安全措施。

3.高压互锁HVIL的基本原理

3.1机械结构

前面说了高压系统在使用中容易产生开关电弧问题，车辆中需要断开和连接的开关主要是指高压连接器，也就是插头和插座。

在车辆安装和检修时，如果带电插拔，就容易产生开关电弧，这个问题是通过特殊的机械结构来解决的。

普通的连接器只有两个引脚，分别是高压电的正极和负极，而HVIL的连接器又增加了一对低压电的正极和负极，这对低压电就是HVIL系统用来检查电路完整性的引脚，所以称为HVIL引脚。

HVIL连接器

如上图所示，HVIL连接器有4个引脚，中间多了两个HVIL pins。

从右侧图中还可以看出，中间的HVIL pins与两侧的HV pins的接触点不在一个平面，HVIL pins的插针比较短，这样的结果就是连接时，两侧的HV pins会先接触，而中间的HVIL pins后接触。

连接过程与断开过程

连接过程是自左向右：

左图表示开始时4个引脚完全断开；

中图表示连接时，两侧的HV pins先连接，中间的HVIL pins还未连接；

右图表示继续连接时，中间两个HVIL pins会连接，从而完成4个引脚的全部连接。

HVIL pins检测到不正常时，会断开高压回路。而HVIL pins未连接时是一种开路状态，这本身就是一种不正常的状态，此时模块的内部会断开高压电。所以在连接器中的HVIL pins接触前，高压电回路是断开的，没有高压，不会产生电弧，这样就保证了接插件连接时的安全。

断开的过程是自右向左，顺序刚好相反，中间的HVIL pins先断开，两侧的HVIL后断开，HVIL pins断开时就会立即切断高压回路，这样再断开HV pins时就没有了高电压，从而保证了接插件断开时的安全。

3.2电气原理

开关电弧问题可以通过特殊的机械结构解决，而高压电回路的完整性检测就需要通过电气原理来解决。

HVIL电路原理图示例

上图是1个HVIL系统的示例，这里使用了1个单独的HVIL监控单元，HVIL监控单元与BMS、MDI和OBC模块中的HVIL引脚串联，组成了一个大的回路。

HVIL监控单元中有1个电流源，会产生一个小电流，这个电流会从HVIL控制单元的接插件流出，经过BMS、MDI、OBC的接插件和内部电路后，最后再流回HVIL控制单元。

正常情况下，HVIL控制单元输出的预定义电流与实际返回的电流应该基本相等，但是如果回路中有连接器接触不良或松动、断开，就会导致实际返回的电流值一异常变化。HVIL控制单元通过检测输出电流（预定义电流）与输入电流（实际返回电流）的关系，就可以判断系统中连接器的连接情况。

如果电流基本相等，表示所有连接器都已牢固连接；

如果电流变小，表示有连接器接触不良或连接松动，导致接触电阻变大；

如果电流为0，表示有连接器断开了连接。

示例中是用的电流源，实际上用电压源也是一样的道理，通过检测输出、输入和中间各个点的电压同样可以判断出回路连接异常。

检测出大回路异常后，能否进一步确定到底是哪个模块、哪个连接器出现了问题呢？也就是如何精确定位问题呢？

这就需要模块内部也具有测量HVIL参数的能力，HVIL参数主要就是指电流和电压。

模块内部的电流、电压测试

比如示例中的BMS内部也有HVIL检测能力，BMS首先检测HVIL电流，如果 HVIL 电流与预定义值不相等。则BMS会进一步检测“HVIL In”和“HVIL Out”两端的电压：

1）如果“HVIL In”和“HVIL Out”两端的电压均为0V，表示电流根本没有流进BMS，也就是电流输入端出现了问题，即“HVIL In”侧的组件出现故障，比如HVIL In引脚未连接；

2）如果 “HVIL In”和“HVIL Out”两端的电压都大于0V，则表示电流正常流过了BMS的内部回路，输入端和中间电路都正常，说明“HVIL Out”侧的组件出现了故障，比如HVIL Out引脚接触不良。

3）如果“HVIL In”电压大于0V，而“HVIL Out”电压等于0V，则表示电流无法从BMS的内部回路中流出，也就表示BMS内部存在故障。

这里要注意的是，HVIL回路出现故障时，电流或电压不一定是0，通常要设定一个阈值。因为故障原因不只是断路，还有可能是接触不良，比如接插件端子出现退针时，可能导致接触电阻增大，由几十毫欧变为10几欧，但此时回路依然是连通的。

3.3 检测电路

HVIL 系统中的检测电路主要有两种，直流源方案与PWM方案。

HVIL检测电路

4.处理策略

4.1处理速度

高压连接器中的HVIL接口与高压大电流HV接口在插入或拔出时，有个时间差Δt，当连接器插入时，高压端子先接触，HVIL端子后接触，时间差为Δt1；当连接器拔出时，HVIL端子先断开，高压端子后断开，时间差为Δt2；通过时间差能确保高压端子已经可靠连接或提前预判其意外断开。

连接器HV端子与HVIL端子插拔的时间差

Δt1与Δt2两个时间差与插入或者拔出的速度有关，Δt1大概在1s左右，而Δt2大概在100ms左右，也就是断开的时间会快一些。

这就要求HVIL在断开时的处理速度要小于Δt2，通常情况下，系统对互锁端子回路的响应时间在10~100ms 之间，用来保证安全防护作用。

4.2互锁等级

下面是一个高压互锁HVIL系统的示例，示例中有两个HVIL回路，HVIL回路1和HVIL回路2。

高压互锁控制系统示例

HVIL1回路是从VCU开始，经过MCU、BMS和OBC后返回。HVIL2是空调系统相关的回路，也可以认为是个子回路。HVAC会将HVIL2回路中的状态信息通过CAN发给VCU。

此外，从左边的HVIL1回路中可以发现，MCU中除了正常的HVIL引脚，内部还连接了1个开关k。这个开关K是MCU（电机控制器）的保护盖相连。

前面说过，高电压还有1个高压暴露的问题，防止高压暴露通常是在高压设备的外面加一个绝缘的保护盖，盖板会采用杠杆式或按钮式结构，盖板也是一个开关，盖板打开时，开关断开；盖板闭合时，开关连通。将这个开关与HVIL回路串联，开关断开就相当于HVIL回路断开，此时高压就会断电。这样就可以用于开盖检测，也就解决了高压暴露的问题。

HVIL可以根据故障的风险程度进行等级划分，针对不同的故障等级，采取不同的安全控制策略。比如故障等级可以从重到轻分为一级、二级和三级。

一级：一般将电池管理系统（BMS）、电池系统（RESS）、车载充电机（OBC）等划为一级。这些部件是高压系统的核心部分，一旦出现互锁故障，可能会导致整个高压系统无法正常工作或存在严重安全隐患，通常会采取切断高压电源等较为严格的措施。

二级：电机控制器（MCU）、电动机（Motor）等常被划为二级。当二级部件出现HVIL故障时，车辆可能会先发出故障警告，然后降低电机的运行功率，使车速平稳下降，以确保在故障状态下车辆仍能安全行驶到合适位置。

三级：电动空调压缩机（EACP）、PTC加热器、DC/DC转换器等可划为三级。这些部件对车辆的动力性能影响相对较小，当出现HVIL故障时，一般会先进行故障警告，然后限制或中断相关部件的功能，以保障其他关键部件的正常运行。

5.小结

HVIL是High Voltage Interlock Loop的缩写，表示高压互锁。高压互锁结合了特殊的机械结构设计、电气检测和智能控制原理。

特殊的结构设计可以避免带电插拔，通过检测低压回路的电压、电流、PWM等参数可实现高压回路完整性的检查，检测到故障时可提前发出预警信号，根据不同安全等级及时做出防护处理。

素材来源：汽车电控知识