K5-03 制冷剂泄漏检测与安全响应

课程代码 K5-03 · 板块 K 控制、软件与标定 / 诊断与故障管理 时长 约 3.0 小时（8 讲） 前置 A1-04 工程热力学与蒸气压缩制冷循环（log p-h 图判读）；H7-03 制冷剂演进：R134a→R1234yf→R744→R290 本讲义定位 讲师授课蓝本 / 学员自学讲义，是 K5-03 大纲的完整展开版

---

按任务导航

你手上的事	直接看	还要配
审一份可燃工质（R1234yf / R290）的泄漏检测与响应方案	第 4 讲 · 时间预算的四项拆账：每一项由谁、在哪个阶段决定	第 7 讲（七层动作里，这份方案缺的是哪一层）
给 R744 座舱定报警门限的口径（⛔ 不是那个数）	第 3 讲 · 两条定限值路径并排，含那条误用支	第 6 讲（乘员呼出的和漏出的是同一种气体）
挑浓度传感器装在哪、装几只	第 6 讲 · 布点四要素，以及两类看着合理的错位置	第 4 讲（输运时延要在布置冻结前就进预算表）
判一条压力趋势判据能不能当安全告警用	第 5 讲 · 两相区里压力与充注量无关的那个失效区	第 1 讲（两条链的时间尺度差 10⁴ 以上）
写一份 A2L/A3 系统的售后动火作业前置规程	第 8 讲 · 前置条件链、合格判据的形态与它的三个限定词、复检时机与设备等级适配	第 3 讲（合格判据要对的那条线是「设定比例的可燃下限」——可燃下限的折算口径、基准态与「两套限值体系不可互套」都在那里）

⛔ 本课不覆盖

栏一 · 不讲哪些题目：① 密封裕量与防泄漏设计（会不会漏、漏多快）→ I3-01 系统密封等级与泄漏率目标设定 / I3-03 冷媒/冷却液泄漏路径与防泄漏设计；② 阈值、去抖与验证的整定通法 → K5-07 诊断与保护阈值的整定、验证与复验；③ 在役健康度基线、工况归一化与慢变辨识通法，以及慢漏「漏了多少、还能开多久、什么时候进站补冷媒」的量化 → K5-05 在役健康度与渐变衰减辨识：从车端信号到服务决策；④ 判据够不够用的充分性论证 → K2-05 预期功能安全（SOTIF/ISO 21448）与 AI 件安全论证在热管理的落法；⑤ 内漏（回路间串漏，如 chiller 冷媒漏进冷却液侧）→ K5-06 冷却液流量的在线估计与流量/内漏类故障诊断 与 C1-03 充注量优化与系统油循环管理——⚠ 它会触发本课第 5 讲那条压力判据，而处置完全不同，所以必须点名；⑥ 降级模式仲裁与并发故障优先级 → K5-02 热管理故障处理与降级策略 / K3-01 整车热管理控制策略总览与模式管理；DTC 状态机与冻结帧字段 → K5-01 OBD/UDS 诊断与故障码（DTC）设计；⑦ R290 安全设计本体（限充注量、点火源清零、联锁）→ H7-05 R290（丙烷）可燃工质安全设计；天然工质系统与卤素检漏仪对烃类的原理性失效 → N3-02 天然工质（R290/R744）系统与安全；⑧ 回收 / 再生 / 危废处置的判据与设备口径 → H7-08 工质与工作液的退出端：回收、再生与合规处置；泄压件整定与选型 → G4-05 单向阀、截止阀与电磁阀应用；现场作业人员防护本体 → L0-01 热管理现场作业安全入门：冷却液、制冷剂、高压电与试验现场。

栏二 · ⛔ 真正不给的数：① 标准条款的限值与等级号——本课引用的 ISO 817 / ASHRAE 34、SAE J639、SAE J2773 与可燃制冷剂整车安全法规体系，加上 R744 那一支要用的职业卫生接触限值体系，本课全部未取得原文 ⇒ 只写标准号、它管什么、版次「以现行目录为准」，⛔ 一个条款、一个限值、一个分部编号都不写 → 用之前自行核现行版原文。② 本项目自己的验收阈值——舱内报警门限、压力偏离阈值与去抖时长、报警门限相对可燃下限的比例系数、动火合格判据里那个比例 → 取值方法在 K5-07 诊断与保护阈值的整定、验证与复验，比例系数与合格判据由当期标准与本平台的制冷剂风险评估结论给出；本课交出的是它们的输入与反解式。③ 教学假设之外的具体产品参数——浓度传感器的检测限与阶跃响应时间、快漏速率 → 供应商数据表（须核它的测试条件）＋ 整车级注入实测 L1-11 不可逆危险试验的实施与管控：整包热扩散/滥用试验与可燃工质泄漏实测；本课给反解式与两个教学锚点。

⚠ 与栏二无关的一件，先说清免得你去别处找：平台相关量本课照给典型参考值（区间 ＋ 常见值锚点 ＋ 免责句 ＋ 拿到它的路）——座舱有效容积、前舱自由容积、整车充注量、自然渗漏换气次数、静息成年人 CO₂ 呼出速率、跨临界高压侧压力量级，正文里逐个给。⚠ 典型值，⛔ 不是验收依据，你的平台须实测确认。

引言：把问题从「漏没漏」换成「还剩多少时间」

一份冷媒泄漏诊断方案摆在评审桌上：浓度传感器选好了、压力判据写了、报警门限填了、故障码配了、验证用例也跑过了。每一格都是填满的，评审通过。而这份方案在真正泄漏的那一天来不及——不是因为哪一格填错，是因为整场评审问的都是同一个问题：「这条判据判得准不准、漏没漏得出来」。

没有人问过那个唯一决定后果的量：从开始漏，到乘员周围的浓度到达危险水平，还剩多少时间；而这段时间里，要装下检测、装下响应动作真正到位、还要装下留给意外的那一段裕量。

钉子①：本课的判定量是「还剩多少时间」，⛔ 不是「有没有漏」

换掉判定量之后，「这条判据够不够灵敏」这个问不清楚的问题（答案随提问的人变），就变成了一条可以逐项拆账、可以验收的不等式：

检测时间 ＋ 反应时间 ＋ 安全裕量 ＜ 浓度到达危险水平的时间

左边三项都能测、都有属主：检测时间还能再拆成四项（输运时延、传感器阶跃响应、滤波时延、诊断任务周期各占一格，第 4 讲给），反应时间由执行器与总线决定，裕量由整车安全论证给出。右边那一项不是设计出来的，它由工质、限值口径、充注量与分区容积决定——⇒ 预算对不上时，能动的是左边三项，以及通过限充注量与分区去影响右边，⛔ 不是把裕量悄悄砍掉。

由这根钉子推出本课全部工程动作的固定次序，六步：危害画像（会伤到什么）→ 限值口径（危险浓度怎么定，按工质分两套）→ 时间预算 → 判据选型（间接测得到什么、直接测得到什么）→ 响应动作链（分级、分工质、分架构）→ 售后作业域（人在工位上那一套）。⛔ 一步不能跳。尤其⛔ 不许跳过第二步直接去整定阈值——那是在给一条自己都没定义清楚的判据配数字，而阈值整定的通法接受任何输入、⛔ 不会因为「危险浓度定错了」而报错。

★ 本课的验收问法固定为一句，今天就能拿去对着手上那份方案问：说出这条判据的输出接到哪条链上，以及那条链的时间尺度是多少。

由这根钉子直接推出：两条链，时间尺度差 10⁴ 以上，⛔ 不许共用一个阈值

判定量一换成时间，所有手段就自动排成两条互不可换的链：

• 安全链——舱内浓度直接判据 → 安全响应动作，秒—分钟级；它的失败方式是漏报，代价不可逆（人已经受到伤害），所以它宁可误报。
• 服务链——压力与性能的间接判据 → 进站补冷媒，周—月级；它的失败方式是误报，代价直接可见（无谓进站的工时与客户满意度），所以它宁可晚报。

两条链上的泄漏速率相差 10⁶~10⁷ 量级 ⇒ ⛔ 不可直接比大小、⛔ 不可画进同一张线性坐标图。把两者合成一条判据，等于要一组参数同时满足两个相反的偏好，结果必然两头都不达标——而阈值表上看不出这件事，它只是一行数字。

★ 判一条判据属于哪条链，只看一件事：它的输出接给谁——接给执行器就是安全链，接给服务提示就是服务链。

★ 反钉子：「R744（CO₂）不可燃、安全组别 A1，所以舱内泄漏不是安全事件」

顺着这句话，读者会做错三个动作，而它们是一条链，第一个错会把后两个自动带错：① 定阈值时按缺氧机理算——「把氧从 20.9 vol% 稀释到危险水平需要十几 vol% 的 CO₂」，于是把舱内门限放在十几 vol% 这一档；② 把这个门限代进浓度积累式——门限抬高多少倍，算出来的可用时间就宽多少倍，于是「检测慢一点、响应慢一点也来得及」这个结论看起来是算出来的；③ 把 R744 放进「可以止步于一级响应」的默认集合——既然不燃不爆，那就只报警、只限制舒适功能，⛔ 不停压缩机、⛔ 不强制外循环外排。

⇒ 为什么这是反的：CO₂ 在座舱里的首要伤害不是把氧稀释掉，而是它自己的生理作用（高碳酸血症 / 呼吸性酸中毒）——数 vol% 量级就已经引起呼吸急促、头痛、判断力下降，而判断力下降的对象正在开车。⇒ 合法的限值体系是 CO₂ 接触限值（8 h 职业接触限值 OEL 约 0.5 vol%、立即危及生命健康浓度 IDLH 约 4 vol%），⛔ 不是氧含量下降判据。而按缺氧机理算出的那个十几 vol%，比 IDLH 那一档高约 3.5 倍、比 OEL 那一档高约 28 倍，时间预算被同倍数放宽，放宽掉的那一段恰好落在乘员判断力已经开始下降的区间里。⚠ 这两个限值是量级参考，来源等级＝职业卫生体系转述、本课未取得原文，各国各体系取值不同 ⇒ ⛔ 不单值化、⛔ 不作设计输入，以现行职业卫生与车用标准为准；两侧的取值、折算路径与那三个倍数的算法，第 3 讲逐步给出。

★★ 它为什么特别难被发现：这条错不会以报错的形式出现。传感器装了、阈值写了、告警配了、用例跑了，故障码也能正常置位，每一格都是填满的；差别只在那个门限的数值上，而没有任何一道闸在看它是从哪套机理推出来的。A1 这个分类结论恰恰是它最好的掩护：A 是「较低毒性」的分类结论，⛔ 不等于无毒，而分级表上写着 A1 的那一行，不会替你把这句话说出来。

⚠ 同族第二例（第 6 讲另讲一次，形态相同）：「浓度传感器要布在通风良好、气流通畅的位置，读数才有代表性」——照它装，传感器会被放到出风口正下方或通道处，而通风良好恰恰意味着这里的浓度被持续冲淡：它被装在了一个被设计成永远测不到的位置。两例的共同结构是：一个听起来像优点的词（不可燃 / 通风良好），恰好指向那个会让判据失效的选择。

射程：本课只管外泄漏，只管中间那两段

工程口语里「泄漏问题」这四个字合称着五件事，而五件的修法互不相同：密封裕量决定会不会漏、漏多快（I3-01 系统密封等级与泄漏率目标设定 / I3-03 冷媒/冷却液泄漏路径与防泄漏设计）· 泄漏检测决定漏了多久能知道（本课）· 安全响应决定知道了做什么、多快做完（本课）· 阈值整定决定判到什么程度算成立（K5-07 诊断与保护阈值的整定、验证与复验）· 健康度基线决定慢慢变差怎么辨识（K5-05 在役健康度与渐变衰减辨识：从车端信号到服务决策）。⇒ 一句「这台车的泄漏问题解决了」可以指五件完全不同的事；本课只负责中间两段，第 1 讲当堂把五段的边界画开。

另一条边界同样要点名，⛔ 不靠不提它来表达：本课的「泄漏」只指外泄漏——工质漏到大气、舱内或前舱；⛔ 内漏不在射程内（回路间串漏，如 chiller 冷媒漏进冷却液侧），它不产生舱内浓度、判据形态完全不同，去向 K5-06 冷却液流量的在线估计与流量/内漏类故障诊断 与 C1-03 充注量优化与系统油循环管理。⚠ 之所以要点名而不是略过：内漏会触发本课第 5 讲那条压力判据，而处置完全不同——判据会响，结论不归本课。

八讲怎么走

第 1 讲 把五段边界、六层纵深防御与两个作业域画开，并说明每一层失效会把上面那条不等式的哪一边推坏。第 2 讲 危害画像：四种工质 × 六类危害逐格填，⛔ 不许留空格——沿可燃性分级表这一条线索数，只数得出前两类。第 3 讲 限值口径：三套浓度口径的折算与写死的基准态，两条定限值路径（可燃工质走可燃下限的比例，R744 走接触限值体系），并把五条限值放到同一根对数浓度轴上。第 4 讲 时间预算：带通风稀释的浓度积累式、稳态浓度、四项拆账、四工质算例，以及预算不成立时的三条出路与各自代价。第 5 讲 间接判据：压力偏离饱和这条判据的形式，以及它在两相区那个物理失效区——慢漏在它上面不是不敏感，是信号不存在。第 6 讲 直接判据：布点四要素、呼吸源与泄漏源是同一种气体这个结构性难题、误报来源六类、组合判据的「或 / 与」怎么选。第 7 讲 响应动作链：七层动作、先分架构再分工质再分等级的决策树、外循环外排为什么不能换成内循环、失效安全缺省态，以及「响应完成」算到哪一刻。第 8 讲 售后作业域：动火前置条件链、设备等级与工质适配、回收 ≠ 可直接回充。最后用一次前舱接头慢漏的复盘收口——那一场泄漏在车端两条链上都没有出口，⇒ 补法是第三条出口，⛔ 不是再加一只传感器。

⇒ 全课的交付物是三张你能填的表：风险画像表（工质 × 六类危害 × 响应优先级）、检测方案表（判据 / 接哪条链 / 误报场景 / 漏报场景 / 射程边界）、响应链时间预算表（检测时间四项拆开 + 反应时间 + 裕量，与右边那一项比大小）。

第 1 讲　这门课管哪一段：五段消歧、六层分工，与把判定量换成时间

一份项目评审纪要上写着「这台车的泄漏问题已经解决了」。这句话可以指五件完全不同的事，而五件事的修法互不相同——密封不够要改结构与密封件，检测不够要加传感器与判据，响应不够要改动作链，阈值不对要重整定，基线不对要重采样。选错了那一件不会有任何东西报错，它只会在下一次真泄漏时，以「来不及」这一种形式出现。

本讲不讲工质、不讲传感器、不讲阈值，只做一件事：把这门课的边界画出来，并把全课的判定量换掉。次序是：五段名词消歧（1.1）→ 六层纵深防御各自推动的是不等式的哪一边（1.2）→ 检测响应与密封裕量在故障树上的位置（1.3）→ 两个手段几乎不重叠的作业域（1.4）→ 本课的射程边界（1.5）→ 与三门方法课的接口（1.6）→ 把判定量从「漏没漏」换成「还剩多少时间」（1.7）→ 由此推出的分链原则（1.8）→ 本讲交出的三张随身表（1.9）。

本讲立下的记号，全课照此用（单位在各讲第一次用到时会重述；浓度侧的记号在第 3 讲第一次用到时定义，本讲一律用中文写「舱内浓度」「危险浓度」「检测限」）：

记号	含义	单位	纪律
ṁ_leak	泄漏质量流量	kg/s（安全链工程常用 g/s）／ g·a⁻¹（服务链）	⚠⚠ 两条链用两套单位，相差 10⁶~10⁷ 量级，⛔ 不可直接比大小、⛔ 不可放进同一张线性坐标图（1.8）
t_reach	从泄漏起始到舱内浓度达到危险浓度的时间——本课的被预算量	s	⚠ 它是后果侧的量，⛔ 不是任何一条判据的输出；能设计的是不等式左边那三项（1.7）
t_detect	检测时间——从泄漏发生到判定成立	s	定义与射程沿用 K5-07 诊断与保护阈值的整定、验证与复验，本课在它内部补出一项、第 4 讲逐项拆账。⛔ 安全相关诊断的 t_detect 不含跨循环成熟度计数（K5-07 诊断与保护阈值的整定、验证与复验 已写死，本课照用、⛔ 不重议）
t_react	反应时间——从判定成立到动作到位并被确认	s	⛔ 不是「指令发出」。⇒ 这一条直接决定响应链必须带位置反馈，⛔ 不能开环发指令（第 7 讲收口）。记法与 K5-07 诊断与保护阈值的整定、验证与复验 / K5-02 热管理故障处理与降级策略 一致
t_margin	安全裕量——预算式里显式留出的那一段	s	⛔ 不许把它并进 t_reach 的取值里（并进去之后它就不可见、不可评审、不可对账，而预算对不上时最省事的动作恰恰是砍它）。取值由整车安全论证给出，本课⛔ 不给数、只给它的构成

1.1 先消歧：纪要上那句「泄漏问题」，可以指五件完全不同的事

是什么。把「泄漏」这件事的完整链条切成五段，每段一个属主课，本课只负责中间两段：

段	它回答的问题	属主	这一段不足时的表现	修法
密封裕量	会不会漏、漏多快	I3-01 系统密封等级与泄漏率目标设定 / I3-03 冷媒/冷却液泄漏路径与防泄漏设计	同一批车反复出现同一处接头渗漏	改结构、改密封件、改装配与验收
泄漏检测	漏了多久能知道	本课（第 4~6 讲）	漏掉大半才被发现，或天天误报	加/改判据、改布点、重定检测手段组合
安全响应	知道了做什么、多快做完	本课（第 7 讲）	报警响了而没有任何执行器动作	改动作链、补失效安全缺省态、补位置反馈
阈值整定	判到什么程度算成立	K5-07 诊断与保护阈值的整定、验证与复验	阈值定了却说不出它是从哪儿来的	重走整定与验证流程
健康度基线	慢慢变差怎么辨识	K5-05 在役健康度与渐变衰减辨识：从车端信号到服务决策	基线自学习把真慢漏当正常吸收掉	重采样、重做工况归一化

为什么必须先消歧。这五件事在工程口语里被合称「泄漏问题」，在同一份评审纪要上并排放着。于是「泄漏问题解决了」这一句话可以指五件事中的任意一件，而五者的修法互不相同——改错了不会报错，只会在下一次真泄漏时来不及。

今天就能做的一步。下次听到「泄漏问题」四个字，先问五问，逐一落到上表的某一行：会不会漏（谁在管）· 漏了多久能知道 · 知道了做什么 · 判到什么程度算成立 · 慢慢变差怎么辨识。答不上其中任何一问，那一段就是空的；五问答全之前，「解决了」这个结论⛔ 不成立。

工程量级。⛔ 本课不给任何密封等级、年泄漏率限值、阈值或去抖的数值——那是另外三门课的交付物。本课给的是五段之间的接口量：把「危险浓度」交给阈值整定、把「检测限」交给传感器选型、把「时间预算」交给响应链设计（三条接口在 1.6 写死）。

易错点。把「加了一只浓度传感器」当成「泄漏问题解决了」。传感器只压缩了 t_detect 这一项；而 t_reach 由密封与充注量决定、t_react 由执行器与总线决定。三者中任意一项不满足预算，整条不等式照样不成立——而不等式不成立这件事，在「已加装传感器」这一行的验收记录上完全看不出来。

1.2 纵深防御六层：判「哪一层没做好」，看它推坏了不等式的哪一边

是什么。本课全部工程动作压在同一条不等式上：

t_detect ＋ t_react ＋ t_margin ＜ t_reach

四项分列，t_margin 独占一项，⛔ 不许把它折进 t_reach 的取值里；它的取值由整车安全论证给出，⛔ 不得在预算对不上时反过来调它。四项各自的量与拆法在第 4 讲逐项拆账，本讲只用它来分层。

防御分六层，本课占第四、第五层，外加一个独立的售后作业域：

层	内容	属主	它动的是不等式的哪一边
① 源头	选工质、限充注量	工质选择去向 H7-03 制冷剂演进：R134a→R1234yf→R744→R290；充注量优化去向 C1-03 充注量优化与系统油循环管理；R290 那一档的充注量上限还受「按可用容积与可燃下限反推」约束，去向 H7-05 R290（丙烷）可燃工质安全设计	右边：抬高 t_reach
② 被动隔离	二次回路、分区、布置远离乘员舱	架构侧，去向 H7-05 R290（丙烷）可燃工质安全设计 / N3-02 天然工质（R290/R744）系统与安全	右边：抬高 t_reach
③ 密封裕量	件与接头	I3-01 系统密封等级与泄漏率目标设定 / I3-03 冷媒/冷却液泄漏路径与防泄漏设计	右边：抬高 t_reach（失效时它同时抬高 ṁ_leak）
④ 检测	判据、布点、检测手段组合	本课（第 4~6 讲）	左边：压小 t_detect
⑤ 响应	动作链、分级、执行与确认	本课（第 7 讲）	左边：压小 t_react
⑥ 售后作业域	动火前置条件、设备等级、回收处置	本课（第 8 讲）	⚠ 另一个作业域，⛔ 不在这条不等式上（保护对象是作业人员，⛔ 不是乘员；见 1.4）

为什么这样分层是有用的、而不只是排版。因为它把「哪一层没做好」翻译成了「不等式的哪一边被推坏了」：前三层动的是右边，后两层动的是左边。⇒ 预算不成立时，可以按层去找可动的余地，⛔ 而不是本能地去加传感器。

今天就能做的三步（预算不成立时的找法，次序不许倒）。 ① 先看右边能不能抬——充注量能不能降、能不能改成二次回路把工质挡在乘员舱外、泄漏路径能不能改到一个更大的分区里； ② 再看左边能不能压——布点能不能挪近泄漏源、传感器能不能换快、去抖与滤波能不能缩； ③ 两边都动不了，就是「这个方案在这条不等式上不成立」这条真结论，⛔ 不许靠调低裕量把它凑成立。三条出路与各自的代价在第 4 讲展开。

工程量级。各层的定量指标本课⛔ 不给，量化归各层属主课。这里只给一个读者今天会用到的输入量级：乘用车整车制冷剂充注量——R134a/R1234yf 乘用车常见 450~900 g，多数在 600~700 g；R744 系统常见 500~900 g，带热泵的平台多在 700~900 g；R290 二次回路模块常见 100~300 g，多数在 150~200 g。⚠ 典型值，⛔ 不是验收依据；它随回路长度、换热器内容积、有无热泵与储液器容量移动，你的平台须按充注量优化结果确认。→ 拿到它的路：本平台的充注量标定报告（去向 C1-03 充注量优化与系统油循环管理），R290 那一档的上限反推去向 H7-05 R290（丙烷）可燃工质安全设计。

易错点。把六层理解成「串联的六道保险，任何一道成立就安全」——⛔ 错。前三层与后两层作用在故障树的不同分支上：源头限充注量压的是后果的幅度（它改的是 t_reach 与最终能达到的稳态浓度），而检测响应只压缩暴露时间。⇒ 充注量若大到全释放即远超限值，再快的检测也只能把伤害从「更重」变成「重」。这句判断第 4 讲会用一笔「克数账」量化（要多少克进舱才够到某一档限值），本讲只立方向。

1.3 检测响应替代不了密封裕量——理由在故障树上的位置，⛔ 不是「多一道保险总是好的」

是什么。把「密封 vs 检测」这场常见争论翻译成故障树的语言：密封失效是始发事件，它的频率由密封等级、接头数量、振动与温度循环决定（属主 I3-01 系统密封等级与泄漏率目标设定 / I3-03 冷媒/冷却液泄漏路径与防泄漏设计）；检测响应是缓解措施，它挂在始发事件之后，改变的是后果分支的分布。⇒ 缓解措施只能降低后果等级，⛔ 不能降低始发频率。

为什么必须讲这一层。因为「检测能替代密封」这句话在项目里通常不是被说出来的，而是被预算压出来的——密封升级要改件、要重新验证、要涨成本，而加一只传感器看起来便宜。这个替换在评审桌上从不以「我们放弃密封裕量」的形式出现，它出现的形式是「我们已经有检测了」。

今天就能用的一句问法。面对任何一条被提出来的措施，只问：它改的是始发频率，还是后果分支？改始发频率的（密封件、接头数量、防振布置、装配管控）与改后果分支的（判据、布点、动作链），在预算不成立时不可互相顶替。

工程量级。⛔ 本课不给频率与后果的量化模型——那是 I7-01 热管理系统/零部件 DFMEA 实操（DFMEA）与 K2-05 预期功能安全（SOTIF/ISO 21448）与 AI 件安全论证在热管理的落法（判据充分性论证）的活。本课给的是判据结构：若某个泄漏场景在始发频率上已不可接受，加检测不改变这个结论。

易错点（反向也要防）。拿「检测替代不了密封」这句话去反对加检测，同样是错的：可燃工质与 R744 的后果分支里，有几支的后果差异完全由响应决定（有没有外排、有没有断点火源），这几支上缓解措施是唯一的手段。⇒ 正确的说法是两者作用在故障树的不同位置，⛔ 不是谁更重要。

1.4 两个作业域：车上在线域与人在维修工位域，手段集合几乎不重叠

是什么。本课有两个作业域，它们的判据、灵敏度、响应时间要求与合格标准全都不同：

	车上在线域	人在维修工位域
它问的问题	乘员还剩多少时间	这个接头漏不漏、能不能动火
手段	浓度传感器、压力/性能判据、执行器	检漏仪、示踪剂、回收称重、氮气置换
时间尺度	秒—分钟	分钟—小时
保护对象	乘员	作业人员
合格判据形态	判据成立 ⇒ 触发动作链	测点、时刻、测量方法都写死的一次合格结论
讲次	第 4~7 讲	第 8 讲

为什么必须在第 1 讲就分开。因为「泄漏检测」这四个字在两个域里指的不是同一件事；不分开的话，第 8 讲会被读成「附录」，而它是本课的第二个主体。

工程量级。两域的灵敏度差异是数量级的：工位手段能查到 g/年 量级的慢漏（本课案例里那次泄漏正是这样被查出来的），而车端浓度判据在这个量级上永远不会响应——第 4 讲会把这笔账算给你看：这一量级慢漏在舱内的稳态浓度，比 CO₂ 接触限值还低四到五个数量级。

今天就能做的一步。把手上那份泄漏方案里的每一条手段，逐条贴上「车上／工位」标签。贴错的当场就能看出来，而且错法只有两种、都很典型：把工位手段写进车端方案（例：「用示踪剂检漏」写进整车诊断策略），或把车端判据当成工位合格判据（例：「车上没报警，所以可以动火」）。

易错点。上面第二种错是第 8 讲要防的第一类错误，它的代价是人正站在明火旁边：车端浓度判据的量程、布点与去抖，全部是按乘员舱危险浓度设计的，它对「这个接头此刻还有没有残余可燃气」这个问题从来没有作答能力。

1.5 本课的射程：只管外泄漏；内漏会触发本课的一条判据，却不属于本课

是什么。本课的「泄漏」只指外泄漏——工质从系统漏到大气、舱内或前舱。⛔ 内漏不在本课射程内（回路间串漏，例如 chiller 冷媒漏进冷却液侧、水侧漏进空气侧），去向 K5-06 冷却液流量的在线估计与流量/内漏类故障诊断（流量／内漏类故障诊断）与 C1-03 充注量优化与系统油循环管理。

为什么要把它写出来，而不是不提。因为「跳过了」与「判过、判为射程外」在读者眼里长得一模一样。一个带着 chiller 内漏问题来读本课的读者，会得到「本课这些手段对我不适用」这个正确结论——但只有在本课点名了它、并告诉他该去哪门课的时候；不点名的话，他会以为是自己没读懂。

工程量级。不适用的原因是可以说清楚的：内漏的工质进入的是另一个封闭回路而不是空气，舱内浓度判据的分子上根本没有这一项；而它在压力判据上确实有表现（低压侧异常）。⇒ 内漏会触发本课第 5 讲那条间接判据，却不属于本课——这正是必须点名的原因：判据会响，而处置完全不同。

易错点。把「压力异常」自动归因成外泄漏。外泄漏与内漏在低压侧压力上的表现可以相同，区分要靠别的读数（去向 K5-06 冷却液流量的在线估计与流量/内漏类故障诊断）。⇒ 一条压力判据置码之后，「漏到哪儿去了」这个问题它答不了；答它需要另一组读数，⛔ 不是把这条判据的阈值再调一次。

1.6 与三门方法课的分工：每条去向都写清「交出去什么、拿回来什么」

是什么。本课的骨架压在三门方法课上，接口在这里写死。本课只交场景专属的输入，⛔ 不重讲任何一条通法：

方法课	它给的通法	本课交出去的	它交回来的
K5-05 在役健康度与渐变衰减辨识：从车端信号到服务决策	慢变辨识：建基线、工况归一化、偏离阈值、分级告警、误报来源	泄漏这一种失效在归一化之后的表现形态，以及它的服务侧出口	一条可上车的慢变判据与它的基线维护办法
K5-07 诊断与保护阈值的整定、验证与复验	阈值整定与验证	三项输入：危险浓度、传感器检测限、时间预算	阈值与去抖的取值及其验证记录
K2-05 预期功能安全（SOTIF/ISO 21448）与 AI 件安全论证在热管理的落法	判据充分性论证（场景覆盖到什么程度算够）	场景清单，以及「可燃工质漏报后果不可逆」这一条	一份说得出理由的充分性结论

为什么必须写死。通法课与场景课重叠时，最容易发生的不是漏讲，而是两边各讲一半、口径不同。一个已经发生过的具体形态：本课若自己再定义一次「误报率」，它与 K5-07 诊断与保护阈值的整定、验证与复验 那个同名的量会成为两个基准不同、名字相同的量——本课的误报按次/(车·年)与次/(千车·年)计，而 K5-07 诊断与保护阈值的整定、验证与复验 按次/(车·小时)计。⇒ 两处对账必须先折算并写明折算式，⛔ 不可直接互比。（为什么本课不能按小时计：本课两条链一条是周—月尺度、一条是一次性事件，按小时计频没有意义。）

工程量级。本课在这三条接口上给出的都是场景专属量——限值体系、舱内扩散时间常数、传感器检测限、乘员呼吸源。它们的共同特征是：换一个诊断对象就完全不适用，因此不可能被通法课覆盖。

今天就能用的一步。读到本课任何一处「这里不展开，见 [[X]]」时，往后看一句：后面有没有写清「本课交给它什么、它交回来什么」。裸的去向是没有信息量的；带着这两句的去向，你今天就能据此列出需要向那门课（或那个团队）索取的东西。

易错点。把「不重讲通法」读成「本课偷懒」。反过来才是真风险：若本课把归一化、整定、充分性论证各重讲一遍，工程上会得到两个真值源，而两个真值源迟早会漂开，且漂开时没有任何东西会报错。

1.7 钉子落地：把判定量从「漏没漏」换成「还剩多少时间」

是什么。本课的中心判断只有一句：本课的判定量是「舱内浓度到达危险水平还剩多少时间」（t_reach），⛔ 不是「有没有漏」。本讲提出，第 4 讲量化，之后每一讲收口时回敲一次。

为什么换判定量是有价值的、而不是换一个说法。因为「这条判据够不够灵敏」没有验收语言——它的答案随提问的人变，评审桌上没有办法判它真假。换成 t_reach 之后，问题变成「这条判据把 t_detect 压到了多少」，而 t_detect 是可以逐项测量、逐项签字的：

1. 输运时延——泄漏点扩散到传感器进气口那一段，由布置决定，靠仿真排序、靠整车级注入实测收口；
2. 传感器阶跃响应——由供应商数据表给，须核实它是在传感器进气口处阶跃测的；
3. 滤波时延——由软件配置直接读出；
4. 去抖占用的那几个诊断任务周期——同样由软件配置直接读出。

四项相加，与 t_reach 比大小，得到一个真假明确的结论。（四项的定义、单位与拆账表在第 4 讲；⛔ 其中不含跨循环成熟度计数，这一条 K5-07 诊断与保护阈值的整定、验证与复验 已写死。）

由此推出本课后面的固定次序。危害画像（会伤到什么，第 2 讲）→ 限值口径（危险浓度怎么定，按工质分两套，第 3 讲）→ 时间预算（第 4 讲）→ 判据选型（间接测得到什么、直接测得到什么，第 5、6 讲）→ 响应动作链（第 7 讲）→ 售后作业域（第 8 讲）。⛔ 六步一步不能跳；尤其⛔ 不许跳过第二步直接去整定阈值——那是在给一条自己都没定义清楚的判据配数字，而 K5-07 诊断与保护阈值的整定、验证与复验 的整定通法接受任何输入、⛔ 不会因为「危险浓度定错了」而报错。

工程量级。第 4 讲会用一组教学假设值把这条不等式在四种工质上算一遍，你会看到：同一套检测响应硬件，在 R290 前舱场景下预算不成立，而在 R1234yf 舱内场景下还有一个数量级的余量——差异不来自硬件，来自 t_reach 本身差了约 60 倍。⚠ 教学假设值，⛔ 不对应任何平台、⛔ 不得取用；换你的平台数重算，结论的次序不变、数值全变。

今天就能用的一步。把「这条判据够不够灵敏」这个问不清楚的问题，当场改问成四问：输运时延多少 · 传感器阶跃响应多少 · 滤波多少 · 去抖占几个任务周期。四问里只要有一问答不上来，这条判据的检测时间就还没有被算过，⛔ 此时讨论阈值取多少没有意义。

易错点。把 t_reach 当成一个可以「设计」的量去调。它是后果侧的量，由工质、限值口径、充注量、分区容积与泄漏率决定。能设计的是不等式左边那三项，以及通过限充注量与分区去影响右边（1.2 的第①②层）——⛔ 不是通过「把危险浓度取宽一点」来影响右边，那是第 3 讲整节要防的那条错。

1.8 由钉子直接推出：安全链与服务链，两条链的时间尺度差 10⁴ 以上

是什么。判定量换成时间之后，本课的手段自动排成两条互不可替代的链：

• 安全链：浓度直接判据 → 舱内浓度越过报警阈值 → 安全响应动作（停源／隔离／稀释／断点火源）→ 接给执行器。时间尺度：秒—分钟。
• 服务链：压力／性能间接判据 → 归一化残差持续偏离 → 服务提示与进站建议 → 接给人（服务站／车主）。时间尺度：周—月。

判别口径（本课全程照此用）。判一条判据属于哪条链，看它的输出接给谁：接执行器＝安全链，接服务提示＝服务链。⛔ 不看它测的是什么量。

三条禁令。两条链 ⛔ 不许共用一个阈值、⛔ 不许互相替代、⛔ 不许放进同一张线性坐标图。

为什么必须分开。因为两条链的失败方式相反：安全链漏报的代价不可逆（人已经受到伤害），所以它宁可误报；服务链误报的代价直接可见（无谓进站的工时、备件与客户满意度），所以它宁可晚报。把两者合成一条判据，等于要一组参数同时满足两个相反的偏好，结果必然两头都不达标；而阈值表上看不出这件事——它只是一行数字。

工程量级。两条链的速率量级可以直接比：快漏（管路断裂、接头脱开）落在 g/s 量级，慢漏落在 g/年 量级，两者相差 10⁶~10⁷，对应的时间尺度相差 10⁴ 以上。⚠ 快漏速率本课未取得可信区间（它由破口面积、上下游压差与相态决定，跨度极大）⇒ ⛔ 不给区间；第 4 讲给反解式（由「整车充注量在多长时间内放完」反解）与两个教学锚点，取数的路是本平台的泄漏场景定义（破口尺寸假设来自 DFMEA，去向 I7-01 热管理系统/零部件 DFMEA 实操）与整车级注入实测（去向 L1-11 不可逆危险试验的实施与管控：整包热扩散/滥用试验与可燃工质泄漏实测）。慢漏一侧：合格系统的年泄漏率通常落在 10 g/年 这个量级——⚠ 量级参考，⛔ 不是任何法规限值、⛔ 不是验收依据（不同法规体系与不同蒸发器数量的系统限值不同，限值与目标设定的属主是 I3-01 系统密封等级与泄漏率目标设定，法规体系去向 M4-03 安全法规（可燃工质/高压/热失控）合规）。⇒ 第 5 讲会给出一张双对数图，把慢漏与快漏放到同一根轴上，标出两条判据各自的可用区，以及中间那条两者都不好用的带。

今天就能用的验收问法（全课固定这一句）。说出这条判据的输出接到哪条链上，以及那条链的时间尺度是多少。答不出输出接给谁，这条判据就还没有归位；答出来了但两条链共用同一组参数，那就是下面这个易错点。

易错点。最常见的合并形态是：「用一条压力趋势判据同时做安全告警和服务提示，只是设两个门限」。⛔ 它仍然是一条链——因为压力判据在两相区对慢漏物理上不敏感（第 5 讲会给出这个失效区的成因），把它的门限调低只会把误报调上来，⛔ 不会让它变成安全链。⇒ 安全链的收口只能是直接测舱内浓度的那一路（第 6 讲）。

1.9 本讲的产物：三张随身表，后面每一讲都会回敲

本讲不产出任何数值，产出三张可以带进评审室的表。后面每一讲收口时，都会回到其中某一张上。

1. 五段归位表（1.1）——列：段名 · 它回答的问题 · 属主 · 本项目里谁在做 · 现在做到哪一步。用法：听到「泄漏问题」四个字就填一遍，填不满的那一行就是空的那一段。
2. 六层—不等式对照表（1.2）——列：层 · 内容 · 属主 · 它动的是不等式的哪一边 · 本项目还有多少可动余地。用法：预算不成立时按「先右后左」的次序逐层找余地；两边都填不出余地，就是「这个方案在这条不等式上不成立」这条真结论，⛔ 不许靠调低裕量凑成立。
3. 分链判别卡（1.8）——每条判据一行，列：判据名 · 输出接给谁 · 因而属于哪条链 · 那条链的时间尺度 · 它的阈值是不是和另一条链共用的。用法：最后一列凡是填「是」的，都要当场拆开。

⚠ 三张表里的所有量都还是符号——危险浓度怎么定（第 3 讲）、时间预算怎么拆（第 4 讲）、两条链各自的判据怎么选（第 5、6 讲），都还没有开始。本讲交出的是把它们填对所需要的那套分类；⛔ 在这套分类立起来之前去整定阈值，整定过程本身不会报错，错只会落在那个数值上，而没有任何一道闸在看那个数值是从哪套机理推出来的。