三相电流采样的功能安全诊断（Current Sensing Diagnostics）

读完本页后，你应该能够：

• 说出三相电流采样链上"为什么必须做诊断"的因果链——从 Safety Goal 一直到 ADC 寄存器
• 列出 ISO 26262 中关于电流采样诊断的 4 个具体出处（Part 5 Annex D、Part 5 §8/§9、Part 6 Annex D、Part 11）
• 把 8 类典型采样链 fault model 映射到对应的 SM，并估算每种 SM 的 DC 区间
• 解释为什么"三相电流和为零（KCL）"是性价比最高的安全机制
• 判断 range check / sum-to-zero / plausibility / 时间监控 / ADC 自检 / 通道冗余 6 类 SM 谁能抓什么
• 设计一条满足 ASIL D 的电流采样链（含 SM 选型 + FTTI 内反应 + FMEDA 数字达标）
• 识别电流采样诊断的 5 个反模式

电机控制器的输出扭矩在 FOC 闭环里完全由 Iq 计算决定，而 Iq 又来自 Clarke→Park 后的三相电流 Ia/Ib/Ic。所以三相电流就是控制器的"眼睛"——眼睛瞎了或撒谎，控制器会"睁眼瞎"地输出一个它自以为正确、实际上完全错误的电压矢量，结果就是 Unintended Torque（UT） 或 Loss of Torque（LoT）。这两个失效在 BEV/HEV 里通常被 HARA 评为 ASIL C ~ D（高速 UT 直接到 D），这就是需要在 sensing 链上堆 safety mechanism 的根本原因。

换句话说，这些诊断不是为了"防止电流测不准"，而是让 sensing 链上的 single-point fault 在 FTTI 内被探测到——只有 detected fault 才能触发 safe state，未探测到的 fault 直接穿透到扭矩输出，违反 Safety Goal。

这些 SM 不是凭工程经验拍的，标准里有明确出处。把"做什么 SM、做到多深、覆盖率算多少"都钉在标准条款里，是 safety case 论证的根。

不背条款没关系，记住"DC 数字必须能引一条标准条款" 就够了——SAFETY assessor 审 FMEDA 时会逐行问"这一行 99% 的 DC 凭什么"。

电流采样链 = 传感器（霍尔/分流/TMR）→ 调理（OPA/差分/CSA）→ ADC → DSP 寄存器，整条链上的 fault model 大致 8 类，每类都要找到至少一个 SM 来抓。下表是 FMEDA 的"骨架"——未在表中盖到的 fault model 就是 SPFM 漏点。

flowchart LR
  S["sensor"]
  CSA["CSA / OPA"]
  ADC["ADC"]
  REG["DSP register"]
  S -->|"f1 stuck / f5 EMI"| CSA
  CSA -->|"f2 drift / f6 swap"| ADC
  ADC -->|"f3 frozen / f7 Vref"| REG
  REG -->|"f8 common cause"| ALL["bad Iq"]("bad Iq".md)
  S -.->|"f4 single ch offset"| ALL

单一 ADC 读数 → DC ≈ 0%（典型 single-point fault）。叠加 range + KCL + plausibility 之后，公开文献和 OEM 实测一般能做到 整体 DC ≥ 99%，刚好够 ASIL D 的 SPFM ≥ 99% 门槛。

Range check 是最便宜也最先做的 SM——物理上电机额定电流 ±I_max 是有上限的，ADC 输出落在 [I_max·1.1, I_max·1.5] 之外几乎只能是硬故障（断线、短到电源/地、OPA 饱和）。它不需要任何额外硬件，纯软件就能盖住 stuck-at 类故障。

4.1 阈值的设计

阈值过紧会假阳触发 fail-safe，过松会漏故障，两层阈值（warning + trip）+ blanking time 是工程通行做法。常见配置：

4.2 实施位置

Range check 必须做在 raw ADC count 上，不要等 Clarke 变换之后才查——变换会把单相 fault 摊到三相，反而变模糊。典型代码骨架在中断顶部：

4.3 覆盖什么 / 不覆盖什么

Range check 抓的是显著漂移——offset 漂 50% 它能抓到，漂 5% 它抓不到。所以 range 永远是"第一道粗筛"，必须配合后面的 KCL / plausibility 才能补齐 DC。

这是性价比最高的安全机制——基尔霍夫电流定律（KCL）在三相无中性线（Y 不接 N、Δ）拓扑下是硬物理约束：

$i_a+i_b+i_c=0$

任何一相 sensor 有 offset / gain 误差，或 ADC 跳变，都会让和不为零。这是真正的信息冗余——不加任何额外硬件，DC 就能拿到 High。这也是为什么很多设计哪怕只装两路传感器（用 KCL 算第三相），高安全等级仍要装满三路：第三路就是为了做这个校验。

5.1 阈值与残差定义

实际系统里 KCL 残差不会真的等于 0，要给一个允许带：

$|i_a+i_b+i_c|<{ϵ}_{KCL}$

${ϵ}_{KCL}$ 由三个误差源决定：

• 传感器精度 —— 例如 ±1% × I_max × 3 通道 ≈ 3% × I_max
• ADC 量化噪声 —— ±0.5 LSB × 3
• PWM 切换瞬态 —— 三相不严格同步采样会引入瞬态残差

工程上 ${ϵ}_{KCL}\approx 5\%\cdot I_{max}$ 是典型起点，必须用实际工况标定。

5.2 KCL 抓得住 / 抓不住

KCL 是单通道 fault 的克星，但对共模 fault 完全失明——三相 sensor 同方向同幅度漂移时，和仍然是 0。所以 KCL 必须配 plausibility 才完整。

5.3 三分流和双分流的差别

双分流（Ic 由 Ia + Ib 反推）做不了 KCL——因为 Ic 就是计算出来的，三者必然和为零。要做 KCL 就必须装满三路独立 sensor。这是双分流方案要升 ASIL D 时被卡住的最常见瓶颈，也是高端主驱倾向"三路 shunt + 三路 CSA"的安全侧动机（成本侧一直是劣势）。

Plausibility 抓的是"值在 range 内、KCL 也接近 0、但就是不对"的慢漂或冻结。比如转矩指令 = 0 但实测 Iq = 50A，或者电机转着但电流恒定不变。这类故障 range / KCL 都过得去，必须靠跨信号的合理性来抓。

6.1 跨信号约束的物理基础

Plausibility 的依据是电机电气模型的稳态约束——三相电流和电压、转速、温度、扭矩指令之间存在固定的物理关系，违反任何一条就是"信号矛盾"。

6.2 实施时机和窗口

Plausibility 不能用 PWM 周期那么快的尺度——电机方程含微分项，瞬态期间约束不严格。典型实施：

• 慢周期任务（1 ~ 10 ms） 跑 plausibility，避开瞬态
• 连续 N 次违反才报错（counter-based debouncing）防止启动 / 工况切换瞬态假阳
• 运行模式分支：standstill / startup / running 各有不同合理性窗口

电流是高频信号，长时间不变本身就是 fault 信号。Frozen value 检测专门抓 ADC trigger 丢、DMA 卡死、中断停跑这类"值看起来 OK 但其实不在更新"的隐蔽故障——range / KCL / plausibility 都可能放过。

7.1 Frozen 检测的三种方式

frozen 检测的难点不在"实现复杂"，而在和静止工况区分——电机停转时电流真的几乎不变，幼稚的方差检测会假阳。下面三种方法按"误报率 vs 实施成本"递增排列，工程通常组合使用：sample counter 必有兜底，方差或 timestamp 视场景加。

7.2 PWM 同步采样的时序检查

ADC 必须在 SVPWM 中心时刻采样（避开开关瞬态），可以反向监控这个时序——比较 ADC trigger 事件和 PWM peak 的时间差，超过 ±1 µs 就报 trigger 失步。这是 ADC 触发链失效的高 DC 检测。

ADC 本身的失效是 sensing 链终点，必须用 BIST 类硬件 SM。ASIL C/D MCU（AURIX TC3xx / S32K3 / Hercules）的 ADC 模块都内置了至少 4 类自检，FMEDA 时引 datasheet 的 DC 数字。

8.1 启动 BIST

启动时跑一次完整 ADC 测试 pattern，覆盖率最高但只查启动瞬间。MCU safety manual 给的 DC 通常 ≥ 90%。

8.2 运行时周期 BIST

稳态运行中插入测试通道（一般留一路给 1.65V 内部基准），周期性比较，典型 DC ≥ 80%。运行 BIST 必须保证不影响主控信号采样窗口——常见做法是单独留一个 ADC 时隙。

8.3 Vref 持续监控

参考电压通过双路冗余测量（一路 ADC 测 Vref，另一路 Vref 测 ADC 输入端的已知电压），典型 DC ≥ 95%。

8.4 双 ADC 同步比较

ASIL D 关键回路常用两个独立 ADC 同步采样同一 shunt，比较结果。这是 D.2.10.4 input comparison 的典型实施，DC ≥ 99%。前提是两个 ADC 真正独立——不同时钟域、不同电源、不同 die（或至少 mainline + safety domain 隔离）。

电机静止状态（Inverter PWM 全关、电流必然 ≈ 0）是天赐的"自检窗口"——上电、停车、PWM disable 期间，三相电流应该都在零附近。任何偏移都是 sensor offset，存到 EEPROM 用于运行时补偿，同时做合理性判断。

9.1 零电流校准的边界

校零的允许带不能"一刀切"——冷态上电时温漂为零，offset 应该非常小；带温度的热态启动允许更大；任何状态都有一个上限超过即是硬故障，不能再被"校准"掩盖。下面三档阈值是工程通用配置，背后逻辑是"越接近理想条件、阈值越严"。

9.2 极性 / 接线检查

启动时给一相注入小电流（< 5% I_max），验证三相电流的正负号 / 相对幅度是否符合接线预期，可以抓接线交换、CSA 极性焊错这类一次性 systematic 失效。这是 PV 阶段做、量产阶段每次启动都做的"自证"机制。

诊断只是第一步——探测 + 反应必须在 FTTI（Fault Tolerant Time Interval）内完成，否则 detected fault 仍会穿透成 hazard。Traction inverter 的 FTTI 一般 10 ~ 50 ms（高速场景偏短），EPS 5 ~ 20 ms。

10.1 Safe State 选择

电流诊断触发后能进哪种 safe state，取决于电机转速 + 故障类型：

详见 转矩安全。

10.2 多次确认（debounce vs latency 取舍）

诊断不能"一击即中"——单次 ADC 噪声、EMI 突发、PWM 干扰都可能造成假阳。但 debounce 又会吃掉 FTTI 预算。典型策略：

• 硬故障（out-of-rail、ADC trigger lost）：1 次即触发，不 debounce
• 软故障（KCL 越限、plausibility 矛盾）：连续 3 ~ 5 次（300 ~ 500 µs）才触发
• 触发后反应不可逆——只能下电重启清 fault，避免抖动

下面用一个简化的 ASIL D 主驱电流采样链的 FMEDA 来演示数字怎么落。FMEDA 本质是把每个 fault 的 FIT × DC 加权求和，反推 SPFM / LFM。

11.1 元件 FIT 与 SM 覆盖

FMEDA 第一步是把元件级 FIT 拆成 fault group，每组关联到一个或多个 SM——这一步决定后面 SPFM 数字算得对不对。下面用一条典型 ASIL D 三相电流采样链举例：总 FIT 来自元件 datasheet（Siemens SN29500 / IEC 62380），safety-related FIT 排除掉那些就算失效也不影响 SG 的部分。

Element: 三相电流采样链（3× shunt + 3× INA240 CSA + 双 ADC）
Total FIT = 50（汇总值）
其中 safety-related FIT = 45（剩 5 是不影响安全的器件）

11.2 SPFM / LFM 算账

$\text{SPFM}=1-\frac{\sum \text{residual SPF}}{\sum \text{safety FIT}}=1-\frac{2.9}{45}=93.6\%$

这个数字没到 99%——意味着光做这些 SM 还不够 ASIL D，还差几个点。常见补法：

• 把 dual ADC 升级为完全独立的 die（die-level 隔离），common cause DC 拉到 99.5%
• 加 sensor 级冗余（双 vendor shunt），从 element 级 SPF 直接转 MPF（multi-point fault），LFM 也升
• 配合 ASIL decomposition（D = B(D) + B(D)），把要求分到两个独立 channel 上，单 channel 只需 SPFM ≥ 90%

11.3 一句话总结 FMEDA 的意义

FMEDA 不是为了"算出一个 99% 的数字交差"——它是反向暴露 SM 漏点的工程工具。当某个 fault group 算出来 residual FIT 大、DC 低，说明这一类 fault 的 SM 不够，要么补 SM、要么换器件。

电流采样诊断最常踩的 5 个反模式——避免这 5 条比堆更多 SM 类型更重要，识别它们能避免 SPFM 数字"看起来达标"但实际失效场景下保护失败。

• 诊断的目的不是测准电流——是把 single-point fault 转成 detected fault，让 SPFM/LFM/PMHF 算得过去
• 依据：ISO 26262-5 Annex D（SM ↔ DC 表）+ §8/§9（架构指标）+ Part 11（半导体例子）+ Part 6 Annex D（软件 SM）
• 三大互补 SM：Range（抓 stuck-at）+ KCL sum-to-zero（抓单通道漂）+ Plausibility（抓慢漂 / frozen），三者正交才能凑出高 DC
• KCL 是金钥匙：物理冗余、零硬件成本、DC 高——但双分流方案做不了 KCL，要做必须三路独立 sensor
• 时间域诊断专抓"值看起来 OK 但其实不更新"的 frozen 类故障——sample counter + PWM trigger 时序检查
• ADC 自检走 datasheet 给的 DC（启动 BIST ≥ 90%、运行 BIST ≥ 80%、Vref monitor ≥ 95%、双 ADC 比较 ≥ 99%）
• FTTI 反应链：DTI ≤ 100 µs + FRT < 5 ms < FTTI 10–50 ms；safe state 看转速选 freewheel / ASC
• FMEDA 是反向暴露 SM 漏点的工具——某行 residual FIT 大就补 SM，不是算个数字交差
• 5 反模式戒除：双分流伪 KCL / range 阈值贴 I_max / plausibility 不分模式 / 双 ADC 共因 / frozen 静止假阳

• ← 索引
• 电流传感器（HW 技术 + 三相采样）
• 功能安全总论
• 安全机制目录
• 转矩安全（ASC / STO / freewheel）
• HARA 危害分析
• DFA / FMEDA / FTA
• ASIL 分解
• ISO 26262 硬件要素分类
• ADC 与混合信号设计
• 电机控制（FOC / SVPWM）
• 失效模式速查表