位置传感的功能安全诊断（Position Sensing Diagnostics）

电机控制器要把驾驶员的扭矩指令转成三相电压矢量,中间最关键的一步是 Park 变换 + 反 Park 变换——它们都用 sin(θ)/cos(θ) 做坐标旋转。θ 错了,生成的电压矢量就指向了错误的电角度位置,结果不是"力小一点",而是"力的方向变了"——这是位置错比电流错更可怕的原因。

位置链的 SM 在标准里和电流/电压并列,但多了 sin/cos 物理约束这一类专属手段。

位置链 = 传感器(resolver / Hall / TMR / 编码器)→ 激励/前端(resolver excitation + 差分前端)→ RDC(Resolver-to-Digital Converter)→ DSP。整条链 fault model 至少 8 类:

Resolver-to-Digital Converter(AD2S1210 / AD2S1205 / TLE5012B 这类)是位置链的"心脏",ASIL D 项目通常选自带 fault output 的 RDC,把硬件级诊断打包进 IC 内部。直接引 datasheet 的 DC 数字到 FMEDA。

这是位置传感最强的物理冗余 SM——和电流采样的"三相和为零"地位完全等价。Resolver 输出的两路信号本质就是单位圆上的 (x, y),严格满足:

${\sin }^2(\theta )+{\cos }^2(\theta )=1$

任何一路 sensor 漂移、单路 ADC 漂、放大器增益漂、激励信号失幅,都会破坏这个等式。信息冗余、零硬件成本、DC 高——和 KCL 一样的金钥匙地位。

这是抓 quadrant flip / frozen / 跳变 这类角度值层面 fault 的核心 SM。物理基础是"机械系统的转子角度不能瞬间跳"——任何超出物理可能的 θ 变化都是 fault。

主驱在中高速通常都跑 FOC 闭环并行 sensorless observer(EMF / SMO 类),这条 observer 输出的角度可以作为 RDC 的"独立通道"做交叉校验——免费的角度冗余,代价仅 CPU 时间。

典型实施:中高速时,RDC 角度 vs EMF observer 角度差异超阈值即报 fault。低速 RDC 是唯一来源,这条 SM 失效——所以不能完全替代物理冗余。

成本不敏感的旗舰项目(EPS、自动驾驶 EV)会装两套独立的位置传感系统,做 input comparison(D.2.10.4):

只有"双独立物理 sensor + 双独立 RDC + 双独立电源 + 双独立 MCU 通道"才是真正的 redundancy——任何共因(共用 sensor、共用 RDC、共用电源)都让冗余打折。

电机静止 + PWM 全关时,如果上一次停车记录了角度,这一次上电 RDC 读到的角度应该接近上次。差异大说明:

• sensor 校准漂移
• RDC 内部状态机重启时初值错
• resolver 转子位置实际被人扳动(机械边界 fault)

启动时还可以注入小电流(< 5% Imax)做一个"开环测试"——给已知 d-q 电流指令,看转子向预期方向移动多少,抓 sensor 极性接错 / 接线交换 / 标定数据丢失 这类 systematic fault。

位置链的 FTTI 比电流更紧——quadrant flip 在高速场景下可能瞬间触发反向扭矩,留给系统反应的窗口极短。

这一节先把“FMEDA 简化实例”对应的对象关系说清，后面的结构块用于快速定位各部分之间的连接。

Element: 位置传感链(AD2S1210 RDC + resolver + EMF observer 软件冗余)
Total FIT = 30
Safety-related FIT = 28

$\text{SPFM}=1-\frac{1.35}{28}=95.2\%$

差点到 ASIL D 99%。提升办法:把 EMI / common cause 的 DC 升到 95%(更好屏蔽 + 真正双独立 RDC),或叠加 ASIL decomposition 把要求摊到 main + monitor 两通道。详见 ASIL 分解。

位置链诊断最常踩的 5 个反模式——识别它们能避免 SPFM 数字看起来达标但实际失效场景下保护失败。

真实 ASIL D 位置链的安全论证必须从 HARA 推 FTTI、从 FTTI 推硬件路径选择、再从元件 FMEDA 推冗余架构——以 48V 乘用车 EPS 为例将这个链条完整走一遍,展示单链为何达不到 ASIL D 以及 ASIL 分解如何弥合这个 gap。

位置链 ASIL D 集成测试中反复出现以下设计陷阱,每一条都是从实际 DV / HiL 测试中总结的——它们共同的特点是"SPFM 数字看起来达标,但特定场景下保护路径实际已断"。

G1:Quadrant flip 检测放在 ms 级软件任务路径

根因:开发者把角度跳变检测放在 1 ms SWC 任务。高速(1000 rpm,4 极对 EPS 电机电频率约 67 Hz)电机每 0.1 ms 经历一个 10 kHz PWM 控制周期;quadrant flip 后软件任务尚未调度,FOC 已在错误方向施加扭矩 1 ms 以上,超出 FTTI。修法:quadrant flip 检测必须在 control ISR 顶部(0.1 ms 级)执行,以 AD2S1210 FAULT 引脚 NMI 中断为第一级响应,GTM 封锁动作完全绕开 OS 调度。

G2:sin²+cos² 阈值 ε 设置偏窄

根因:设计者追求灵敏度,把 $|si{n}^2\theta +co{s}^2\theta -1|>\epsilon$ 中 ε 设为 0.01(1%)。10 kHz 励磁下 resolver 绕组感抗(约 800 Ω~1 kΩ)远大于铜阻(约 100 Ω),温度引起的幅度变化虽比铜阻变化(0.4%/°C)小很多,但叠加 ADC offset/非线性(约 ±1%)、线束不对称(0.2-0.5%)、resolver 机械偏心(0.2-0.5%),全温度范围(-40°C ~ +125°C)总幅度误差可超过 1%,sin²+cos² 偏差可达 2-3%。ε=0.01 在量产一致性与全温度角下过窄。修法:ε 必须覆盖全温度范围幅度误差 + ADC 误差 + 器件批次容差,典型 EPS 取 ε = 0.05(5%)。阈值偏窄 → 误 alarm 频发;偏宽 → 真 fault 漏检,两侧都致命。

G3:AD2S1210 FAULT 引脚用 SPI 轮询替代硬件中断

根因:软件团队嫌 NMI 中断处理复杂,改成 10 ms SPI 周期读 FAULT 寄存器。AD2S1210 FAULT 引脚一经拉低即代表 fault 已发生;SPI 轮询最多延迟 10 ms 才能响应,完全错过 0.1 ms FTTI 窗口。修法:FAULT 引脚必须接 NMI 级 GPIO 中断;SPI 轮询仅用于附加诊断日志,不承担主 fault 路径职责。

G4:双 resolver 物理相邻,共因 EMI 未经 DFA 分析

根因:两路 resolver 安装在同一轴端法兰,间距 < 10 mm,信号线共用接地参考。电机换相 PWM 产生的 dV/dt 通过电容耦合同时污染两路 sin/cos,两个 AD2S1210 同步输出相同的偏移角度,双通道差值比较检测不到 common cause 偏移。修法:DFA 必须包含 EMI common cause 分析;两路信号线独立屏蔽 + 独立磁珠隔离;resolver 安装间距 > 50 mm 并各自配独立接地平面。

G5:冷启动角度偏移量 θ_offset 未从 NVM 恢复时默认为 0

根因:θ_offset(装配工装写入的电气零点校准量,典型偏差 5~30°)存储在片上 Flash。NVM 读取失败或 CRC 不通时系统静默使用 θ_offset = 0,导致角度系统性偏差,plausibility 检测不到(整条链在偏移后一致运行)。修法:θ_offset NVM 读取失败必须触发 fault,不允许使用默认值;启动自检阶段注入小电流脉冲验证θ_offset 与实际转子响应一致性。

G6:RDC 励磁频率与 PWM 载波频率谐波混叠

根因:resolver 励磁频率 10 kHz 与 PWM 载波频率 10 kHz 相同,换相谐波直接混叠进励磁/响应通路,产生与转速相关的周期性角度误差(峰值可达 1~3°,发生在特定转速比例下的电谐波上)。该误差周期性出现、plausibility 难以从单次跳变判断,容易被当作"正常噪声"。修法:励磁频率错开 PWM 载波(如改为 8.2 kHz),或在 AD2S1210 输入端加目标频率陷波滤波器;EMC 测试阶段用示波器检查 sin/cos 信号 FFT。

G7:ASIL B(D)+B(D) 集成验证只通过了各子通道 ASIL B DV

根因:两个子通道分别通过 ASIL B 硬件 DV,开发团队认为"2 × ASIL B = ASIL D"并停止验证。ISO 26262 ASIL 分解在集成级还要求:① DFA 独立性论证通过;② CCF β 因子量化 + DFA 验证;③ HiL 注入 common cause fault 确认双通道不同时失效。缺少这步,β 因子仅停留在假设层面,PMHF 计算失效。修法:集成测试 checklist 明确包含 DFA 过一遍 + 双通道 CCF 注入测试(模拟 EMI 共模 + 电源跌落)。

位置链在三个边界工况下表现出常规测试遗漏的安全缺口,正常行驶覆盖不到这些场景,但它们恰好是 ISO 26262 HARA 里需要分析的"低概率高危害"组合。

C1:零速 / 静止状态下诊断覆盖缺口

电机静止(ω = 0)时,所有基于角速度的 plausibility 检查退化为恒真——约束"角度变化 ≤ ω·Δt"在 ω=0 时对任意角度都成立。此时位置链仅剩 sin²+cos² 监测信号链幅度。如果 resolver 转子被机械卡死在某角度,sin²+cos² 仍然 ≈ 1(幅度正常),位置值却是错误的静止角,任何软件诊断都看不到故障。应对:启动前注入小电流脉冲(< 5% Imax)验证转子响应与角度读数一致性;把位置链健康确认推迟到首次运动完成之后才放行全扭矩。

C2:θ_offset 校准量静默位翻转引起系统性角度偏差

θ_offset 通常存于 MCU 片上 Flash(单字节 816 bit 存储)。α 粒子辐照或 Flash 编程疲劳可导致单比特翻转,偏移量误差达 15°,系统性地偏移所有下游 FOC 角度计算。sin²+cos² 和双通道比较均检测不到该偏差(两路通道使用同一 θ_offset)。应对:θ_offset 双冗余存储 + 每次上电做 CRC 完整性校验 + 主备不一致时强制进入受限模式;如有条件,每次完整运动周期后用 EMF observer 交叉验证 θ_offset 是否漂移。

C3:双通道温度不均衡引起热通道 DOS 持续误报

两路 resolver 安装在同轴端但热路径不同(一路靠近水冷板,一路靠近高温绕组),温差 ΔT 可达 30~50°C。高温通道铜阻升高,励磁电流减小,输出幅度下降。AD2S1210 使用比值计算(arctan(sin/cos)),对共模幅度变化不敏感,故两路角度读数仍一致;但当热通道输出幅度绝对值跌破 AD2S1210 的 DOS(Degraded Output Signal)阈值时,FAULT 引脚被拉低——属真实故障指示,却由良性温度效应触发。系统将持续 FAULT 视为 sensor 失效并触发降级。若为消除误报而屏蔽 FAULT,则真正的信号链退化也会被遮掩。应对:励磁驱动侧引入 AGC 或 NTC 反馈补偿幅度,使全温度范围输出保持在 DOS 阈值以上;或在 FSM 热机过渡阶段(key-on 后约 30 s)暂时宽松 DOS 报警,热稳定后恢复严格监控。

• case · case_eps_asil_d_steering — EPS (Electric Power Steering) ASIL D
• component · component_incremental_encoder — Incremental Encoder
• component · component_resolver — Rotary Resolver
• diagnostic · diagnostic_motor_position_sensing — 电机位置 / 速度传感
• failure_mode · failure_mode_position_sensor_fault — Position Sensor Fault (Resolver/Encoder)