温度采样的功能安全诊断（Temperature Sensing Diagnostics）

电流/电压/位置错都是控制层瞬时问题——错一个 PWM 周期可能就出灾难。温度错正相反:单次读数错没事,但持续错会让控制器以为"还能跑"于是不降额,最终器件 SOA 击穿或电池热失控。这是温度链的两个根本特点:

温度采样 SM 的每个覆盖率数字必须能引一条 ISO 26262-5 Annex D 条款——这是 Safety Assessor 逐行核 FMEDA 时的核心要求。

注意:thermal hazard 的 ASIL 取决于失效后果——单个 IGBT 过温烧毁可能 ASIL B(LoT),电池 TR 起火直接 ASIL D。SG 由 HV 安全 和 热安全 决定。

温度采样链 = NTC / PT100 / ts-pin → 上拉/分压电阻 → ADC → DSP，整条链上的 fault model 至少 7 类，每类都要找到对应 SM——未覆盖的 fault model 就是 SPFM 漏点。

NTC 通常配上拉电阻，实测电压 = Vcc × NTC/(NTC + Rtop)。NTC 断线 → 上拉电压 ≈ 0；短路 → ≈ Vcc。Range check 在物理温度上做：

Range 必须做在物理温度上而不是 ADC count——上拉电阻漂移会让 raw count 在 range 内但实际温度超限。

温度链的物理冗余不是公式约束(没有像 KCL 或 sin²+cos² 那种数学等式)，而是多颗 NTC 物理分散布点 + 跨 sensor 偏差。这是温度采样最有效的 SM 之一，不算贵(NTC < ¥1)。

NTC 装在模块基板，读到的温度 ≠ 实际 die 结温——die 经过芯片 + 焊层 + DBC + 焊层到达基板，中间有 50-100ms 的热时间常数。所以 die 瞬时温度必须靠软件热模型估算(实测损耗 × Zth 网络积分)，和 NTC 读数比较——这是 D.2.4 plausibility 的典型实施。

关键判据：估算 Tj 和 NTC 读数应该有"可预测的稳定 offset + 时间滞后"。如果 offset 发散(NTC 读数不变但 Tj 估算飙升)说明 NTC 失效或热接触退化。Wolfspeed SCT3080AL 的 RthJC = 0.86 K/W 和 Zth 曲线就是给热模型用的(值取自 热管理 §4 Foster 三单元 SSOT)。

详见 热安全 §3.2 热模型双冗余。

TC397 VADC 模块内置 ABIST(Analog BIST)支持启动和周期性自检：启动时跑 ABIST 注入已知参考信号核 ADC 转换精度；运行时 Vref 监控检查参考电压偏移(典型 Vref 漂 > 2% 报 ADC Fault)；双独立 ADC channel 交叉采样同一 NTC 可提供额外的 DC。详见 电流采样诊断 §8。

冷上电时所有 NTC + 热模型估算应该读到接近的"机舱温"(±5°C)，差异大说明：

• 某颗 NTC 漂或热接触失效
• 上电瞬间还有残温(车刚停下)
• ADC 标定漂

利用这个 cold start 窗口校 offset，记 EEPROM，运行时补偿。这是温度链的"免费 SM 窗口"。

温度链的 FTTI 比电流/电压宽得多，因为热时间常数本身大。

温度采样链 FMEDA 的关键学习：v1 只加 range check 就以为"覆盖了"，实际 SPFM 只有 48%——NTC 漂、热接触退化、ADC 偏移是三大漏点，必须通过多 NTC 比较 + 热模型 + VADC BIST 三路并进才能到 ASIL C 水线。

元件 FIT 基准(B2 环境，AEC-Q200 Grade 1)：3× NCP15XH103 NTC = 6 FIT（IEC 62380 被动元件模型，AEC-Q200 Grade 1，2 FIT/颗）；3× Rtop 10kΩ = 3 FIT；3× RC 滤波元件 = 2 FIT；TC397 VADC 模块 = 6 FIT（Infineon TC3xx Safety Manual，VADC 功能块 FIT 贡献）；PCB 走线/连接器 = 1 FIT。总 SR FIT = 18 FIT（conservative，含全链安全相关 FIT）。

真实设计用实际器件把物理量拉通到 FSM shutdown——这里用 400V/100kW EV 主驱 SiC 逆变器为场景，MCU = Infineon TC397，功率管 = Wolfspeed SCT3080AL，NTC = Murata NCP15XH103F6SRC。

这 7 条来自 EV 逆变器 / OBC 项目实际排查记录，每条都有特定的物理根因和可重现失效条件。

G1 — ADC 参考电压未比例化（最常见高危）：将 Rtop 接独立电源轨而非 VDDM（TC397 VADC 供电轨），导致分压供电与 ADC 参考不同源，电源电压 ±2% 波动直接叠加到 ADC 读数造成 ±0.3°C 以上误差；软件复位后 ADC 参考可能漂移，故障隐蔽。修复：Rtop→VDDM，VADC 寄存器配置参考 = VDDM；注意 VAREF 引脚不应承载外部 DC 负载，只加 ≥270 nF bypass cap。

G2 — NTC 自加热误差：高温时 NTC 阻值小，自热电流大。@150°C：RNTC = 351 Ω，I = 3.3/(10000+351) = 319 µA，Pself = (319 µA)² × 351 Ω = 35.6 µW。静止空气中耗散常数约 0.6 mW/°C，自加热仅 0.06°C 可忽略。但 NTC 贴在导热硅脂下(耗散常数降低约 5×)，自加热升至约 0.3°C——仍可接受但须纳入误差预算。禁止用 Rtop ≪ 1 kΩ 的低阻分压（电流增大 10×，自加热升至 3°C+）。

G3 — NTC 安装位置导致热滞后：外置 NTC 贴在散热器表面与器件结温有数秒热滞后——冷启动大电流暖机阶段结温先升，NTC 读数还低，报警滞后。功率模块内置 ts-pin NTC（如 CAB450M12XM3）热时间常数仅 0.1–0.5 s，优于外置 NTC 的 2–10 s。高 ASIL 场景（ASIL C/D）应优先选模块内置 ts-pin；外置 NTC 仅用于 ASIL B 或 QM。

G4 — 断路/短路故障检测缺失：NTC 开路 → VADC = 0，ADC Count = 0 < 关断阈值 239，误触发 PWM 关断（假阳性）；NTC 短路 → VADC = Vcc，ADC Count = 4095，软件认为"温度超低"不报警，隐蔽失效。修复：在软件中设置合理范围门槛（Count < 50 或 Count > 3950）触发 Sensor Fault，NTC 故障路由到 degraded mode 而非直接关断，防止假阳性安全事故。

G5 — RC 滤波截止频率随温度变化：高温时 RNTC 减小，戴维南 Rth 减小，fc 升高（噪声抑制变弱）。最坏角在 150°C：RNTC = 351 Ω，Rth = 10000‖351 = 340 Ω，fc = 1/(2π×(340+10000)×100n) = 154 Hz，仍满足 < 2 kHz 要求 ✓。但若设计时仅按 25°C 计算 fc（Rth ≈ 5 kΩ）会高估噪声抑制能力——必须在最高温角核 fc。

G6 — NTC 老化漂移未留余量：AEC-Q200 Grade 1 长期高温暴露（2000 h @150°C）后阻值变化 ±2%。在 100°C 处：ΔR = ±20 Ω，ΔV ≈ ±5.4 mV，ΔT ≈ ±0.8°C。需在报警阈值中留 ±1°C 老化余量（ADC Count 阈值偏保守 8 counts），否则 EOL 时可能漏检。

G7 — 多通道比例式接法共用 VAREF：三路 NTC 的 Rtop 均挂 VDDM 不会加载 VAREF，正确。但若误将 Rtop 接到 VAREF 引脚（高阻抗参考输入），三路合计约 1 mA DC 负载会让 VAREF 下拉偏移，所有 ADC 通道读数同步偏移——这是 common cause，直接让 multi-NTC 比较失效（三路都偏一样的量，偏差 = 0，plausibility check 完全无效）。

三个边角工况各暴露不同的设计薄弱点，需要在设计验证时逐一覆盖。

C1 — 冷启动 −40°C：RNTC(−40°C) = 248 kΩ，Vsense = 3.3 × 10000/(10000+248000) = 0.127 V，ADC Count = 158。此时 Count 落在正常范围内（50 < 158 < 3950），无假阳性 ✓。但滤波延迟变大：Rth = 10000‖248000 ≈ 9614 Ω，5τ = 5×(9614+10000)×100n = 9.8 ms，上电后至少等 10 ms 才可信采第一个样。FSM 冷启动延迟必须 > 10 ms，否则第一次采样是 RC 充电瞬态值，会误报 sensor fault。

C2 — 热失控 Runaway 场景（关断 120°C）：Vsense = 0.192 V，ADC Count = 239（阈值本身）。RC 延迟 5.3 ms（Rth@120°C ≈ 582 Ω，τ = 1.06 ms，5τ ≈ 5.3 ms）+ MCU 中断响应 < 1 ms + PWM 关断 < 10 µs。总关断延迟 ≈ 6.3 ms，远小于 FTTI 100 ms（余量 15×） ✓。若用硬件比较器直接驱动 shutdown（绕过 ADC/MCU），关断延迟可降至 < 0.1 ms，适用于 ASIL D 温度过保护路径。

C3 — 模块 ts-pin 替换外置 NTC（CAB450M12XM3）：CAB450M12XM3 内置 NTC 10 kΩ @25°C（引脚 tsense），热时间常数 ≈ 0.3 s（模块内紧邻功率 die），比外置散热器 NTC 快 10×。注意：① ts-pin B 参数须从 CAB450M12XM3 datasheet 核实，可能与 NCP15XH103 B25/85=3434 K 不同，影响 ADC Count 阈值换算；② ts-pin 测量模块内部温度而非单管 SCT3080AL 结温，在三管并联场景下三模块各接一路独立 ADC 通道，不能只用一路代表全部热状态；③ ts-pin 通道 ASIL 等级须与外置 NTC 通道完全电气隔离，才能论证 ASIL 分解的独立性。

温度链在四件套中有独特的时间结构——失效时间常数最长，但后果不可逆性最高。

• component · component_ntc_thermistor — NTC Thermistor (Temperature Sensor)
• diagnostic · diagnostic_temperature_sensing — Temperature Sensing Diagnostic