温度采样的功能安全诊断（Temperature Sensing Diagnostics）

读完本页后,你应该能够:

• 说出"温度错 → 降额错 → 热失控"的传播链,以及为什么温度链 FTTI 和电流链不在一个数量级
• 列出 NTC / 模块 ts-pin / 软件热模型三层冗余各自抓哪类 fault
• 区分 NTC 断线检测、量程合理性、热模型对比三种 SM 的 DC 估值
• 解释为什么"温度采样不能只信单 NTC",以及多颗分散布点的 DFA 意义
• 设计一条满足 ASIL C/D 的功率模块温度采样链
• 识别温度采样诊断 5 个反模式

电流/电压/位置错都是控制层瞬时问题——错一个 PWM 周期可能就出灾难。温度错正相反:单次读数错没事,但持续错会让控制器以为"还能跑"于是不降额,最终器件 SOA 击穿或电池热失控。这是温度链的两个根本特点:

关键认知:温度采样诊断的设计目的不是抓"瞬时错"而是抓"持续偏离" —— 这是和其它三件套最本质的不同。

注意:thermal hazard 的 ASIL 取决于失效后果——单个 IGBT 过温烧毁可能 ASIL B(LoT),电池 TR 起火直接 ASIL D。SG 由 HV 安全 和 热安全 决定。

温度采样链 = NTC / PT100 / ts-pin → 上拉/分压电阻 → ADC → DSP。fault model 至少 7 类:

flowchart LR
  NTC["NTC"]
  R["pull-up R"]
  ADC["ADC"]
  REG["DSP register"]
  NTC -->|"f1 open / f2 short"| R
  R -->|"f3 drift"| ADC
  ADC -->|"f4 offset"| REG
  NTC -.->|"f5 thermal contact"| REG
  NTC -.->|"f6 single point"| REG
  REG -->|"f7 common cause"| BAD["wrong T"]("wrong T".md)

NTC 通常配上拉电阻,实测电压 = NTC × Vcc / (NTC + R_pull)。NTC 断线 → 上拉电压 ≈ Vcc;短路 → ≈ 0。Range check 在物理温度上做:

Range 必须做在物理温度上而不是 ADC count——上拉电阻漂移会让 raw count 在 range 内但实际温度超限。

温度链的物理冗余不是公式约束(没有像 KCL 或 sin²+cos² 那种数学等式),而是多颗 NTC 物理分散布点 + 跨 sensor 偏差。这是温度采样最有效的 SM 之一,不算贵(NTC < ¥1)。

5.1 布点策略

≥ 3 颗 NTC 时,任意两两对比偏差超阈值就报。这覆盖单 NTC 漂、热接触不良(单颗读数明显低于其它颗)、冷却液漏(多颗同时升)。

5.2 偏差阈值设计

工况会让不同 NTC 读数自然差异(模块比基板热、入水口比出水口冷),所以阈值要按工况切:

NTC 装在模块基板,读到的温度 ≠ 实际 die 结温——die 经过芯片 + 焊层 + DBC + 焊层到达基板,中间有 50-100ms 的热时间常数。所以 die 瞬时温度必须靠软件热模型估算(实测损耗 × Z_th 网络积分),和 NTC 读数比较——这是 D.2.4 plausibility 的典型实施。

关键判据:估算 Tj 和 NTC 读数应该有"可预测的稳定 offset + 时间滞后"。如果 offset 发散(NTC 读数不变但 Tj 估算飙升)说明 NTC 失效或热接触退化。Wolfspeed / Infineon 的 module datasheet 给出 R_th(j-c) 和 Z_th 曲线就是给热模型用的。

详见 热安全 §3.2 热模型双冗余。

7.1 Frozen 检测

NTC 长时间不变 + 系统在跑(有大电流) = 必然 fault。和电流/电压链一样用 sample counter + variance 兜。

7.2 物理变化率上限

电机模块的热时间常数 ~ 10-30s,单帧读数跳变 > 30°C 几乎不可能。超过即视为硬故障(NTC 通断瞬间 / ADC 跳变)。

复用电流/电压链的 ADC 自检套路:启动 ABIST、运行时周期 BIST、Vref 监控、双独立 ADC 比较。详见 电流采样诊断 §8。

冷上电时所有 NTC + 热模型估算应该读到接近的"机舱温"(±5°C)。差异大说明:

• 某颗 NTC 漂或热接触失效
• 上电瞬间还有残温(车刚停下)
• ADC 标定漂

利用这个 cold start 窗口校 offset,记 EEPROM,运行时补偿。这是温度链的"免费 SM 窗口"。

温度链的 FTTI 比电流/电压宽得多,因为热时间常数本身大。

电池热失控是唯一 µs 反应级温度 fault —— 一旦实测 > 阈值,reaction 必须立即(< 100ms),且不可逆。详见 热安全 §5 电池 TR。

Element: 模块温度采样链(3× NTC + 1× module ts-pin + 双 ADC)
Total FIT = 25
Safety-related FIT = 22

$\text{SPFM}=1-\frac{1.59}{22}=92.8\%$

够 ASIL C,差点到 D。提升办法:加 die 内 ts-pin(每颗 IGBT/SiC 都有自带温度测量)、用更精密 NTC(B 值漂 < 1%)、热模型升 ASIL B。

• 温度链最大特点是"持续错才出灾难" —— FTTI 比电流宽 1-2 个数量级,但失效后果不可逆
• 三层冗余:NTC × N(物理分散)+ 模块 ts-pin(单 die 高精度)+ 软件热模型(Z_th 估算 die 温)
• Range check 必须在物理温度上做,不在 ADC raw count;且按工况切阈值
• 热模型双冗余是抓"NTC 没坏但不可信"的核心 SM —— 估算 Tj vs 实测 NTC offset 必须稳定
• 多颗 NTC 偏差是温度链的"KCL" —— 物理分散布点 + 跨 sensor 偏差,DFA 时算共因失效切断证据
• 电池 TR 是唯一 µs 级温度 fault —— 触发后必须立即切接触器 + Pyro,不可逆
• 5 反模式戒除:只信单 NTC / range 在 ADC count / 热模型 Z_th 用错 / plausibility 不分工况 / 没做 cold start 校

• ← 索引
• 电流采样诊断(并列页)
• 电压采样诊断(并列页)
• 位置采样诊断(并列页)
• 热安全(Spirito / TR / 降额)
• 热管理(Z_th / Coffin-Manson)
• 冷却系统设计
• HV 安全(IMD / 接触器 / Pyro)
• Inverter ASIL D 端到端实现案例
• 功能安全总论
• 安全机制目录
• 失效模式速查表