ASIL D 扭矩安全设计（Torque Safety）

扭矩安全3 条核心 Safety Goal——扭矩偏离 > X Nm 必下电、Unintended Acceleration 必检、Unintended Direction 必检。三者都是 ASIL D,FTTI 50-100ms 主驱、5-20ms EPS。

辅助 Safety Goal（间接支持扭矩安全）：

• SG-4：速度不得超过 $Vmax$（SLS）——防止因传动错误扭矩导致超速
• SG-5：HV 电能不得意外注入绕组（和 HV Safety 耦合）

场景：高速公路 120 km/h 巡航。

• S（严重度）：误加速 → 追尾 → S3（致命伤害）
• E（暴露）：高速巡航是日常工况 → E4
• C（可控性）：驾驶员需要 1~2 s 以上反应 + 踩刹车才能制动 → C3（几乎不可控）

查 ISO 26262-3 Table 4：S3 × E4 × C3 = ASIL D。

FTTI 推导：120 km/h 下 50 ms 走 1.67 m；100 ms 走 3.33 m。业界共识FTTI ≤ 100 ms 以保证驾驶员仍有足够空间介入。

原始 Safety Goal：SG-2 Runaway Torque，ASIL D。

分解路径 A：D → B(D) + B(D)（最常用）

• 子要求 A：L1 扭矩控制路径，ASIL B(D)
• 子要求 B：L2 扭矩监控路径，ASIL B(D)
• 两者组合输出共同决定是否进入 Safety State
• 条件：A 与 B 独立，通过 DFA 证明

分解路径 B：D → A(D) + C(D)（辅助路径）

• 适合某一侧必须承担主要逻辑（A 级），另一侧作校验（C 级）
• 较少使用

分解路径 C：D → D(D) + QM(D)（保留一路完整 D + 一路冗余）

• 一路承担完整 ASIL D(D) 要求，另一路 QM(D) 仅作冗余补充
• ISO 26262-9:2018 Clause 5 明列的三种合法方案之一（D(D)+QM(D)、C(D)+A(D)、B(D)+B(D)）
• 注意：D(D) 那一路仍是完整 ASIL D，此方案并未真正降低主路径的工程负担，只是把冗余侧降到 QM

真正非法：任何没有任一路承担足额要求的分解——如 D → QM + QM，因 QM 不能独立承担 ASIL 要求（而 D(D)+QM(D) 合法，是因为 D(D) 那一路已承担了完整 D 要求）

独立性要求（Part 9 §7 严格定义）——任一共因足以让分解失效：

加速踏板信号必须双通道冗余——APP1 + APP2 物理独立的两路电位器,MCU 比对两路一致性。任一异常立即降级安全模式。

冗余要点：

• 两路不同传感器：APS1 通常是 0%~100%，APS2 是 100%~0%（反向），让断线/短路表现出"两路之和 ≠ 常数"而被发现
• 独立供电：APS1 供 5V_A，APS2 供 5V_B；电源失效不会同时让两路出错
• 独立 ADC 通道：两路进两个 ADC（或同一 ADC 的两通道但交叉采样）
• 一致性检查：|APS1 + APS2 − 100%| ≤ 5%；梯度变化率 ≤ 限值

ASIL：APS 两路合成 ASIL B 的信号，配合 L2 做 ASIL D 的 Torque Request 论证。

相电流采样3 个通道 + Kirchhoff 校验——三相电流必须满足 $ia+ib+ic=0$。任一通道偏离这条 KCL 立即触发故障检测。

• 三相电流 $ia,ib,ic$ 必须满足 $ia+ib+ic\approx 0$（KCL 一致性）
• 至少两个独立分流通道 + CSA；或一路分流 + 一路霍尔/罗氏线圈
• 采样用两个独立 ADC 通道，锁步核交叉验算

转子位置ASIL D 主流方案是旋变器——双通道正交模拟输出 + RDC 转换 + 两路独立 SPI。这条配置是 EV 主驱位置传感的工业标杆。

• 旋变（AD2S1210）输出两对正交模拟量，天然冗余
• 额外加霍尔或 Back-EMF 观测器作第二位置源
• 两源差异超阈值 → 进入 Safety State

母线电压电流ASIL D 也要双通道——主采样给控制环、监控采样给安全机制。两路独立隔离 ADC,任一异常即触发 STO。

• $VDC$ 双通道（主采样 + 监控采样）
• 母线电流有独立 shunt + CSA，用于功率估算与扭矩模型校验

STO 靠两条独立 Enable 物理切断 PWM——主 MCU + 安全 MCU 各一路,经 AND 门后才到栅极驱动。任一路降低都让 PWM 归零,STO 立即生效。

物理要求（DFA 必达）：

• INV_EN_A 和 INV_EN_B 分属不同的 MCU/SBC
• 两条独立 PCB 走线，不共用同一连接器排针
• 驱动 IC 的 DIS / EN 引脚要求两路都为有效电平才允许输出（AND 逻辑）
• 任一通道拉低 → 栅极驱动 IC 在 μs 级关闭 6 个开关
• 有效电平必须主动驱动高，不能依靠上拉（防止断线产生"开通"）

主流 ASIL D 栅极驱动（TI UCC5870-Q1、Infineon 1EDI3035AS、NXP GD3162）都带两个独立 Enable 引脚：

• $E{N}_{MAIN}$ — 主 MCU 控制
• $E{N}_{SAFE}$ — Safety MCU / SBC 直控；通常 latched（一旦拉低，必须显式解锁）

这比"一个 Enable 拉下去"的单通道安全几个量级。

对 PMSM：仅关闭驱动（STO Free-Wheel）会在高速下因 Back-EMF 而通过体二极管产生不受控的制动扭矩。解决方案：

• 三相全低开通（ASC3）或三相全高开通（ASC6）
• 电机处于短路状态，相电流在绕组内环流，不向母线回灌
• 对 ASIL D 来说，ASC 通常由独立硬件电路（不通过主 MCU）触发

ASIL D 主驱3 个硬指标——SPFM ≥ 99%、LFM ≥ 90%、PMHF < 10 FIT。三者都要同时满足,任一不达标就要返工诊断或加冗余。

扭矩安全 SM 覆盖 8 类失效——加速踏板、电流、位置、扭矩计算、PWM、栅极驱动、母线、HV 互锁。每类都有 DC 估值,组合后达到 SPFM ≥ 99%。

注：每项 DC 最终数字取决于具体实现 + 故障注入验证；Safety Manual 里要写明测量方法和时间常数。

E-Gas 三层在 TC397 上的落地首先是执行资源分区：只有把 L1 与 L2 放到物理上不同的 lockstep CPU 对，D → B(D) + B(D) 分解才能通过 DFA 独立性审查。AURIX TC397 有 6 个 TriCore，其中数个可配置为 lockstep（主核 + checker 核）；Safety Manual 明确哪几组构成 lockstep 对，以及各对的 DC-SPF 论证。

下表把三层映射到具体资源；注意 E-Gas 的「Level」是监控层级，ASIL 值来自分解后的路径要求，两者是不同视角，不要混淆（L1 作为功能层是 QM，但它承载的分解后主路径要求是 B(D)）。

独立性要点（DFA 四维必查，与 案例页 §7.6 的 β 因子工作表对齐）：

• 电源独立：L1/L2 两对 CPU 各由独立 rail 供电；TLF35584 的 FS0B 直接驱动 INV_EN_B（不经 L1 MCU），防共因电源失效。监控核额外挂保持电容，VCC 短暂跌落时续跑 ~10 ms 完成 Safe State（呼应 案例页 G2）。
• 时钟独立：L1 lockstep 对用主晶振，L2 lockstep 对用片内独立 RC 振荡；交叉频率监测比对两源偏差。
• 通信独立：L1 → L2 的 Treq 传递走 E2E（AUTOSAR E2E Profile，含 CRC + Counter），坏帧丢弃不传递。
• 软件独立：L2 监控算法与 L1 用不同实现（不同查表 / 不同团队）——共用代码库是最常见的 CCF，DFA 报告须显式论证。

L2 从独立 ADC 路径（非 L1 控制环所用 ADC）读取 id、iq，用电磁转矩公式独立重算电机实际扭矩：

下表是一组自洽的示意电机参数（400 V / 100 kW PMSM worked example，非某具体 datasheet 抄录，仅要求内部自洽）：

数字自洽核（SPM 近似 Ld = Lq，磁阻项为零）：

额定点 Trated = 0.78 × 380 ≈ 296 ≈ 300 Nm，对应 100 kW ÷ 300 Nm ≈ 333 rad/s ≈ 3183 rpm，与 100 kW 连续输出一致，参数闭环。若电机为 IPMSM（Ld ≠ Lq），省略磁阻项会在弱磁区系统性低估扭矩，详见 §12 G2。

偏差检测逻辑：当 |Test − Treq| > ΔT_max（取 25 Nm，来自 OEM 功能需求）且持续 τ_det（20 ms）时，L2 拉低 INV_EN_A（STO）并置 FAULT flag 告知 TLF35584。持续时间是为躲开合法动态超调（见 §12 G4）。

FTTI 从故障发生时刻（非检测时刻）算起（ISO 26262-1 术语，FDTI + FRTI ≤ FTTI）。unintended-acceleration 危害的判据是前向（加速）扭矩，一旦逆变器停止在转矩方向驱动电流，加速扭矩即消失——这才是 FTTI 的关键时刻；此后的相电流自然衰减产生的是制动/短路扭矩（非该危害）。

前向扭矩在 ≈ 20.5 ms 消失：对 200 ms 要求 margin = 200 / 20.5 ≈ 9.8×；对 100 ms 保守设计目标 margin = 4.9×——两个基准都很充裕，与 案例页 §7.3 的「SW 路径 ~11 ms、余量 94.5%」量级一致。

τ_I 推导（STO free-wheel，电流经体二极管自然衰减）：时间常数 τ_RL = Lq / R_phase = 0.25 mH ÷ 12 mΩ = 20.8 ms；衰减到 10% 需 τ_I = τ_RL × ln(10) = 20.8 × 2.303 = 48 ms。STO 全电流处置 20.5 + 48 = 68.5 ms：对 200 ms 要求 margin 2.9×（充裕）；但对 100 ms 保守目标只有 1.46×（低于 2×，见 §12 G5）。真正逼出 ASC 的不是这个裕量，而是高速 Back-EMF 危害（§11.4）。

安全状态不是一味「关断」——PMSM 高速下单纯 STO free-wheel 会让 Back-EMF 通过体二极管把能量灌回母线，产生不受控的制动扭矩 + 母线过压，STO 本身变成新危害。判据是转子电角速度对应的 Back-EMF 峰值是否顶破母线：

代入 nASC = 200 ÷ (4 × 0.130) × 9.549 = 384.6 × 9.549 ≈ 3670 rpm。这里用相 Back-EMF 峰值对 Vdc/2 的保守判据；严格的线电压不控整流起点约在 Vdc/√3（约 4240 rpm），故取 Vdc/2（更早触发）留额外安全裕量。速度相关选择：n < nASC 用 STO free-wheel（Back-EMF 不顶破母线）；n > nASC 必须切 ASC。

ASC 的物理与 STO 不同——三相短路后相电流不衰减到零，而是稳定到有界短路电流 Ich = ψ_f / Ld = 0.130 Wb ÷ 0.25 mH ≈ 520 A（≈ 1.37× 额定，可接受但须核绕组/器件承受），产生有界、可控的制动扭矩且不回灌母线，这正是高速安全状态。设计须核 Ich 不超过功率级并联组与绕组的持续短路耐受。

故障相关选择（3PSLS vs 3PSHS）：ASC 有两种实现——三相下管全通（3PSLS，three-phase short low-side）或三相上管全通（3PSHS，high-side）。选哪种取决于故障位置：某下管卡短/开路 → 不能 3PSLS（短路不完整或直通）→ 选 3PSHS；某上管故障则反之。安全逻辑必须按健侧选短路面，触发路径独立于主 MCU（硬件或 L3 直控）。

这里藏着一层跨时间尺度的前提：ASC/STO 能被「选」和「执行」，都建立在功率级仍可控之上。单个器件卡短/开路还能靠 3PSLS/3PSHS 绕开（上一段），但若器件级短路保护（DESAT）失效、桥臂上下管一起烧成硬短，这条腿已不可控，任何 ASC 都无法在其上成立。所以 ms 级的扭矩安全状态，最终架在 μs 级的器件保护之上——这也是 DESAT 的系统级意义：它保住的不只是器件，而是进入安全状态的能力（反向因果见 DESAT 保护深度 §8.3）。

把 §11.1–§11.4 的关键数字对门槛收口，任一不过即返工：

L1 FOC 与 L2 扭矩监控被调度到同一 CPU lockstep 对（如都在主核 + checker0），表面在跑「两个任务」，实则运行于同一物理执行单元。症状：DFA 审计发现单核失效时 L1/L2 同时故障，D → B(D)+B(D) 独立性形同虚设，ASIL D 整体失效。根因：软件集成时任务亲和性错配，或 SoC 资源规划未区分 L1/L2 执行核。缓解：L1/L2 强制绑定到物理不同的 lockstep 对（OS affinity + 架构评审 + DFA 独立性论证文件化）；Safety Case 明确各 CPU 的 ASIL 分配。

IPMSM 弱磁区强迫 id < 0（去磁），磁阻分量 (Ld − Lq)·id·iq 可达额定扭矩的 15–30%。症状：若 L2 用简化 SPM 公式 Test ≈ (3/2)p·ψ_f·iq，Test 系统性偏低，真实正向偏差被掩盖，STO 漏触发。根因：模型过简化，L2 代码复用 SPM 公式但电机实为 IPMSM。缓解：L2 算法须含完整磁阻项；或 ΔT_max 额外留磁阻误差保守裕量；每次电机换型更新 L2 参数（Ld、Lq、ψ_f）并重新验证，不得沿用旧车型参数。

NdFeB 永磁体剩磁的可逆温度系数约 −0.11%/°C（工业 NdFeB 典型值），125°C 相对 25°C 使 ψ_f 下降约 11%。症状：L2 若用出厂冷态 ψ_f 计算 Test，因冷态 ψ_f(0.130) > 高温真实 ψ_f(≈0.116)，而 Test = (3/2)p·ψ_f,cold·iq 单调于 ψ_f，故 Test 比真实扭矩系统性偏高约 0.11 × 300 ≈ 33 Nm（实算 296 vs 264），已超过 ΔT_max = 25 Nm。因 Test 恒 ≥ 真实扭矩，这是对意外过扭矩检测的保守（fail-safe）方向——只会误触发 STO（非预期停车），不会漏检真实超限（漏检需 Test < 真实扭矩，即估算用的 ψ_f < 真实 ψ_f）。根因：设计时未把 ψ_f 热降额纳入 ΔT_max 余量，冷态标定值在高温下系统性高估扭矩。缓解：① 在线 ψ_f 估计（MRAS 磁通观测器）喂 L2，使 Test 跟随真实 ψ_f、消除偏差；或 ② 把 ΔT_max 按最坏温漂保守放大（25 + 33 ≈ 58 Nm，约 20% 额定）以吸收温漂、避免误触发，牺牲灵敏度换温度鲁棒性。

急加速斜坡（dT/dt > 500 Nm/s）时，L1 MTPA 前馈收敛需 5–10 ms，期间瞬态超调可超 Treq + 25 Nm，这是物理正常的。症状：若 τ_det < 10 ms，L2 误判合法动态为故障，产生非预期 STO，驾驶性下降甚至误停车（STO 本身也是危害）。根因：ΔT_max 与 τ_det 联合整定时未仿真最坏动态超调包络。缓解：τ_det 下限由最坏动态超调持续时间决定（通常 ≥ 15 ms）；或引入扭矩斜率滤波器，用两套时间常数区分「快速动态超调」与「持续稳态偏差」。

§11.3 显示 STO free-wheel 全电流 68.5 ms 对 200 ms 要求 margin 2.9×（看似够），只对 100 ms 保守目标才 1.46×。症状：若工程师只盯 FTTI 裕量，会误以为低速那套 STO 高速也能用——忽略高速 Back-EMF 经体二极管产生的不受控制动扭矩 + 母线过压（反向危害），FTTI 数字漂亮但物理不安全。根因：只做「检测 + 切断」时序分析，没做安全状态的能量/扭矩物理分析。缓解：① n > nASC ≈ 3670 rpm 必须切 ASC（3PSLS/3PSHS，见 §11.4）；② Safety Case 明确 STO/ASC 速度切换点并用故障注入验证切换逻辑；③ 判据是物理危害（Back-EMF vs 母线），不是单看 FTTI 裕量。

Treq 从 L1 传至 L2 走 SPI + E2E，帧周期约 500 µs；总线繁忙时可延迟 2–3 帧（约 1.5 ms）。症状：若 τ_dec 只留 0.5 ms，最坏案例实际 τ_dec ≈ 1.5 ms，把前向扭矩关断从 20.5 ms 推到 21.5 ms——对 200 ms 要求无碍，但若换成 50 ms 收紧目标（见 §13 C2）就会侵蚀余量且直到故障注入才暴露。根因：时序分析只看名义帧周期，未算最坏 SPI 仲裁延迟。缓解：把 WC-SPI（3 帧 × 500 µs = 1.5 ms）计入 τ_dec；或提高 SPI 速率 / 降总线占用率使帧延迟 ≤ 0.5 ms；E2E 配置写入 Safety Case FTTI 章节。

TLF35584 Q&A Challenger WDT 是窗口看门狗，窗宽可配；若配成 10 ms 而 L2 检测需 20 ms 计满 τ_det。症状：L2 在第 15 ms 决定触发 STO 但尚未完成 GPIO 切换时，WDT 已在 10 ms 边界判 MCU 挂死并强制复位——复位打断 STO 顺序（复位 ≠ STO，可能跳过 ASC 激活），安全反应顺序不确定。根因：L3 WDT 窗宽设计时未与 L2 决策时序对齐。缓解：① WDT 窗宽 ≥ L2 τ_det（≥ 20 ms）；或 ② L2 触发 STO 同时经 FS0B 握手告知 SBC「主动触发，非挂死」，SBC 保持待机而非强制复位；③ Safety Case 明确两条路径（L2 主动 STO vs L3 WDT 复位）的优先级与顺序。

TC397 的 LBIST/MBIST/STL 在 −40°C 下因 PLL 锁定时间增加而完成更慢（延长程度须实测表征，非固定倍数）。场景：若 BIST 阻塞 L2 监控核初始化，从上电到 L2 就绪存在盲区窗 Δt_blind。影响：VCU 若在 L2 就绪前（未收到「L2 ready」）已允许 L1 输出扭矩，等效于无 L2 监控的短暂时段，违反 ASIL D FSR。缓解：① 把最坏 −40°C BIST 完成时间写入 Safety Case 作为 L2 使能 precondition；② VCU 握手：L2 就绪信号有效前 L1 只允许零扭矩（等效 STO 态），这段仅靠 HW DESAT 覆盖短路类 SG（呼应 案例页 C1）；③ FTTI 分析纳入 Δt_blind。

某些更高整车速度平台或更严 OEM 会把内部有效扭矩关断目标从 100 ms 进一步收紧到 50 ms（注意：这是收紧的设计目标，SG 的 HARA 要求仍是 200 ms 单值）。场景：原 τ_det = 20 ms 时前向扭矩关断 20.5 ms 仍 < 50 ms ✓，但 STO free-wheel 全电流 68.5 ms > 50 ms ✗。影响：若把「全电流衰减」也纳入该收紧目标，则 free-wheel 路径不达标。缓解路径：① 高速强制 ASC（电流稳定到有界 Ich，不需等 free-wheel 衰减）；② τ_det 压到 12 ms（须核电流环 BW，见下）→ 前向关断 ≈ 12.5 ms，余量足；③ 该收紧属架构变更触发器，触发 TSC 版本升级 + DIA 重确认。τ_det 下限受电流环带宽约束：监控以 1 kHz 采样、电流环 BW 1–2 kHz（响应 ~0.1–0.5 ms）远快于 τ_det，故 12 ms 内动态超调能收敛、不误触发。

G3 是可逆温度效应（冷却后 ψ_f 恢复）；C3 是寿命末期不可逆退磁。场景：NdFeB 长期高温 + 振动，若工作点接近退磁曲线拐点，ψ_f 可不可逆降低约 5–10%（良设计磁路可控在 < 3%，取决于工作点相对拐点余量）。出厂标定 ψ_f = 0.130 Wb → EOL 实际约 0.117 Wb（−10%）。影响：退磁后真实 ψ_f 已降至 0.117，而 L2 仍用出厂 0.130，故 Test = (3/2)p·ψ_f·iq 相对真实扭矩系统性偏高约 0.10 × 300 = 30 Nm（实算 296 vs 267），超过 ΔT_max = 25 Nm → L2 对正常工况也判「偏差超限」，产生误触发 STO（非预期停车），而非漏检（Test 恒 ≥ 真实扭矩，同 G3 属保守方向）。缓解：① 在线 MRAS ψ_f 观测器，Test 精度跟随老化、消除偏差（增加 L2 算法复杂度，须重论证 B(D) 覆盖）；② 把 ΔT_max 按 EOL 保守放大（≥ 30 Nm 以吸收退磁引入的偏高、避免误触发），以灵敏度换鲁棒性；③ 若无在线估计，把 EOL ψ_f 降额作为 Residual Risk Statement 一项，明确残余风险接受条件。