K1-03 传感器布置、冗余与信号可靠性

课程代码 K1-03 · 板块 K 控制、软件与标定 / 传感与执行部件 时长 约 3.5 小时（6 讲） 前置 G12-01 传感器选型与布置；I7-01 热管理 DFMEA 实操（失效后果严重度来源） 本讲义定位 讲师授课蓝本 / 学员自学讲义，是 K1-03 大纲的完整展开版

---

引言：多加一路，买到的是「知道它坏了」，不是「读数更准」

这门课要处理的事情，可以先用三个具体场合摆出来。

第一个在方案评审桌上：有人指着回路图上的一个测点问「这里要不要再加一个传感器」。回答无论是「加」还是「不加」，当场都能说出一句听起来成立的理由——「这个点很重要」或者「成本受不了」——而三个月后换个人复核，谁也说不清当初凭什么。问题不在人，在于这个判断的输入从来没有被写下来过：一句「重不重要」既不是后果的分级，也不含可探测性与观测性这两侧的信息，它复核不了，也传不下去。

第二个在标定阶段：两只传感器装上去了，判异判据天天误报，好通道被判死、整车动不动进降级。现场的处置几乎是一致的——把偏差阈值 ε_th 一路调大，调到不再报为止。冗余从此变成一块牌子：它还挂在那儿，而它本来要覆盖的失效已经被自己关掉了，代价还落在最难查的那一类上。

第三个在车用到中后期：两路读数依然严丝合缝，差值稳稳地贴在零附近。工程师读到的结论是「两路一致，数据可信」——而它们已经一起偏了，同批次、同工艺、同环境的两只件，漂移方向本来就是同一个。没有冗余的时候他至少知道自己不知道；加了冗余之后，他确信自己知道。这是本课全程要盯住的那个方向相反的错误。

本课的射程线画在「网络」这一层。三条相邻的线可以用问题的主语分开：单个测点测什么、装在哪、插多深、走什么接口，主语是一个器件，归 G12-01 温度/压力/流量/湿度传感器选型与布置 与 G12-03 执行器硬件接口与电气规格；一路信号怎么滤、怎么判异、怎么分置信度、时刻怎么对齐，主语是一路信号，见 K1-01 热管理传感器信号处理与故障诊断；本课的主语是一组信号之间的关系——要不要第二路、两路不一致时信谁、两路会不会一起坏、这套关系用到报废前还守不守得住。这条线不画清，本课只会退化成两种形态之一：往下滑，变成第二遍讲传感器选型；往上滑，变成第二遍讲功能安全流程（那是 K2-03 功能安全（ISO 26262）在热管理中的应用）。本课的边界声明有二十余处，先把地图摆出来，后面每一句「这件事归谁」你都能对回图上的一格。

⚠ 图上有一格要单独交代：G12-02 压力—温度联测与冷媒状态感知（压力—温度联测与冷媒状态感知）。它在本课里本来只是解析冗余的一个思路来源，本课把它提到与其它去向并列的位置，理由很具体——典型案例的第一条判据正是冷媒侧的压力—温度一致性，两相区里压力与温度一一对应，它比隔着一个换热器的水侧证据直接得多。这一格是本课补进来的。

学完这门课，你要能当场做五件事，每一件都对应一个可验的交付物：判某个测点要不要冗余、冗余成什么形式——交付的是一张把三问答案逐行写下来的表，不是一个结论词；设计硬件冗余与解析冗余并把代价说清——代价写成可数的结构增量清单（件、连接器腔位、导线、ECU 引脚、ADC 通道、软件与标定项、售后件号、装配工序），⛔ 不写金额，金额是平台相关量而结构增量是当场能数清、能被线束与电子电气架构两侧核对的；评估全生命周期的漂移、老化与连接器失效对信号可靠性的影响——判据只有一句「出厂时探测得到的，中后期还探测得到吗」；定义冗余通道的独立性要求并识别共因失效——做法是拿一张分维度的核对清单逐项核，核不过的那几维要有处置记录，⛔ 不许停在「我们已经分开走线了」；把冗余与诊断的投入量化成诊断覆盖率 DC——⚠ 这里先说清一件事，DC 是输入不是结论，硬件架构度量本身归 K2-03 功能安全（ISO 26262）在热管理中的应用，本课只负责把这个输入算对、并说清它的分母该怎么取。

全课六讲，是同一件事的六层。第 1 讲立判断：要不要冗余，以及五种处置各在什么条件下成立；第 2 讲讲硬件冗余的判据体系——差值判据、表决结构，以及两个几乎必然踩到的坑（共模盲区与采样时刻失配）；第 3 讲讲解析冗余能替代什么、不能替代什么，以及残差归零的两条路径；第 4 讲讲多路估计的置信度、逐路降权与退出，并把置信度做成交给下游的显式信号；第 5 讲讲独立性、共因失效与量化出口；第 6 讲把前五讲的判断放到全生命周期上重问一遍——出厂时探测得到的，用到中后期未必还探测得到。前置是 G12-01 温度/压力/流量/湿度传感器选型与布置（单点选型与布置）与 I7-01 热管理系统/零部件 DFMEA 实操（失效后果严重度的来源）；K1-01 热管理传感器信号处理与故障诊断 建议先读，本课有好几条判据直接建在它给出的三档置信度与时刻对齐手段上。

钉子 A：「要不要冗余」的输入是三问，不是「这个点重不重要」。三问是——① 这一路失效的后果有多严重（安全／性能／舒适）？② 现有手段探测得到吗？③ 这个量能不能由别的测点加模型算出来？三问的答案组合出五种处置：加诊断（补合理性检查与消抖，不加件）、用解析冗余（观测性够就拿模型当第二路，不加件）、加硬件冗余、降级容忍（后果不重时明写「失效了进哪一档降级」并作为设计输出，⛔ 不是不管）、换测点（换一个更好测、更好诊断的位置或物理量——这一条最常被跳过，而它往往最便宜）。只有「后果重 + 探测不到 + 算不出来」这一格才该加第二路硬件。⇒ 全课的第一条可执行动作：拿到「这个点要不要加第二个传感器」的问题，先把三问的答案写下来，⛔ 不要先选 1oo2 还是 2oo3——选结构是三问之后的事，先选结构等于跳过了判断。⚠ 三问与这五种处置是本课归纳的组织方式，⛔ 不是哪一份标准或既有材料写好的现成条目。

钉子 B：任何冗余方案都必须同时写下「它抓得到哪几类失效」与「它放过哪几类」，而放过的那一类永远包含共模。这不是一句提醒，它有三行可以当场复算的代数。设两路（或三路）同向偏了同样多的一个量 δ：差值判据得 (x+δ)−(x+δ)＝0；三取二表决得 median(x+δ, x+δ, x+δ)＝x+δ，中位数跟着一起错；解析残差在模型输入与被判通道同源时得 r＝(x+δ)−(x̂+δ)＝0。本课的三条核心判据在同一类失效下一起归零，而读者从判据输出里读到的却是「一致 ⇒ 可信」——方向正好相反。⇒ 全课的第二条可执行动作：给出任何一个冗余方案之后，立刻问一句「两路一起偏同样多时，这条判据输出什么」。答案是零，就说明这一整类没被覆盖，必须另找绝对基准（上电冷机窗口，它的使能条件与判定见 K1-01 热管理传感器信号处理与故障诊断），或者改用异构冗余——换一种测量原理、换一家供应商、换一条信号通路，⛔ 不能靠再加一路同型件。⚠ 全课凡写到这件事，措辞一律是「抓不到」「完全隐形」，⛔ 不写成「冗余对共模免疫」：那句话字面读起来是「冗余不受共模影响」（好事），而要说的恰恰是相反的「共模能整个绕过冗余」（坏事），它本身就是本课要点破的那种读反形态。

为了让这件事不停留在口头，本课把六条判据与七类失效模式排成一张矩阵。它是全课的骨架，第 2、3、5、6 讲各回来填一次；⚠ 矩阵的六行与七列都是本课归纳的组织方式，⛔ 不是任何标准或既有材料的现成表。

★ 最后立一条反钉子，它是本课最容易被读反的地方。本课交给读者的第一个工具是 x_out＝median(x1, x2, x3)，而中位数在统计里恰恰是抗噪声、抗离群的稳健估计；第二个工具 |x_A−x_B|＞ε_th 又长得像一道精度校验。两个工具都在暗示「多一路就更准」，于是冗余被当成对付「测不准」的手段。它不是。冗余买到的是「知道某一路坏了」，不是「读数更准」——准确度归标定、补偿与选型（见 G12-01 温度/压力/流量/湿度传感器选型与布置 与 K1-01 热管理传感器信号处理与故障诊断，件级的漂移根因与工艺对策归 G12-04 座舱与空气侧传感器：外温/内温/日照/蒸发器温度的误差机理、布置与补偿），冗余归失效检出；两件事的输入、判据与验收全不一样。

读反之后会做出三个具体动作，每一个都当场可判真假：

• 把冗余当漂移对策：知道传感器会漂，于是在同一位置加一路同型号、同批次的件「互相校验」。⇒ 方向反了——同批次、同工艺、同环境的件漂移是同向的，落到判据上就是钉子 B 那三行代数，读者读到「两路一致」并据此确信数据可信。正解是找绝对基准或改异构，⛔ 不是同构件再加一路。
• 把 median 换成 mean：理由通常是「平均更平滑、更符合直觉」，有时还会加权。⇒ 三取二的目的是让单通道故障不污染输出，而算术平均会把一路跳变按 1/n 的比例掺进输出——故障不再被隔离，而是被稀释；稀释之后的偏差往往刚好落在诊断阈值之下，于是变成一个永远报不出来的慢性偏差，还挂着「三路冗余」这块牌子。正解是取中位（或先判异、剔除、再对剩余路取平均），并把「哪一路被剔除」作为显式信号送给下游。
• 误报时抬高 ε_th：两路老是互相判异，于是把阈值调大到不再报为止。⇒ 整车上两路常来自不同 ADC 通道、不同任务甚至不同 ECU，瞬态工况下（快充起止、模式切换、化霜进退）光是采样时刻不一致就能让 |x_A−x_B| ≈ |Δt_align·dx/dt| 顶过 ε_th——真因是时间基准而不是精度。抬阈值会把真故障的检出能力一起抬掉，而且抬掉的正是「缓慢跑偏到阈值边缘」那一类，恰恰是最难查、后果最长尾的一类。正解方向相反：先做时刻对齐（同任务同一拍读两路／用时间戳配对／在瞬态标志置位窗内挂起比对），对齐做完之后 ε_th 才有意义。

三个动作看起来各不相干，根是同一条：把冗余当成求真值的手段，而不是查失效的手段。

本课凡是要「列一张表」的地方——冗余有哪几种形式、表决有哪几种结构、判据有哪几条、冗余放过了哪几类失效、独立性有哪几维、劣化有哪几个来源、投入的量化出口有哪几侧——一律先把全集画出来、再逐项核射程，而不是顺着自己最熟的那条线索往下数。理由很实际：沿单一线索枚举时，漏掉的那一类不会以「少了一条」的形式暴露，它是整类不出现，看起来清单还是齐的。三个已经踩实的例子。其一，沿「要不要再装一个传感器」数冗余形式，会整类漏掉解析、时间、异构、信息四类，而异构恰恰是唯一能在同一位置拿到独立性、也是唯一能对付共模的硬件手段；本课因此改按「第二个信息源从哪来」建轴，分同构硬件／异构硬件／模型／时间／信息五类——⚠ 这五分类是本课归纳的组织轴。其二，沿「1oo1 → 1oo2 → 2oo3」这条阶梯数表决结构，会漏掉整车最常见的那种落地形态：主路高精度加一路低成本的「看门」通道（只判量级或只判越限），它根本不在这条阶梯上。其三，沿「传感器会怎么坏」（开路、短路、卡死、跳变、超量程）数失效模式，会整类漏掉共因失效——它是机制不是模式，沿模式数永远数不到；也会漏掉判据自身的失效，因为清单上列的都是被判对象。

最后交代一类数，免得在正文里白找。本课能给准确形式的只有数学恒等量与单位定义：两路都失效才失效因而不可靠度相乘、三取二的不可靠度表达式、算术平均对单路跳变的稀释比例、失效率单位 FIT 的定义，以及独立通道近似式的量纲核对（⚠ 它给出的是一个失效率而不是一个概率，⛔ 不得与任何百分数或概率直接比较）。⚠ 这些恒等式全部建立在通道独立这个前提上，前提破了它们一条都不成立——那正是第 5 讲要讲的事。除此之外，本课的门限一个都不给：偏差阈值 ε_th、消抖时间 t_debounce、两路采样时刻差 Δt_align 及其上限、残差阈值 |r|_th、置信度三档的分档阈值、共因因子 β_CCF、单通道不可靠度 q、任何一个失效率 λ、两只件安装点之间真实存在的物理差、ADC 位数与量程、接触电阻的量级、在线校零的补偿上限与使能条件——全是平台相关量，取决于本项目的选型、线束方案、软件架构与实测数据，⛔ 一律须由本项目算出，⛔ 禁止抄上一代平台。本课正文里凡出现带数的算例，输入一律标为教学假设值并明写不对应任何产品、任何平台，⛔ 由它算出的结果一律不得被当作可取用值；图上凡属这一类的量，一律画成可沿轴自由平移的带或线，并在行尾写明它由谁给出，⛔ 不偷偷画一条固定的门槛线代替它。

标准这一层同样只写去向，并且沿用 K2-03 功能安全（ISO 26262）在热管理中的应用 已立的口径：引用一律落到部分号，⛔ 不裸写「ISO 26262」四个字——硬件层面的度量与 FMEDA 在 -5，ASIL 分解与相关失效分析在 -9；ISO 16750 本课只取 -2 电气负荷、-3 机械负荷与振动、-4 气候负荷三部分的主题词，连接器与线束的环境应力是信号可靠性的物理基础，所以它在本课出现，但只出现到主题词为止；IEC 61508 只作体系名出现（通用功能安全体系、ISO 26262 之母标准，共因失效的因子法在它的体系内）。⚠ 这几份标准的条款正文本课一份都没有取到，因此只写「哪一部分管什么、去哪查」，⛔ 不复述任何条款内容、判定准则、档位值与推荐表格；版次与年份以现行目录为准，引用前须核。诊断覆盖率的分级档位，以及 SPFM／LFM 与 PMHF 的目标值，都属这一类，本课一个不写；关于它们本课只给一条量纲事实：PMHF 的量纲是每小时，与 SPFM／LFM 这两个无量纲比值不可互相折算。

这门课的交付物不是一套推荐的冗余配置，而是一串每一步都写得出理由、也经得起当场反问的判据——其中最要紧的那一问只有一句：两路一起偏同样多时，你这条判据输出什么。

第 1 讲　要不要加第二路，是三问算出来的，不是「这个点重不重要」拍出来的

评审会上最常见的开场白是一句问话：「这个点很重要，要不要加个冗余传感器？」这句话把结论和依据一起省掉了——「重要」是后果侧的一个形容词，而「加不加第二路硬件」是三件互相独立的事共同决定的：这一路失效的后果有多严重、现有手段探测得到吗、这个量能不能由别的测点加模型算出来。三问的答案组合起来，指向的处置有五种，其中只有一种是「加第二路硬件」。跳过三问直接讨论「上 1oo2 还是上 2oo3」，等于把判断这一步整个删掉，只剩下选型；而选型选得再对，也回答不了「这一路本来就不该加」这件事。

还有一句必须在第 1 讲就钉死的话：冗余买到的是「知道某一路坏了」，不是「读数更准」。准确度归标定、补偿与选型（器件侧见 G12-01 温度/压力/流量/湿度传感器选型与布置 与 G12-04 座舱与空气侧传感器：外温/内温/日照/蒸发器温度的误差机理、布置与补偿，单路信号侧见 K1-01 热管理传感器信号处理与故障诊断），冗余归失效检出。两件事的输入、判据与验收完全不同——把它们混在一起，会做出一整类方向相反的动作，这是本课后面几讲要反复当场点破的东西。

这一讲要交付六样后面五讲都要回来取用的东西：一条三闸判断链（1.1）、两个外部输入的口径声明（1.2 的严重度、1.3 的观测性）、一张冗余形式全集（1.4）、可靠度这一侧的拐点（1.5）、结构增量这一侧的账（1.6），以及一张全课通用的符号表（1.7）。⚠ 第 2 讲之后的所有判据、阈值预算与独立性论证，都是挂在这六样东西上的；这一讲少交一样，后面就有一整类问题没有挂靠点。

1.1 先判要不要，再谈怎么做：三问的答案组合出五种处置

是什么。把「要不要冗余」拆成三个可以分别回答的问题，顺序不能换：

闸	问题	答案从哪来	答「好」时走向哪个出口
闸① 后果	这一路失效的后果有多严重（安全／性能／舒适）？	DFMEA 与安全目标（见 1.2）	后果轻 ⇒ 出口 D「降级容忍」
闸② 可探测性	现有手段探测得到吗？	本项目已有的诊断清单	抓得到 ⇒ 出口 A「加诊断不加件」
闸③ 观测性	这个量能不能由别的测点加模型算出来？	测点集与模型清单（见 1.3）	算得出来 ⇒ 出口 B「用解析冗余」

三闸全过——后果重、探测不到、也算不出来——才走到出口 C「加硬件冗余」。链外还有一条常被整个跳过的旁路：出口 E「换测点」。五个出口逐条如下：

出口	走到这里的条件	处置	它买到的是什么	在哪里展开
A 加诊断不加件	后果重，但现有手段抓得到	补合理性检查与消抖，把探测能力做实	探测能力，零结构增量	判据本体见 K1-01 热管理传感器信号处理与故障诊断；冗余场景多出来的那几项预算在第 2 讲
B 用解析冗余	后果重、抓不到，但观测性成立	用模型／观测器当第二个信息源	第二个信息源，零结构增量	第 3 讲（前提与阈值）、第 4 讲（置信度与退出）
C 加硬件冗余	三问全是「差」的那一格	加第二只件，并选表决／仲裁结构	单通道失效被隔离在输出之外	第 2 讲（判据与结构）、第 5 讲（独立性与量化）
D 降级容忍	后果不重	明写「失效时进哪一档降级」并作为设计输出	一个被承认、有出口的失效	降级仲裁归 K5-02 热管理故障处理与降级策略；三档置信度接口在第 4 讲
E 换测点	任何一闸之前都可能成立	换一个更好测、更好诊断的位置或物理量	把问题移走，而不是包起来	位置与物理量的选择归 G12-01 温度/压力/流量/湿度传感器选型与布置、G12-02 压力—温度联测与冷媒状态感知

⚠ 出口 D 不是「不管」。「后果不重」推出的是「允许它失效」，不是「不必写」——失效之后进哪一档降级、由谁仲裁、下游怎么知道，全都要写成设计输出。把 D 当成「这条不用管」，是这张表上最容易出的一处方向错误。

⚠ 出口 C 之后紧接着还有一个问题，⛔ 不许略过：同构还是异构。这不是「细节」——它决定了这一路冗余看不看得见共模偏置（1.4 给全集，第 2 讲给判据后果）。要防共模，硬件手段里只有异构一条路。

★ 这三问与五个出口的组织方式是本课归纳的，⛔ 它不是任何标准、任何手册里既有的分类，也不要拿它去对某份规范的条款——把它写下来的理由只有一个：它能当场挡掉「这个点很重要所以加一路」这类没有依据的提案。

为什么非得按这个顺序问。三问各自堵住一个具体的浪费或漏，缺一个就漏一类：

• 只看后果，会撒胡椒面——每个被叫做「重要」的点都加一路，成本、重量、腔位堆上去，而真正的单点仍然是单点。这是本课第一条常见误区的形态。
• 不看可探测性，会给一个本来就能抓到的失效再花一份钱——出口 A 是五个出口里最便宜的一个，跳过闸②就等于永远走不到它。
• 不看观测性，会在一个明明算得出来的量上装第二个传感器——出口 B 同样是零结构增量的，而它常常因为「模型不算冗余」这种先入印象被排除在选项之外。

⇒ 这是本课的第一条可执行动作：拿到一个「这个点要不要加第二个传感器」的问题，先把三问的答案写下来，⛔ 不要先选 1oo2 还是 2oo3。写下来还有第二个用处：方案评审时别人能复核你的判断，而不是复核你的结论。

工程量级与取值：本节不给数。三问的答案是分级判断而不是数值——严重度的分级来自 DFMEA（见 1.2），可探测性来自本项目已有的诊断清单，观测性来自本项目的测点集与模型清单，三者都是项目相关输入，须由本项目给出。

易错点：

• 三问答完不写下来。口头答一遍等于没答：方案定型三个月后没有人能复核当初为什么选了 C 而不是 B，返工时只能从头再判一遍。
• 把「可探测性」理解成「有没有 DTC」。有码不等于抓得到——量程内卡死在一个合理值上的失效，通常一个码都不会置，而它恰恰是本课要防的主要形态之一。闸②问的是「现有判据在这个失效模式上真的会动作吗」，不是「这路信号有没有诊断」。
• 把闸②答成「抓得到」就收工，不核探测时间。抓得到 ≠ 及时抓到。探测时间必须放进下游能容忍的时间预算里核一遍（预算的构成与两侧夹逼见 K1-01 热管理传感器信号处理与故障诊断，整车侧的时间约束归 K5-02 热管理故障处理与降级策略）——超出预算的「抓得到」，在后果侧等于没抓到。
• 把第③问答成「理论上可观测」。本课要的是「在本项目的测点集与实时算力下算得出来，且误差带已知」，见 1.3。

1.2 第①问的输入不由本课产生：失效后果严重度由 DFMEA 与安全目标给

是什么。本课只算概率与可探测性，不算后果。严重度在输入侧，不在输出侧——它来自 DFMEA（见 I7-01 热管理系统/零部件 DFMEA 实操）与整车安全目标（见 K2-03 功能安全（ISO 26262）在热管理中的应用）。把本课的输入输出画清楚：

侧	内容	由谁给
输入	每个测点失效的后果分级（安全／性能／舒适三档，或本项目自己的等级体系）	DFMEA，见 I7-01 热管理系统/零部件 DFMEA 实操
输入	安全相关那一档的口径与安全目标	危害分析，归 K2-03 功能安全（ISO 26262）在热管理中的应用
输入	现有诊断清单（每条判据实际覆盖哪些失效模式）	本项目的诊断规范，判据本体见 K1-01 热管理传感器信号处理与故障诊断
输入	测点集与可用模型清单	本项目的测点方案与模型库（去向见第 3 讲）
输出	测点分级表（哪些点要冗余、冗余成什么形式）	本课
输出	冗余方案与它的判据、阈值预算	本课第 2、3 讲
输出	独立性论证与共因失效的规避措施	本课第 5 讲
输出	诊断覆盖率 DC 与置信度／降级接口	本课第 5 讲的 DC、第 4 讲的接口

⚠ 但是——严重度必须在表上留一个格子，并写明它由谁给，⛔ 不许因为「本课不算」就让它从表上消失。

为什么这条线非画不可。不划这条线会出现两种失败，方向恰好相反：

• 往里揽：本课自己给严重度分级，结果与 DFMEA 的结论不一致，评审时两份表打架，而两份表都是「正式交付物」，没有人能判谁对。
• 往外推到消失：干脆不提严重度，于是读者以为「做完冗余设计＝风险已经评过了」。这一种更坏——它把一个没有做的动作，伪装成一个已经做完的动作。

⇒ 在表上留格子而不给判据，正是为了防住后一种。「由谁给」写在表上，缺了就是一个可见的空格；不写，缺了就什么都看不见。

工程量级与取值：不给数。严重度的等级号与判定准则由本项目的 DFMEA 体系与安全目标给出，⛔ 本课既不给等级号，也不给任何判定门槛——本课不判的判据，只给类型与去向。

易错点：

• 拿别的项目的严重度表直接抄。同一个测点在两个平台上的失效后果可以完全不同：同样是电池回路出口温度，一个平台上它只影响热泵效率，另一个平台上它挂在电池热失控的防护链上。抄表等于把别人的架构假设一起抄过来。
• 把「客户抱怨多」当严重度。抱怨多是可探测性侧的信息（说明这个失效容易被人察觉），不是后果侧的信息。把它填进闸①，会系统性地高估那些「难受但不危险」的点，同时低估那些「察觉不到但后果重」的点——而后者恰恰是本课最该加冗余的那一类。
• 把安全相关的那一档自己判了。它的口径在危害分析里（归 K2-03 功能安全（ISO 26262）在热管理中的应用），本课自行判会得到第二个结论，两处不一致时一定是本课这份被推翻——白做。

1.3 第③问「算不算得出来」用观测性这个工程口径回答，⛔ 不是控制理论里那个秩判据

是什么。本课的观测性取工程口径：能否由现有测点加模型唯一反算出目标量，且误差带已知。它有三个可以逐条核的条件：

1. 关系式存在且已确认——目标量与已测量之间有本项目已经确认过的关系式或标定关系，⛔ 不是「文献上有一个公式」。
2. 关系在要用它的那些工况下不退化——分母不趋零、不落进病态区。⚠ 判这一条要看的是本课要用它的那些工况，不是设计点。
3. 误差带能给出来，且在要用它的那条判据上够用——一个误差带比判异阈值还宽的估计值，做不了那条判据的第二路。

三条缺一，第③问的答案就是「不能」，链子就往下走到出口 C。

★ 严格的可观测性判据（秩条件）、观测器结构选型与整定归 K3-10 热管理在线状态与负荷估计：观测器整定、软测量置信度与退出条件；本课只用这个工程口径做要不要加件的分流，⛔ 不展开算法推导。

为什么要专门取一个中间口径。两端都走不通：

• 把观测性写成「理论上可观测」，第③问就永远答「能」——理论上几乎任何热学量都能由别的量加模型推出来。于是解析冗余被滥用到它撑不住的地方，而它撑不住的时候不会报错，只会给出一个看起来合理的数（第 3 讲整讲在说这件事）。
• 把观测性写成秩判据，绝大多数做架构的人当场答不上来，问题就被绕过去了——绕过去的形式通常是「先按加硬件走，稳」，于是又回到撒胡椒面。

⇒ 取一个可核的三条件口径，答得上来又骗不过去，同时把严格判据挂到 K3-10 热管理在线状态与负荷估计：观测器整定、软测量置信度与退出条件 的去向上。

⚠ 这里还有一个同名不同义要当场分开：本课说的「观测性」与控制理论里的可观测性同名不同义，⛔ 不许拿秩判据去回答本课的第③问，也不许反过来拿本课的三条件去论证一个观测器可解。

工程量级与取值：不给数。三个条件的具体门槛——尤其条件 3 的「误差带够不够用」——取决于要用它的那条判据的阈值预算（阈值预算的构成见第 2 讲、残差阈值见第 3 讲），须按本项目算，⛔ 本课不给任何典型值。

易错点：

• 把「有一个公式」当成观测性成立。公式在设计点成立，在低流量、小温差、含气或阀位切换过程中可能整个病态。条件 2 问的就是这个。
• 忘了条件 3，拿一个误差带比判异阈值还宽的估计值去做判异。结果只有两种：阈值放到能容下误差带，于是判据永远不报；阈值不放，于是判据永远在报。两种都等于没有这条判据。
• 把观测性与冗余混为一谈。观测性成立只说明「可以不加件」，接下来还要看误差带撑不撑得住那条判据、模型输入与被判通道是不是同源（第 3 讲讲残差归零的两条路径）。⚠ 观测性成立不等于解析冗余成立。

1.4 第二个信息源可以从五个地方来：冗余形式全集是五类不是一类

枚举线索先说清楚。绝大多数人是沿着「要不要再装一个传感器」这条线索数冗余形式的。沿这条线索往下数，会整类整类地漏——漏掉的不会以「少了一条」的形式出现，而是那几类压根不在讨论里，看起来选项还挺完整。

按第二个信息源从哪来重新建轴，全集是五类：

类	第二个信息源是什么	它防的是哪一类失效	看得见共模偏置吗	代价形态
① 同构硬件	同型号、同规格的第二只件	单通道跳变、卡死、开路短路	看不见（同批次同工艺件同向偏，两路差恒为零）	件＋腔位＋导线＋引脚＋通道（见 1.6）
② 异构硬件	不同测量原理测同一个量（直测温度 vs 由压力反推饱和温度；模拟分压式 vs 数字接口式；接触式 vs 非接触式）	单通道失效，外加同型件的系统性偏差	部分看得见——两种原理的错法不同，不会同向同量偏	视原理而定；很多时候第二个量本来就在车上
③ 解析（模型）	由别的可测量加模型反算目标量	单通道失效，以及物理上讲不通的组合	只在模型输入与被判通道不同源时看得见；同源则残差同样归零	零硬件增量，成本在建模、标定与算力
④ 时间（先验）	同一路信号在已知状态下的自洽（上电冷机同域一致、停机后回归环境、加热器投切前后该不该出现响应）	相对偏差、卡死、装配错位	看不见常量共模——各路一起偏时它同样归零（第 6 讲专讲）	零硬件成本，代价是窗口的可用率
⑤ 信息（校验位）	信号自带的校验（数字接口的 CRC 与状态字、PWM 的合法频率带、报文计数器）	传输层失效：错帧、丢帧、卡帧	看不见——它对敏感元件的漂移完全无感	零增量（协议自带），但只覆盖传输层

★ 这条五分类的轴是本课归纳的（按「第二个信息源从哪来」建轴），⛔ 它不是任何标准、任何手册既有的分类；把它写下来的理由是：沿「要不要再装一个传感器」这条线索数，②③④⑤ 四整类一个都数不到，而②恰恰是唯一能在同一个位置上拿到独立性的硬件手段。

为什么这一栏（看得见共模偏置吗）必须先看。五类的检出射程完全不同，而它们最要命的差别就在这一栏上。选形式之前先问一句：我要防的那一类，这个形式看得见吗？——如果要防的是同批次件的同向系统性偏差，那么 ①④⑤ 三类全部出局，③ 要先证明模型输入不同源，剩下能真正解决问题的只有 ②。⚠ 这一栏的结论在本课是逐格固定的，第 2、3、5、6 讲会回来一格一格地验证它，⛔ 全课不许在一处写「看不见」另一处写「部分能抓」。

工程量级与取值：不给数。五类之间的选择是结构判断，不是数值比较；异构方案的具体配对（拿哪两个原理配）取决于本项目已有的测点集与总线上已有的量，须由本项目定。

易错点：

• 把信息冗余算进「本测点已有冗余」。CRC 全绿、报文计数器连续、状态字正常，只说明这一帧是从那只传感器完整传过来的，一个字都没说敏感元件测得对不对。一只已经漂了、或者已经卡死在合理值上的传感器，它的 CRC 永远是对的。
• 以为异构冗余一定更贵。很多时候第二个原理的量本来就在车上（为别的用途装的），代价只是一段软件与一次标定——冷媒侧的压力—温度对应关系就是这类（思路见 G12-02 压力—温度联测与冷媒状态感知）。把「异构」默认成「再买一只更贵的件」，会让唯一能防共模的那条路一开始就被排除。
• 只在硬件里找冗余，把时间冗余这一整类漏掉。它是零硬件成本的，而且是全课唯一能提供绝对参照的一类（窗口与使能条件见 K1-01 热管理传感器信号处理与故障诊断，本课在第 6 讲讲怎么拿它做冗余判据、以及它对共模漂移同样归零）。

1.5 「冗余不是越多越好」，而且这句话可以算成一条有拐点的曲线

是什么。「冗余不是越多越好」如果只是一句话，谁都同意，但谁也不会因为它停手。把它写成可算的两侧，读者才能当场回答「第三路该不该加」。

可靠度这一侧。记单通道的不可靠度为 q（可靠度 R＝1−q）。三个结构的不可靠度：

• 单路：F₁ ＝ q
• 1oo2（两路任一可用即可用，两路都失效才失效）：F_1oo2 ＝ q_A·q_B，同型两路时 ＝ q²
• 2oo3（三取二表决）：F_2oo3 ＝ 3q²−2q³ ≈ 3q²（q 很小时）

⚠ 三条式子的硬前提是通道独立。存在共因失效时三条全部不成立——那正是第 5 讲要讲的东西，也是本课把独立性叫做「冗余的命门」的原因。

由这三条直接得到两个可手算的结论，两个都是数学恒等关系，不依赖 q 取多少：

结论一：从 1 路到 2 路是一次数量级跃迁，从 2 路到 3 路在可靠度上反而变差。 把两式相减：F_2oo3 − F_1oo2 ＝ (3q²−2q³) − q² ＝ 2q²(1−q)。在 0＜q＜1 的全区间里这个差恒为正 ⇒ 2oo3 的不可靠度总是大于 1oo2。⇒ 2oo3 买的不是可靠度，而是输出的正确性：1oo2 只知道「有一路坏了」却不知道该信谁，2oo3 能直接给出一个可用的输出。⚠ 这是本课最容易被记反的一处：「三路一定比两路可靠」在可靠度这一项上恰好相反。

结论二：2oo3 相对单路的增益只在单路本身足够可靠时才存在。 要求 F_2oo3 ＜ F₁，即 3q²−2q³ ＜ q。整理：2q³−3q²+q ＞ 0 ⇒ q(2q−1)(q−1) ＞ 0。在 0＜q＜1 区间里 (q−1)＜0、q＞0，故需 (2q−1)＜0，即 q ＜ 0.5（等价的可靠度形式：R ＞ 0.5）。三个根 q＝0、0.5、1 里，0.5 是唯一有工程意义的交叉点。

⇒ q ＞ 0.5 时，2oo3 比单路还差。这条一行就能算出来的判据，用途非常直接：当场挡掉「这个件老坏，我们上个三取二」这类提案——件本身不可靠时，加路数只会让情况更糟，该走的是出口 E（换测点／换件）或出口 B。

★ 这个交叉点是本课自己推出来的判据，⛔ 不是任何标准或手册里的既有结论；写它的理由就是上面那一句用途。

另一侧：每加一路，也加了一份失效源与一条会误报的判据。 多一路带来的不只是覆盖：新增的连接器腔位、导线、引脚、ADC 通道各自有自己的失效率，而判异判据本身有虚警率。两侧合起来写成一条结构式：

净收益 ＝（被覆盖的危险失效带来的收益）−（误降级率 × 降级的代价）

⚠ 这条式子的三个量全是平台相关量：误降级率须由本项目的判据虚警统计确定，降级代价由整车侧定，被覆盖的危险失效收益要按后果分级折算。⛔ 本课不给任何取值，也不给虚警率的典型值——本课给的是这条式子的结构与它的用途：回答「第三路该不该加」。答案取决于这个测点要的是可用性还是输出的正确性，而不是取决于「多一路总更安全」这种直觉。

工程量级与取值：q（或 R）不给数——须由本项目的失效率数据、任务时间与通道边界确定。⚠ 通道边界的选择会直接改变 q：只算敏感元件，还是把连接器、线束、ADC 与驱动软件一起算进这一路？两者差得很远。⛔ 同一份论证里两处引用 q 必须是同一个边界，⛔ 不许一处按元件级、一处按通道级。三个不可靠度表达式（q、q²、3q²−2q³）是数学恒等量，可以给准确形式。

易错点：

• 把 2oo3 当成「比 1oo2 更可靠」。在可靠度这一项上恰好相反，差值是 2q²(1−q)，恒为正。选 2oo3 的理由必须写成「我要的是输出的正确性／可用性」，⛔ 不能写成「更可靠」。
• 忘了 q＜0.5 这个前提。一路本身就不靠谱时加两路只会更糟——而「这个件老坏」恰恰是最常见的提出加冗余的动机。
• 只算收益不算误降级。加完冗余之后整车可用性下降、投诉上升，是这一类失败的典型形态：新增的判据在瞬态下频繁误报，把好通道判死（第 2 讲讲时刻失配时会给出机理）。
• 把「独立」当成默认成立。上面三条式子只在通道独立时成立，而独立性是要论证的，不是画在架构图上两条分开的线就有的（第 5 讲给十维核对）。

1.6 加一路的代价要写成可数的结构增量，⛔ 不写金额

是什么。加一路冗余的代价，落到评审桌上要写成一张可数的结构增量表，而不是一个金额。一路模拟量温度传感器的典型增量（标「典型」，条目数属可数的工程结构事实）：

增量条目	典型件数	区间的来由
件	1 只	—
连接器腔位	1 个（或整只新连接器）	现有连接器有没有空腔位
导线	2~3 根	信号＋地为 2 根；若该件需要独立供电则 3 根
ECU 引脚	1~2 个	是否需要单独的上拉／基准脚
ADC 通道	1 个	—
软件与标定项	驱动、诊断、标定表若干	随判据条数变
售后件号	1 个	—
装配工序	1 道（含防错）	—

⚠ 区间的两个端点（3 根导线、2 个引脚）是接法决定的两种形态，⛔ 不得把端点当成可承诺值去做线束方案。

数字接口件（例如 LIN／SENT 类）的增量结构不同，⛔ 不能照抄上表：导线可能更少，但它占用一条总线上的地址与调度带宽，并引入报文层的失效模式（错帧、丢帧、超时）——总线侧的容量与时序约束归 K2-02 CAN/LIN/CAN-FD 通信与整车 EEA 集成。⇒ 数字接口件不是「更省」，是把代价从线束侧挪到了总线侧。

为什么写结构增量而不是金额。写成金额，讨论会停在「这点钱值不值」这个没有人能当场判的层面上；写成结构增量之后，线束、EE 架构、装配三方各自能给出一个硬回答——装得下还是装不下。⚠ 而「装不下」往往才是真正的约束：整车层面引脚与腔位是稀缺资源，一个已经排满的连接器要加一个腔位，代价不是一根导线，是重新开模、重新做防错、重新验证。⛔ 金额还有第二个问题：它是平台相关量，写进讲义就会被当成典型值抄走，而它换个平台就不成立。

还有一笔必须同时记的账：每一个物理增量同时是一个新增的失效源，而且是一一对应的——腔位对应接触退化、导线对应断线与短路、共用的 ADC 通道对应增益与参考漂移的共享风险。这正是 1.5 里「净收益要减去误降级项」的物理来源，也是第 6 讲那一整讲的对象（件级根因与工艺对策归 G12-04 座舱与空气侧传感器：外温/内温/日照/蒸发器温度的误差机理、布置与补偿，本课只做整车侧的检出）。

工程量级与取值：条目清单与件数可给并标「典型」；单价、重量与线束长度是平台相关量，⛔ 不给数，须由本项目的线束方案确定。

易错点：

• 只算件的成本，忘了引脚与腔位。这两样在整车层面是被多个系统抢的稀缺资源，而且它们的「涨价」是阶跃的：从有空腔位到没有空腔位，代价跳一个台阶。
• 忘了每个新增连接器腔位本身就是失效源。小信号回路的接触退化（间歇高阻）是第 6 讲的重点之一，而两路冗余若用同型号连接器，这一项退化会同时发生——表决抓不住，因为它是共因。
• 把软件与标定项当成零成本。它们要进标定表、进诊断规范、进售后手册、进产线工位（下线标定与学习值管理归 K6-09 产线下线与售后标定：工位项清单、配置写入与学习值管理），是长期负担而不是一次性投入。
• 把数字接口件的「导线更少」当成代价更低。总线地址与调度带宽同样是稀缺资源，而且它引入的报文层失效模式是全新的一类，要另配判据。

1.7 符号与术语一次立表，全课不许换用

本课有五组符号同名不同义，其中 R 与 λ 两组连量纲都不一样。读者一旦把它们互算或比大小，错的量级不是百分之几，是几个数量级。⇒ 在第 1 讲末尾一次钉死，后面五讲照此执行：

符号	本课的含义与单位	撞名的是什么	本课的写法
R	可靠度 R(t)，无量纲	电阻，单位 Ω	电阻一律带下标：R_pu（上拉电阻）、R_NTC（敏感元件电阻）、R_contact（接触电阻）；⛔ 全课不裸写 R 表示电阻
q	不可靠度 ＝ 1−R，无量纲	—	全课统一用 q 叙述并联与表决，⛔ 不与 R 混写
λ	失效率，单位 1/h	热物性里的导热系数（本课不出现）	按后果与可探测性分四格：λ_D（危险）／λ_S（安全）；λ_DD（危险且可探测）／λ_DU（危险且不可探测）。⛔ 写 λ 时不许不分 λ_D 与 λ_S
β_CCF	共因失效的 β 因子，无量纲比例	可靠性统计里的 Weibull 形状参数（见 I6-04 可靠性目标、分配与寿命数据统计（TMS 可靠性量化入门））	一律带下标写 β_CCF，⛔ 全课不裸写 β
DC	诊断覆盖率，无量纲比	电学语境的「直流」	电学含义一律写中文「直流」，⛔ 不用 DC 两个字母表示直流
Δt_align	两路之间的采样时刻差，单位 s（上限写 Δt_align,max）	采样周期与各级延迟（那套 τ 与 Δt 的表已在 K1-01 热管理传感器信号处理与故障诊断）	一律带下标写 Δt_align，⛔ 不裸写 Δt

失效率的显示单位：本课统一取 1/h。从外部数据取值时若给的是 FIT，按定义换算——1 FIT ＝ 1 次失效 / 10⁹ 小时（单位定义，可给准确值）。⛔ 同一份论证里不许两种单位并存。

为什么必须在这里钉。上表里 R 与 λ 两行是量纲不同却同名——量纲不同意味着一旦互算，错的是量级而不是精度；⚠ 另外三组（β_CCF、DC、Δt_align）更麻烦：撞名双方量纲相同或都无量纲，量纲这道天然的闸挡不住它们，混起来一处都不会报错。而 DC 那一组更坏：它会在同一门讲电气独立性的课里同时有两个含义，第 5 讲讲接地时「直流回路」四个字随时可能脱口而出，写成 DC 就与诊断覆盖率撞在同一页上。

易错点：

• 第 5 讲讲接地时脱口而出「DC 回路」——那一节的上一段刚讲完诊断覆盖率 DC。
• 引用可靠性统计的内容时把两个 β 混起来：Weibull 形状参数（见 I6-04 可靠性目标、分配与寿命数据统计（TMS 可靠性量化入门））与共因因子 β_CCF 完全无关，⛔ 不可互算、不可比大小。
• 写 λ 时不分 λ_D 与 λ_S。本课第 5 讲的 DC 定义恰恰建在这个区分上——分母混进 λ_S，DC 会系统性虚高，这是本课点名的一条误区。
• 把 Δt_align 与采样周期混写。前者是两路之间的时刻差，后者是一路之内的节拍；第 2 讲的对齐预算反解式用的是前者。