杨福宇老师研究多年CAN总线在汽车中的应用具有很大的实用价值。为了方便汽车行业工程师关注杨先生的研究成果，本官方账号专门开设了杨福宇专栏。请期待更多精彩内容。杨先生的电子邮件：yfy812@163.com,欢迎交流讨论！
突然加速有很多关系TESLA EV投诉的内容也是一个有争议的点。一些当事人在车祸中死亡，甚至没有机会亲自追求真相，让剩余的数据被解决，所以逻辑解释数据是关键。美国NHTSA否定246起对TESLA投诉突然加速（INCLA-DP20001-6158.pdf）中说：“Analysis of log data shows that the accelerator pedal was applied to 85 percent or greater in 97 percent of the SUA crashes reviewed by ODI. (加速踏板踩在85%的投诉中)，所以才会有“The data clearly point to pedal misapplication by the driver as the cause of SUA in these incidents. ”（LOG数据显示，驾驶员意外踩踏板是这些意外加速事件的原因)。那么加速踏板会不会自己出错？那么加速踏板会出错吗？这是本文的重点研究问题。
我从不同的场合学习TESLA目前公布的反馈数据或结构数据有四种突然加速现象：
1)当加速踏板开度为0时，软件可以禁止电机供电，软件BUG形成突然加速。假设速度信号正确，车速信号不正确时见2)。
当加速踏板开度为0时，速度继续上升，如特斯拉安阳案48页数据文件中的5页.50：31.28~ 5.50：47.81期间的非预期加速。
最高达到7.5km/h（5.59：15.32）。
详见详细分析见TESLA仔细阅读安阳案48页的数据文档反映了故障的存在。
这种情况无法判断EV加速的最高限度是多少？类似投诉：
特斯拉再次陷入失控门事件，高速加速20分钟_车家号_发现车生活_汽车之家 (autohome.com.cn)
从视频中可以看出，梁女士驾驶特斯拉Model 3.在隧道内行驶时，没有踩踏板，但车辆仍保持加速。
根据车主梁女士的描述：当时，她在上海绕城高速公路上经过了一条低速隧道。大约3分钟后，她进入了一条平坦的道路，限速80-100公里，后面是上坡路。在此期间，共行驶20分钟，任何路段都有自动加速，梁女士只拍了21秒。
我们和特斯拉事故车主聊了聊 在企业背后发现了骚操作_新浪财经_新浪网 (sina.com.cn)
广西柳州的魏女士在提车一年后也遭遇了失控事故。2021年2月24日，完成工作的魏女士走出大楼，钻进了自己Model 3然后启动车辆，但出乎意料的是，起步不久，像失控一样向右冲，直接撞上停在路边的车辆，不到一分钟，吓坏了我。
特别是最后两个数据证明，即使司机松开加速踏板，车速仍在增加。
2)车速信号错误突然加速。比如2021年5月18日，重庆特斯拉地库撞墙17分27分。~28秒加速踏板开度变化24%，速度不变，一直是13.2km/h异常。
据称TESLA资深汽车专业人士解读重庆特斯拉地库撞墙事故最新数据 (toutiao.com)
TESLA这种现象很难称为正常：加速机制失效？说加速踏板开度显示错误？说速度信号错了？这里的判断是速度错误：因为这个速度不是在ESP在电机控制器中，由当地采样到的轮速和加速度传感器形成。当发生通信故障时，速度信号将原始值推出，反馈电路断裂会导致突然加速。通信加速度信号不连续验证通信失效（TESLA纵向加速度信号尚未提供LOG数据)；如果纵向加速度信号不连续，由于机器故障，非预期加速将在27秒内开始。详见：2021年5月18日重庆特斯拉地库撞墙事件分析V3”；
3）常见的TESLA在反馈投诉中，100%踩下了加速踏板。TESLA司机机踩踏板，司机说没踩加速踏板，车突然加速。
例如TESLA温州案中EDR连续100%开度报告(最后4秒有2次100%-0%跳跃):司机声称没有踩加速踏板。EDR报告中ESP功能失效早已存在（ESP驾驶员不能手动干预功能)，说明车辆功能早已异常，这100%的开度来源仍是争论点。
相关分析见2020年8月12日温州特斯拉失控案EDR数据解读
本文将讨论这种突然的加速TESLA加速踏板信号错误的可能性。
加速踏板信号由两个电位器硬件取样，形成软件生成的加速踏板开度作为电机转速的给定值。如果软件处理后的加速踏板开度为100%，则必须突然加速。软件处理是必要的，因为有两个传感器数据一致性的判断，0点漂移值修正、毛刺过滤等操作。
TESLA MODEL 3 PRIVATE CAN 帧中有硬件踏板开度信号和处理后的踏板开度信号，符合常识，TESLA可提供其版本辩驳：
Tesla Model S CAN Deciphering - v0.1 - by wk057
由TESLA电路手册，MODEL3 由电位器组成的后电机控制器加速踏板开度传感器：
MODEL 3后电机控制器的主芯片是TI的TMS320F28377DPTRQ，加速踏板的电位器移动触点信号将连接到它AD转换器采样保持器。TESLA不知道具体设计用的引脚，但可以先根据数据手册了解引脚的一些特点。
数据手册P41/226 Table 4-2. Pins With Internal Pullup and Pulldown中未讨论ADC类引脚。
TMS320F28377D有4组ADC，它们的引脚信号通过多种方式选择到相关信号ADC中。
数据手册P每组42/226都有信号描述ADC0，1用于通道ADC或DAC是的，它有50个下拉电阻K.其它通道则没有专门的说明，因此可理解为是没有上下拉电阻的。不能肯定TESLA是否使用通道0，1(这与下一步分析有关)，但可以通过进一步的测量或实验来判断。
ADC引脚信号的上下电压范围VREF HIx, VREF LOx由外部电路输入决定。
数据手册P105/226:Typical values are measured with VREFHI = 2.5 V and VREFLO = 0 V. Minimum and Maximum values are tested or characterized with VREFHI = 2.5 V and VREFLO = 0 V. 因此，典型应用输入的上限为2.5V。
而由上述线路图可知踏板组件的供电源是5V。
数据手册P104/226有两个重要注释：
NOTE The ADC inputs should be kept below VDDA 0.3 V during operation. If an ADC input exceeds this level, the VREF internal to the device may be disturbed, which can impact results for other ADC or DAC inputs using the same VREF.也就是说，引脚上的电源电压超过0.3V使用相同的输入VREF其他通道转换错误。
NOTE The VREFHI pin must be kept below VDDA 0.3 V to ensure proper functional operation. If the VREFHI pin exceeds this level, a blocking circuit may activate, and the internal value of VREFHI may float to 0 V internally, giving improper ADC conversion or DAC output.即外部设置VREF HI也不得超过VDDA 0.3V.否则，堵塞线路激活，内部实际VREF HI会浮到0，使ADC或DAC结果出错。
从保护ADC一般实践是，每个引脚都有超电源电压导通的二次管保护和低于地电压导通的二极管保护。
因此，当a）信号输入为5V；或b)当电位器移动触点信号输入电缆连接中断时，ADC输入将由两个保护二极管泄漏电流形成的电压决定（因为没有上拉或下拉电阻），约为2.5V，也就是说，的上限VREF HI=2.5V。它们与司机是否踩下加速踏板无关。
另外，TESLA两个传感器采样软件的容错设计也比较简单，两个传感器同时输入5V或2.5V，无法判断断断线或浮动故障，直接给出软件输出的踏板开度=100%，导致突然加速。例如上图CAN ID=0x在0154帧中，两个传感器同时开启FA*0.4=250*0.4=100(%)。不能区分司机是踩了100%还是传感器输入断路。因此，当连接器断路时，硬件踏板的连续开度可能会达到100%LOG与EDR保持在记录中，与司机是否踩下加速踏板无关。
如果TESLA选用了ADC0或1通道，所以电位器移动触点信号输入电缆连接中断时，加速踏板的软件开度变为0，会出现非预期的减速，有被追尾的风险。
修正的方法：对于本文分析的情况，如果二个传感器引脚分别设上拉和下拉，那么出现有一个传感器断线时，硬件开度采样值就不一致，可发现有故障；二个传感器都断线而浮动时硬件开度采样值也会不一致，也可发现故障。这涉及在二个引脚上分别增加上下拉电路，仅仅OTA修改软件无法实现。
即使能发现断线故障，安全的目标状态的确定也不是容易的事：若驾驶员原来意图是开20%，因断线而开100%，被软件判出故障后停止供电也会有突然减速被追尾的风险。当时的保守策略可能是维持故障前的开度等待人工干预，例如刹车信号。或者提供对应车非正常状态时的更高级的辅助驾驶功能。
为了确定TESLA的ADC引脚通道的选用是否存在上述突然加速的隐患，可以断开加速踏板处的接插件（或过渡接插件X950）的情况下，在不踩加速踏板下，观察车是否会自己高速起动。这是实验验证本文分析正确性的方法。如果不加速，则100%开度的来源需要进一步探讨。
之所以这样说，因为投诉的人太多（包括美国的几百个投诉者），无法简单认为所有的投诉者都是敲榨者或者粗心大意误用了加速踏板，他们的投诉虚要重视。这里必须回答对NHTSA报告的看法，我认为NHTSA的否定246例都是误用了加速踏板的报告太过粗糙。
它的P11引用的图中就有加速踏板开度大量丢帧（以PRIVATE CAN每秒100帧，LOG对最近的PRIVATE CAN 数据每0.2秒采样一次计算），-8.6~-8秒和-7.4~-6.4秒间的丢帧（一次是60帧，一次是100帧）。-6.2~-2.4秒LOG的不显示与EDR的显示0均可作二种解释：确实加速踏板开度=0或也发生了丢帧（EDR数据也来自PRIVATE CAN）。如果是丢帧，那么它会影响到-5秒开始的EPS转向助力操作，使它缺少输入信号，即异常状态的扩展。
同时它还有加速踏板开度=0时车速不降的故障现象（按文件引述【In a July 11, 2019 letter, Tesla provided the consumer with the following summary of its analysis of log data for the crash event reported in VOQ 11206155“According to the vehicle's diagnostic log, immediately prior to the incident, the accelerator pedal was released, regenerative braking was engaged and slowing the vehicle, and the steering wheel was turned to the right.】 至少能量回收要引起减速），这种故障的本质及其影响必须解释清楚才可以下结论全盘否定投诉。
在该例中车速与开度的关系不符逻辑的可能原因需要故障树分析：
A1加速踏板开度信号=0错
A1.1加速踏板硬软件故障；包括电位器电源电缆松脱，时通时断
A1.2 EMI影响
A2车速信号错
A2.1 ESP的轮速未及时传送到电机控制器
A2.1.1 ESP内部故障
A2.1.2 CAN通信故障 包括频繁出错、电缆松脱、时通时断
A2.2 电机控制器算法BUG
A3 未启动能量回收算法
A3.1 电机控制器软件BUG
A3.2 回收算法需要的数据未从IBOOSTER,ESP送达
A3.2.1 CAN 通信故障 包括频繁出错、电缆松脱、时通时断
这些分析找到的原因可能也会造成突然加速与刹车失灵，例如A2.1.2、A3.2.1 CAN 通信故障（本文第2类突然加速与刹车失灵），A1.1引起本文第3类突然加速、第4类突然加速。而NHTSA这份报告未认为、或忽略了车速与开度的关系不符逻辑问题，便没有后续的分析，也就忽略了突然加速的情况。
第3类非预期加速的原因是连接加速踏板到电机控制器的电路断开，而这种断开一般是接插件的松动。这不是虚构而是实际存在的。
对于出故障的车，第3方事后观察到松动或不松动都难以完全肯定事中的情况。要看报修过程中车的颠波状况以及维修人员处理对松动可能的影响，但不能排除事中发生过断线，因为那有颠波形成重新接通和人工干预的机会。
由维修人员确定的修前出现接插件松动是有先例的：
特斯拉新车频现警报后续：汽车智能化冷思考_汽车_中国网 (china.com.cn)
在进行故障分析和相关系统检查的过程中，特斯拉检修人员发现EPAS线束插头针脚松脱，在完全断开该插头后，车辆故障现象是EPAS MIA方向无助力，但仍可正常启动并进入挡位。
进口特斯拉MODEL S转向系统及刹车系统失灵 - 车质网 (12365auto.com)
4）另一个可能的突然加速来自前述TMS320F28377D，数据手册P104/226的重要注释：
当不存在线路断裂浮动的情况下，因为设备原因VDDA跌落（来自电源上的干扰），或者电磁干扰使VREFHI上升，发生了VREFHI>VDDA+0.3的事件，此时内部使用的VREF HI会被阻塞而浮动到0，ADC的输出变增大。
例如踏板电位器的硬件零位输出正常时有ZERO（不等于0，以备每次上电时作0点修正），而内部使用的VREF HI的下降使硬件零位输出变为zero+10%，经软件处理后的加速踏板开度变为10%。这就成为驾驶员未踩踏板而开度增加而发生加速的事件。由于干扰持续时间不会太长，往往是脉冲现象。
也就是说，瞬间的加速踏板有开度不能反推为驾驶员踩了加速踏板。
这样的例子可见安阳案（6.14：28.17秒）中来源不明的加速，该例还反映了TESLA没能实现刹车优先：
这一现象中的加速踏板开度一般不是100%，投诉中有这种案例：
特斯拉疑自动加速酿事故 车主索要后台数据为何被拒 (toutiao.com)
特斯拉Model Y行驶至成都市温江区天府街西段附近，在前后都有车辆的情况下，用侧方位倒车方式停车。在车身已基本进入车位时，特斯拉突然出现自动急加速状况。
5月8日，特斯拉成都犀浦服务中心的工作人员就告诉我，他们已经完成了车辆的检查，车辆机械部分和系统部分都没有问题，认定突然加速是我踩踏板误操作的结果。检查结算单”显示，特斯拉通过查看车辆日志分析，事发时，加速踏板位置为34.8%，事发前未见电机驱动系统、制动系统及加速踏板相关故障报警。车辆进厂后对后台数据及车辆相关部件工况进行检查，未见异常。来源：中国青年报 （ 2021年05月20日 11 版）
1.看明白了CAN的错帧漏检，车厂就不能敷衍你了！
2.改进CAN是MCU厂商送给自己汽车客户的礼物！
3.杨福宇专栏|寻找可超车的弯道：伟人讲破字当头，立也在其中了
4.杨福宇专栏|Tesla为什么会突然加速？
5.杨福宇专栏|特斯拉突然加速与刹车失灵的可能原因探讨！
6.杨福宇专栏|温州特斯拉失控案EDR数据的深度解读
7.杨福宇专栏|2021年5月18日重庆特斯拉地库撞墙事件的技术分析~
8.杨福宇专栏|TESLA刹车失灵可能的原因与验证~
9.杨福宇专栏|细读特斯拉安阳案48页数据文档，了解故障的存在~