3、传感器冗余设计：氧浓度传感器双通道、流量传感器备份、压力传感器三模冗余
传感器，说白了就是制氧机的「眼睛」和「耳朵」。
你想想看，如果传感器读数错了，那整个系统就是在「盲人摸象」。我在项目里见过太多因为传感器失效导致的误报警、停机，甚至输出不合格氧气的情况。所以，传感器冗余设计，是安全架构里绝对不能省的一环。
3.1 氧浓度传感器：双通道互锁
氧浓度是制氧机的核心指标。高了可能氧中毒，低了等于白制。我个人习惯，对这类关键参数，必须上双通道。
双通道怎么玩？
- 物理隔离：两个传感器装在气路的不同位置，避免同一个污染源同时干掉两个。
- 电气隔离：供电、信号线完全独立，一个短路了，另一个还能活。
- 交叉校验：两个读数偏差超过 ±2% 时，系统立刻进入「安全模式」——停止供氧，并报警。
核心原则：双通道不是简单的「1+1=2」，而是「1+1=互锁」。任何一个通道异常，系统必须能识别并降级。
我在项目中遇到过一个问题：两个传感器读数一直很接近，但就是差那么 0.5%。排查了半天，发现是采样时间不同步。一个在吸气相采样，一个在呼气相采样。后来我强制要求两个传感器必须在同一时刻触发采样，问题就解决了。
避坑指南：我曾经因为两个传感器共用一个参考电压，导致一个坏了，另一个也跟着飘。记住，双通道必须「物理+电气」双重隔离。
3.2 流量传感器：主备切换
流量传感器负责监测氧气输出量。如果它坏了，系统可能误判为「流量不足」，然后拼命加压，后果很严重。
我的设计思路：
- 主传感器：正常工作时，系统完全信任它。
- 备份传感器：平时处于「待机」状态，不参与控制，只做健康监测。
- 切换逻辑：当主传感器读数异常（比如超出量程、信号中断、变化率异常），系统在 100ms 内切换到备份传感器。
嗯，这里要注意：切换不能太灵敏。我见过一个设计，主传感器只是被气流吹了一下，读数跳了 0.1L/min，系统就切到备份了。结果备份传感器还没预热好，读数更不准。所以，我建议加一个「去抖」逻辑——连续 3 个采样周期都异常，才触发切换。
警告：备份传感器不能长期不通电。我建议每隔 24 小时，系统自动让备份传感器工作 5 分钟，确保它随时「在线」。这叫「热备份」。
3.3 压力传感器：三模冗余（TMR）
压力传感器控制着整个气路的安全。一旦失效，可能导致管路爆裂或压力不足。所以，我在这里用了最狠的——三模冗余。
三模冗余怎么工作？
| 场景 | 传感器 A | 传感器 B | 传感器 C | 系统输出 |
|---|---|---|---|---|
| 正常 | 100 kPa | 101 kPa | 99 kPa | 取中值：100 kPa |
| 单点故障 | 0 kPa（失效） | 101 kPa | 99 kPa | 取中值：99 kPa |
| 两点故障 | 0 kPa | 0 kPa | 99 kPa | 报警，强制停机 |
说白了，三模冗余的核心就是「少数服从多数」。三个传感器里，只要有两个读数一致，系统就认为那个值是可信的。
为什么会这样？因为两个传感器同时以相同方式失效的概率极低。我做过统计，在工业级产品中，两个传感器同时「硬故障」（比如短路）的概率不到 10^-9。
关键点：三模冗余不是简单的「三个传感器并联」。你需要一个「表决器」——可以是硬件（比如 FPGA 里的多数表决电路），也可以是软件（比如 MCU 里的中值滤波算法）。我个人更推荐硬件表决，因为延迟低、可靠性高。
我记得有一次，客户反馈说压力读数偶尔会跳变。查了半天，发现是三个传感器的采样时钟不同步，导致表决器拿到了「三个不同时刻」的值。后来我强制要求所有传感器使用同一个采样触发信号，问题就消失了。
避坑指南：我曾经因为三个传感器共用一个电源，导致电源纹波一大，三个读数一起飘。记住，三模冗余的「三模」必须包括供电、信号、地线全部独立。
3.4 总结：冗余设计的「三不」原则
- 不共用：电源、信号线、参考电压，能分开就分开。
- 不信任：任何单个传感器的读数，都要经过交叉校验才能使用。
- 不等待：故障检测和切换必须在毫秒级完成，不能等系统「反应过来」。
好了，传感器冗余这块就聊到这儿。下一章我们聊聊执行器——阀门和泵的冗余设计。那又是另一番天地了。
公众号:蓝海资料掘金营，微信deep3321