4. 安全状态与降级策略总览
在VCU（整车控制器）功能安全与故障管理中，“安全状态”不是一个抽象口号，而是可被定义、可被验证、可被触发的系统行为集合。它描述的是：当系统检测到故障或运行条件超出设计边界时，车辆应进入的一种风险可控、可预期、可退出的运行模式。安全状态的核心目标不是“继续正常行驶”，而是“避免不可接受的风险”，因此它往往伴随性能受限、功能关闭或动力受限。
一、安全状态的定义与边界
在VCU语境下，安全状态通常由三个维度共同定义：整车层面（如动力输出限制、车速限制、高压下电）、功能层面（如关闭自动驾驶、退出能量回收、限制扭矩）以及通信层面（如进入安全报文、发送降级状态位）。安全状态必须与故障严重度匹配：轻微故障可仅做提示与限功率，严重故障则需主动切断高压或进入安全停车。
安全状态不是单一状态，而是一个状态集合。VCU需要根据故障类型、故障持续时间、车辆当前工况（车速、挡位、电池SOC、驾驶员意图）动态选择最合适的安全状态。例如，高速行驶时突然切断动力可能引发追尾，因此更合理的策略是“限扭+提示+逐步降速”，而非直接下电。
二、降级等级划分
工程上常将降级划分为若干等级，便于策略配置与测试验证。常见划分如下表所示：
| 等级 | 名称 | 典型触发 | 整车行为 | 驾驶员感知 |
|---|---|---|---|---|
| L0 | 正常 | 无故障 | 全功能可用 | 无 |
| L1 | 提示级 | 轻微传感器偏差 | 功能保持，记录DTC | 仪表提示 |
| L2 | 性能受限 | 扭矩估算异常 | 限功率/限车速 | 加速变弱 |
| L3 | 跛行模式 | 关键传感器失效 | 固定扭矩/固定车速 | 明显动力不足 |
| L4 | 安全停车 | 高压/绝缘严重故障 | 主动降速、下电 | 车辆停止 |
等级划分的关键在于“可区分、可测试、可标定”。每个等级都应有明确的进入条件、驻留条件和退出条件，避免出现等级跳变或反复震荡。
三、降级与跛行模式
降级（Degradation）是统称，跛行（Limp Home）是降级中的一种典型模式。跛行模式的核心思想是：在关键部件失效时，仍保留最低限度的行驶能力，使车辆能够驶离危险区域或到达维修点。例如，当加速踏板位置传感器一路失效时，VCU可切换至另一路信号，并限制扭矩至30%；当两路均失效时，则进入固定怠速或安全停车。
跛行模式的设计要点包括：
- 动力保留：至少保留低速行驶能力，避免车辆完全失去动力。
- 可预测性：驾驶员应能通过仪表明确感知车辆已进入跛行。
- 可退出性：故障恢复后，需满足稳定条件才能退出跛行，防止故障未彻底排除即恢复全功能。
- 安全边界：跛行期间仍需监控高压、绝缘、温度等安全相关参数。
四、故障容忍时间与安全目标
故障容忍时间（Fault Tolerant Time Interval, FTTI）是功能安全中的核心参数，指从故障发生到系统必须进入安全状态之间的最大允许时间。FTTI由安全目标（Safety Goal）推导而来，并与故障检测时间（FDTI）和故障响应时间（FRTI）共同构成时间预算：
FTTI ≥ FDTI + FRTI
其中：
FDTI：故障检测时间，从故障发生到被诊断模块识别
FRTI：故障响应时间，从识别到执行安全状态动作
例如，某安全目标要求“避免非预期扭矩输出”，其FTTI为100ms。若VCU的故障检测时间为40ms，则响应时间必须控制在60ms以内。若实际响应时间为80ms，则必须优化诊断算法或执行路径，否则安全目标无法达成。
安全目标通常用ASIL等级描述，VCU中常见的整车级安全目标包括：
- 避免非预期驱动扭矩输出（ASIL C/D）
- 避免高压系统非预期下电（ASIL C）
- 避免制动助力突然丧失（ASIL D）
- 避免车辆在行驶中进入非预期挡位（ASIL C）
五、综合关系图
下图展示了从故障发生到安全状态建立的完整链路，包括故障检测、等级判定、降级执行与退出条件，并标注了FTTI时间预算的构成。
六、常见误区与复盘
误区二：所有故障都直接进入安全停车。这会导致高速行驶时突然失去动力，反而增加风险。
误区三：忽略退出条件。故障恢复后立即恢复全功能，可能造成故障反复或驾驶员误判。
误区四：FTTI只算响应时间，漏掉检测时间。实际工程中，检测时间往往占预算的40%以上。
复盘时建议按以下清单逐项检查：
- 每个安全目标是否对应明确的FTTI数值？
- 每个降级等级是否有进入、驻留、退出三条件？
- 跛行模式是否保留了最低行驶能力且风险可接受？
- 故障恢复后是否经过稳定窗口才退出降级？
- 仪表提示是否与降级等级一致，避免驾驶员困惑？
安全状态与降级策略的本质，是在“可用性”与“安全性”之间做工程权衡。VCU作为整车控制核心，必须把故障检测、等级判定、响应执行和退出恢复串成一条可验证的闭环链路，才能让安全目标真正落地。