1. 课程导入与底盘功能安全全景

在智能电动车时代，底盘不再只是"四个轮子加一套悬架"的机械总成，而是由制动、转向、驱动、悬架等多个可电子控制的子系统协同构成的动态执行平台。当驾驶员踩下制动踏板、转动方向盘，或由 ADAS 域控制器发出横向/纵向控制请求时，真正决定车辆"能不能安全停下来、能不能按预期转向"的，是底盘电控系统在毫秒级时间尺度上的响应能力与失效应对能力。这正是功能安全（Functional Safety）要解决的问题：当电子电气系统发生随机硬件失效或系统性失效时，如何把风险控制在可接受范围内。

ISO 26262 是道路车辆功能安全的国际标准，它并不规定"车必须多安全"，而是规定"如何证明系统足够安全"。其核心逻辑可以概括为一条链：危害 → 风险评估（ASIL 等级）→ 安全目标 → 功能安全概念 → 技术安全需求 → 硬件/软件实现 → 验证与确认。其中 ASIL（Automotive Safety Integrity Level）由严重度 S、暴露率 E、可控性 C 三个维度组合确定，分为 A、B、C、D 四级，D 级要求最严。以制动为例，"行车制动完全失效导致无法减速"通常被评估为 ASIL D，因为严重度高、暴露率高、驾驶员可控性低。

理解功能安全，必须区分三个容易混淆的概念：功能安全关注的是"因 E/E 系统失效引发的危害"；SOTIF（预期功能安全）关注的是"功能本身性能不足或误用引发的危害"，例如 AEB 在逆光下漏检；信息安全（ISO/SAE 21434）关注的是"恶意攻击引发的危害"。三者互补，但本课程聚焦功能安全及其在底盘上的落地——降级控制。

Bosch 底盘系统是这一理念的典型工程载体。其产品谱系覆盖 iBooster（电液制动助力）、ESP/ESC（电子稳定程序）、EPS（电动助力转向）、VGR（可变传动比转向） 等，并通过底盘域控制器或整车动态控制（VDC）软件进行协同。以 iBooster + ESP 的组合为例：正常工况下，iBooster 提供制动助力并支持能量回收，ESP 负责轮缸压力调节与稳定性干预；当 iBooster 助力失效时，ESP 可接管部分压力建立功能，形成"助力降级但制动不丢失"的冗余路径。这种"主路径 + 备份路径 + 仲裁逻辑"的结构，正是功能安全技术安全需求在底盘上的具体体现。

要真正读懂这套体系，需要建立"整车动态控制"的视角。车辆运动可分解为纵向（驱动/制动）、横向（转向/横摆）、垂向（悬架）三个方向，底盘各子系统分别作用于不同方向，但彼此强耦合。例如紧急制动时，纵向减速度会改变轮胎垂向载荷，进而影响横向抓地力；此时若 ABS 与 EPS 各自为政，就可能出现"制动介入导致转向手感突变"的问题。因此，功能安全在底盘上的落地，不仅是单部件满足 ASIL 等级，更要求跨系统的安全目标一致性、故障传播分析与降级策略协同。

上图把本课程的三条主线并置呈现：左侧是 ISO 26262 的安全生命周期，回答"安全从哪来、如何证明"；中间是 Bosch 底盘系统的典型架构，回答"安全落在哪些部件上"；右侧是降级控制的状态迁移，回答"失效时系统如何动作"。三者之间的箭头表明：标准需求向下分解为系统架构约束，架构中的故障检测与仲裁逻辑再驱动状态迁移。

这里有一个工程上极其关键的参数——FTTI（Fault Tolerant Time Interval，故障容错时间间隔）。它定义了从故障发生到危害事件可能发生之间的时间窗口，安全机制必须在此窗口内完成检测、决策与响应。以 100 km/h 行驶为例，车辆每秒前进约 27.8 m；若制动助力突然丢失，留给系统完成降级切换的时间往往只有几十到几百毫秒。因此，降级控制不是"慢慢来"的软件流程，而是与时间赛跑的安全机制。判断降级是否成功，通常看三个指标：响应是否在 FTTI 内完成、切换后是否仍满足最低安全目标、驾驶员是否获得明确的状态提示。

本课程后续将围绕这条主线展开：先建立功能安全与降级控制的概念基础，再逐层深入到 iBooster、ESP、EPS 等具体系统的安全需求、故障模式、降级策略与验证方法，最终形成从标准到工程实践的完整路径。学习本章后，你应当能够回答三个问题：ISO 26262 的核心逻辑链是什么？Bosch 底盘系统由哪些关键子系统构成、它们如何协同？降级控制在什么条件下触发、又如何在 FTTI 内保证安全目标不丢失？