2. 底盘系统架构与安全边界
在Bosch底盘功能安全工程中，理解系统架构是定义安全边界的前提。底盘域控制器（Chassis Domain Controller, CDC）作为整车底盘功能的中央协调节点，通过FlexRay、CAN FD及以太网骨干网络，将制动、转向、悬架、驱动四个子系统纳入统一的控制与监控框架。这一架构的核心价值在于：它使跨系统的功能安全目标得以在域级别进行分解、协调与验证，而非孤立地看待每个ECU。
一、底盘域控制器的拓扑定位
Bosch底盘域控制器通常位于整车电子电气架构的中间层，向上通过以太网与中央计算平台或网关通信，向下通过CAN FD和FlexRay连接各执行器控制器。其内部集成了功能安全监控层（Safety Monitor Layer），负责跨系统的安全目标仲裁、降级策略调度和故障响应协调。
从拓扑结构看，CDC与各子系统之间形成星型加总线的混合拓扑：制动系统（如iBooster+ESC）通过CAN FD与CDC交换减速度请求、轮速、制动压力等信号；转向系统（如EPS）通过FlexRay传输转向角、扭矩和故障状态；悬架系统（如CDC减振器控制）通过CAN FD接收车身姿态和阻尼指令；驱动系统（如电机控制器或发动机ECU）通过CAN FD或以太网传递扭矩请求和实际输出。这种拓扑决定了安全信号的传输路径、延迟特性和冗余可能性。
二、各子系统安全目标与ASIL等级分配
安全目标的定义必须从整车危害出发，逐层分解到子系统。以“非预期横摆”这一整车级危害为例，其可能由制动系统左右制动力不平衡、转向系统非预期助力、悬架系统单侧阻尼突变或驱动系统左右扭矩分配错误引起。因此，每个子系统都需要承担对应的安全目标，并据此分配ASIL等级。
制动系统承担的安全目标包括：避免非预期制动、避免制动失效导致制动距离过长、确保驻车制动的可靠保持。由于制动功能直接关联车辆减速能力，其失效后果严重度通常为S3，暴露概率为E4（每辆车每次驾驶都可能涉及），可控性为C3（普通驾驶员难以在制动失效时安全停车），因此制动系统核心功能的安全目标通常分配为ASIL D。例如，ESC的横摆稳定性控制、iBooster的助力失效降级策略，均需满足ASIL D要求。
转向系统的安全目标聚焦于：避免非预期转向力矩、避免转向助力突然丧失导致驾驶员力矩负担过大、确保线控转向的冗余可用性。对于EPS，非预期助力可能导致车辆偏离车道，严重度为S3，暴露概率E4，可控性C2（驾驶员可通过反向力矩修正），综合评定为ASIL D。对于线控转向（Steer-by-Wire），由于完全解耦，需通过双绕组电机、双电源、双通信通道实现冗余，其安全目标同样为ASIL D，但需额外满足故障容错时间间隔（FTTI）要求。
悬架系统的安全目标相对温和：避免非预期车身高度变化导致操控性突变、避免单侧阻尼失效引发横摆扰动。悬架失效的严重度通常为S2（影响舒适性和操控稳定性，但一般不直接导致碰撞），暴露概率E4，可控性C3，综合评定为ASIL B。对于配备空气弹簧的高端车型，若悬架失效可能导致车身触地或姿态失控，严重度提升至S3，ASIL等级相应提升至ASIL C。
驱动系统的安全目标包括：避免非预期扭矩输出、避免扭矩输出丧失导致动力中断、确保扭矩请求与实际输出的偏差在安全范围内。对于纯电驱动，非预期扭矩可能导致车辆突然加速，严重度S3，暴露概率E4，可控性C3，评定为ASIL D。对于混动车型的发动机ECU，若其仅作为扭矩跟随者，安全目标可降为ASIL C，但需确保扭矩监控的独立性。
三、安全边界与降级策略的工程实现
安全边界并非静态定义，而是通过CDC的动态仲裁实现。CDC内部维护一个“安全状态机”，根据各子系统上报的故障等级（QM、ASIL A~D）和故障类型（永久/间歇），决定当前可用的功能集合。例如，当制动系统报告iBooster助力降级但ESC仍可用时，CDC可允许车辆以限速60 km/h继续行驶，同时禁止自适应巡航和自动紧急制动；当转向系统报告EPS助力完全丧失时，CDC需立即触发安全停车策略，通过ESC施加可控减速度，并点亮仪表警告。
在工程实现中，ASIL等级分配需与硬件架构匹配。以制动系统为例，ASIL D要求单点故障度量（SPFM）≥99%，潜伏故障度量（LFM）≥90%。这意味着iBooster需采用双核锁步MCU、独立看门狗、冗余传感器（如双路踏板行程传感器）和冗余电源。对于ASIL B的悬架系统，SPFM≥90%，LFM≥60%，可采用单核MCU加外部监控芯片的方案。
四、拓扑结构对安全通信的影响
FlexRay的确定性时分复用特性使其适合传输转向角、横摆角速度等安全关键信号，其周期通信和静态段设计可保证信号延迟抖动小于1 ms。CAN FD则更适合传输制动压力、轮速、扭矩请求等中等速率信号，其灵活数据速率可提升至5 Mbps，但需注意仲裁延迟对安全信号的影响。以太网骨干用于CDC与中央计算平台之间的高带宽通信，但需通过TSN（时间敏感网络）保证安全信号的优先级。
在实际工程中，安全信号的端到端保护（E2E Protection）是必须的。以制动减速度请求为例，CDC发送的减速度请求需附带CRC校验、滚动计数器和数据ID，接收端（iBooster）需在FTTI内完成校验并执行。若校验失败，iBooster需在20 ms内进入安全状态（如退出助力，由驾驶员接管）。这一过程需在系统架构设计阶段通过FMEA和FTA验证，确保单点故障不会导致安全目标违背。
综上所述，Bosch底盘域控制器的拓扑结构决定了安全信号的传输路径和冗余可能性，而各子系统的安全目标与ASIL等级分配则需从整车危害出发，结合严重度、暴露概率和可控性进行系统化评定。安全边界的定义和降级策略的实现，最终需通过CDC的动态仲裁和E2E保护机制落地，形成从架构到代码的完整功能安全闭环。