1. 课程导入与ZF线控底盘系统概览
欢迎进入《ZF线控底盘功能安全与降级控制》课程。在正式讨论功能安全机制之前，我们需要先建立三个基础认知：线控底盘到底改变了什么、ZF的线控产品矩阵由哪些子系统构成、以及为什么功能安全与降级控制在工程上具有不可替代的价值。本章不涉及具体算法，但会为后续所有章节提供统一的术语、边界和判断基准。
1.1 学习目标
完成本课程后，读者应能够：
- 用工程语言描述线控底盘与传统液压/机械底盘在信号链、执行路径和失效模式上的差异；
- 识别ZF线控转向、线控制动、线控驱动、线控悬架四类产品在整车中的位置、接口与典型控制量；
- 理解ISO 26262中ASIL等级、安全目标、功能安全概念与降级策略之间的对应关系；
- 针对典型单点失效（如转向传感器失效、制动通信丢失），给出可讨论的降级路径与验证思路；
- 在系统设计早期，判断哪些需求必须由功能安全机制承接，哪些可由性能降级或驾驶员接管承接。
1.2 线控底盘的定义与信号链变化
线控底盘（X-by-Wire Chassis）指以电信号传递驾驶员意图或自动驾驶指令，由电控执行器完成转向、制动、驱动和悬架动作的底盘系统。其核心变化不是“去掉机械连接”这一句话，而是信号链从“机械/液压连续传递”变为“感知—计算—通信—执行”的分层链路。传统液压制动中，踏板力经真空助力器、主缸、液压管路直接作用于轮缸，传递路径是物理的、连续的；线控制动中，踏板位移先被踏板行程传感器采样，经整车网络发送至制动控制器，再由控制器驱动电机或液压单元建压。
这一变化带来两个直接后果。第一，失效模式从“机械断裂、液压泄漏”扩展到“传感器漂移、通信丢帧、控制器复位、执行器堵转”。第二，系统获得了可编程能力：制动力分配、转向角叠加、悬架阻尼调节都可以在控制器内按工况实时调整。功能安全要解决的，正是这种“可编程能力”与“电子失效不可忽略”之间的矛盾。
关键术语约定：本课程中“降级”指系统在检测到故障后，主动将功能限制在安全可用的能力范围内，而非简单断电。“降级控制”包含故障检测、安全状态决策、执行路径切换和驾驶员提示四个环节。后续章节中的“安全状态”均指ISO 26262语境下可维持整车稳定或可控的状态。
1.3 ZF线控产品矩阵
ZF在底盘领域的线控产品可归纳为四条主线，它们共享整车网络与电源架构，但在控制量、执行器和安全目标上各有侧重。
| 子系统 | 典型产品方向 | 核心控制量 | 典型安全目标（示例） |
|---|---|---|---|
| 线控转向 | Steer-by-Wire，含方向盘执行器与转向执行器 | 前轮转角、方向盘反馈力矩 | 避免非预期转向；失效时维持可控转向或安全停车 |
| 线控制动 | 电液制动、电子机械制动（EMB）方向 | 轮缸压力、制动力矩、踏板力模拟 | 避免非预期制动；失效时保留基础制动能力 |
| 线控驱动 | 电驱动桥、扭矩矢量分配 | 驱动扭矩、轮端扭矩差 | 避免非预期扭矩输出；失效时限制扭矩并提示 |
| 线控悬架 | 电控空气悬架、主动阻尼控制 | 车身高度、阻尼系数、侧倾刚度 | 避免车身姿态突变；失效时回退至被动阻尼 |
需要强调的是，四条主线并非独立工作。例如紧急制动时，线控制动请求减速，线控驱动需要协调扭矩回收，线控悬架需要抑制点头，线控转向可能参与稳定性修正。因此功能安全分析不能只停留在单个ECU，而要覆盖跨系统的信号交互与优先级仲裁。
1.4 功能安全与降级控制的工程价值
线控底盘的功能安全不是“给系统加一个监控模块”这么简单。它的工程价值体现在三个层面。
第一，把不可接受的失效转化为可管理的降级。以线控转向为例，若前轮转角传感器发生漂移，控制器可能收到错误转角并继续闭环控制，导致车辆非预期转向。功能安全机制需要在传感器信号合理性检查中识别漂移，例如比较左右转角传感器差值、比较转角与横摆角速度的物理一致性。一旦确认失效，系统不能简单关闭转向助力，而应进入降级模式：限制转向角速率、切换至冗余传感器或固定转向比，同时通过仪表和方向盘力反馈提示驾驶员接管。
第二，为自动驾驶与底盘协同提供安全边界。当自动驾驶域请求大减速度时，线控制动需要判断该请求是否超出当前路面附着与系统能力。功能安全机制在此处的作用是“限幅”和“仲裁”：若制动请求与驱动扭矩请求冲突，按安全优先级执行制动；若制动系统进入降级，则限制自动驾驶的最高车速或请求靠边停车。
第三，支撑可验证、可追溯的开发流程。ISO 26262要求从危害分析导出安全目标，再分解为功能安全需求和硬件/软件安全需求。降级控制策略正是这些需求在运行时的体现。没有明确的降级路径，安全目标就无法落地为可测试的判据。
工程判断提示：在项目早期讨论降级策略时，建议先回答三个问题：故障发生后车辆还剩多少可控能力？驾驶员在多长时间内需要接管？系统在降级状态下能否维持到安全停车？这三个问题的答案，决定了后续ASIL等级分配和冗余设计的投入方向。
1.5 一个用于后续章节的示例场景
为使后续讨论有共同对象，本节给出一个简化示例场景（参数为教学假设，非实测数据）：某C级纯电车型搭载ZF线控转向与电液制动，整车网络为CAN FD，底盘域控制器负责安全监控。假设在80 km/h直线行驶中，前轮转角传感器A输出固定偏置+2°，传感器B正常。控制器通过双传感器差值超过0.5°且持续200 ms判定A失效，随即执行以下降级动作：
- 将转向控制切换至传感器B，并限制前轮转角速率不超过5°/s；
- 向仪表发送“转向系统受限，请谨慎驾驶”提示，同时方向盘力反馈增加10%以提醒驾驶员；
- 将自动驾驶域的横向控制请求限制在L2级以下，并请求驾驶员接管；
- 若传感器B随后也失效，则进入安全停车流程：线控制动以不超过0.3g减速度停车，线控驱动禁止扭矩输出。
这个场景将在后续章节中被反复引用，用于说明故障检测、安全状态判定、执行器协调和验证用例设计。读者此时只需记住：降级不是单一动作，而是一条从检测到执行、从系统到驾驶员的信息链。