4. 线控转向系统功能安全设计

线控转向（Steer-by-Wire, SBW）取消了方向盘与转向器之间的机械连接，转向指令完全依赖电信号传递。这一结构带来布置自由与可变传动比等优势，同时也把功能安全推到了系统设计的核心位置：一旦扭矩或角度信号失效，驾驶员将失去最基础的转向能力。因此，SBW 的功能安全设计必须围绕“信号可信、故障可控、降级可用、接管可行”四条主线展开。

一、转向扭矩与角度冗余：从传感器到执行器的双通道

SBW 的关键输入是方向盘扭矩（Driver Torque）与方向盘角度（Steering Angle），关键输出是齿条力或前轮转角。为满足 ASIL D 的完整性要求，扭矩与角度通常采用冗余传感方案：扭矩传感器采用双绕组或双霍尔差分结构，角度传感器采用双通道（如 AMR + 霍尔）或三通道设计，两路信号在物理原理、供电和信号路径上尽量独立。

冗余并不等于简单叠加。两路信号进入 ECU 后需要做交叉校验：比较两路扭矩的偏差是否超过阈值（例如 ±0.5 N·m 或量程的 3%），比较两路角度的偏差是否超过阈值（例如 ±2°）。若偏差在容差内，取加权平均或取安全侧值；若偏差超限，则判定为“信号不可信”，进入故障处理。同时，ECU 自身也常采用双核锁步（Lockstep）或双 MCU 架构，主核与监控核互相校验，避免单点失效导致错误输出。

二、典型故障模式与安全目标

SBW 的故障模式可按信号链分层梳理。传感器层：扭矩信号丢失、角度信号漂移、两路信号同时卡滞；ECU 层：运算错误、存储器失效、电源欠压/过压；通信层：CAN/FlexRay 报文丢失、校验错误、延迟超限；执行器层：转向电机失效、逆变器短路或开路、齿条力传感器异常。每一类故障都需要对应到具体的安全目标。

常见的安全目标包括：SG1 避免非预期转向扭矩输出，防止车辆自行转向；SG2 避免转向角度信号错误导致车辆失稳；SG3 在故障发生时提供可控降级，保障驾驶员能够接管。安全目标确定后，再向下分解为功能安全需求（FSR）和技术安全需求（TSR），例如“扭矩信号偏差超过 ±0.5 N·m 且持续 20 ms，系统应在 50 ms 内进入降级模式”。

三、降级策略：从全功能到安全停车的分级

降级策略的核心思想是“故障不消失，但性能可退让”。工程上通常分为三级：

• 一级降级（性能受限）：单通道传感器偏差或通信偶发错误时，系统仍保持转向功能，但限制最大转向扭矩（如从 8 N·m 降至 5 N·m）、限制转角速率（如从 600 °/s 降至 300 °/s），并固定传动比，避免可变传动比在信号不可信时产生错误放大。
• 二级降级（助力保持）：主通道失效但备用通道可用时，切换到备用传感器与备用 ECU，转向助力保持，但取消自动泊车、车道保持等高级功能，仅保留基础转向。
• 三级降级（安全停车）：双通道均失效或执行器无法控制时，系统发出接管请求，同时通过转向电机施加可控阻力或保持当前转角，引导驾驶员在安全区域停车。

降级过程中，故障存储与报警必须同步：DTC 记录故障码、冻结帧数据，仪表点亮黄色或红色警告灯，HMI 给出文字提示。降级不是“悄悄发生”，而是要让驾驶员明确知道当前转向能力已经受限。

四、驾驶员接管逻辑：人机共驾的最后一道防线

驾驶员接管逻辑需要解决三个问题：什么时候请求接管、如何提示、接管后系统做什么。当系统判定进入二级或三级降级时，应在 100 ms 内发出接管请求（TOR），通过声音、灯光、方向盘振动或力矩反馈提示驾驶员。接管窗口通常设定为 2～5 秒，具体取决于车速与道路条件：高速时窗口更短，要求驾驶员更快响应。

接管过程中，系统不应突然切断转向助力，而应平滑过渡：将转向扭矩从自动控制模式切换为驾驶员直接控制模式，同时保留角度限制与阻尼反馈，避免方向盘突然变轻或变重。若驾驶员在窗口内未接管，系统应执行最小风险策略（MRM），例如逐步减速、开启危险报警灯、靠边停车。

五、设计闭环：从安全目标到验证

SBW 功能安全设计的闭环可以概括为：识别故障模式 → 定义安全目标 → 分解安全需求 → 设计冗余与降级策略 → 定义接管逻辑 → 验证与确认。验证阶段需要覆盖单点故障、双点故障、共因失效以及驾驶员在环测试。只有把“信号可信、故障可控、降级可用、接管可行”四个环节都落实到具体的阈值、时间和动作上，线控转向系统才能在失去机械连接的前提下，依然守住转向安全的底线。