3. 线控转向法规与功能安全要求
线控转向（Steer-by-Wire, SbW）取消了方向盘与转向器之间的机械连接，转向指令完全依赖电信号与执行器。这一结构带来布置自由、可变传动比和自动驾驶接口优势，同时也把“失效即失控”的风险推到台前。因此，ZF 的 SbW 系统开发必须同时满足法规、功能安全和预期功能安全三条约束线：UN R79 规定“允许做什么”，ISO 26262 规定“失效了怎么办”，ISO 21448 规定“没失效但能力不足怎么办”。
UN R79：线控转向的法规准入条件
UN R79 是转向装置的型式认证法规，最新修订版已为线控转向打开通道，但附加了严格前提。核心要求可归纳为三点：第一，车辆必须配备主转向系统与冗余备用转向系统，任一单点失效后仍能完成安全停车；第二，方向盘与转向轮之间若无常规机械连接，必须通过电子控制链路保证转向指令的可信传递，并具备故障检测与降级策略；第三，自动驾驶模式下（如 ALKS 车道保持），转向系统需与横向控制功能协同，且驾驶员可随时通过方向盘或接管请求恢复控制。
对 ZF 系统而言，这意味着设计输入中必须明确：备用路径的触发条件、降级后的最大转向能力（如横向加速度上限）、以及故障提示方式（仪表警告、方向盘力反馈变化）。法规不规定具体技术方案，但要求“可验证、可复现、可追溯”。
ISO 26262：从危害到安全目标
ISO 26262 要求对 SbW 进行危害分析与风险评估（HARA）。以“非预期转向”和“转向丢失”两类典型危害为例，在高速公路场景下，严重度 S3、暴露度 E4、可控性 C3，可评定为 ASIL D。由此导出安全目标，例如：
- SG-01：防止非预期转向扭矩输出，ASIL D；
- SG-02：防止转向助力完全丢失，ASIL D；
- SG-03：故障时在限定时间内进入安全状态，ASIL D。
安全目标必须分配到系统架构元素。ZF 通常采用“双绕组电机 + 双 ECU + 双电源 + 双通信”的冗余架构，将 ASIL D 目标分解到两条独立通道。ASIL 分解遵循 ISO 26262-9 的规则：ASIL D 可分解为 ASIL D(D) 或 ASIL B(D)+ASIL B(D)，但分解后的子目标必须满足独立性（无共因失效）和充分性（覆盖原目标）。例如，SG-01 可分解为：通道 A 负责“扭矩指令合理性校验”（ASIL B(D)），通道 B 负责“执行器输出关断”（ASIL B(D)），两者通过独立电源和独立 CAN 通道隔离。
安全状态：不是“关机”，而是“可控降级”
SbW 的安全状态并非简单断电。ZF 定义了三层安全状态：
- 全功能：双通道正常，转向手感与传动比按驾驶模式输出；
- 降级转向：单通道失效，剩余通道提供基础助力，方向盘力反馈可能变重，最高车速限制在 80 km/h（示例值）；
- 安全停车：双通道失效或关键传感器冲突，系统请求驾驶员接管，若无人接管则通过冗余制动与转向执行器协同完成靠边停车。
进入安全状态的判据包括：电机位置传感器偏差超过阈值、CAN 报文超时、电源电压跌落至 9 V 以下（示例阈值）、以及双 ECU 交叉校验不一致。故障响应时间（FTTI）通常要求在 100 ms 内完成检测与降级动作，具体数值需根据车辆动力学仿真与硬件在环测试标定。
ISO 21448（SOTIF）：预期功能安全的补充
ISO 26262 处理的是“系统失效”，而 SOTIF 处理的是“功能正常但性能不足”导致的危害。SbW 的 SOTIF 场景包括：传感器在强光/雨雪下误识别方向盘角度、算法在低附着路面误判驾驶员意图、以及人机共驾时方向盘力反馈与驾驶员预期不符。ZF 的做法是：定义 ODD（运行设计域），在 ODD 内通过场景库覆盖边缘案例，并设置性能限制边界。例如，当路面附着系数估计低于 0.3 时，系统主动降低转向传动比变化率，避免驾驶员因手感突变而过度修正。
ZF 系统中的落地关系
下图展示从法规与标准到 ZF SbW 系统设计要素的映射关系，以及安全目标、ASIL 分解与安全状态之间的逻辑链。
图中可见，UN R79 提供法规底线，ISO 26262 将危害转化为可分配的安全目标与 ASIL 等级，ISO 21448 补齐“无失效但性能不足”的盲区，三者共同约束 ZF SbW 的冗余架构、降级策略与验证活动。实际开发中，安全目标与 ASIL 分解结果必须写入 DIA（开发接口协议），并由供应商与整车厂共同确认；安全状态的定义则需与车辆动力学团队联合标定，确保降级后的转向能力仍满足法规与用户可接受度。