3. ZF车辆运动控制平台系统架构设计
ZF车辆运动控制平台（Vehicle Motion Control，VMC）的系统架构设计，核心任务是把“感知—决策—执行”这条纵向链路，拆解成职责清晰、接口明确、可独立验证的若干层，再通过通信拓扑与冗余机制把它们重新耦合为一个整体。架构设计的好坏，直接决定了平台能否在毫秒级控制周期内稳定运行，也决定了后续软硬件能否并行开发与独立升级。
一、分层架构：从运动需求到轮端力矩
VMC平台通常划分为四层：应用与功能层、运动控制层、执行协调层、执行器与硬件层。分层的关键判据是“每层只依赖下一层的抽象接口，而不关心其实现”。
- 应用与功能层：承载纵向（ACC/AEB）、横向（LKA/LCC）、垂向（CDC悬架）等上层功能，输出的是“运动需求”，例如目标纵向加速度 a_x,des、目标横摆角速度 ω_z,des、目标车身高度或阻尼等级。
- 运动控制层：把运动需求分解为整车级广义力/力矩，即纵向合力 F_x、侧向合力 F_y、横摆力矩 M_z，并完成轮胎力分配与稳定性约束（如质心侧偏角 β 限制、附着椭圆约束）。
- 执行协调层：把广义力/力矩映射到具体执行器指令，包括驱动/制动扭矩、前轮转向角 δ_f、后轮转向角 δ_r、各减振器阻尼电流。这一层负责执行器能力校验、速率限制与冲突仲裁。
- 执行器与硬件层：电机、制动卡钳、EPS、后轮转向执行器、CDC电磁阀等物理对象，通过私有接口响应指令并回传状态。
分层的实际价值在于：当上层功能从LKA升级为LCC时，运动控制层与执行协调层无需改动；当更换后轮转向供应商时，只需重写执行协调层中对应的映射模块。
二、域控制器与执行器接口
VMC域控制器是架构的物理中枢，典型形态为“主控SoC + 实时MCU”的双芯片结构。SoC运行Linux/QNX，承担功能层与部分运动控制算法；MCU运行AUTOSAR CP或实时OS，承担执行协调与安全监控，控制周期通常为 10 ms（100 Hz），安全相关路径可缩短至 5 ms。
执行器接口按信号性质分为三类：
| 接口类型 | 典型对象 | 信号形式 | 周期/时延要求 |
|---|---|---|---|
| 扭矩类 | 驱动电机、制动执行器 | 目标扭矩 N·m + 使能位 | 10 ms，抖动 < 1 ms |
| 角度类 | EPS、后轮转向 | 目标转角 deg + 转角速率 | 10 ms，安全路径 5 ms |
| 状态类 | CDC减振器 | 阻尼电流 A 或等级 | 20 ms，允许软实时 |
接口设计必须明确“指令—反馈—失效”三要素。以EPS为例，域控制器下发目标转角 δ_f,des，EPS回传实际转角 δ_f,act 与可用性状态（Available/Degraded/Fault）。当 δ_f,act 与 δ_f,des 偏差超过阈值（示例：2°且持续100 ms），执行协调层应触发降级，将横向控制权交回驾驶员或切换至安全停车策略。
三、通信拓扑
VMC平台的通信拓扑以车载以太网骨干 + CAN FD分支为主。域控制器通过100BASE-T1或1000BASE-T1连接中央网关与其它域（智驾域、座舱域），实现大带宽的感知数据与诊断数据交互；对执行器则采用CAN FD（5 Mbps）或私有高速总线，保证确定性与低成本。
拓扑设计需关注三点：一是关键路径最短化，安全相关执行器应挂在域控制器的直连CAN FD通道上，避免经过网关转发；二是负载率控制，单路CAN FD总线负载建议不超过60%，为突发安全报文留出余量；三是时间同步，通过gPTP（IEEE 802.1AS）实现各节点时钟同步，同步误差控制在±1 ms以内，否则多执行器协同控制会出现相位偏差。
四、冗余设计
冗余不是简单“加一条线”，而是按ASIL等级与故障容忍时间（FTTI）分层配置。VMC平台常见三类冗余：
- 通信冗余：关键执行器同时接入主CAN FD与冗余CAN FD，两条总线物理隔离、走线分离。当主通道连续3帧无有效报文或CRC错误率超阈值，MCU在20 ms内切换至冗余通道。
- 电源冗余：域控制器与EPS、制动执行器由双路电源供电（KL30主 + KL30冗余），任一路失效时另一路可维持至少500 ms的满负荷运行，覆盖安全停车所需时间。
- 计算冗余：安全相关算法在MCU内以“主算法 + 监控算法”形式运行。监控算法采用简化模型（如二自由度车辆模型）独立计算期望横摆角速度，与主算法结果比对，偏差超过示例阈值0.05 rad/s且持续50 ms即判定主算法异常，切换至安全降级模式。
五、软硬件划分
软硬件划分的核心原则是“安全相关下沉、算力密集上浮”。具体划分建议如下：
| 功能模块 | 运行载体 | 理由 |
|---|---|---|
| 感知融合、路径规划 | SoC（Linux/QNX） | 算力需求高，非硬实时 |
| 运动控制算法（力分配） | SoC 或 MCU | 可放SoC，但需MCU监控 |
| 执行协调、安全监控 | MCU（AUTOSAR CP） | 硬实时、ASIL-D |
| 执行器驱动、诊断 | MCU + 驱动芯片 | 直接控制物理层 |
以10 ms控制周期为例，MCU侧任务分配可参考：0–2 ms接收并校验执行器反馈，2–5 ms运行安全监控与仲裁，5–8 ms计算并下发执行器指令，8–10 ms留作通信余量与抖动缓冲。SoC与MCU之间通过SPI或共享内存交换数据，交换周期建议5 ms，并附带CRC与滚动计数器，防止数据陈旧。
综上，VMC平台架构设计的落脚点是“接口可验证、故障可隔离、降级可预期”。分层架构定义了职责边界，域控制器与执行器接口定义了交互契约，通信拓扑与冗余设计定义了可靠性底座，软硬件划分则决定了实时性与安全性能否同时满足。四者相互约束，任何一层的改动都应回溯检查其余三层是否仍然成立。