3. 线控制动核心需求工程
线控制动系统的需求工程，本质上是一条从“整车级制动性能与安全目标”逐层收敛到“零部件级接口与诊断参数”的分解链，同时又是一条从“零部件失效证据”反向汇聚到“整车安全目标是否满足”的验证链。EHB/EMB 取消了传统真空助力与液压直连踏板的部分机械冗余，踏板与轮端制动力的耦合由电信号与执行器重建，因此需求分解必须同时回答三个问题：整车要什么、系统给什么、失效时还能给什么。
一、从整车需求到系统需求的分解逻辑
整车级需求通常以可测量的车辆行为描述，例如：在附着系数 0.9 的高附路面上，100 km/h 初速的制动距离不超过 38 m；在 0.3 附着系数的低附路面上，制动减速度应能稳定达到 0.25g 以上且方向可控；踏板力—减速度关系需保持线性可预期。这些指标不能直接交给执行器，必须经过“整车动力学—制动力分配—执行器能力”三层换算。
以 100 km/h 制动距离 38 m 为例，可先由运动学估算所需平均减速度：a = v²/(2s) = (27.8 m/s)²/(2×38 m) ≈ 10.2 m/s²，约 1.04g。考虑响应延迟与建压时间，系统级需求应留出裕量，例如规定“目标减速度 1.0g 时，从踏板动作到 90% 目标轮缸压力的建立时间不超过 250 ms”。再往下分解，该 250 ms 被拆为：踏板信号采集与校验 ≤20 ms、整车控制器决策 ≤30 ms、执行器指令传输 ≤10 ms、建压机构响应 ≤150 ms、压力闭环稳定 ≤40 ms。每一段都成为可验证的系统需求条目。
制动力分配层面，需按前后轴理想 I 曲线与 ECE R13 附着利用要求确定前后制动力比例，再换算为各轮缸目标压力。EMB 则进一步把压力目标换算为夹紧力目标与电机转角/电流目标。此时需求已从“整车减速度”变为“单轮夹紧力误差 ≤±5%”这类可测参数。
二、功能安全目标与 FTTI 预算
功能安全目标不是“系统要可靠”这类口号，而是对危害事件的量化约束。以“非预期制动”为例，其危害是车辆在驾驶员无请求时产生减速度，可能导致后车追尾。对应安全目标可写为：EHB/EMB 不得在无有效制动请求时输出超过 0.1g 的减速度，ASIL D。为实现该目标，需定义故障容错时间间隔 FTTI。假设从故障发生到驾驶员可感知并接管的时间预算为 300 ms，则系统必须在 300 ms 内完成故障检测、确认并进入安全状态。
这 300 ms 会被进一步切分：传感器自检与交叉校验 ≤50 ms、故障确认去抖 ≤80 ms、执行器断电或泄压 ≤100 ms、整车提示 ≤70 ms。若某一环节实测超时，则必须通过提高诊断覆盖率或缩短去抖时间来重新平衡。EMB 由于没有液压备份，其 FTTI 通常更紧，常需在 100～150 ms 内完成单轮隔离。
三、失效模式与降级策略
EHB 的典型失效模式包括：踏板行程传感器双路信号不一致、建压电机堵转、高压蓄能器压力不足、轮缸压力传感器漂移、CAN 通信丢帧、ECU 复位。EMB 还包括：夹紧力传感器失效、电机位置信号丢失、卡钳机械卡滞、供电欠压。每种失效模式都需对应检测手段、故障确认时间、降级等级与安全状态。
降级策略通常分三级。一级降级：单轮执行器失效，隔离该轮，其余三轮按重新分配的制动力工作，驾驶员仅感到轻微跑偏，仪表点亮警告。二级降级：助力源或主控通道失效，切换至备份通道或机械/液压备份，限制最高车速并提示“制动性能受限”。三级降级：多通道同时失效，进入跛行模式，依靠机械备份或驻车制动实现安全停车。关键判断依据是：降级后整车仍须满足法规规定的最低制动减速度，例如 0.25g 以上。
四、需求追溯与验证矩阵
需求追溯的核心是双向链接：正向从整车需求追到系统需求、零部件需求与测试用例；反向从测试结果追回安全目标与整车指标。缺少任一方向，都会出现“需求写了但没测”或“测了但不知道对应哪条需求”的漏洞。
验证矩阵的每一行至少包含：需求编号、需求描述、来源（整车/法规/安全目标）、ASIL 等级、验证方法、测试用例编号、通过判据、当前状态。例如需求 SYS-BRK-012：在 100 km/h 初速、0.9 附着路面上，制动距离 ≤38 m，ASIL D，验证方法为实车制动测试，判据为三次有效试验平均值 ≤38 m 且无单轮抱死。对应测试用例 TC-BRK-012，状态为“已通过”。
对于安全目标，还需额外建立“失效模式—安全机制—验证证据”的三角追溯。例如安全目标 SG2“制动助力丢失 ASIL D”，对应失效模式“建压电机堵转”，安全机制“电流监控 + 位置反馈 + 备份通道切换”，验证证据“故障注入测试中 120 ms 内切换成功且减速度不低于 0.3g”。只有三角闭合，才能证明安全目标被真正覆盖。
综上，线控制动的需求工程是一条“整车指标→动力学换算→系统参数→安全目标→失效与降级→验证证据”的闭环链。EHB 与 EMB 的差异在于冗余形式与 FTTI 预算，但需求分解、安全目标量化、降级策略定义和双向追溯的方法论是一致的。只有把每一层需求都落到可测量、可验证、可追溯的条目上，线控制动系统才能在取消机械直连的同时，仍然守住整车制动的安全底线。