线控底盘功能安全的工程化思路：从 Fail-Silent 到 Fail-Operational
从 Fail-Silent 到 Fail-Operational 的视角，梳理线控底盘功能安全的工程化难点：故障检测、降级策略、冗余架构和测试验证。
智能驾驶系统越接近量产，底盘控制越不能只讨论控制效果。线控制动、线控转向和域控制器之间的协作，最终要落到功能安全目标和可验证的降级路径上。
Fail-Silent 的边界
Fail-Silent 适合故障后可以快速退出控制权的模块，但对高速行驶、无驾驶员接管或重载平台而言，单纯静默并不等于安全。系统需要在故障后保持有限能力，至少要能进入可控停车或最小风险状态。
Fail-Operational 的工程代价
Fail-Operational 意味着冗余电源、冗余传感、冗余通信、执行器降级能力和控制软件的状态机都要协同设计。它不是一个软件开关，而是一组系统级约束。
验证重点
验证不应只覆盖正常工况，还要覆盖通信中断、传感器漂移、执行器响应退化、供电瞬断和控制器重启。对每一种故障，都要定义检测时间、故障确认逻辑、降级动作和恢复条件。
补充说明
这是一篇个人工程笔记。写到标准、指标和项目边界时，我会尽量给出出处；真正落地时仍要回到具体需求、评审材料和验证结果。