安行 S1
整车系统产品设计文档

低重心四轮平台

车架、座椅、转向、车轮、防倾与传感器支架共同保证固有稳定。

VCU＋电机控制器

实体操纵、联锁、限速、限扭、制动和故障停车全部离线运行。

TCU＋多传感器

4G、GNSS、IMU、毫米波、超声波、事件记录、诊断和OTA。

电池包＋独立BMS

电芯保护独立于VCU和TCU，通信故障不影响硬件保护。

关键预算

• 整车目标：≤1250×720×1200 mm
• 整备质量目标：≤68 kg
• 典型续航：15–20 km
• 最高设计速度目标：10 km/h

实时性分级

• A级 1–10 ms：操纵、速度、制动
• B级 10–100 ms：转角、IMU、障碍融合
• C级 1–10 s：仪表、健康、事件
• D级 ≥10 s：云端遥测与配置

失效优先级

1. 保持机械/电气制动能力
2. 限制速度和扭矩
3. 停止依赖故障传感器的功能
4. 提示驾驶者并记录DTC
5. 允许售后诊断与安全恢复

车架设计

• 建议Q235B/等效低碳钢焊接主车架，局部高应力区加强
• 防腐：前处理＋电泳/粉末喷涂，焊缝和排水孔专项设计
• CAE工况：额定载荷、2g垂向、坡道扭转、运输固定和越障冲击
• 转向、座椅、电池、后桥安装面设置基准和检具

稳定性几何

• 电池位于轴间且尽量低；重物不置于后篮高位
• 目标轴距约850–950 mm、轮距约560–620 mm，实测冻结
• 满舵机械限位与软件限速共同控制
• 后防倾轮只作失效保护，不应在正常越障中频繁触地

维修与防护

• 底部电池和电控盒可独立拆换，不拆座椅主结构
• 涉水飞溅方向采用迷宫、滴水环和朝下连接器
• 外壳不承载；碰撞件可替换
• 关键紧固件扭矩标记、防松和维修后复检

电源状态

• SHIP：运输低功耗，牵引禁用
• OFF：BMS与唤醒保持
• ACC：TCU低频在线，驱动禁用
• READY：VCU自检通过、允许驱动
• CHARGE：充电联锁硬件禁止驱动

接地与EMC

• 功率地与逻辑地按单点/受控路径汇接
• 电机相线与GNSS/传感线分束分层
• CAN双绞、120Ω端接；屏蔽层策略经EMC验证
• 雷达、TCU和USB入口就近浪涌/ESD保护
• 车架是否接地由触电/EMC风险分析冻结

线束分区

• H1牵引高电流：电池—控制器—电机
• H2前舱：HMI、灯、雷达、超声波
• H3座椅/联锁：旋转锁、急停、SOS
• H4后舱：BMS、抱闸、尾灯、后超声波
• H5诊断：Type-C至TCU，禁止直通VCU调试口

核心硬件选型原则

PCB布局红线

• 4G/GNSS净空区禁止铺铜和高噪声器件
• USB、CAN和电源入口保护靠近连接器
• DC/DC回路面积最小化，远离IMU和GNSS
• IMU靠近板中心并记录安装坐标系
• 调试口量产封禁或鉴权

环境与可靠性

• 工作温度目标−20～70℃（器件按更高等级选型）
• 三防漆是否使用由凝露/维修性权衡
• 电控盒目标IP54以上，连接器局部IP67目标
• 振动、热循环、ESD、EFT、浪涌和辐射抗扰
• 关键料禁止未验证替代

硬件安全机制

• VCU独立看门狗和欠压复位
• 扭矩CAN命令有CRC、计数器和超时
• 抱闸默认失电施加
• TCU只能请求更保守上限，不能提高扭矩
• BMS硬件比较器/保护链独立

任务与周期设计

控制仲裁伪逻辑

if (!all_interlocks_ok || severe_fault) {
  target_torque = 0;
  request_controlled_stop();
} else {
  limit = min(gear_limit,
              steering_curve_limit,
              thermal_limit,
              battery_limit,
              validated_obstacle_limit);
  target_speed = clamp(driver_request, -reverse_limit, limit);
  target_torque = ramp_and_slope_control(target_speed);
}
if (speed_near_zero && stop_requested) apply_brake();

障碍请求只能降低上限；任何远程配置不得扩大gear_limit或解除联锁。

Boot与OTA

• VCU/TCU独立签名镜像和版本清单
• A/B分区或黄金镜像，失败自动回滚
• 仅PARK、抱闸已施加、电量充足时升级
• TCU下载，VCU再次验证签名后刷写
• 升级结果、失败原因和回滚均上报

日志与冻结帧

• 重大事件前10秒/后20秒摘要环形缓存
• 记录时间、速度、转角、坡度、操纵、DTC和传感健康
• 不默认记录音频/视频
• 日志访问分用户/售后/研发权限
• 容量满后按等级覆盖，危急事件保护

软件发布

• 版本：硬件兼容矩阵＋语义版本
• 静态分析、单元测试、SIL/HIL、故障注入
• 安全参数双人复核和变更审计
• 1%→10%→50%→100%灰度
• 发现安全回归立即停止并回滚

用户与权限

• 车主：绑定/转让车辆、管理家庭成员
• 家属：位置、告警、健康、服务预约
• 护理者：限定时间/机构范围访问
• 售后：经车主授权读取诊断；不能看长期轨迹
• 工厂：激活前EOL写入；出厂后无家庭数据权限

信息架构

• 首页：状态、电量、位置、关键建议
• 位置：最后位置、轨迹、围栏、共享
• 消息：低电、故障、移动、碰撞、SOS
• 车辆：健康、里程、保养、固件、服务
• 家庭：成员、权限、紧急联系人
• 隐私：授权、数据导出、解绑与注销

适老与可靠性

• 大字号、高对比、少层级、关键动作二次确认
• 不显示伪精确的GNSS点位和续航
• 告警清楚区分“疑似”与“已确认”
• 弱网展示最后更新时间，不用“在线”误导
• 任何远程页面都不提供方向、加速和急停控制

设备接入

• 每车唯一设备证书，禁止共用密钥
• 主题ACL限制车辆只能访问自身路径
• 心跳60–300秒可配置；事件立即上报
• 离线缓存按优先级，恢复后限速补传
• 命令带nonce、有效期、签名和幂等ID

可用性目标

• 核心API月可用性目标≥99.9%
• 告警链路P95≤60秒（网络在线条件）
• 普通遥测允许最终一致
• 多可用区部署、自动备份和恢复演练
• 云故障不改变车辆本地安全状态

成本设计

• 状态变化/事件上报，避免高频全量数据
• 位置按行驶/驻车动态频率
• 车端二进制/压缩，云端批量写入
• 热数据、聚合数据、归档分层
• 每车每月流量和云成本建立预算告警

App REST API

• POST /v1/vehicles/bind 绑定车辆
• GET /v1/vehicles/{id}/status 最新状态
• GET /v1/vehicles/{id}/location 授权位置
• GET /v1/vehicles/{id}/events 告警列表
• POST /v1/vehicles/{id}/diagnostic-consents 诊断授权
• POST /v1/vehicles/{id}/members 邀请家庭成员

MQTT主题

• v1/{vehicleId}/up/state 状态心跳
• v1/{vehicleId}/up/event 高优先级事件
• v1/{vehicleId}/up/diag 诊断与升级结果
• v1/{vehicleId}/down/config 白名单配置
• v1/{vehicleId}/down/ota 升级任务
• v1/{vehicleId}/down/query 状态查询

风险最小状态

零扭矩、速度受控降至接近零、抱闸施加、方向保持可预测、声光提示和DTC锁存。坡道场景禁止简单瞬时断电造成滑移。

信任边界

云、App、USB、4G模组、供应商调试口均视为不可信输入；只有经鉴权、范围校验和车辆状态校验后才能影响非安全配置。

最小化与可撤销

位置默认用于家属功能并明确授权；售后诊断按范围和时间授权；车辆转让时清除家庭关系和历史位置访问权。

有线诊断权限分级

• L0 用户：只读电量、里程和公开故障
• L1 交付：传感器校准、灯光/HMI测试，不改安全上限
• L2 售后：读取冻结帧、执行维修后测试、清除指定DTC
• L3 工程：签名挑战＋物理在场＋审计；开发参数
• 生产：独立工厂凭证，EOL完成后权限撤销

DTC编码结构

S1-[域]-[严重度]-[序号]

• PWR 动力/抱闸
• BAT 电池/充电
• CTL 操纵/VCU
• SEN 传感器/辅助驾驶
• NET 4G/GNSS/云
• SEC 安全/鉴权/升级

例如：S1-CTL-S-003 操纵器双通道不一致。

EOL必检

• 操纵器A/B、上电回零、前后方向
• 速度/转向角标定与弯道限速
• 松手停车、抱闸、急停、自由轮
• 座椅/充电联锁
• 毫米波/超声波/IMU/GNSS健康
• 4G入网、证书、Type-C充电/诊断
• 灯光、蜂鸣、SOS、仪表和DTC

HIL/SIL台架

• 操纵器、转角、速度和坡度信号仿真
• CAN超时、CRC错误、计数器跳变
• 障碍目标回放和误报场景
• 欠压、过温、抱闸故障与掉电
• 4G弱网、服务器异常、OTA中断
• 软件版本回归自动生成报告

量产变更

• 关键料替换必须走PCN与影响分析
• 车架、转向、制动、电池、传感器变更需再验证
• 软件配置是BOM组成部分
• 标定参数签名且按车型锁定
• 供应商固件版本纳入兼容矩阵