實車系統的潛在危險與 Failsafe（失效安全）機制
在 FSAE 賽車的極限操作環境下，沒有完整 Failsafe 機制的電控系統是非常危險的。牽引力控制（TC）若只考慮理想狀態，放到實車上很容易因為邊界條件（Edge Cases）引發失控或硬體損壞。以下是實車環境中最致命的 5 個危險區域及防護對策：
10.1 致命的「除以零」與低速盲區
- 危險情境：計算滑移率的公式為 $\lambda = \frac{R \omega - v}{v}$。當車輛靜止或極低速時，車速 $v \approx 0$。此時若輪速感測器有一點雜訊，計算出的 $\lambda$ 會爆衝至無限大，導致 TC 瞬間介入瘋狂砍扭矩，造成車輛無法起步或劇烈抖動。
- 解決方案（低速屏蔽）：在控制器中加入速度門檻。當車速低於 $5,\text{km/h}$ 時，強制關閉 TC（Bypass PI 控制器），直接 100% 輸出駕駛的油門需求。
10.2 輪速感測器 (WSS) 雜訊與突波
- 危險情境：FSAE 車輛震動極大，感測器容易受震動或電磁干擾（如馬達高壓線）產生突波。若感測器瞬間讀到 $200,\text{km/h}$ 的假訊號，TC 會誤判為嚴重打滑而瞬間切斷動力，雜訊消失後又瞬間給油。這種強烈的扭矩衝擊（Torque Vectoring Shock）輕則扯斷傳動軸，重則導致失控甩尾。
- 解決方案（訊號濾波與合理性檢查）：
- 加入低通濾波器（Low-pass Filter）平滑訊號。
- 合理性檢查（Plausibility Check）：限制輪速變化的最大加速度（Slew Rate）。若輪速在 $5,\text{ms}$ 內暴增等同於 $5g$ 的加速度，即違反物理法則，系統應直接丟棄該數據，維持上一筆有效值。
10.3 未預期的「負扭矩」（Regen 煞車導致甩尾）
- 危險情境：若 PI 控制器計算結果為負數（要求馬達輸出負扭矩），且系統未做好下限箝位，TC 會突然命令馬達進行動能回收（Regen Braking）。若發生在彎中，後輪會瞬間被煞死，引發嚴重的瞬間過度轉向（Snap Oversteer），導致賽車原地打轉。
- 解決方案：確保 Anti-windup 與扭矩輸出的下限死死鎖在 $0,\text{Nm}$。TC 只能「減少前進動力」，絕對不能主動給予煞車力。
10.4 彎道中的輪速速差（轉向幾何陷阱）
- 危險情境：Quarter Car 模型是基於「直線行駛」設計。過彎時外側輪路徑長、內側輪短（阿克曼轉向幾何）。若 TC 仍把左右前輪平均值當絕對車速，會「誤算」滑移率，導致彎中該加速時不給力，或扭矩分配錯亂。
- 解決方案（彎道補償）：引入方向盤轉角感測器（Steering Angle Sensor）與偏航率（Yaw Rate）。當方向盤轉角超過一定度數時，降低 TC 敏感度（調高目標 $\lambda$），或利用幾何公式計算各車輪的真實對地速度。
10.5 煞車與油門衝突（Trail Braking 衝突）
- 危險情境：車手入彎時常會帶煞車又含油門（Trail Braking）。此時前輪因煞車轉速變慢，估算的車速 $v$ 偏低；後輪稍微有動力時，TC 會誤判後輪瘋狂打滑而異常介入。
- 解決方案（煞車優先機制）：讀取煞車油壓感測器（Brake Pressure Sensor）。只要煞車管線壓力大於特定數值（例如 $10,\text{bar}$），就認定車手正在制動，此時無條件暫停 TC 介入。
11. TC 系統狀態機（State Machine）總結
在實車韌體中，一個安全的 FSAE 牽引力控制狀態機應具備以下判斷邏輯：
- 硬體狀態檢查：感測器是否有錯誤碼？（若有異常 $\rightarrow$ 進入 Failsafe 模式關閉 TC）
- 低速屏蔽檢查：車速是否大於 $5,\text{km/h}$？
- 煞車衝突檢查：煞車壓力是否小於閾值？
- 執行邏輯：
- 以上條件皆成立 $\rightarrow$ 啟動 PI 牽引力控制
- 任一條件不成立 $\rightarrow$ 輸出原始油門需求 (Bypass TC)