1. 问题背景与核心挑战
在汽车电子控制单元（ECU）开发中，高边驱动（High Side Driver）输出保护是一个经典的安全设计场景。我们遇到的具体案例是一个10ms周期运行的ASW（Application Software）模块，已经实现了短路检测、冷却重驱和永久锁定等基础保护功能。但在一次功能安全评审中，审核专家抛出了三个直指灵魂的问题：
- 上电初始状态定义：OutputLocked变量在系统启动时的初始值0代表"未锁定"还是"状态未知"？
- 锁定解除机制：永久锁定是否真的不可逆？有无合理的状态恢复策略？
- 诊断信息上报：锁定状态如何通过诊断接口向外部设备准确传达？
这些问题暴露了我们在MBD（Model-Based Development）实践中常见的思维盲区——过于关注运行时逻辑的正确性，而忽视了状态机的完整生命周期管理。在Simulink模型中，我们简单地将所有状态变量初始化为0，这种"技术正确但语义模糊"的做法在安全关键系统中可能引发严重后果。
经验教训：在安全相关系统中，每个状态变量的取值必须同时满足技术实现和功能语义的双重要求。单纯的"默认零初始化"往往隐藏着设计缺陷。
2. 状态机设计的深度解析
2.1 状态变量的语义定义
原始模型中包含三个关键状态变量：
- RetryCounter（重试计数器）
- CoolDownTimer（冷却计时器）
- OutputLocked（输出锁定标志）
这些变量在技术实现上都初始化为0，但需要从功能语义层面明确定义：
| 变量名 | 技术值域 | 语义定义 | 零值含义 |
|---|---|---|---|
| RetryCounter | 0~3 | 短路事件重试次数 | 未发生任何重试 |
| CoolDownTimer | 0~100 | 冷却等待时间(单位:周期) | 无需冷却 |