自定义硬件超时运行时异常是实现主动降级的关键，通过语义化异常类型、统一超时检测与抛出、联动熔断器及硬实时降级策略，支撑毫秒级响应与链路平滑切换。
直接用自定义运行时异常封装硬件超时，是让降级从“被动等待”变成“主动决策”的关键一步。它不依赖框架默认行为，而是把超时语义显式暴露给上层策略，从而支撑毫秒级响应和链路级平滑切换。
定义语义明确的硬件超时异常
继承 RuntimeException，避免受检异常带来的侵入性；名称需体现硬件上下文与超时本质，例如：
- HardwareTimeoutException：通用基类，含设备ID、超时阈值、实际耗时字段
- CanControllerTimeoutException：CAN控制器初始化/发送超时
- AdcSamplingTimeoutException：ADC采样周期内未完成转换
所有子类重写 toString()，输出可读性强的日志片段，如 "CAN0 init timeout: expected ≤200ms, actual=412ms"，便于DLT日志自动解析与告警匹配。
在驱动层统一捕获并归一化抛出
硬件访问通常在中断、DMA回调或轮询循环中执行，超时判断逻辑分散。应在统一入口（如 HAL 层封装函数）中完成检测与异常转换：
- 使用高精度计时器（如 DWT_CYCCNT 或 HAL_GetTick( ) + 微秒补偿）做差值判断
- 一旦超时，不继续等待，立即构造对应子类异常并 throw
- 禁止在中断上下文中抛出——应退回到线程上下文（如 FreeRTOS Task）再抛出，确保栈安全
示例（FreeRTOS 环境）：
if (elapsed_us > timeout_us) {
vTaskDelay(1); // 切出中断上下文
throw CanControllerTimeoutException("CAN0", timeout_us, elapsed_us);
}
与熔断器联动，实现毫秒级链路降级
业务逻辑层 catch 到该异常后，不走通用 fallback，而是触发预注册的硬件感知降级策略：
- 对 CAN 总线超时：自动切换至 LIN 备用通道，或返回上一帧缓存数据（带时间戳校验 freshness）
- 对 ADC 超时：启用内部参考电压+软件滤波模拟值，同时标记该通道为 degraded
- 记录异常信号 ID（如 0x2F18）到 DLT 日志，并关联当前 ECU 运行模式（Boot/Normal/Recovery）
熔断器（如 Resilience4j）配置中，将 HardwareTimeoutException 显式加入 recordExceptions，使单次超时即可影响失败率统计，配合短窗口（如 10s/20次），实现快速熔断响应。
保障降级动作本身不引入新超时
降级逻辑必须满足硬实时约束，否则会形成“降级链路雪崩”：
- 禁用任何阻塞操作：不调用 HAL_Delay、不访问未缓存外设寄存器、不 malloc
- 所有降级数据预加载进 RAM：如缓存 CAN 报文、静态配置表、默认 ADC 曲线数组
- 用位域+查表法替代浮点运算，确保微秒级完成计算
例如 ADC 降级值生成：仅查 256-entry uint16_t lookup_table[256]，索引由上次有效采样值 & 0xFF 得到，全程无分支、无等待。
