67 CAN状态管理器：从“裸奔”到“优雅降级”
开篇故事：一次深夜的救援电话
去年冬天，我凌晨三点被电话吵醒。电话那头是刚入职半年的小王，声音带着哭腔：“哥，我们的ADAS控制器在路试时，遇到CAN总线错误就死机了！客户说这是‘裸奔’状态，要求48小时内给方案。”
我让他把日志发来。一看，问题很典型：当CAN控制器检测到Bus-Off状态时，代码直接调用了Halt()函数，把所有通信停了。
更糟的是，没有恢复机制，ECU只能断电重启。这就像汽车抛锚后，司机直接下车走人，而不是尝试打双闪、靠边停车、呼叫救援。
AUTOSAR规范中，CAN状态管理器（CanSM）就是解决这个问题的。它定义了一套完整的状态机，让ECU在总线错误时能“优雅降级”——先尝试恢复，恢复不了就进入受限模式，至少保证关键功能。
痛点拆解：三个最常见的“裸奔”写法
误区1：把错误当异常，一刀切复位
很多新手（包括当年的我）会这样写：
// 反例代码：直接复位
void CanSM_BusOffHandler(
