DeFi 风险管理与清算：抵押率、清算机制与坏账处置

抵押率（LTV）  = 债务价值 / 抵押物价值
清算阈值（LT）  = 触发清算的 LTV 上限
健康因子（HF）  = (抵押物价值 × 清算阈值) / 债务价值

最大 LTV = 0.80    借款时的上限
清算阈值 = 0.825   触发清算的线
清算罚金 = 0.05    清算人获得的折扣

function healthFactor(address user) public view returns (uint256) {
    uint256 weightedThreshold;
    uint256 totalDebtValue;
    for (uint256 i = 0; i < reserves.length; ++i) {
        uint256 price = oracle.getPrice(reserves[i]);
        uint256 c = collateral[user][reserves[i]] * price / 1e18;
        totalDebtValue += debt[user][reserves[i]] * price / 1e18;
        weightedThreshold += c * liquidationThreshold[reserves[i]] / 1e4;
    }
    if (totalDebtValue == 0) return type(uint256).max;
    return weightedThreshold * 1e18 / totalDebtValue;
}

function liquidate(address user, address collateralAsset, address debtAsset, uint256 debtToCover) external {
    require(healthFactor(user) < 1e18, "HEALTHY");
    uint256 maxClose = closeFactor[debtAsset];       // 如 0.5 表示最多清算一半债务
    require(debtToCover <= debt[user][debtAsset] * maxClose / 1e4, "TOO_MUCH");

    uint256 bonus = liquidationBonus[collateralAsset];   // 如 1.05e4 表示 5% 奖励
    uint256 seize = debtToCover * oracle.getPrice(collateralAsset) / 1e18 * bonus / 1e4;
    require(seize <= collateral[user][collateralAsset], "INSUFFICIENT_COLLATERAL");

    IERC20(debtAsset).transferFrom(msg.sender, address(this), debtToCover);
    debt[user][debtAsset] -= debtToCover;
    collateral[user][collateralAsset] -= seize;
    IERC20(collateralAsset).transfer(msg.sender, seize);
}

t=0        折扣 0%     无人有动力清算
t=T/2      折扣 7.5%   部分清算人进场
t=T        折扣 15%    任何清算人都有动力

闪电贷操纵清算攻击：
1. 攻击者发现某协议用单一 AMM 池的现货价作为抵押物价格
2. 闪电贷借入大量资金，在池中砸低该抵押物价格
3. 协议认为借款人抵押不足，触发清算
4. 攻击者以极低价格（预言机价 × (1-罚金)）买走抵押物
5. 归还闪电贷，池子价格恢复，利润落袋

function getPrice(address asset) public view returns (uint256) {
    (, int256 answer, , uint256 updatedAt, ) = feed[asset].latestRoundData();
    require(answer > 0, "INVALID_PRICE");
    require(block.timestamp - updatedAt <= staleThreshold, "STALE_PRICE");
    return uint256(answer);
}

contract InsuranceFund {
    uint256 public balance;

    function accrueFromLiquidation(uint256 penalty) external {   // 罚金一部分入基金
        balance += penalty * reserveFactor / 1e4;
    }

    function coverBadDebt(uint256 shortfall) external returns (uint256 covered) {
        covered = shortfall > balance ? balance : shortfall;
        balance -= covered;
    }
}

struct ReserveConfig {
    uint16 ltv;                  // 最大借款比例
    uint16 liquidationThreshold; // 清算阈值
    uint16 liquidationBonus;     // 清算奖励
    bool   isolationMode;        // 是否隔离
    uint256 debtCeiling;         // 隔离模式下的债务上限
    uint256 supplyCap;           // 供应上限
}

风险参数变更流程：
1. 风险团队提出参数调整（基于市场数据与模拟）
2. 公开论坛讨论 + 风险分析报告
3. 治理投票（或风险委员会快速通道）
4. Timelock 延迟执行（给用户调整头寸的时间）
5. 执行后监控指标变化

测试场景设计：
1. 单资产价格下跌 30% / 50% / 80%
2. 稳定币脱锚至 0.95 / 0.90 / 0.80
3. 相关资产同时下跌（相关性 = 1）
4. 预言机延迟 1 小时 / 4 小时 / 停机
5. 链上拥堵，清算交易 10 个区块未确认
6. 组合场景：价格暴跌 + 拥堵 + 预言机延迟

# 简化模拟：给定价格冲击，计算坏账规模
def simulate_bad_debt(positions, price_shock, lt, bonus):
    total = 0
    for p in positions:
        collateral_value = p.collateral * price_shock
        if collateral_value * lt / p.debt < 1:      # HF < 1，触发清算
            recoverable = collateral_value * (1 - bonus)
            total += max(0, p.debt - recoverable)
    return total

□ 预言机：多源聚合 + 陈旧检测 + 速率限制
□ 参数：LTV / LT / bonus / close factor / caps 全部设定并公开
□ 隔离：长尾资产启用隔离模式与债务上限
□ 清算：清算函数有权限校验、单次上限、事件完整
□ 坏账：保险基金机制与处置优先级明确
□ 监控：HF 分布、预言机偏差、清算成功率告警到位
□ 演练：压力测试覆盖极端场景，含拥堵与预言机停机
□ 治理：参数变更走 Timelock，单次变更幅度受限