第4章 ADAS系统安全设计原则

4、ADAS系统安全设计原则：安全第一的设计理念、冗余设计、故障容错机制

各位同事，咱们今天聊点硬核的。ADAS系统，说白了就是帮驾驶员分担压力的。但你想过没有——如果这套系统自己先“慌”了，那后果是什么？

我入行那会儿，参与过一个L2级项目的路测。车辆在高速上正常行驶，突然前方出现静止障碍物。按理说AEB应该介入，结果系统因为一个传感器信号抖动，直接“罢工”了。嗯，那次测试虽然没出事，但让我彻底明白了一个道理：ADAS系统的安全，不是靠运气，而是靠设计出来的。

今天咱们就掰开揉碎，讲讲ADAS系统安全设计的三个核心原则：安全第一的设计理念、冗余设计、故障容错机制。这三个东西，说白了就是一套组合拳，缺一个都不行。

4.1 安全第一的设计理念：从骨子里就要安全

什么叫“安全第一”？不是嘴上说说，也不是在PPT里写个“Safety First”就完事了。我个人的理解是：在系统架构的每一个决策点上，安全都必须排在功能、性能、成本之前。

举个例子。你设计一个自动紧急制动（AEB）系统，功能需求是“在时速80km/h以下能刹停”。但如果你只盯着这个功能指标，忽略了传感器在雨雾天气下的性能衰减，那这个系统就是“晴天英雄，雨天狗熊”。

我建议，在需求分析阶段就要引入安全分析。常用的方法有HARA（危害分析与风险评估）和STPA（系统理论过程分析）。这些工具能帮你提前识别出“什么情况下系统会失效”，而不是等出了问题再去打补丁。

核心要点：

安全不是附加功能，而是系统的基础属性
从需求、设计、实现到测试，每个环节都要有安全评审
当安全与性能冲突时，优先保证安全

我曾经见过一个团队，为了追求“更早的预警时间”，把碰撞预警的阈值调得特别激进。结果呢？车辆在正常变道时频繁误报警，驾驶员直接关掉了这个功能。你看，一个不安全的系统，最终会被用户抛弃；一个让用户不信任的系统，本身就是安全隐患。

4.2 冗余设计：别把鸡蛋放在一个篮子里

冗余设计，听起来高大上，其实道理很简单：如果一个部件坏了，另一个能顶上。在ADAS系统里，冗余不是“锦上添花”，而是“雪中送炭”。

咱们常见的冗余方式有这么几种：

冗余类型	说明	我见过的坑
传感器冗余	比如同时用摄像头、毫米波雷达、激光雷达	曾经有个项目只用了摄像头和雷达，结果大雾天两个都失效了
计算单元冗余	双MCU或双SoC，主备切换	切换逻辑没写好，导致系统重启花了3秒，车都撞上了
通信冗余	CAN、以太网双通道，或者增加备用总线	CAN总线被干扰，备用通道没及时激活，数据丢了
电源冗余	双路供电，或者加备用电池	电源切换瞬间电压跌落，MCU复位了

你想想看，如果一辆车只有一颗摄像头，那摄像头被泥巴糊住了怎么办？如果只有一颗雷达，那雷达的波束被车身遮挡了怎么办？冗余设计，就是给系统多留几条“后路”。

我个人习惯，在设计冗余方案时，会特别关注“共因失效”。什么意思？就是两个冗余的部件，可能因为同一个原因同时失效。比如两个传感器都装在同一个位置，一个石子打过来，两个都坏了。这种冗余，其实是“假冗余”。

避坑指南：

我曾经设计过一个双路供电方案，两个电源模块来自同一批次。结果这批模块都有同一个设计缺陷——在低温下输出纹波过大。嗯，那次冬测，两路电源同时“罢工”，整个系统直接黑屏。从那以后，我要求冗余部件必须来自不同供应商或不同批次。

4.3 故障容错机制：系统坏了，但别“死”

冗余设计是“防患于未然”，但总有一些故障是防不住的。这时候，故障容错机制就派上用场了。说白了，就是系统出问题了，不能直接“躺平”，而是要想办法“苟住”。

故障容错一般分三个等级：

故障检测：系统能自己发现“我出问题了”。比如通过心跳信号、CRC校验、看门狗等。
故障隔离：把出问题的模块“隔离”起来，不让它影响其他模块。比如某个传感器数据异常，系统直接丢弃它的数据，改用其他传感器的数据。
降级运行：系统虽然不完整了，但还能提供部分功能。比如L2级系统，如果摄像头失效，可以降级为仅依靠雷达的ACC（自适应巡航），但LCC（车道居中控制）功能关闭。

这里我要特别强调一下“降级策略”。很多团队在设计时，只考虑了“正常模式”和“完全失效模式”，忽略了中间状态。结果呢？系统一出问题，要么直接“罢工”，要么在“罢工”和“正常工作”之间反复横跳，搞得驾驶员一头雾水。

警告：

故障容错不是“死扛”。如果系统已经严重受损，比如制动系统完全失效，那正确的做法是立即请求驾驶员接管，并发出明确的声光报警。千万别自作聪明，试图用电机去模拟制动，结果反而让情况更糟。

我记得有一次评审一个项目，他们的故障容错策略是“如果主传感器失效，备用传感器延迟2秒启动”。我问他们：“这2秒里车在干嘛？”他们沉默了。嗯，这2秒里，车就是“盲人骑瞎马”。后来我们改成了“主传感器失效后，立即启用备用传感器，同时系统进入安全状态（比如减速）”。

4.4 三个原则如何协同工作

这三个原则不是孤立的，它们是一个整体：

安全第一的设计理念是“指导思想”，告诉你“为什么要做”。
冗余设计是“硬件保障”，告诉你“怎么做才能不出事”。
故障容错机制是“最后防线”，告诉你“出了事怎么办”。

我画过一张图，把这三个原则串起来：

安全第一（理念）
    ↓
需求分析 → 安全目标（ASIL等级）
    ↓
系统设计 → 冗余架构（传感器、计算、通信、电源）
    ↓
实现与测试 → 故障容错（检测、隔离、降级）
    ↓
验证与确认 → 安全案例（证明系统是安全的）

你看，从理念到落地，每一步都离不开这三个原则。我建议大家在设计ADAS系统时，可以拿这张图当“检查清单”，看看自己的设计在哪一步有缺失。

总结一下：

安全第一：别把安全当“附加题”，它是“必答题”
冗余设计：多留几条后路，别指望“万无一失”
故障容错：系统可以“生病”，但不能“猝死”