Fail-Operational 架构 — 单故障下不中断的系统设计

判断准则不在 ASIL 等级,而在 safe state 是否存在(ISO 26262-1:2018 §3.131:失效后"无不合理风险"的运行模式)。有安全态(断输出/关电机/机械后备)→ fail-safe 就够;安全态本身就是危险的(失转向/失制动/失规划)→ 必须 fail-operational。ISO 26262-4:2018 §6.4.2.2 把这个分叉写进了技术安全需求的规格义务:每个安全机制除了状态转移和 FHTI,还必须给出 emergency operation tolerance time interval(EOTTI,26262-1 §3.45)——"如果 safe state 在 FTTI 内到不了";该条的 EXAMPLE 2 恰好就是 brake-by-wire 的备用电源(容量、激活时间)——标准自己把 fail-op 的典型形态点名了。

具体的 Fail-Op 实现有 3 种主流模式,选择由三个变量决定:切换 glitch 容忍度(FTTI 多紧)、执行器能不能原生双路、成本预算。

Steer-by-Wire 是 fail-op 工程最严格的案例:没有机械连接到前轮,任何单故障都不能让转向丢失——同时它也是 ISO 26262-4:2018 §6.4.2.2 c) "safe state 在 FTTI 内不可达"的教科书实例。

冗余必须从能量源一路覆盖到执行器——任何一层留单点,其它层的冗余全部作废:

电源层是最容易被低估的一层:by-wire 负载的双源冗余(双电池 / 主+备 DC-DC / 超级电容 BPU / ORing)本身就是一个完整的设计空间,展开在 fail-op 线控供电;执行层的 6 相双绕组 PMSM(为什么必须 30° 偏移、单故障 torque ripple 怎么压)展开在 deep 页 §3。

关键约束:任何单故障下,≥ 50% 转向能力维持到 MRM 完成,司机收 HMI 警告 + 限速进 MRC。为何不要求 100%?因为 fail-op 的目标函数是"足够安全地到达 MRC",不是"完全没事"——单故障后 Active-Active 天然只剩 50%,而 MRM 工况(高速直道内减速)的转向需求恰好远小于 50%(§6.2 给数字)。要求 100% 意味着每路都按满载设计,冗余成本再翻倍,买不到额外安全。

L3 ADAS 的 fail-op 不是某一个子系统冗余,而是 Sense / Plan / Act 三层各自冗余 + 电源双路——因为 MRM 需要的最小功能链(看路 + 规划减速轨迹 + 转向制动执行 + 告知司机)一个都不能断。

L3 与 L2 的本质差别是接管假设,现在可以用 R157 的语言精确表述:

• L2 — 司机监视路面,故障后立即接管;系统可以 fail-safe(断 ADAS 输出即 safe state)。
• L3 — 司机注意力合法转移;故障 → transition demand → 最早 10 s 后才许 MRM(R157 §5.4.4.1)→ 系统在这 20~30 s 里独自完成 DDT。

各子系统的策略选择,注意不是"全部 fail-op":

主驱是 fail-safe 不是 fail-op是这张表里最值钱的一行:主驱的安全态是"无 torque"(三相开路/主动短路滑行),失主驱后 brake + steer 照样把车带进 MRC——所以主驱不需要双 inverter,SoP 直接省掉一套逆变器成本。盲目"全系统 fail-op"是评审能一眼看出的 over-engineering。量产侧证据:Mercedes Drive Pilot(2022-05 欧盟首张 L3 认证)正是 brake / steering / power / compute / sensor 五域冗余 + 主驱单路的拓扑(拓扑细节见 deep 页 §1)。

fail-op 的时间语言在 ISO 26262-1:2018 里是一族精确定义:FDTI(§3.55,故障发生→检出)+ FRTI(§3.59,检出→到达 safe state 或 emergency operation)= FHTI(§3.56);约束是 FHTI < FTTI(§3.61,故障发生→可能出现危险事件的最短时间)。fail-op 的特殊之处:FRTI 的终点不是 safe state 而是 emergency operation,之后 EOTI(§3.44,实际维持时长)必须 ≤ EOTTI(§3.45,声明的可维持上限)——这两段时间是两本账,FTTI 管切换够不够快,EOTTI 管降级态撑不撑得到 MRC。

Active-Passive 的 FHTI 拆成 3 阶段:

计算举例:FTTI = 200 ms,留 25% margin → 预算 150 ms;tdet 30 + tsw 40 + trec 80 = 150 ms 刚好贴线。若 FTTI 收紧到 100 ms(高速横向类 Safety Goal 的典型量级),Active-Passive 已经没有设计余地——这就是FTTI 紧的执行器类功能几乎必然走 Active-Active 的原因:tsw 和 trec 两项直接消失,只剩 tdet + 健康路升功率的 ramp(§6.4 给完整数字)。

glitch 的物理危害不是"没输出",是输出跳变:tsw 窗口 A 已停 B 未满,EPS 辅助力矩瞬间塌陷再恢复,司机手上是一记 kick——高速下这本身就能诱发危险横摆。所以切换必须 ramp-down/ramp-up 协调(A 渐降 B 渐升,合力连续),且 ramp 斜率受"司机可感知力矩变化率"限制——这就是 trec 压不到零的原因:不是算不快,是不许跳。

用一条完整数字链走通:法规时间 → 机械载荷 → 电机/器件 → 失效率 → 时序核验。车型设定:C 级轿车,L3 ALKS(01 系列,≤130 km/h),SbW 前轴执行器,Safety Goal "防止丧失横向控制能力"(ASIL D),FTTI = 100 ms(OEM 典型值,工程假设)。

Fail-Op 不是 Part 4 一家的事,它在流程里到处开钩子:

最容易翻车的是 Part 9 Clause 7 的 DFA:工程组说"A 和 B 是独立 ECU",但两路接同一根 CAN-FD、同一个 12V 节点、同一个晶振——任何一条共享路径都让 §6.3 里 β = 1% 的假设作废,连带 Clause 5 的分解声明一起失效。严格的评估流程会要求 A/B 走物理分离线束 + 不同电源域,并拿故障注入证据(拉断主电源示波器波形)而不是 layout 截图。

这些是 fail-op 评审与量产项目里反复出现的真实坑,多数来自"以为做了冗余就是 fail-op"。

Gotcha 1:冗余 ≠ Fail-Op

"A 和 B 都在,B 顶上"只是冗余的必要条件。fail-op 的完整验收 = 切换时间 < FTTI + B 独立性(DFA 过)+ B 在线可测(LFM 达标)+ 降级态能力 ≥ MRM 需求 + EOTTI 有证据。五项缺一项,冗余就是摆设——最常见的缺法是下面六条。

Gotcha 2:Hot-Standby 的 B "早就坏了"

B 平时不输出 → 输出级(桥、执行器绕组、mux 触点)的故障平时不暴露,等 A 故障切过去才发现 B 也是坏的。这正是 ISO 26262-5 Table 5 LFM ≥90%(ASIL D)瞄准的场景:必须给 B 设计周期性在线自检(如定期把输出权轮换给 B 几个控制周期,或注入测试矢量测通桥臂),并把检测周期 τ 代进双点失效计算——τ 从每行程 10 h 退化到年检 8760 h,双点项直接涨 3 个数量级(Corner 2)。

Gotcha 3:state-sync 把坏状态复制给 B

Hot-Standby 的同步通道是把双刃剑:A 的传感器漂移已经污染了状态估计器,同步机制忠实地把这份坏状态镜像给 B——切换后 B 从同样错误的状态起步,冗余被数据路径旁路(这是 dependent failure 的"级联"类,不是共因类)。纪律:sync 只传原始输入 + 最小状态,派生量 B 自己重算;sync 数据过 plausibility gate(范围/变化率/多源一致性)再入 B 的状态机。

Gotcha 4:共享电源 / 时钟 / 接地 = β 假设作废

A + B 接同一 12V 节点、共一颗晶振、共接地回流路径,β 从 1% 实际回到 10-20%(IEC 61508-6 Annex D 同种同板档),PMHF 按 §6.3 的算式直接 ×10 顶穿 Table 6。接地是最隐蔽的一条:共接地阻抗上的大电流瞬变(如故障绕组关断)会同时抬两路的地电位。DFA 必须把"能量路径"当一等公民穷举,不只查信号线。

Gotcha 5:输出仲裁级是新的单点

双通道合成输出的那个元件——2oo3 的 Voter、Active-Passive 的输出 mux/继电器、Active-Active 的合成机械件——自身故障 = 系统失效。它必须按 ASIL D 开发 + 自检(或双 Voter 互检,航空 SCP 方案),FMEDA 里单列一行。审计定式问题:"你的 Voter 谁投票?"

Gotcha 6:双绕组 PMSM 不是两台电机

两套绕组共享定子铁芯和转子磁场,互感耦合不为零:故障绕组匝间短路后,旋转 EMF 在短路匝里驱动环流 → 在健康绕组输出上叠加制动转矩 + torque ripple——"另一半照常工作"不是自动成立的。缓解靠设计(分槽/分扇区布置压互感、30° 偏移)+ 控制(弱磁降感应电流、故障类型感知的反应策略:开路故障只需封波,短路故障要主动短路钳位)。FMEDA 里"绕组短路"的失效影响必须写"降级 + ripple",不是"无影响"。

Gotcha 7:备份电源 SOH 没人管

EOTTI 30 s 的账建立在备份源(超级电容 BPU / 备电池)满容量假设上;超级电容容量衰减 + 低温内阻上升、备电池老化,都会让实际 hold-up 缩水到规格以下——而备份源平时不放电,坏了不自知(又是 latent fault)。必须做周期性容量测试(受控放电脉冲测 C 和 ESR)+ SOH 进整车监控,SOH 不足按"冗余降级"处理(限制 L3 激活)。设计谱系见 fail-op 线控供电。

Corner 1:50% 能力的低速边界 — MRM 终点藏着最大载荷

Active-Active 单故障剩 50%,§6.2 说了巡航无感——但 rack force 需求曲线在低速大转角处陡增,原地打轮要满 10 kN,50%(5 kN)不够。这意味着 MRM 轨迹规划本身受执行能力约束:故障后禁止需要大转角的机动(掉头、窄位泊车),R157 §5.5.1 的"本车道内减速停车"恰好是转向需求最小的 MRM 形态——法规形态与 50% 降级能力是自洽的。但 OEM 若想做"故障后自动驶入应急车道"的增强 MRM,必须先核对该机动在 50% rack force 下的可行速度窗,否则规划器会命令一个执行器给不出的转角。

Corner 2:单故障后允许开多久 — 暴露窗吃掉双点预算

§6.3 的双点项按 τ = 10 h(每行程自检)算出 $10^{-14}$/h,前提是单故障后立即 MRM + 禁止再激活。若把单故障当 limp-home 用、允许"过几天再修",第二故障暴露窗 T 从 30 s 变成几百小时:按 §6.3 同一算式,T = 500 h 时双点项涨到 ${\lambda }_{ch}\cdot {\lambda }_{DU}\cdot T=100\times 10^{-9}\times 10\times 10^{-9}\times 500=5\times 10^{-13}$/h——较基线 $10^{-14}$/h 涨 50 倍(虽仍低于 CCF 项,但预算逻辑已变质),且直接违反自己按 R157 §5.4.4.1.2 声明的"severe failure → 立即 MRM"清单。纪律:fail-op 的"续跑"以 EOTTI 为上限,EOTTI 一到必须已在 MRC;"带伤继续服役"是另一个(需要重新论证的)安全概念。

Corner 3:fail-op 只救 fault,不救 performance limitation

冗余架构的适用域是 E/E 随机硬件失效(ISO 26262 范围)。逆光致盲、暴雪遮挡、算法长尾场景不是 fault 而是 performance limitation——两路一模一样的 camera 会同时被同一轮落日晃瞎,冗余度为零。这类风险归 SOTIF(ISO 21448),对策是异构模态(camera + radar + LiDAR 的互补物理原理),那是另一种意义的"冗余"。R157 §2.11.3 的措辞暗合此边界:单个 sensor 失效不构成 severe ALKS failure,除非叠加其它影响。架构评审要分两本账:26262 的冗余答卷不能拿来回 SOTIF 的问题,反之亦然。