4. 故障隔离基础
智能座舱是一个由多操作系统、多进程、多硬件域组成的复杂系统。故障隔离的目标不是“消灭所有故障”，而是在故障发生时，把影响限制在可接受范围内，保证关键服务（仪表、倒车影像、安全提示）继续可用。要做到这一点，必须先建立统一的故障模型，理解故障如何传播，再据此划分隔离边界、选择隔离级别，并用冗余与失效模式分析验证设计。
一、故障模型：从“现象”到“可计算对象”
故障模型是对故障来源、表现形式和可观测特征的抽象。座舱中常见的故障模型包括：
- 崩溃型故障：进程异常退出、Native Crash、ANR，表现为服务不可达。
- 挂起型故障：线程死锁、Binder 阻塞、主线程卡顿，服务仍存在但响应超时。
- 性能型故障：CPU 抢占、内存泄漏、GPU 过载，表现为帧率下降、延迟抖动。
- 数据型故障：配置错误、状态不一致、消息乱序，表现为功能逻辑异常。
- 拜占庭型故障：节点输出错误但无法被简单检测，常见于多屏协同与跨域通信。
把故障抽象为模型后，才能定义检测条件、隔离动作和恢复策略。例如“挂起型故障”需要心跳与超时检测，而“崩溃型故障”依赖进程退出信号。
二、故障传播：隔离必须切断的链路
故障传播通常沿依赖关系扩散：共享内存、Binder 调用、消息总线、GPU 上下文、文件系统、网络通道。一个导航进程的内存泄漏，可能通过系统内存压力导致仪表渲染掉帧；一个音频服务死锁，可能让语音助手和媒体播放同时无响应。
因此，隔离设计要识别三类传播路径：资源传播（CPU、内存、IO、GPU）、调用传播（同步 RPC、回调链）、状态传播（全局配置、共享缓存、数据库）。切断路径的手段包括资源配额、超时熔断、异步解耦、状态副本隔离。
三、隔离级别与隔离边界
隔离级别决定“隔离粒度”和“恢复代价”。常见级别从低到高：
- 线程级：通过线程池隔离、独立线程处理不同请求，成本低，但无法防进程崩溃。
- 进程级：每个服务独立进程，崩溃只影响自身，是座舱最常用的隔离单元。
- 容器/沙箱级：利用命名空间、cgroup 限制资源，适合第三方应用。
- 虚拟机/硬件域级：Hypervisor 或安全岛 MCU，隔离最强，用于仪表与 ADAS 提示。
隔离边界是隔离生效的“切面”，通常包括：进程边界、通信边界、资源边界、时间边界。边界内故障可被限制，边界外只允许通过受控接口交互。设计时要避免“边界过粗”导致一损俱损，也要避免“边界过细”带来通信开销和状态同步复杂度。
四、冗余设计与失效模式分析
冗余是隔离的补充：隔离防止扩散，冗余保证关键功能在故障后仍可用。座舱常见冗余包括主备进程热切换、双路显示通道、独立音频通路、安全岛 MCU 接管仪表告警。冗余设计要明确切换条件、切换时间和数据一致性策略。
失效模式与影响分析（FMEA）用于系统化识别风险。下表给出座舱典型服务的 FMEA 清单：
| 服务 | 失效模式 | 影响 | 隔离级别 | 冗余/降级 |
|---|---|---|---|---|
| 仪表渲染 | 进程崩溃 | 车速/告警不可见 | 硬件域级 | 安全岛 MCU 接管 |
| 语音助手 | 死锁挂起 | 语音无响应 | 进程级 | 超时重启 + 提示降级 |
| 媒体播放 | 内存泄漏 | 系统卡顿 | 容器级 | cgroup 限额 + 自动重启 |
| 导航 | 数据错误 | 路线异常 | 进程级 | 回滚缓存 + 重新拉取 |
五、案例与复盘：一次音频死锁的隔离改进
某车型在高温测试中出现“语音唤醒后媒体无声”。日志显示音频服务线程阻塞在 Binder 调用，导致语音和媒体共用音频通道全部挂起。复盘发现：音频服务与语音服务未做进程隔离，且缺少超时熔断。
改进前：
AudioService (单进程)
├─ 语音通道
└─ 媒体通道
故障：语音通道 Binder 阻塞 → 整个 AudioService 挂起
改进后：
AudioService (主进程) ← 心跳检测
├─ 语音通道（独立进程）
└─ 媒体通道（独立进程）
超时 800ms 未响应 → 熔断并重启对应通道
总结来看，故障隔离基础是一条完整链路：用故障模型描述问题，用传播分析找到路径，用隔离级别和边界切断路径，用冗余保证关键服务，用 FMEA 验证设计。只有这五步闭环，座舱才能在单点故障下保持可控、可降级、可恢复。