4. 故障与失效基础
在智能驾驶系统的安全工程中，故障（Fault）、错误（Error）、失效（Failure）是三个必须严格区分的核心概念。它们描述的是同一异常事件在不同层次、不同时间点上的表现形态，混淆三者会导致安全分析、诊断策略和降级设计出现系统性偏差。理解这条“故障→错误→失效”的因果链，是后续所有降级机制设计的逻辑起点。
一、核心定义与因果链
按照 ISO 26262 与可靠性工程通用定义，三者的关系可以概括为：故障是原因，错误是中间状态，失效是外部可观测的结果。
- 故障（Fault）：系统内部存在的异常状态或缺陷，是失效的根本原因。例如：某雷达芯片焊点虚焊、感知模型训练数据分布偏差、CAN 收发器电容老化。
- 错误（Error）：故障在系统内部引发的、偏离正确值的数据或状态。例如：虚焊导致回波时间戳跳变，模型偏差导致对静止车辆漏检，电容老化导致位错误率上升。
- 失效（Failure）：错误传播到系统边界，使系统无法继续提供预期服务。例如：AEB 未触发、车道保持输出错误转角、域控制器停止输出控制指令。
下面这张图展示了三者在智能驾驶感知—决策—执行链路中的传播关系，以及容错机制在何处介入阻断传播。
二、故障分类：从多个维度刻画异常
工程上对故障的分类不是学术游戏，而是直接决定诊断手段和降级策略。常用分类维度如下：
| 分类维度 | 类型 | 智能驾驶典型示例 | 应对策略 |
|---|---|---|---|
| 持续时间 | 永久故障 / 间歇故障 / 瞬态故障 | 焊点开裂（永久）、接触不良（间歇）、宇宙射线翻转（瞬态） | 永久→降级；间歇→计数与趋势；瞬态→重试与ECC |
| 可观测性 | 显性故障 / 隐性故障 | 传感器无输出（显性）、冗余通道同时失效（隐性） | 显性→直接诊断；隐性→自检与交叉校验 |
| 来源层次 | 硬件故障 / 软件故障 / 环境故障 | 芯片失效、算法边界缺陷、暴雨遮挡 | 分层隔离，避免单层故障扩散 |
| 影响范围 | 局部故障 / 全局故障 | 单颗雷达失效、域控制器整体宕机 | 局部→通道降级；全局→MRM |
| 是否可测 | 可测故障 / 不可测故障 | 电压越界可测、模型语义错误难测 | 不可测故障需用多样性冗余覆盖 |
三、失效模式与影响分析（FMEA）
FMEA 是一种自下而上、系统化识别失效模式及其后果的分析方法。在智能驾驶中，它通常与 FTA（故障树）、HAZOP 配合使用。FMEA 的核心输出是每个失效模式的严重度（S）、发生度（O）、探测度（D），三者乘积构成 RPN（风险优先数），用于排序改进优先级。
典型分析流程如下：
- 界定分析范围：明确系统边界，如“前向 AEB 感知—决策—执行链路”。
- 拆解功能与组件：列出摄像头、雷达、融合模块、制动执行器等。
- 识别失效模式：对每个组件问“它可能以什么方式失效？”
- 分析失效影响：局部影响、系统影响、整车影响。
- 评估 S/O/D 并计算 RPN：确定风险等级。
- 制定改进措施：设计变更、增加诊断、冗余、降级策略。
- 跟踪闭环：验证措施有效性，更新 FMEA 文档。
下面给出一个简化的 FMEA 记录片段，展示智能驾驶感知链路的典型条目：
FMEA 片段：前向 AEB 感知链路
--------------------------------------------------------------
组件 失效模式 影响 S O D RPN
--------------------------------------------------------------
前视摄像头 镜头遮挡 漏检目标 9 4 3 108
毫米波雷达 回波丢失 距离估计错误 8 3 4 96
融合模块 时间戳不同步 目标关联错误 7 3 5 105
制动执行器 响应延迟 制动距离不足 10 2 3 60
--------------------------------------------------------------
改进措施：
- 摄像头遮挡：增加镜头清洁诊断 + 雷达独立触发兜底
- 时间戳不同步：引入硬件同步信号 + 滑动窗口校验
- 制动延迟：冗余制动通道 + 提前预充压
四、案例与复盘：从故障到失效的真实链路
某车型在高速场景下出现 AEB 偶发不触发。复盘发现：毫米波雷达连接器在振动下间歇性接触不良（故障），导致回波数据偶发丢失（错误），融合模块因缺少雷达点云而降低目标置信度，最终未达到 AEB 触发阈值（失效）。
问题根源不在于单点，而在于：诊断策略只监控“雷达是否在线”，未监控“数据连续性”；融合模块未对雷达数据缺失做降级补偿；FMEA 中该失效模式的探测度被低估。改进后增加了数据连续性心跳、雷达缺失时的摄像头单模兜底，并将该条目 RPN 从 96 降至 36。
这个案例说明：故障、错误、失效的区分不是概念辨析，而是定位问题、设计诊断和降级策略的分析框架。只有把异常放到正确的层次上，才能选择正确的检测点和应对手段。