📚 课程目录第1章课程导入

1. 课程导入

毫米波雷达正在从高端选配走向智能驾驶与工业感知的标配传感器。它工作在 76–81 GHz 频段，具备全天候、高分辨、低成本的特点，被广泛用于自适应巡航、自动紧急制动、盲区监测、舱内生命体征检测以及工业液位与人员定位。然而，雷达一旦在关键场景中失效或输出错误目标，后果可能是误刹车、漏检行人或功能不可用。因此，可靠性与降级工程不是附加项，而是毫米波雷达系统设计的一等公民。

一、学习目标：从“能测”到“可信可用”

本课程的目标不是重复讲解 FMCW 波形与测距测速公式，而是建立一套面向工程落地的可靠性思维。学完本课程，你应当能够：

识别毫米波雷达在器件、信号、算法、系统与整车层面的主要失效模式；
理解可靠性指标（MTBF、FIT、失效率、可用度）与功能安全指标（ASIL、SPFM、LFM）之间的关系；
掌握降级策略的分级设计方法，从性能降级到安全降级再到受控停机；
能够设计故障检测、隔离与恢复（FDIR）机制，并给出可验证的测试用例；
在成本、性能与安全之间做出可解释的工程权衡。

核心判断：可靠性关注“少坏”，降级工程关注“坏了还能安全地做什么”。两者共同决定雷达能否被整车或工业系统信任。

二、核心概念：可靠性、可用性、安全性与降级

可靠性通常用平均无故障时间（MTBF）或 FIT（每十亿小时失效数）衡量，描述系统在规定条件下持续工作的能力。可用性则进一步引入维修与恢复时间，反映系统“可被使用”的概率。功能安全关注的是失效后是否会导致不可接受的风险，常用 ISO 26262 的 ASIL 等级与 ISO 21448 的预期功能安全（SOTIF）来约束。

降级工程的核心是分级响应。当雷达探测到自身性能下降或部分通道失效时，不应简单“报错停机”，而应按照预设策略逐级降低功能：例如从全性能目标跟踪降为仅输出最近目标，再降为仅输出存在性检测，最后进入安全状态并通知上层控制器。降级不是失败，而是可控的、可预期的功能收缩。

下图展示了毫米波雷达从正常感知到安全降级的整体可靠性框架，包含信号链、故障检测、降级决策与执行四个层次。

三、方法流程：从失效识别到降级验证

可靠性工程不是一次性评审，而是一条闭环流程。典型步骤包括：危害分析与风险评估（HARA）、失效模式与影响分析（FMEA）、诊断覆盖率设计、降级策略定义、测试验证与现场数据回灌。每一步都需要可追溯的证据链。

危害识别：列出雷达误报、漏报、延迟、卡滞等危害事件，评估严重度、暴露率与可控性。
失效分析：从天线、射频、电源、时钟、存储、算法到通信逐层展开 FMEA。
诊断设计：为每个高风险失效配置检测手段，明确检测时间与覆盖率。
降级定义：为不同故障组合定义 L0–L3 状态及切换条件。
验证确认：通过故障注入、HIL 台架与实车场景验证降级行为。

在工程实现中，诊断与降级通常以配置表形式固化。例如某雷达的降级配置片段如下：

degrade_policy:
  L0_normal:
    condition: "all_channels_ok && snr > 12dB"
    output: "full_target_list"
  L1_perf:
    condition: "one_rx_channel_fault || snr < 8dB"
    output: "reduced_target_list"
  L2_safe:
    condition: "two_rx_channel_fault || temp > 105C"
    output: "presence_only"
  L3_stop:
    condition: "mcu_watchdog_reset || power_fault"
    output: "safe_state_notify"

四、案例与场景：降级如何真正救场

场景一：某前向雷达在暴雨中因天线罩积水导致信噪比下降。若系统没有降级策略，可能直接输出大量虚假目标，触发误刹车。若配置了 L1 性能降级，雷达会降低检测灵敏度并扩大跟踪门限，同时向整车控制器上报“性能受限”，由融合层决定是否降低车速或切换至摄像头主导。

场景二：某工业雷达用于人员定位，单个接收通道因静电损伤失效。系统检测到通道幅相异常后进入 L2 安全降级，仅输出“有人/无人”存在性信息，并点亮维护指示灯。虽然定位精度下降，但安全联锁功能仍然有效，避免了产线停机。

降级策略的价值在于“可预期”。上层系统知道雷达在什么状态下能提供什么级别的信息，才能做出正确的融合与控制决策。

五、常见误区与复盘

误区一：把可靠性等同于“器件选型好”。实际上，系统级的热设计、时钟抖动、电源纹波和软件看门狗同样关键。误区二：认为降级就是“关功能”。真正的降级是功能收缩而非功能消失，必须保留最小安全能力。误区三：只做故障检测，不做故障隔离与恢复。检测到故障却无法隔离，会导致故障扩散；没有恢复路径，系统只能永久停机。

层级	关注对象	典型指标	降级动作
器件层	MMIC、天线、电源	FIT、结温	通道关闭、功率回退
信号层	ADC、FFT、CFAR	信噪比、虚警率	灵敏度调整、门限放宽
算法层	跟踪、分类、融合	跟踪成功率、延迟	简化模型、降低更新率
系统层	整车/产线控制	可用度、安全完整性	功能切换、安全停机

复盘时建议追问三个问题：故障是否被及时检测？降级是否被正确执行？上层是否收到了明确的状态语义？只有三者都成立，可靠性设计才算闭环。

六、行业应用概览

在汽车领域，毫米波雷达的可靠性直接关联 AEB、ACC 等功能的安全目标，OEM 普遍要求满足 ASIL-B 及以上。在工业领域，雷达用于液位测量、人员防撞与AGV导航，更强调长期无人值守下的可用度与抗环境干扰能力。在交通与安防领域，雷达与视频融合时，降级策略决定了单传感器失效后系统是否仍能维持基本感知。无论哪个行业，可靠性设计前置、降级策略显式化、验证证据可追溯都是共同原则。

不要等到量产前才补可靠性设计。降级策略若未在架构阶段定义，后期修改往往牵动硬件、软件与整车接口，代价极高。

本课程后续将围绕失效物理、诊断算法、降级状态机、测试方法与真实案例逐步展开。你现在需要建立的，是一张从“信号链”到“安全状态”的全局地图，以及一种“先问失效、再问降级”的工程直觉。