3. 安全冗余基础
在 Robotaxi 的安全工程中，“冗余”不是简单地“多装一套”，而是围绕故障可检测、可隔离、可降级、可维持安全状态这一目标，对感知、计算、供电、通信、制动、转向等关键链路进行有目的的能力备份。冗余的本质，是用额外资源换取系统在故障发生后仍能保持安全功能的能力。
一、冗余的基本概念
冗余（Redundancy）指系统中存在超出最小功能需求的资源、通道或逻辑，使得某一部件、软件模块或信息路径失效时，系统仍能完成既定安全功能。对 Robotaxi 而言，最小功能需求通常包括：感知环境、计算决策、输出控制、供电与通信。任何一环单点失效，都可能导致车辆无法安全停车或继续运行。
冗余设计要回答三个问题：第一，备份什么？第二，备份到什么程度？第三，故障发生后如何切换？如果只增加硬件却不设计故障检测与切换逻辑，冗余就只是“堆料”，不能形成真正的安全能力。
二、冗余的四种类型
Robotaxi 中常见的冗余类型可分为硬件冗余、软件冗余、信息冗余和时间冗余。它们不是互斥关系，而是经常组合使用。
- 硬件冗余：如双制动回路、双转向电机、双电源、双计算平台、双 GNSS/IMU。主通道失效后，备用通道接管或提供降级能力。
- 软件冗余：同一功能由不同团队、不同算法、不同代码路径实现，避免共因失效。例如主感知与独立安全感知分别输出障碍物结果。
- 信息冗余：通过多传感器、多帧、多视角、多频段获取同一环境信息，如摄像头+激光雷达+毫米波雷达融合，提升故障检测与置信度判断。
- 时间冗余：同一计算或通信重复执行、延时重发、周期校验，利用时间维度发现瞬态故障，如看门狗、心跳、CRC 重传。
三、冗余度与可靠性指标
冗余度描述系统在故障条件下仍能工作的能力。工程上常用“N+1”“2N”“2oo3”等表达。例如双电源属于 1+1 冗余，三取二表决属于 2oo3 冗余。冗余度越高，通常可靠性越高，但成本、重量、功耗和复杂度也同步上升。
可靠性指标用于量化冗余效果。常见指标包括：
| 指标 | 含义 | Robotaxi 示例 |
|---|---|---|
| MTBF | 平均无故障时间 | 计算平台 MTBF 需覆盖整车生命周期 |
| 可用度 A | 系统可工作概率 | 双电源可用度高于单电源 |
| 失效概率 F | 单位时间失效可能性 | 安全目标常以每小时失效概率约束 |
| 切换时间 | 故障后备用通道接管耗时 | 制动冗余切换需在毫秒级完成 |
| 覆盖率 | 故障被检测并正确处理的比例 | 诊断覆盖率不足会削弱冗余效果 |
四、案例与场景：双制动冗余如何工作
以线控制动为例，主制动通道负责常规减速，备用通道在主通道失效时提供独立减速能力。若主通道压力传感器异常，安全仲裁模块应在数十毫秒内识别并切换。若切换失败，车辆应进入最小风险状态，例如利用驻车制动或能量回收逐步降速并靠边停车。
故障场景：主制动通道压力信号丢失
检测条件：压力反馈与指令偏差 > 阈值 且 持续 20 ms
仲裁动作：标记主通道失效，启用备用制动
降级目标：减速度 ≥ 2.5 m/s²，靠边停车
安全状态：车速 = 0，驻车制动激活，双闪开启五、常见误区与复盘
- 误区一：冗余等于安全。若主备通道共因失效，例如共用电源或共用时钟，冗余会同时失效。
- 误区二：只看硬件数量。软件缺陷、信息错误、时间同步问题同样会导致系统失效。
- 误区三：忽略切换过程。切换瞬间可能产生控制抖动，必须通过测试验证。
- 误区四：指标与场景脱节。MTBF 高不代表故障后能安全停车，需结合降级路径评估。
综上，Robotaxi 的安全冗余应以安全目标为牵引，组合使用硬件、软件、信息与时间冗余，并用冗余度与可靠性指标进行量化验证。只有把冗余设计、故障检测、安全仲裁和降级策略连成闭环，冗余才能真正转化为可落地的安全能力。