4. 故障降级基础
在Robotaxi的安全冗余体系中，“降级”不是一句口号，而是一套从异常识别到风险收敛的工程闭环。要把它讲清楚，必须先统一三个最容易被混用的词：故障（Fault）、错误（Error）、失效（Failure）。它们描述的是同一链条上不同阶段的状态，而不是同义词。
一、核心定义：从“原因”到“结果”的三级链条
故障是系统内部潜在的、可能引发异常的缺陷或偏离，例如传感器标定漂移、线束接触不良、软件边界条件未覆盖。错误是故障被激活后在系统状态中表现出的不正确值或行为，例如感知输出置信度异常、控制指令超调。失效则是系统在规定的条件下无法继续完成规定功能，是错误持续传播并突破边界后的最终结果。
三者构成一条单向传播链：故障 → 错误 → 失效。故障是“因”，错误是“中间态”，失效是“果”。工程上最危险的不是单点故障本身，而是故障被激活后长期停留在错误态却未被隔离，最终在某个场景下突变为失效。
关键判断：故障可以潜伏，错误必须被检测，失效必须被限制。降级设计的目标，就是在“错误”阶段完成拦截，避免其升级为“失效”。
二、关系图解：故障传播与降级拦截
下图展示了从故障源到失效的传播路径，以及降级机制在其中的拦截位置。可以看到，降级不是失效后的补救，而是错误阶段的主动收敛。
三、降级模式、最小风险状态与最小风险策略
当错误被检测到后，系统需要进入降级模式（Degraded Mode）。降级模式的核心特征是“功能受限但安全可控”，例如限制最高车速、关闭部分非安全相关功能、切换到冗余通道。降级不是随意关功能，而是依据安全目标重新分配可用资源。
最小风险状态（Minimal Risk Condition, MRC）是降级的目标状态，指车辆在无法继续正常行驶时，能够达到的一种低风险稳定状态，典型形式包括靠边停车、安全停车、保持车道减速停车。MRC 必须满足“可到达、可保持、可验证”三个条件。
最小风险策略（Minimal Risk Maneuver, MRM）是达成 MRC 的具体操作序列，例如：检测到制动冗余失效 → 限制车速 → 开启双闪 → 选择最近安全停车点 → 执行靠边停车 → 拉起电子驻车。MRM 是“怎么做”，MRC 是“做到什么状态”，降级模式是“在什么约束下做”。
| 概念 | 定义 | Robotaxi 示例 | 验证要点 |
|---|---|---|---|
| 故障 Fault | 潜在缺陷或偏离 | 激光雷达标定漂移 | 故障注入覆盖率 |
| 错误 Error | 状态不正确或行为异常 | 感知输出置信度异常 | 检测时延与误报率 |
| 失效 Failure | 无法完成规定功能 | 制动指令无响应 | 失效边界与后果分析 |
| 降级模式 | 受限但可控的运行状态 | 限速 30 km/h 运行 | 降级后安全目标保持 |
| MRC | 低风险稳定状态 | 靠边停车并驻车 | 可到达性与可保持性 |
| MRM | 达成 MRC 的操作序列 | 减速→变道→停车→双闪 | 时序正确性与最坏时延 |
四、案例场景：制动冗余失效的降级过程
假设 Robotaxi 在运营中检测到主制动回路压力异常。此时故障是“主制动回路泄漏”，错误是“制动压力反馈低于期望值”，若继续按原策略行驶，可能在下一个路口演变为失效“无法在规定距离内停车”。
正确的降级流程如下：
- 故障检测：压力传感器与模型比对，识别偏差超阈值。
- 错误确认：连续多个周期确认，排除瞬时噪声。
- 进入降级模式：切换冗余制动通道，限制车速与跟车距离。
- 执行 MRM：开启双闪，选择最近安全停车点，平滑减速。
- 达到 MRC：靠边停车，拉起驻车，上报远程协助。
[FAULT] brake_circuit_A_pressure_low
[ERROR] brake_pressure_feedback=2.1MPa, expected=6.5MPa
[ACTION] enter_degraded_mode: max_speed=30km/h, gap=1.5x
[MRM] pull_over -> decelerate -> hazard_on -> park
[STATE] MRC reached: roadside_stop, EPB engaged
降级策略必须与安全目标对齐：不是所有故障都需要立即停车。对于影响感知冗余但不影响制动与转向的故障，可先降级运行至安全点，再执行 MRC，避免在高速或复杂路口急停引发次生风险。
五、常见误区与复盘要点
- 误区一：把故障当失效。 故障是潜在缺陷，失效是功能中断。把两者混为一谈会导致降级阈值设置过激或过松。
- 误区二：只做检测不做隔离。 检测到错误却不隔离故障源，错误会持续传播，最终仍可能失效。
- 误区三：MRC 定义模糊。 “安全停车”必须明确位置、姿态、时间与可保持条件，否则无法验证。
- 误区四：MRM 缺少最坏时延分析。 降级动作必须在安全时间预算内完成，否则 MRC 不可达。
复盘时重点检查三件事：错误检测是否覆盖了所有已识别故障模式；降级模式是否仍满足最低安全目标；MRM 在传感器退化、通信延迟、执行器性能下降等叠加条件下是否仍能到达 MRC。
总结来说，故障、错误、失效是降级工程的“语言基础”；降级模式是运行约束，MRC 是目标状态，MRM 是操作路径。只有把这三层关系在架构、软件与运营流程中同时落地，Robotaxi 才能在异常发生时从“不可控”收敛到“可控”，真正实现安全冗余的价值。