4. 安全架构设计原则
自动驾驶系统的安全架构不是单一技术的堆叠，而是一组相互约束、彼此支撑的设计原则体系。冗余解决“单点失效”，多样性解决“共因失效”，故障隔离限制“故障传播”，失效安全与失效可操作定义“故障后的行为目标”，最小风险状态与安全边界则给出“可接受的运行范围与收束条件”。理解这些原则之间的层次关系，是后续做架构分解、降级策略与安全论证的基础。
一、核心原理：七项原则的层次关系
这七项原则并非并列，而是分为三个层次：结构层（冗余、多样性、故障隔离）解决“如何构造不易失效的系统”；行为层（失效安全、失效可操作）解决“失效后系统应做什么”；边界层（最小风险状态、安全边界）解决“系统在什么范围内运行、失效后收敛到哪里”。
冗余指通过重复通道、重复传感器、重复计算路径提供备份能力，常见形式包括双通道供电、双核锁步、双制动回路、双通信总线。多样性则要求备份通道在硬件型号、软件实现、算法原理甚至供应商上不同，避免同一干扰源（如特定光照、特定电磁脉冲、同一编译器缺陷）同时击穿两条通道。故障隔离强调通过分区、防火墙、独立电源域、时间隔离等手段，使一个模块的故障不扩散到其他模块。失效安全（Fail-Safe）指失效后进入安全状态，例如制动系统失效后导向机械备份；失效可操作（Fail-Operational）指失效后系统仍能继续完成最低限度功能，例如线控转向失效后仍能维持一段时间的可控转向。最小风险状态（MRM）是失效后可操作目标，如靠边停车、降速、开启双闪。安全边界则定义了 ODD、动态驾驶任务能力上限与退出条件。
关键判断：冗余不等于安全，只有“冗余 + 多样性 + 隔离”同时成立，才能有效对抗共因失效；失效安全与失效可操作也不是二选一，而是按功能安全等级与场景风险分层选择。
二、方法流程：从原则到架构落地
把原则落到架构，通常遵循以下流程：
- 危害分析：用 HARA 识别整车级危害事件，确定 ASIL 等级。
- 安全目标分解：把整车安全目标分配到感知、决策、执行各子系统。
- 冗余策略选择：对高 ASIL 功能确定冗余通道数量与切换条件。
- 多样性设计：为冗余通道选择不同传感器原理、不同芯片、不同算法。
- 隔离设计：划分安全域与非安全域，设置独立供电、独立通信、独立时钟。
- 失效行为定义：明确每个故障模式对应 Fail-Safe 还是 Fail-Operational。
- MRM 与边界定义：确定最小风险状态、触发条件与安全边界。
- 验证与确认：通过故障注入、FMEA、FMEDA 验证原则落地效果。
下面用一段简化的配置片段说明冗余通道与隔离域在工程中的表达方式：
safety_architecture:
braking:
channel_A: {type: electro_hydraulic, asil: D}
channel_B: {type: electro_mechanical, asil: D}
diversity: true
isolation: {power: independent, bus: independent}
fail_mode: fail_operational
mrm: {action: decelerate_stop, max_decel: 3.0 m/s^2}
steering:
channel_A: {type: eps_dual_winding, asil: D}
channel_B: {type: steer_by_wire_backup, asil: D}
fail_mode: fail_degraded
boundary: {max_speed: 60 km/h, max_steer_angle: 90 deg}
三、案例/场景：高速场景下的冗余与降级
假设车辆在高速公路上以 120 km/h 行驶，前向毫米波雷达因电磁干扰输出错误目标。若系统只有单雷达通道，错误目标可能直接进入决策层，导致误制动或误转向。若采用“毫米波雷达 + 摄像头 + 激光雷达”多源冗余，并通过多样性算法（不同物理原理、不同厂商）交叉校验，融合层可识别出雷达通道异常并降权。此时系统进入失效可操作状态：保持车道居中，逐步降速，同时提示驾驶员接管。若驾驶员未接管，系统触发 MRM，在安全边界内靠边停车并开启双闪。
这个场景说明：冗余提供“有备份”，多样性提供“能识别”，隔离提供“不扩散”，失效可操作提供“继续运行”，MRM 提供“最终收束”。
四、误区与复盘
常见误区一：把“双通道”等同于“冗余安全”。若两条通道共用电源、共用时钟、共用软件栈，共因失效仍会同时击穿。
常见误区二：只做 Fail-Safe 不做 Fail-Operational。在高速场景下直接切断动力或转向，可能比继续可控降级更危险。
常见误区三：安全边界定义过宽。ODD 边界模糊会导致系统在能力不足时仍被要求运行，MRM 触发过晚。
常见误区四：隔离只做逻辑隔离，不做物理隔离。安全域与非安全域共享供电，故障仍会传导。
复盘时应重点检查：冗余通道是否真正独立、多样性是否覆盖共因、隔离是否贯穿供电/通信/时钟、失效行为是否与场景风险匹配、MRM 是否可在边界内完成、安全边界是否有可量化退出条件。
五、原则对照清单
| 原则 | 核心问题 | 典型手段 | 验证方式 |
|---|---|---|---|
| 冗余 | 单点失效如何避免 | 双通道、双绕组、双总线 | 故障注入、FMEA |
| 多样性 | 共因失效如何对抗 | 异构传感器、异构算法、异构芯片 | 共因分析、相关性测试 |
| 故障隔离 | 故障如何不扩散 | 独立供电、独立通信、分区隔离 | 传导路径分析、隔离测试 |
| 失效安全 | 失效后如何进入安全态 | 机械备份、断电导向安全 | 失效模式验证 |
| 失效可操作 | 失效后如何继续运行 | 降级运行、限速限扭 | 降级场景测试 |
| 最小风险状态 | 最终收敛到哪里 | 靠边停车、降速、双闪 | MRM 触发与完成测试 |
| 安全边界 | 运行范围如何界定 | ODD 定义、退出条件、能力上限 | 边界场景测试、仿真 |
这七项原则共同构成自动驾驶安全架构的“骨架”：结构层保证系统不易失效，行为层保证失效后可控，边界层保证系统始终运行在可接受范围内。后续章节中的具体架构模式、降级策略与安全论证，都将围绕这组原则展开。