4. 失效模式与影响分析
失效模式与影响分析（FMEA）是自动驾驶安全设计中的核心方法。它的目标不是证明系统“不会失效”，而是系统性地回答三个问题：哪里可能失效、失效会造成什么后果、后果严重到什么程度需要触发最小风险状态（MRC）。对MRC设计而言，FMEA的价值在于把“感知异常、执行退化、通信中断”等工程现象，转化为可判定的触发条件与降级策略。
核心逻辑：失效模式 → 局部影响 → 整车级影响 → 严重度/可探测度/发生度 → 风险优先数（RPN）→ 是否触发MRC及触发时机。
一、自动驾驶系统常见失效类型
自动驾驶系统可抽象为“感知—定位—决策规划—控制执行—通信—电源”六条链路。失效往往不是单点，而是沿链路传播。常见失效类型如下：
- 感知失效：摄像头遮挡/过曝、激光雷达点云稀疏、毫米波雷达误检、多传感器时间不同步、目标漏检或鬼影。
- 定位失效：GNSS多径、隧道内失锁、高精地图过期、IMU漂移导致横向定位误差超限。
- 决策规划失效：路径不可行、博弈决策死锁、规划输出抖动、行为预测置信度骤降。
- 控制执行失效：线控转向卡滞、制动压力不足、驱动扭矩异常、执行器响应延迟超阈值。
- 通信失效：CAN总线丢帧、以太网时延抖动、V2X消息过期、域控制器间心跳丢失。
- 电源与热失效：电压跌落、冗余供电切换失败、计算平台过热降频。
二、风险等级判定：从严重度到RPN
FMEA通常采用严重度（S）、发生度（O）、可探测度（D）三个维度评分，取1～10分，RPN = S × O × D。对MRC设计而言，严重度决定“要不要触发”，可探测度决定“能不能及时触发”，发生度决定“冗余与监控的投入优先级”。
| 失效模式 | 典型后果 | S | O | D | RPN | MRC策略 |
|---|---|---|---|---|---|---|
| 前向雷达丢失 | 跟车距离失控 | 8 | 4 | 3 | 96 | 降级至MRM，靠边停车 |
| 转向线控卡滞 | 无法维持车道 | 10 | 2 | 2 | 40 | 立即触发MRC，紧急制动 |
| GNSS失锁 | 横向定位漂移 | 7 | 6 | 4 | 168 | 切换IMU+视觉，限速行驶 |
| 制动压力不足 | 制动距离延长 | 9 | 3 | 3 | 81 | 触发MRC，最大减速度停车 |
| 域控心跳丢失 | 功能不可用 | 8 | 3 | 2 | 48 | 切换冗余域控，否则MRC |
表中可见，RPN高并不等于必须立即停车。例如GNSS失锁RPN最高，但可通过多源融合继续运行；而转向卡滞RPN较低，却因严重度极高必须立即触发MRC。这说明MRC触发条件应以严重度和可容忍运行时间为第一判据，RPN用于排序改进优先级。
三、MRC触发条件的设计方法
MRC触发条件不能只写“系统失效时停车”，而应设计为可量化、可判定、可复现的条件集合。推荐采用“三层判定”：
- 第一层：安全边界判定。当横向误差、纵向减速度、剩余可行驶距离等超过安全边界时，进入MRC预备状态。
- 第二层：可用性判定。判断是否仍有冗余通道可维持最低风险运行，如视觉+IMU能否替代GNSS。
- 第三层：时间窗判定。若在T秒内无法恢复或切换，则强制执行MRC，避免“带病运行”。
MRC触发伪代码示例：
if lateral_error > 0.5m or brake_pressure < 3MPa:
enter_mrc_prepare()
if redundant_channel_available() and recover_within(3.0s):
continue_degraded_driving()
else:
execute_mrc(stop_in_lane_or_shoulder=True)
四、典型场景与复盘
场景：车辆在隧道内GNSS失锁，同时前向雷达因多径产生鬼影目标。此时定位误差增大、感知置信度下降。若系统仅依赖单一传感器，可能误判前方有障碍而急刹；若FMEA已识别该组合失效，则应触发“降级运行+限速+靠边停车”的MRC策略。
复盘要点：
- 是否识别了“共因失效”？如隧道同时影响GNSS和雷达。
- 可探测度是否足够？若失锁后5秒才报警，MRC窗口可能已不足。
- MRC触发后是否可逆？部分场景应先降级，而非直接停车。
- 是否定义了最小风险状态的具体目标？如本车道停车、应急车道停车或最近安全区停车。
建议在FMEA表中为每条高严重度失效模式补充三列：触发阈值、最大容忍时间、MRC目标状态。这三列直接决定MRC控制器能否被正确激活。
常见误区：把FMEA当成一次性文档，或只关注硬件失效而忽略感知算法失效、地图过期、通信时延等“软失效”。这些软失效往往可探测度低，却是MRC误触发或漏触发的根源。
综上，FMEA不是一张静态表格，而是MRC触发条件的来源。只有把失效模式、风险等级与触发阈值、容忍时间、目标状态绑定，MRC才能在真实失效发生时既不过早介入，也不错过窗口。