问界M7门把手单点故障引发的安全思考：冗余设计如何提升可靠性？

乔善勋/文

5月6日，问界汽车发布了《关于山西省侯平高速路段交通事故中问界新M7 Plus相关技术问题的说明》，其中提到“疑问四：碰撞发生后，车门是否能打开？”介绍称，问界M7在碰撞后具有自动解锁功能，但是在此次碰撞中导致前机舱及乘员舱内电源线及信号线被瞬间切断，继而导致门把手控制器失效，延误了施救时机。

从问界汽车的描述来看，M7在碰撞后门把手控制器发生了典型的单点故障（SPOF），这也被称为单点失效。

单点故障（SPOF）是指系统中一点失效，将导致整个系统停止工作。简而言之就是，单点故障导致整体故障。高可靠度的系统不会希望发生单点故障造成整体故障的情况，一般会通过冗余的方式增加多个相同功能的部件，只要这些部件没有同时失效，系统仍可以运作。

问界M7此次碰撞同时也带给我们一个思考，可能不仅仅是这一款车带有门把手控制器的单点故障隐患，那么如何通过典型事故防止类似事故的发生，从而提升每一辆车的安全性？

大型商用飞机的安全设计值得借鉴，例如空客A380有10万根不同的电线，长度达到470千米，重达5.7吨。A380的布线包括2倍甚至3倍冗余度，以降低因布线缺陷（腐蚀、绝缘磨损或接触不良等）或断线（发动机故障射出碎片切断电线等）引起的单点故障。

图、A380的飞控系统示意图

飞机的电传操纵系统拥有4倍冗余，它有5台飞行控制计算机，只需其中1台就能驾驶飞机。5台飞控计算机中，3台是主计算机，2台备用计算机。主、备用计算机使用不同的处理器，由不同的供应商设计和供应，采用不同制造商的不同芯片，由不同团队使用不同的编程语言开发不同的软件系统。这些冗余设计都降低了可能导致系统故障的常见硬件和软件错误的概率。

多台飞控计算机持续跟踪彼此的输出，如果一台计算机因某种原因产生异常结果，那么飞控系统作为一个整体会排除异常结果。当某个关键的部件失效时，空客飞机的控制律将采用降级模式，飞行员能操作飞机的基本功能，保证飞行和降落。即便飞机完全失去动力，还有冲压空气涡轮机为飞机提供最关键的电力保障。

图、福岛核电站受损的四座反应堆

2011年日本福岛第一核电站事故就是典型的单点故障案例。此次事故在国际核事件分级表（INES）被列为最严重的7级。事故的直接原因是东北地震和海啸，这是日本有记录以来最强烈的地震。地震引发了强烈的海啸，高达13~14米的海浪破坏了核电站的应急柴油发电机，电力中断导致多个机组的反应堆监测、控制和冷却功能受损。三座反应堆堆芯严重受损（1、2和3号机组）；三座反应堆厂房因氢气爆炸而受损（1、3和4号机组）。

福岛第一核电站虽然设计考虑到了地震的破坏，但没有针对海啸做保护措施。事后来看，这似乎是系统设计的疏忽。但实际上，很难考虑所有可能导致故障的复杂交互作用，并构建完美的安全系统。

事故原因是地震和海啸引起的，它们摧毁了很多系统，导致核电站多项系统发生故障并处于故障保护状态，以导致操作员不堪重负。最严重的破坏来自海啸后的洪水，它摧毁了很多备用发电站，这些发电站是输电塔被地震摧毁后唯一的电源。

图、福岛第一核电站1~4号机组事故时间轴示意图

这次灾难被归类于人为灾难，最后只有一个传感器表明冷却系统在工作，但由于人为错误而没有及时纠正，导致该系统失效。

福岛第一核电站事故和问界M7事故虽然属于不同领域，但他们的共同特征是系统的复杂性，以及这些系统看似长期的安全记录，给人一种错误的安全感。

及时、公开、透明是应对危机的“三大法宝”和基本原则。在危机发生时，政府、企业和其他组织必须第一时间向公众发布准确的信息，并保持信息更新。这可以帮助公众了解情况，减少恐慌和谣言。

数据显示：2023年全国共发生道路交通事故175万起，同比上升8%。死亡50万人，同比上升4%。另外，受伤人数达到6万人，上升了5%。全国道路交通事故万车死亡率为3.6。

未来会有越来越多带有辅助驾驶功能的汽车跑在路上，也会有越来越多的新手驾驶员在看似安全的“自动驾驶”中出行。那么就会带来一些的新命题：带有辅助驾驶功能的车辆，如何在越来越复杂的驾驶环境中确保安全？

驾驶员在遇到辅助驾驶无法处理的事故中，如何第一时间做出决策接管车辆并规避事故？

车辆在发生无可避免的事故中如何避免类似M7门把手控制器失效的单点故障，如何提升乘员的灾后生存率？

我想，问界新M7 Plus事故给我们更宝贵的遗产是——如何通过冗余让发生类似事故的车辆能顺利打开门把手。例如在车尾设置一套独立的控制器，当遭遇极端事故，前置控制器失效时，备份控制器能及时接管并自动打开门把手。

1969年1月，一个寒冷、灰蒙蒙的冬日，德国巴登乌尔登堡州的政府官员和高级警官与当时的戴姆勒-奔驰股份公司的代表在该州内政部进行了几个小时的会谈。当时奔驰提出一项不同寻常的请求——呼吁警方协助重建和分析涉及梅奔车型的道路交通事故。

工程师的想法是使用真实世界事故的数据，以提高车辆乘员的安全性。实际上奔驰公司在2年前进行的为期6个月的试点项目中已经获得了该领域的初步经验。1967年1月至6月间，奔驰员工和警方合作，对伯布林根地区和A8⾼速公路上发生的严重道路交通事故进行调查。

969年，奔驰公司成立了“梅赛德斯-奔驰事故研究中心”，到2018年时，该中心已经研究了超过5000起事故。建议华为也成立独立的事故研究中心，从汽车安全发展历程来看，这将是具有里程碑意义的案例。