容錯(cuò)車輛設(shè)計(jì)是一個(gè)新興的跨學(xué)科研究領(lǐng)域，由于汽車系統(tǒng)的電氣化而變得越來越重要。容錯(cuò)系統(tǒng)的目標(biāo)是在運(yùn)行狀態(tài)下發(fā)生故障，使駕駛員能夠安全地停車。

在過去的二十年中，汽車底盤系統(tǒng)的電氣化能夠擴(kuò)展功能和主動(dòng)安全系統(tǒng)。最近的研究已經(jīng)表明，對(duì)于裝備有電子穩(wěn)定控制系統(tǒng)（ESC）的車輛，單個(gè)車輛事故減少約50%，從而突出了這些系統(tǒng)的潛力。

車輛系統(tǒng)在設(shè)計(jì)一個(gè)新系統(tǒng)時(shí)有一定的要求。最重要的是主動(dòng)和被動(dòng)安全、動(dòng)態(tài)駕駛性能、駕駛動(dòng)力學(xué)和操控以及駕駛舒適性。需要較高的系統(tǒng)可靠性來滿足這些要求。然而，更多的電氣和電子（E/E）組件增加了復(fù)雜性，并且可能會(huì)導(dǎo)致故障。因此，未來車輛的故障概率更高。E/E組件的故障一般比機(jī)械故障更常見。軟件故障可能會(huì)更系統(tǒng)，因?yàn)樵陂_發(fā)階段產(chǎn)生的錯(cuò)誤并不少見。這些故障可以以不同的形式出現(xiàn)，無論是局部的還是全局的。

容錯(cuò)車輛系統(tǒng)可以通過多種措施的組合來實(shí)現(xiàn)。應(yīng)采用整體的觀點(diǎn)來避免系統(tǒng)設(shè)計(jì)中的瓶頸。故障檢測(cè)和診斷（FDD）定義了可能發(fā)生的故障類型及其特征如位置、時(shí)間和外觀。早期檢測(cè)和診斷的實(shí)際目標(biāo)是有足夠的時(shí)間采取諸如重新配置、維護(hù)、修理或其他操作的反作用。過驅(qū)動(dòng)車輛的控制系統(tǒng)在處理故障時(shí)起著至關(guān)重要的作用。在控制車輛時(shí)，必須控制系統(tǒng)內(nèi)故障部件和子系統(tǒng)。如果不能保證，即使控制器工作并且故障被診斷，車輛也可能失去功能。所有子系統(tǒng)的協(xié)作是容錯(cuò)車輛設(shè)計(jì)的關(guān)鍵。

容錯(cuò)設(shè)計(jì)前提

通過容錯(cuò)可以提高系統(tǒng)的高可靠性。容錯(cuò)系統(tǒng)重新工作，即使一個(gè)或多個(gè)故障發(fā)生。因此，故障不會(huì)導(dǎo)致系統(tǒng)故障，而是應(yīng)實(shí)現(xiàn)補(bǔ)償以繼續(xù)正?；蚪导?jí)操作。容錯(cuò)導(dǎo)致更可靠的系統(tǒng)和提供不間斷系統(tǒng)的操作。

系統(tǒng)的可靠性可以通過完善的、無故障的系統(tǒng)設(shè)計(jì)或容錯(cuò)的方法來提高。在實(shí)踐中，后者是優(yōu)選的，因?yàn)閺?fù)雜工程系統(tǒng)的完美建模是不可能的。冗余和面向質(zhì)量的整體設(shè)計(jì)是實(shí)現(xiàn)容錯(cuò)系統(tǒng)設(shè)計(jì)的兩個(gè)關(guān)鍵特征。

故障降級(jí)

冗余系統(tǒng)被分為不同的容錯(cuò)級(jí)別。系統(tǒng)中的一些組件需要比其他系統(tǒng)（例如天窗電機(jī)）更高水平的容錯(cuò)性（例如制動(dòng)系統(tǒng)）。根據(jù)對(duì)容錯(cuò)性的要求有多么嚴(yán)格，可以區(qū)分下列退化級(jí)別：

失敗操作（FO）-組件在一次故障后保持運(yùn)行，因此可以容忍一次故障。
故障安全（FS）-如果發(fā)生一個(gè)或多個(gè)故障，則將組件主動(dòng)或被動(dòng)地引入安全狀態(tài)。
失效靜默（FSIL）-如果一個(gè)或多個(gè)故障發(fā)生，組件被關(guān)閉（外部安靜），并且不對(duì)系統(tǒng)的其余部分發(fā)送錯(cuò)誤信號(hào)。

在部件失效后，如果不能達(dá)到安全狀態(tài)，則必須進(jìn)行FO。為了調(diào)整故障嚴(yán)重性，F(xiàn)O可以分類成長(zhǎng)時(shí)間和短時(shí)間。另一種選擇是微小的降級(jí)，其中不太重要的功能被關(guān)閉，以將資源分配給更關(guān)鍵的功能并保持效用。與其他領(lǐng)域，例如航天相比，汽車領(lǐng)域中的安全狀態(tài)可以更快和更高。因此，由于成本、重量和包裝原因，道路車輛的容錯(cuò)水平通常僅限于一兩次故障。然而，隨著新興的X-線控系統(tǒng)，其它電子系統(tǒng)可以將系統(tǒng)帶入安全狀態(tài)，即通過靜止操作單元或活動(dòng)FS單元，省略機(jī)械備份。

這將汽車領(lǐng)域的容錯(cuò)引入到一個(gè)新的階段，在這個(gè)過程中，它必須在開發(fā)過程中獲得更多的關(guān)注。FSIL原則的優(yōu)點(diǎn)是只出現(xiàn)一個(gè)故障來保護(hù)外部世界，即組件本身的關(guān)閉。這個(gè)故障對(duì)于整個(gè)系統(tǒng)是可見的，并且可以通過組件的交流復(fù)制來攔截，即冗余。因此，故障被本地化、封裝并明確其處理源頭。系統(tǒng)內(nèi)的故障擴(kuò)散是不可能的。該方法大大簡(jiǎn)化了故障處理步驟。

冗余
容錯(cuò)系統(tǒng)的目標(biāo)是在發(fā)生嚴(yán)重故障時(shí)有足夠的時(shí)間進(jìn)行反作用力，即提供“自修復(fù)”能力，以使駕駛員能夠安全地停止車輛。冗余保持系統(tǒng)的運(yùn)行，并通過添加備份硬件、軟件、信息處理和子系統(tǒng)來實(shí)現(xiàn)與系統(tǒng)相同的功能。傳感器、執(zhí)行器、微控制器和通信網(wǎng)絡(luò)是典型的具有冗余設(shè)計(jì)方案的電氣和機(jī)械部件。

電子硬件冗余的兩種基本類型是靜態(tài)冗余和動(dòng)態(tài)冗余。靜態(tài)冗余具有三個(gè)或更多個(gè)具有相同輸入的并行單元，例如液壓飛機(jī)致動(dòng)器。所有的單元都是活動(dòng)的，并且連接到選擇單元，他們將信號(hào)相互比較。正確的信號(hào)是通過多數(shù)決定來選擇的。在三個(gè)故障單位中的一個(gè)，選擇單元將輸出這兩個(gè)健康單位。在這種情況下不需要復(fù)雜的故障檢測(cè)。由于較高的成本和重量，經(jīng)常使用動(dòng)態(tài)冗余來代替。作為備選選項(xiàng)的動(dòng)態(tài)冗余要求較少的單元，但在系統(tǒng)內(nèi)更多的信息處理。

如果檢測(cè)到故障，則將系統(tǒng)切換到冗余備用單元?？梢詤^(qū)分兩個(gè)不同的備用系統(tǒng)。熱備用單元連續(xù)運(yùn)行，可以實(shí)現(xiàn)快速切換時(shí)間。然而，這些單元老化更快，因此它們僅用于安全關(guān)鍵系統(tǒng)，如航空。冷備用僅在需要時(shí)啟動(dòng)，例如備用發(fā)電機(jī)。因此，啟動(dòng)時(shí)間較長(zhǎng)，需要另外兩個(gè)開關(guān)，但該單元磨損較少。一個(gè)額外的備用單元，通常是并聯(lián)的，允許系統(tǒng)容忍另外的故障。對(duì)于車輛X線控系統(tǒng)，具有冷備用動(dòng)態(tài)冗余的容錯(cuò)是有吸引力的。

可以使用不同的冗余結(jié)構(gòu)來增加可用性。如果一個(gè)故障將被破壞，從而失效運(yùn)行，然后切換到故障安全狀態(tài)，則可以使用具有靜態(tài)重飽和或具有動(dòng)態(tài)再飽和的雙工結(jié)構(gòu)的三重、四重復(fù)合或雙雙工結(jié)構(gòu)。然而，最容易實(shí)現(xiàn)的是雙雙工（兩個(gè)靜態(tài)冗余并行結(jié)構(gòu)），因?yàn)椴恍枰收蠙z測(cè)，并且模塊化使得更簡(jiǎn)單。

如果應(yīng)用上述冗余，致動(dòng)器被設(shè)計(jì)為容錯(cuò)的。此外，具有自診斷能力的智能傳感器現(xiàn)在在車輛中經(jīng)常使用。