从小米事故看本质安全设计

晨枫

  Q# p- i$ C$ D% j! ]( A" o德上公路上，一辆小米SU7标准版撞上了施工段的水泥桩。碰撞时已近深夜。现确认事故发生前，车辆处于NOA智能辅助驾驶状态，以116km/h时速持续行驶，车辆检测出障碍物后发出提醒并开始减速。一秒钟后驾驶员接管车辆进入人驾状态，持续减速并操控车辆转向，同时NOA退出，随后车辆与隔离带水泥桩发生碰撞。碰撞前，系统最后可以确认的时速约为97km/h。
' O( C4 Q) Z5 M% B4 C1 f  h, V
碰撞后车辆发生大火，在没有系统检查残骸之前，推测是碰撞引起大火，并非电池自燃。现在还不能确认车门是否能打开。不过按照这个速度碰撞的话，人可能当场就昏厥甚至挂了。

# U) Y- P+ v% z) R0 l小米SU7 标准版有前向防碰撞辅助功能包括碰撞预警 (FCW) 和紧急制动 (AEB) 两个子功能，作用对象是车辆、行人、二轮车三类目标，其中AEB功能工作速度在 8-135km/h之间。这个功能和行业同配置的AEB功能类似，目前不响应锥桶、水马、石头、动物等障碍物。

* d* p7 |$ u( B, X, t9 [5 o事故里还有很多不清楚的地方。比如前面是否有车（估计没有），“施工减速”标志放到多远、多少可见，车上人是否在昏睡，等等。116km/h看来不算多少超速。
# y+ j) a, o& A/ ]2 L3 M
要是有车门在碰撞掉电后打不开的问题，这是设计中安全审查的严重失职。

工业上有本质安全的设计概念，要求在意外情况下，在de-energize的最极端情况下，系统回归安全的状态（safe park）。比如说，控制系统完全失能、仪表空气泄压时，所有气动阀门都要回归安全位置。燃料阀和进料阀自动回位到关闭，放空阀和出料阀自动回位到全开，回流阀和压力控制阀自动回到全开，等等。

这样的话，即使遇到地震、爆炸，所有系统统统瞬间失灵，也不会扩大事故的损害。

7 \8 l8 l; U, ~( v& W& q* S这需要对整个生产过程从头到尾的每一寸都进行危害与操作性审查（HAZOP）。这其实是设计里最冗长、乏味但又至关重要的部分，那些灵光一现的灵感时刻和数字仿真其实花不了多少时间和人力物力。

; G& D9 U: B& G& I+ S1 z) Q  J对于小米的车门来说，即使在极端事故中，电池断电，也需要能自动解锁车门。可以考虑像飞机黑盒子那样的防火防撞电池驱动，在碰撞或者起火事故时，或者在任何出发气袋的事故时，自动解锁、弹出门把手。
" J: I- y  y9 X* S
) }# D7 D2 w4 F$ p这到底是否有用，需要具体的HAZOP。
3 ~( p+ W/ ?" m
# B9 T& _5 V5 l, `, k对了，小米SU7确认有机械紧急车门拉手，电池完全没电的情况下也能开门，但位置比较隐蔽，一般人注意不到，经济的时候惊慌失措也可能摸不到。这方面，作为国家规定统一规定可能比较好，以后在驾校就可以作为统一的内容提醒学员。
1 }) x4 [8 S) `, Z
' {3 j( Z9 }& W* b' I* W但希望HAZOP成为中国工业技术的标准程序。事故是令人伤心的，要是不能从事故中学习和避免类似事故，那就令人伤心透顶了。

赫然

97km/h撞上去，里面的人如果没有挂掉的话，也会失去知觉相当一段时间。基本失去自救能力。
3 p6 E: _  d8 K
7 s: u: ^  v. a- M- c' XHAZOP是否是相关因素还是要回头看事故分析。现在提这个太早了。

3 a) |' C* l; T这个碰撞速度实在太高了，而且是水泥墩子。这种情况下，几乎没有任何乘用车可以保证乘客的安全。

有说法，驾驶员在碰撞前介入了，打断了车自己的避险过程。情况还很不明朗。等信息更完善一点再分析吧，

长叶林

夜间长途还用智驾，只能说驾驶经验太太太欠缺了！
) `9 a* U) @, a, E" T: d% q0 T

晨枫

赫然 发表于 2025-4-1 12:49
97km/h撞上去，里面的人如果没有挂掉的话，也会失去知觉相当一段时间。基本失去自救能力。

HAZOP是否是相 ...

, z/ C6 {2 o! S记得碰撞标准都是30公里/小时的。低速开，撞上去也没事；高速开，假定碰撞前已经开始减速，所以也以30kph为标准。97kph，估计戴安娜的大奔撞上桥墩的时候也得那么多了。
避撞刹车应该不管驾驶员是否介入的。但夜间系统能看多远不好说。

晨枫

长叶林 发表于 2025-4-1 13:26
夜间长途还用智驾，只能说驾驶经验太太太欠缺了！

我就是干自动化的，车上的自动化能关多少关多少。

landlord

已知低配版，没有激光雷达。夜间，矮小静止障碍物，靠摄像头和毫米波雷达无法提供足够距离的刹车警示。

晨枫

landlord 发表于 2025-4-1 15:45
. b- V8 r* b  ?$ t" z已知低配版，没有激光雷达。夜间，矮小静止障碍物，靠摄像头和毫米波雷达无法提供足够距离的刹车警示。 ...

2 S' o3 ^# H% G, i+ z摄像头有夜间视距问题，但激光雷达和毫米波雷达在探测前方障碍物方面有什么差别？

数值分析

- N' a  u" p0 T

晨枫 发表于 2025-4-2 05:55
摄像头有夜间视距问题，但激光雷达和毫米波雷达在探测前方障碍物方面有什么差别？ ...

! Y8 g0 E& D3 d' i  h
5 d1 p7 Y& i0 \. p5 D简单说摄像头是图像处理来识别物体的,立体视觉错觉一样能糊弄摄像头，而激光雷达是直接测量距离.
, m/ Y# p2 b5 L' P这里有个视频：
7 l. z9 H0 n7 b: @6 _( [- Z( z. w" o( Nhttps://www.youtube.com/shorts/U1MigIJXJx8

kogarah

买家是觉得自己买了个保险箱？ 所有品牌再这个速度这个情况下能生还都要运气加成
/ b; K- f8 O* N+ ^$ r( q1 k
, p$ F/ Y7 ^3 l/ O# K

赫然

晨枫 发表于 2025-4-1 14:57
" v  }+ N3 Q% C6 t. Z5 g  j# |记得碰撞标准都是30公里/小时的。低速开，撞上去也没事；高速开，假定碰撞前已经开始减速，所以也以30kph ...

/ e( _: k4 B; s8 \$ B  {这是现在推行的拟人化驾驶的问题：无法彻底防止碰撞。只要试图彻底防止碰撞，就必须把人的操作排到第二位。这个没有选择余地，车辆要有能力阻止人主动撞过去。但是和这个拟人化驾驶的逻辑相违背的。
; p! B) y+ v" g+ f3 ]
所以，我个人是不喜欢这条技术路线的，而是更加推崇智能交通/智能道路的路线。

6 t. D1 y% u# Q, s& M, e现在网上看到的只言片语，还远远没有到能够给点确切分析的地步。只是有传闻，那是施工路段，道路开始弯曲，智驾开始减速，司机介入，最后可能司机过弯失败撞到路边水泥墩子。这点信息而言说要算在车辆头上，为时尚早了，证据不足。
' K2 `: X. N7 R9 \: Z
3 o3 {/ C0 ?6 j4 J5 G再说这个智驾逻辑是现在所有智驾都用的。所以，这个事故和HAZOP的关联还是不明确的。智能车辆的安全逻辑和以前普通车辆是不同的。其实是有更大的选择余地，只是自从特斯拉选了这条拟人化智驾的道路，大家都选了这条相对效率低更不安全的路线。。。俺这个工程师是不认同的，很无语。不过，由此要全算在厂商头上也未必合理。要彻底杜绝这种危险，只能把智驾全面禁止，不仅仅是小米，而是包括始作俑者特斯拉啥的一起搞掉。
5 z, k" @7 Q: i/ e/ T# a6 Q
还有，这次舆情已经开始发酵转为对国产电车的进攻。 到现在攻击主要是对于小米，而不是对拟人化智驾的根本性问题的揭露，也没有看到对特斯拉这个国外厂商的质疑。俺觉得现在应该暂时避开这次这个小米的大坑。等子弹飞一会儿再说。

晨枫

数值分析 发表于 2025-4-1 17:19
简单说摄像头是图像处理来识别物体的,立体视觉错觉一样能糊弄摄像头，而激光雷达是直接测量距离.
! d* p! a* ~) b! K' y1 Z$ A2 O* h( r这里有 ...

那毫米波雷达应该也是一样的作用啊？

晨枫

赫然 发表于 2025-4-1 17:46
这是现在推行的拟人化驾驶的问题：无法彻底防止碰撞。只要试图彻底防止碰撞，就必须把人的操作排到第二位 ...

智能道路才能智驾的话，那得猴年马月了

赫然

晨枫 发表于 2025-4-1 19:47
智能道路才能智驾的话，那得猴年马月了

: U! p1 ^( [( }9 ]/ K: `0 e可以局部开始，逐步铺开。先从高速开始，把HOV改成Automatic。。一开始体验一般，因为场景不多。逐步把高速都搞定，而后主干道。这里的难点之一是搞通所有汽车生产厂商。
1 ?( O3 V& W( {
% W" |) w/ R# C8 c5 N9 i" S# N( ?$ o所以，这不是技术问题。而是人的问题。不好搞呀。。。我理解为啥美加搞不了。不过，这个其实中国可以试试的。

yanei

( t6 |! `. P8 k! _
2 ]2 K' M! M- a就上面的信息看，从智驾给出警告到撞车只有一秒多的时间，显然太晚了。施工路段且路上有障碍物，不知道当时临时限速是多少。116 km/h似乎是太快了，不知是不是没看到临时降速标记。我是不敢用现在这种半吊子智驾。需要时时刻刻准备接手，比我自己开还紧张。要是全智驾倒也算了，等于是让老司机给我开车，可以相信它开得比我好。

晨枫

赫然 发表于 2025-4-1 18:56
可以局部开始，逐步铺开。先从高速开始，把HOV改成Automatic。。一开始体验一般，因为场景不多。逐步把高 ...

中国有HOV lane吗？就怕别人没有HOV compliant智驾，但占用道路超车。

搞不定的车厂倒是好办，没法上HOV就是了。

国林风

“施工减速”标志放到多远、多少可见
7 X) q" J2 g+ x. M- m
上一次回国在高速上开车还是2015年，那个时候这个标志不是很远，没有西方发达国家明显。

另外这种智驾突然要求驾驶员接管的做法我个人是感到非常害怕的，这在主观上和客观上都和普通车辆行驶时驾驶员分心看手机不注意路面状况一样危险。
. n0 X1 P- \. J2 q- E

赫然

晨枫 发表于 2025-4-1 21:44
% b, ~; [2 N. S& g% p; B中国有HOV lane吗？就怕别人没有HOV compliant智驾，但占用道路超车。
- T5 |1 o9 r  y: i# N2 E9 Q
搞不定的车厂倒是好办，没法上HOV ...

' }$ b: H3 m" [. o$ H3 ^国内倒是真没注意到HOV。。。这算是北美特色了吧。。。。不过，在国内就简单了。直接上个行政命令，改了就是。

nanimarcus

电车上的两个设置我百思不得其解：
1，门把手是隐藏式门把手，平时就很不好开，下雪天能冻上。
2，出事故的时候门居然是锁死的。

7 @1 D1 ?2 D! t; u) b+ Q这不是从里到外把人牢牢的锁死在车里，静静的等着烧死吗。

按我的理解，电车的门应该是非常容易从里从外打开，一旦有烟雾，里面的人一脚就可以踹开逃生，外面的人可以一把把门拉开救人。
但是电车的设置反其道而行之，是怕人跑了吗？

7 S: ^. L1 x' d8 B5 d1 F7 V( Y有些人说加个破窗器，这根本就是自己哄自己，出事故的时候就是壮汉也很难依靠破窗器逃生啊。
, Y0 x  K9 N' X# D% ~; R
+ J# G. y) t( y3 K电车在涉及到人身安全的时候一定要提供足够的机械装置把手之类的让人逃生，计算机这玩意关键时刻一定歇菜的。
8 j. u: z& g* O. G6 }* k/ v8 U! w
希望国家出个规范，不能为了电车的发展这么罔顾人命。
' r' l1 o1 `$ u  T; P* l3 G  _

MaverickZ

nanimarcus 发表于 2025-4-2 14:38
9 d( J3 ^' g! D. o电车上的两个设置我百思不得其解：
1 k& n9 q5 u6 a6 s" J1，门把手是隐藏式门把手，平时就很不好开，下雪天能冻上。
2，出事故的 ...

* R/ I7 ~1 J. G  \" c4 l+ G/ I$ }9 Z  v
/ F0 |9 V- _. ^) T7 m# uMG4刚刚上市也出现过车门锁死问题。
2 e: O. ^0 I. j0 _5 I8 a# j那个更恐怖，你可以正常开车，停车后挂P档全车主动断电，虽然你有车钥匙在车里，但是钥匙和车内把手全部失效，而且全车断电，窗户都打不开。
$ D% Q! O7 e* [据说是误触发防盗功能，车自己以为车被盗了，就会锁死车门，里外都打不开，车内的车钥匙也会被锁死。
这时候要出来有四个办法：
2 b1 s9 D6 U! {- G8 n6 l2 E7 v( q# w1， 用第二把遥控钥匙开门
( A& |+ I4 X7 a& s6 R2，翻去后箱，打开一个盖板，拉一个拉绳能打开后箱（好像就没几个人有看说明书知道这个功能）
3，运气好，车窗没关的话，可以把车钥匙打开取出物理钥匙，叫车外的人用物理钥匙开门
4，砸玻璃

' C$ e  j2 K& U, n1 X; C/ t/ @& s9 _9 S上汽运气好，没有出现事故中打不开车门或者死人的事。
不过有过有人送孩子被锁车里，还上了报纸。
3 b, o5 E5 |- K, d# e8 r8 Y6 E3 ?甚至有试驾车也有这个问题，有人试驾被锁车里，叫dealer的人宋第二把钥匙才能出来。
后来通过recall软件升级解决，个人怀疑是直接把这个功能取消了。

  t5 V4 c' S$ B0 N2 o3 a3 A) N英国官方的recall
Reason for recall
On affected vehicles there is potential for MG4 vehicles to superlock whilst still in running mode when the vehicle comes to a stop. The doors are locked and cannot be opened by the interior/exterior handles the remote key is disabled and the windows will not function.
6 t& Q( H" j/ _) t$ k0 F( G; x+ W& b& DNumber of affected vehicles
1960
% B& ?7 m2 [. z6 khttps://www.check-vehicle-recall ... 4/year/2022/recalls
这还是造了几十年车的传统车企搞出来的。
% q7 e" T3 z4 ?, W$ w& F
9 m3 p/ u  X6 P9 L5 m" v# ^新势力尤其是小米这种强营销的整合商搞出啥幺蛾子都不奇怪。
; z, n1 G4 `' ]: l以小米做手机的态度来看，把命交给小米都是主动找死。

nanimarcus

MaverickZ 发表于 2025-4-2 16:19
; e/ B& H% U8 R- K; [! }) x, D* CMG4刚刚上市也出现过车门锁死问题。
那个更恐怖，你可以正常开车，停车后挂P档全车主动断电，虽然你有车 ...

% N2 m' P$ n6 ~  V$ P我觉得首先要从逻辑上解决问题。

误触发防盗功能和事故突发是把人锁死在里面，这两者显然要以人身安全为重。
% D& g. E4 g) P/ v1 K0 U
也就是偷就偷了吧，总比把人烧死好。
" Z" ]& l3 e* b& L
) c( [, U# n, s1 w4 c3 d也是就出厂设置是没有防盗功能的，要激活，得劈里啪啦十几个程序才能激活，这样比较合理。
0 g/ w% u8 P7 ?' M