单刹车信号不合理故障_特斯拉刹车系统分析

随着国内特斯拉汽车销量大涨，购买特斯拉的车主越来越多。显然可以预见到出现事故的频率也会越来越多。

本来这种正常的现象，随着媒体（例如知乎）对特斯拉事故的曝光越来越多，一大群人开始惊呼特斯拉不安全。我本来很好奇想了解一下特斯拉故障的一些情况以及设计缺陷，结果翻来翻去看到的绝大多数都是一些胡扯的分析。

作为一个机电类工科毕业的我，自然会看不惯那些违反科学违反道德的无脑黑，这简直就是侮辱机电工科人的智商。

所以想来想去还是写一篇关于特斯拉刹车系统的分析文章，来科学客观的分析特斯拉的刹车系统安全性，以及出现那些事故的原因分析。当然也欢迎各路水军前来开黑，好让我知道要拉黑屏蔽谁。

首先，特斯拉的刹车系统相关资料不难查到，用的是博世公司的iBooster制动系统。相关资料链接如下：

从特斯拉失控，到iBooster以及能量回收​www.sohu.com

博世（Bosch）线控制动系统iBooster --自动驾驶和节能的神器​mp.ofweek.com

其次，我们再来说一下特斯拉的整套刹车系统和逻辑

大体的刹车系统结构如下图

1. 第一个闭环系统是刹车踏板与iBooster制动系统之间形成的。因为踏板行程监测位于iBooster系统内，当iBooster系统检测到刹车踏板踩进的时候，对应执行相应助力，并驱动ABS系统执行制动。
2. 第二个闭环系统是MCU和iBooster之间，主要用于自动驾驶相关的刹车辅助（自动紧急刹车和减速制动）。
3. 第三个是开路系统，就是刹车踏板和MCU可能会同时作用于iBooster执行制动操作。这时候会按照人为控制优先原则执行。
4. 能量回收是通过MCU给到iBooster的，跟刹车踏板没有关系。

那么从这套系统本身（不考虑其他系统影响），安全性是能够保障的：

1是安装螺栓，

2是踏板行程传感器，

3是油壶（储油罐），

4是制动主缸（给车轮上制动器刹车提供压力的），

5是电机和控制器，

6是输入杆

根据相关资料，如果系统发生故障时：

1、如果车载电源不能满负载运行，那么iBooster 则以节能模式工作，以避免给车辆电气系统增加不必要负荷，同时防止车载电源发生故障。

2、iBooster发生故障，ESP会接管并提供制动助力。（ESP和ABS不同，ABS要有踏板输入才能起作用，ESP不用踏板输入也能起作用。）

在上述两种情况下，制动系统均可在200 N踏板力作用下，提供0.4g的减速度。

如果系统发生失效时（车载电源失效，无法提供电力）：

即断电模式下，驾驶员可以通过无制动助力的纯液压模式对所有四个车轮施加车轮制动，使车辆安全停止。（这和传统的真空助力器失效相同。）

再一个方面，使用iBooster制动系统的车辆不止有特斯拉，还有保时捷918，凯迪拉克CT6，雪佛兰的Bolt、Volt，本田CR-V，荣威Ei5，比亚迪e6，蔚来ES8等。

从而可以说明该套系统的可靠性应该是没什么问题的。

再来说一下油门和刹车信号错误的可能性

有些人会说如果特斯拉机载系统如果错误的把刹车信号当油门信号传递给控制系统，就会引发车辆加速，而且制动会无效。

首先结论是：完全不可能

再来说为什么：

虽然查了很多资料都没有完整的特斯拉电控系统的结构说明，但根据相关拆车资料和机电设计原理大体上可以清楚特斯拉的控制系统设计，原理如下图所示：

前面的资料已经说明了刹车踏板的信号采集是集成在iBooster里面的，并没有直接给到中心控制器上。所以刹车系统本来就可以绕开中心控制系统直接执行刹车操作。

油门踏板行程的传感器按原理应该直连电机驱动控制系统，或先通过中心控制系统MCU，然后再给电机驱动控制系统信号。

以上两种方式都有可能，但肯定第一种方案可能性最大。虽然上面部分都是特斯拉自己研发的，但是从结构安全考虑，油门踏板传感器直接与电机驱动控制系统连接更加合理。

那么不管怎么连法，加速信号和刹车信号不可能走的同一个通路。也就是说油门信号和刹车系统不可能同时直接送到中央处理器MCU，最起码刹车系统是可以独立的。

那么分析一下几种可能性：

• 第一种可能，刹车油门同时踩

首先iBooster是不管加速信号的，它只会负责制动与能量回收。如果收到刹车信号必定启用制动。当MCU收到iBooster的刹车信号时，必然执行刹车优先原则，停止加速驱动。

如果iBooster无法正常给MCU提供刹车信号，那么加速与制动可能处于同时工作。MCU无法给iBooster提供能量回收（电机只会在能量回收和加速其中的一种状态下工作）控制信号，同时由于人为操作优先。那么刹车系统肯定可以正常工作。

所以最坏的可能性就是一边加速一边刹车，会有非常明显的刹车系统过热现象（因为刹车是ABS系统负责，加速是驱动轴负责，同时作用于车轮上），但不会有明显的刹车痕迹。从刹车盘的温度可以判断出是否有出现此类故障。

• 第二种可能，刹车信号误判成加速信号

很多车黑都是拿这个可能性在否定特斯拉自动驾驶系统的安全性。那么从原理上来说，我们将这种错误分解为几种实际可能的结果

没踩刹车，iBooster误送刹车信号给MCU，MCU误判刹车信号变成加速信号，执行加速。

第一这种可能性概率肯定不足百万分之一（同一系统多个节点同时发生错误），第二MCU不可能接受来自iBooster系统的信号传递给电机驱动控制系统。

踩刹车，iBooster提供刹车信号给MCU，MCU误判刹车信号变成加速信号，执行加速。

这是没可能的，因为iBooster提供的信号与加速提供信号的通道是相互独立的。iBooster系统只会提供刹车信号给MCU，不可能有加速信号。所以MCU不可能只考虑发送信号的值，还要看是从哪个通道发送的数据。显然iBooster系统不可能发送加速信号，所以设计上不可能接受iBooster提供加速信号的可能。

上面方式只要踩了刹车，iBooster正常判断了信号，必定会执行刹车操作。无论MCU是否正确识别信号，首先确保了制动系统的正常工作。也就是说就算MCU解析信号出错，最坏的结果也不过是加速和刹车同时在执行，不会出现只加速不刹车的问题。

• 第三种可能，油门当刹车踩

这种可能性是比较常见的，如果喜欢关注汽车事故的，大量的相关事故视频（比如A站上有交通事故video这个up主基本天天都在更新，提供一下地址：认真你就输啦 (?ω?)ノ- ( ゜- ゜)つロ）

这个概率有多大呢？国内数据我没找到，只找到一点不一定准确的数据：

美国2015年统计其境内每年平均发生误踩油门事故16000起。日本2011年统计年均发生误踩油门事故7000起，死亡10000人。据此计算，全球误踩油门事故每天死亡可能超过300人。

如果出现油门当刹车踩的问题，特斯拉的自动紧急刹车系统会不会工作？

很抱歉，如果猛踩油门，神仙都挡不住，所以特斯拉的自动紧急刹车系统不会工作

以上是特斯拉说明书节选内容

也就是说，不管速度多少，只要油门踩大了，自动紧急制动系统肯定是不工作的。也就是不论原地起步，还是低速缓行，这时候不小心把油门当刹车踩，结果肯定跟其他车辆一样。

那么为什么自动紧急制动不去干预这种危险行为呢？

原因就是人为操作的优先级高于车辆自动操作，就是车辆本来自动制动的时候，你猛踩油门它肯定往前窜；车辆正在自动加速时候你一脚刹车，车辆肯定猛减速。

为什么这么设计？

按照交通法规规定，车辆行驶的责任是由该车辆驾驶员承担的。本着谁承担责任谁负责的基本逻辑，肯定驾驶员操作优先级高于自动操作。

另外一个原因，如果懂产品设计的应该知道路径依赖这个基本原理。自动驾驶控制逻辑是沿袭自飞机上的自动驾驶（autopilot）的。

根据国内最近发生的一些特斯拉的车辆事故，有一些结论是可以很负责任的说出来的。关于刹车系统安全性，通常第三方就可以检测出来是否发生故障。而不是像有些人说的需要特斯拉提供，所以给了特斯拉公司推脱责任的机会。

因为刹车系统是可以独立工作的，只要检查刹车踏板，iBooster系统的踏板行程传感器是否准确，iBooster系统工作是否正常，ABS系统是否正常即可。不用管MCU给了iBooster信号，反正不会给加速信号，也不会给放弃刹车信号。

最后加一点题外话：

特斯拉自动驾驶有没有可能突然猛加速？几乎没有可能性，AP有复杂的安全冗余设计限制自动加速的功率输出

特斯拉自动驾驶有没有无征兆无危险情况下猛刹车？有

特斯拉自动驾驶有没有可能在没手动启动时候自己启动？没有，只有误触没有自己启动的

特斯拉自动驾驶有没有可能没有发现障碍物并撞上去？有

特斯拉自动驾驶时有没有可能脚踩刹车无效？除非iBooster机械故障（比如弹簧卡了，踩不进去）

特斯拉自动驾驶有没有可能在闹市区（比如到处都是人、车和其他障碍物）突然猛加速？几乎不可能，这里说的几乎，差不多等于99.999999%这种级别吧，为了科学的严谨性。闹市区到处是障碍物，识别系统能全都出错？另外到了这个拥挤程度，识别系统连车道线都识别不出来，根本启动不了自动驾驶。

另外科普一下，千万不要把电影电视剧当作学习汽车知识的来源。无论哪国的电影电视剧，车辆发生故障也好，发生事故也好，激烈驾驶也好，能否符合科学的可能连1%都没有。文艺作品里的车辆事故，符合的是剧本要求，不是科学原理。