芝能科技出品
在面向L3 自动驾驶的启境GX7 上，有供电、通信、算力、感知、定位、转向、制动和HMI交互八个环节，全部做了冗余。
L3冗余要兜的场景是：车辆正在替驾驶员开车，某个关键部件突然失效，车不能像手机死机那样直接退出，得继续感知道路、算安全轨迹、控好方向和速度，至少撑到完成接管过渡、或者自己进最小风险状态。
冗余兜的是故障之后的安全收尾，不是消灭故障本身。
01 L3冗余到底解决什么问题
理解这套冗余，第一个前提是区分「架构」和「功能」。
按国标GB/T 40429-2021，L3有条件自动驾驶指：在设计运行条件内，系统执行全部动态驾驶任务；系统发出接管请求时，驾驶员在合理时间内接管。L2和L3的分界，不在会不会自动变道、有没有激光雷达，而在驾驶任务由谁承担。
L2运行时驾驶员始终是主体，系统只是辅助；L3在限定条件和时间内，系统是执行主体；系统跑不下去时，必须完成安全接管过渡，或者执行最小风险策略。
所以车辆具备「面向L3的硬件架构」，只是实现L3的必要条件之一。
启境GX7 的设计是双重感知架构、双重算力域控、双重通信链路、双重供电架构、多重HMI、双重制动、双重转向、双重定位，当前领航辅助仍不能覆盖所有道路，驾驶员必须持续观察路况、保持主动控制。
启境GX7具备面向L3开发的全链路冗余硬件基础，L3功能能否开放，还得看具体车型的准入、法规、软件版本和设计运行范围。
同架构先期车型启境GT7拿到的是广州市L3特定场景道路测试许可，测试许可、产品准入、向普通消费者开放L3，是三个不同台阶。
传统汽车很多安全系统走的是fail-safe，故障后就关掉功能、提示驾驶员。因为驾驶员一直控车，功能退出本身就是安全状态。L3完全不同，车以100公里时速在高速上跑L3，驾驶员可能在看屏幕，没持续盯前方。
主计算平台突然重启，系统不能只弹一句“辅助驾驶已退出”，然后把方向盘和刹车的控制权立刻甩回给人。100公里时速约等于每秒27.8米，驾驶员就算两三秒重新看清环境，车已经出去几十米。
所以L3要从fail-safe升级到一定程度的fail-operational：故障发生后，系统不一定还提供完整智驾体验，但必须维持安全运行能力。
这条安全链路是连续的：先检测故障，判断它是否影响安全功能，隔离故障源，再切换到独立备份链路，进入降级运行状态，同时发出接管请求并监测驾驶员；驾驶员没接管就执行最小风险策略，最终进最小风险状态并记录事件。
工信部智能网联汽车准入试点技术要求写得很明确：系统应识别自身失效，失效或功能不足时应持续执行合理控制，直到车辆进入最小风险状态或被接管；功能安全还要考虑故障容错时间间隔（FTTI）、安全状态、紧急运行时间和功能冗余。
八大冗余系统，就是为这条链路存在的。
02 八大冗余，到底有哪些？
供电冗余：两条能隔离的生命线，不是两块电池
自动驾驶依赖传感器、域控、车载网络、转向和制动执行器持续供电，任一关键节点完全断电，后面所有冗余都失去意义。
有效的供电冗余至少要看独立低压供电路径、独立保险与配电、冗余DC/DC、关键控制器的备用电源、线束物理分离、电压异常监测与故障隔离，以及碰撞或高压断电后低压安全功能还能撑一段时间。
关键在两条电源路径不能被同一个故障同时切断，两路电源若共用一个上游DC/DC、同一个接地点或同段线束，一次短路、碰撞挤压或进水仍可能让两路一起失效，这叫共因失效。
通信冗余：让「大脑」和「手脚」在故障后还能对话
域控算出的转向和制动指令要靠车载网络送到执行器，传感器数据也要沿网络进计算平台。
通信冗余会涉及双CAN或CAN FD链路、车载以太网与CAN交叉备份、冗余网关或交换芯片、独立通信控制器、不同物理路径的线束、时间同步与消息完整性校验，以及网络拥塞、丢包和总线异常管理。
一条链路中断、拥塞或被异常报文占满时，安全相关指令仍能通过另一条独立链路抵达制动和转向系统。
这里同样要防共因失效，双链路若经过同一个中央网关、共用同一电源或同一套软件栈，一个网关故障或软件缺陷仍可能同时拖垮两条。
算力冗余：备用计算平台不是用来继续「满血智驾」
启境GX7官方表述是「双重算力域控」，公开资料没披露两套域控的具体芯片、算力分配、运行模式和切换时间
计算冗余大致有几种形态：双平台同时运行相互校验、主平台跑完整功能而备用平台热待机、主平台负责完整智驾而安全控制器只跑精简安全功能、两套平台分任务在故障时做功能重构。
对L3，备用计算平台最重要的任务不是继续做城区领航、自动超车或舒适变道，而是保住一个经过严格验证的安全核心：继续读必要传感器、判断本车道与周边障碍、生成保守轨迹、稳定减速、必要时安全变道、开双闪、最终停车。这是一种降级运行，不是原功能无损切换。
两个计算平台不等于两个独立大脑，两套平台若用相同算法、相同训练数据和相同软件代码，一个系统性软件缺陷就可能让两套同时出错，所以高水平的算力冗余不只堆硬件重复，还要有独立监控、安全岛、异常结果比对，部分安全链路甚至要用异构硬件或多样化算法。
定位冗余：不是「没信号也永远精准」
自动驾驶定位依赖多种信息：GNSS或高精度卫星定位、IMU惯性测量、轮速和转角推算、视觉定位、激光雷达与地图匹配、道路特征与车道线匹配。
所谓双重定位保障，核心是卫星信号被隧道、高楼或遮挡影响时，车还能靠惯性、轮速和环境特征维持一段时间的定位。
惯性导航和轮速推算都会产生累计误差，持续越久，定位置信度越低。安全的定位冗余应同时输出两个结果：车最可能在哪，系统对这个位置有多大把握。
一旦定位误差超过安全阈值，车该限制功能、降速或进最小风险策略，而不是在错误位置上继续「自信行驶」。
感知冗余：重点在「异构互补」
启境GX7官方配置列了38个辅助驾驶传感器：1个896线双光路图像级激光雷达、3个高精度固态激光雷达、5个4D毫米波雷达、11个高感知摄像头、12个超声波雷达、6个车外麦克风。
双光路激光雷达是一个雷达内部采用双光路设计，GX7的四激光雷达配置是一颗前向双光路雷达加三颗固态激光雷达。
有效的感知冗余要同时满足三点：模态不同，摄像头、激光雷达、毫米波雷达物理原理不同；覆盖互补，前向侧向后向不能有关键盲区；算法能识别冲突，摄像头说前方空、雷达却检测到目标时，系统得知道两者不一致。
摄像头擅长颜色、车道线和语义，激光雷达擅长三维距离和轮廓，毫米波雷达对速度和雨雾更有优势，多模态融合的价值正在于它们不容易以完全相同的方式失效。
传感器多不说明感知绝对可靠，泥水可能同时糊住多个传感器，暴雨会拉低摄像头和激光雷达表现，强反射、多径效应和施工异形障碍物也可能造成误判。
所以L3感知系统还要估自己的「感知置信度」，系统不确定是否看清路时，正确做法是收缩ODD、降速，必要时退出自动驾驶。
转向冗余：主转向失效后，还要保留基本横向控制
自动驾驶系统就算看清路、算出轨迹，转不动方向盘，一样完不成安全停车。
转向冗余可能包括双控制器、双电机或双绕组、双位置传感器、独立供电和通信、机械转向通路，以及故障后的有限转向能力，目标不一定是在故障后继续激烈避障，而是保证车能稳定保持车道、修正方向，安全条件允许时靠边。
要特别留意，双转向控制器若仍共用一个电机、齿条、机械连接或电源，能覆盖的只是一部分电子故障，机械层面的转向失效仍可能穿透。
制动冗余：至少要有两种独立产生减速度的能力。
L3车发生严重故障后，最后动作几乎一定含减速和停车。
制动冗余可能由不同系统共同实现：集成式电控制动、电子稳定控制、独立液压回路、驱动电机再生制动、电子驻车、独立制动控制器与压力传感器。
高质量的制动冗余不能只看「有两个控制器」，还要看主系统失效后，备用路径能产生多大减速度、是否支持左右轮稳定控制、车辆断电或通信中断时还能否工作。
电机回收制动能提供辅助减速度，却不能在全部车速、电量和路面条件下替代机械制动，电子驻车也能做最后兜底，但在高速下不适合作为主要制动方式。
冗余制动的本质，是确保至少有一条独立、可控且经过验证的减速链路。
HMI交互冗余：这是「责任交接链路」
HMI冗余和前七项不同，它承担的是系统向驾驶员交还驾驶任务的安全通道。
L3系统发出接管请求时，要确认驾驶员有没有看到或听到、目前是否具备接管能力、是否恢复了车辆控制。
视觉、声音、座椅或安全带触觉提醒，能降低单一提示被忽略的概率，但多种提醒不说明驾驶员一定会响应，所以还要有DMS驾驶员状态监测。
驾驶员熟睡、失去意识或持续不响应，系统不能无休止地调高音量，必须转入最小风险策略。
L3系统要具备驾驶员接管能力监测功能，新的强制性国标GB 44721-2026要求明确系统状态、接管能力监测、最小风险策略和用户角色转换，该标准2026年7月发布，计划2027年7月1日实施。
03 从单点冗余到全链路
一辆车可以有两颗芯片、两条通信网、两套制动控制器，仍不一定构成可靠的L3冗余。
自动驾驶安全是个串联系统，供电、感知、定位、计算、通信、转向和制动、HMI一环扣一环，任一关键环节存在无法容忍的单点故障，整条安全链路都会断。
比如有备用计算平台，但备用和主平台共用一条电源；有两条通信网，却都过同一个中央网关；有多个传感器，数据只进一个域控；有两套制动控制逻辑，却共用一个无法隔离的执行部件；系统还能控车，却发不出有效接管请求；硬件全正常，软件升级后两套系统同时出同一种错。
冗余设计要同时满足五个条件。
◎ 独立性排第一，主备不能被同一个电源、线路、网关、软件缺陷或环境因素同时击穿。
◎ 可诊断性排第二，系统得先知道主系统出了什么故障，检测不到故障，备份就不知道何时该接管。
◎ 故障隔离排第三，发现异常后必须阻止故障继续传播，短路不能拖垮备用电源，异常节点不能持续往总线发错误指令。
◎ 及时性排第四，从故障发生到备用链路建立控制，间隔必须短于系统允许的故障容错时间间隔，也就是FTTI，「毫秒级接管」成不成立不能只凭宣传判断，得看具体故障类型、检测时间、隔离时间和控制权切换时间。
在高速限定ODD内以100公里时速行驶，主计算平台突然发生不可恢复故障，理论上的安全处理过程是：
安全监控模块先识别主计算结果停止更新或异常，系统在FTTI以内确认故障、避免误切换，再把主计算平台从通信网络隔离，由备用计算平台接管必要的感知、定位和控制，备用供电与通信链路保证安全控制指令继续传输，车辆保持车道并开始平稳减速，视觉、声音和触觉通道同时发出接管请求，DMS判断驾驶员是否恢复注意并接管；
驾驶员未响应，车辆执行最小风险策略，安全允许时靠边停车，不具备安全变道条件则保持在车道内减速停车，最后打开危险报警灯，记录故障、接管请求和车辆控制过程。
联合国UN R157对最小风险机动的要求，是车辆在车道内安全减速，或者系统有变道能力且当前条件允许时停到行车道以外，遇到右侧有车、道路施工、没有路肩或感知能力下降时，强行靠边反而更危险。
GT7的全链路冗余架构通过了中汽研专项场地测试，并完成超过200项真实道路场景测试。
冗余系统要验证的内容包括单路供电突然中断、主域控断电重启或输出异常、CAN或以太网链路被切断、摄像头被遮挡、激光雷达性能下降、GNSS信号丢失或出错、主转向控制器失效、主制动控制器失效。
还要覆盖驾驶员不响应接管请求、多个相关故障同时发生，以及电压波动、网络拥塞和传感器退化引发的级联故障。
还要回答故障多久被识别、主备切换是否产生方向或制动突变、降级状态还能撑多久、系统用什么条件判断能安全变道、多次连续故障后还能否完成最小风险机动、备用系统自身潜伏故障如何靠上电自检和周期诊断发现、软件升级失败后能否回退到安全版本、故障与接管过程是否被完整记录。
ISO 26262主要处理电子电气系统随机硬件故障和系统性开发缺陷，ISO 21448关注硬件没坏、但感知或算法能力本身不足带来的风险。
后者尤其适用于依赖复杂传感器和算法的L1至L5系统，所以L3安全证明要同时覆盖功能安全、预期功能安全、网络安全、数据与事件记录、人机交互、软件升级安全、ODD边界识别，以及实车、场地和仿真验证。
小结
启境GX7 是广汽和华为从整车开发阶段就把自动驾驶失效后的控制能力纳入底层架构，L3架构开始重点解决系统异常时车辆还能做什么。
L3要过的关，是负责开车的系统突然出错时，车还知不知道怎样安全停住。
原文标题 : 启境GX7面向L3 自动驾驶8重冗余，到底“冗余”了什么
芝能科技出品
在面向L3 自动驾驶的启境GX7 上，有供电、通信、算力、感知、定位、转向、制动和HMI交互八个环节，全部做了冗余。
L3冗余要兜的场景是：车辆正在替驾驶员开车，某个关键部件突然失效，车不能像手机死机那样直接退出，得继续感知道路、算安全轨迹、控好方向和速度，至少撑到完成接管过渡、或者自己进最小风险状态。
冗余兜的是故障之后的安全收尾，不是消灭故障本身。
01 L3冗余到底解决什么问题
理解这套冗余，第一个前提是区分「架构」和「功能」。
按国标GB/T 40429-2021，L3有条件自动驾驶指：在设计运行条件内，系统执行全部动态驾驶任务；系统发出接管请求时，驾驶员在合理时间内接管。L2和L3的分界，不在会不会自动变道、有没有激光雷达，而在驾驶任务由谁承担。
L2运行时驾驶员始终是主体，系统只是辅助；L3在限定条件和时间内，系统是执行主体；系统跑不下去时，必须完成安全接管过渡，或者执行最小风险策略。
所以车辆具备「面向L3的硬件架构」，只是实现L3的必要条件之一。
启境GX7 的设计是双重感知架构、双重算力域控、双重通信链路、双重供电架构、多重HMI、双重制动、双重转向、双重定位，当前领航辅助仍不能覆盖所有道路，驾驶员必须持续观察路况、保持主动控制。
启境GX7具备面向L3开发的全链路冗余硬件基础，L3功能能否开放，还得看具体车型的准入、法规、软件版本和设计运行范围。
同架构先期车型启境GT7拿到的是广州市L3特定场景道路测试许可，测试许可、产品准入、向普通消费者开放L3，是三个不同台阶。
传统汽车很多安全系统走的是fail-safe，故障后就关掉功能、提示驾驶员。因为驾驶员一直控车，功能退出本身就是安全状态。L3完全不同，车以100公里时速在高速上跑L3，驾驶员可能在看屏幕，没持续盯前方。
主计算平台突然重启，系统不能只弹一句“辅助驾驶已退出”，然后把方向盘和刹车的控制权立刻甩回给人。100公里时速约等于每秒27.8米，驾驶员就算两三秒重新看清环境，车已经出去几十米。
所以L3要从fail-safe升级到一定程度的fail-operational：故障发生后，系统不一定还提供完整智驾体验，但必须维持安全运行能力。
这条安全链路是连续的：先检测故障，判断它是否影响安全功能，隔离故障源，再切换到独立备份链路，进入降级运行状态，同时发出接管请求并监测驾驶员；驾驶员没接管就执行最小风险策略，最终进最小风险状态并记录事件。
工信部智能网联汽车准入试点技术要求写得很明确：系统应识别自身失效，失效或功能不足时应持续执行合理控制，直到车辆进入最小风险状态或被接管；功能安全还要考虑故障容错时间间隔（FTTI）、安全状态、紧急运行时间和功能冗余。
八大冗余系统，就是为这条链路存在的。
02 八大冗余，到底有哪些？
供电冗余：两条能隔离的生命线，不是两块电池
自动驾驶依赖传感器、域控、车载网络、转向和制动执行器持续供电，任一关键节点完全断电，后面所有冗余都失去意义。
有效的供电冗余至少要看独立低压供电路径、独立保险与配电、冗余DC/DC、关键控制器的备用电源、线束物理分离、电压异常监测与故障隔离，以及碰撞或高压断电后低压安全功能还能撑一段时间。
关键在两条电源路径不能被同一个故障同时切断，两路电源若共用一个上游DC/DC、同一个接地点或同段线束，一次短路、碰撞挤压或进水仍可能让两路一起失效，这叫共因失效。
通信冗余：让「大脑」和「手脚」在故障后还能对话
域控算出的转向和制动指令要靠车载网络送到执行器，传感器数据也要沿网络进计算平台。
通信冗余会涉及双CAN或CAN FD链路、车载以太网与CAN交叉备份、冗余网关或交换芯片、独立通信控制器、不同物理路径的线束、时间同步与消息完整性校验，以及网络拥塞、丢包和总线异常管理。
一条链路中断、拥塞或被异常报文占满时，安全相关指令仍能通过另一条独立链路抵达制动和转向系统。
这里同样要防共因失效，双链路若经过同一个中央网关、共用同一电源或同一套软件栈，一个网关故障或软件缺陷仍可能同时拖垮两条。
算力冗余：备用计算平台不是用来继续「满血智驾」
启境GX7官方表述是「双重算力域控」，公开资料没披露两套域控的具体芯片、算力分配、运行模式和切换时间
计算冗余大致有几种形态：双平台同时运行相互校验、主平台跑完整功能而备用平台热待机、主平台负责完整智驾而安全控制器只跑精简安全功能、两套平台分任务在故障时做功能重构。
对L3，备用计算平台最重要的任务不是继续做城区领航、自动超车或舒适变道，而是保住一个经过严格验证的安全核心：继续读必要传感器、判断本车道与周边障碍、生成保守轨迹、稳定减速、必要时安全变道、开双闪、最终停车。这是一种降级运行，不是原功能无损切换。
两个计算平台不等于两个独立大脑，两套平台若用相同算法、相同训练数据和相同软件代码，一个系统性软件缺陷就可能让两套同时出错，所以高水平的算力冗余不只堆硬件重复，还要有独立监控、安全岛、异常结果比对，部分安全链路甚至要用异构硬件或多样化算法。
定位冗余：不是「没信号也永远精准」
自动驾驶定位依赖多种信息：GNSS或高精度卫星定位、IMU惯性测量、轮速和转角推算、视觉定位、激光雷达与地图匹配、道路特征与车道线匹配。
所谓双重定位保障，核心是卫星信号被隧道、高楼或遮挡影响时，车还能靠惯性、轮速和环境特征维持一段时间的定位。
惯性导航和轮速推算都会产生累计误差，持续越久，定位置信度越低。安全的定位冗余应同时输出两个结果：车最可能在哪，系统对这个位置有多大把握。
一旦定位误差超过安全阈值，车该限制功能、降速或进最小风险策略，而不是在错误位置上继续「自信行驶」。
感知冗余：重点在「异构互补」
启境GX7官方配置列了38个辅助驾驶传感器：1个896线双光路图像级激光雷达、3个高精度固态激光雷达、5个4D毫米波雷达、11个高感知摄像头、12个超声波雷达、6个车外麦克风。
双光路激光雷达是一个雷达内部采用双光路设计，GX7的四激光雷达配置是一颗前向双光路雷达加三颗固态激光雷达。
有效的感知冗余要同时满足三点：模态不同，摄像头、激光雷达、毫米波雷达物理原理不同；覆盖互补，前向侧向后向不能有关键盲区；算法能识别冲突，摄像头说前方空、雷达却检测到目标时，系统得知道两者不一致。
摄像头擅长颜色、车道线和语义，激光雷达擅长三维距离和轮廓，毫米波雷达对速度和雨雾更有优势，多模态融合的价值正在于它们不容易以完全相同的方式失效。
传感器多不说明感知绝对可靠，泥水可能同时糊住多个传感器，暴雨会拉低摄像头和激光雷达表现，强反射、多径效应和施工异形障碍物也可能造成误判。
所以L3感知系统还要估自己的「感知置信度」，系统不确定是否看清路时，正确做法是收缩ODD、降速，必要时退出自动驾驶。
转向冗余：主转向失效后，还要保留基本横向控制
自动驾驶系统就算看清路、算出轨迹，转不动方向盘，一样完不成安全停车。
转向冗余可能包括双控制器、双电机或双绕组、双位置传感器、独立供电和通信、机械转向通路，以及故障后的有限转向能力，目标不一定是在故障后继续激烈避障，而是保证车能稳定保持车道、修正方向，安全条件允许时靠边。
要特别留意，双转向控制器若仍共用一个电机、齿条、机械连接或电源，能覆盖的只是一部分电子故障，机械层面的转向失效仍可能穿透。
制动冗余：至少要有两种独立产生减速度的能力。
L3车发生严重故障后，最后动作几乎一定含减速和停车。
制动冗余可能由不同系统共同实现：集成式电控制动、电子稳定控制、独立液压回路、驱动电机再生制动、电子驻车、独立制动控制器与压力传感器。
高质量的制动冗余不能只看「有两个控制器」，还要看主系统失效后，备用路径能产生多大减速度、是否支持左右轮稳定控制、车辆断电或通信中断时还能否工作。
电机回收制动能提供辅助减速度，却不能在全部车速、电量和路面条件下替代机械制动，电子驻车也能做最后兜底，但在高速下不适合作为主要制动方式。
冗余制动的本质，是确保至少有一条独立、可控且经过验证的减速链路。
HMI交互冗余：这是「责任交接链路」
HMI冗余和前七项不同，它承担的是系统向驾驶员交还驾驶任务的安全通道。
L3系统发出接管请求时，要确认驾驶员有没有看到或听到、目前是否具备接管能力、是否恢复了车辆控制。
视觉、声音、座椅或安全带触觉提醒，能降低单一提示被忽略的概率，但多种提醒不说明驾驶员一定会响应，所以还要有DMS驾驶员状态监测。
驾驶员熟睡、失去意识或持续不响应，系统不能无休止地调高音量，必须转入最小风险策略。
L3系统要具备驾驶员接管能力监测功能，新的强制性国标GB 44721-2026要求明确系统状态、接管能力监测、最小风险策略和用户角色转换，该标准2026年7月发布，计划2027年7月1日实施。
03 从单点冗余到全链路
一辆车可以有两颗芯片、两条通信网、两套制动控制器，仍不一定构成可靠的L3冗余。
自动驾驶安全是个串联系统，供电、感知、定位、计算、通信、转向和制动、HMI一环扣一环，任一关键环节存在无法容忍的单点故障，整条安全链路都会断。
比如有备用计算平台，但备用和主平台共用一条电源；有两条通信网，却都过同一个中央网关；有多个传感器，数据只进一个域控；有两套制动控制逻辑，却共用一个无法隔离的执行部件；系统还能控车，却发不出有效接管请求；硬件全正常，软件升级后两套系统同时出同一种错。
冗余设计要同时满足五个条件。
◎ 独立性排第一，主备不能被同一个电源、线路、网关、软件缺陷或环境因素同时击穿。
◎ 可诊断性排第二，系统得先知道主系统出了什么故障，检测不到故障，备份就不知道何时该接管。
◎ 故障隔离排第三，发现异常后必须阻止故障继续传播，短路不能拖垮备用电源，异常节点不能持续往总线发错误指令。
◎ 及时性排第四，从故障发生到备用链路建立控制，间隔必须短于系统允许的故障容错时间间隔，也就是FTTI，「毫秒级接管」成不成立不能只凭宣传判断，得看具体故障类型、检测时间、隔离时间和控制权切换时间。
在高速限定ODD内以100公里时速行驶，主计算平台突然发生不可恢复故障，理论上的安全处理过程是：
安全监控模块先识别主计算结果停止更新或异常，系统在FTTI以内确认故障、避免误切换，再把主计算平台从通信网络隔离，由备用计算平台接管必要的感知、定位和控制，备用供电与通信链路保证安全控制指令继续传输，车辆保持车道并开始平稳减速，视觉、声音和触觉通道同时发出接管请求，DMS判断驾驶员是否恢复注意并接管；
驾驶员未响应，车辆执行最小风险策略，安全允许时靠边停车，不具备安全变道条件则保持在车道内减速停车，最后打开危险报警灯，记录故障、接管请求和车辆控制过程。
联合国UN R157对最小风险机动的要求，是车辆在车道内安全减速，或者系统有变道能力且当前条件允许时停到行车道以外，遇到右侧有车、道路施工、没有路肩或感知能力下降时，强行靠边反而更危险。
GT7的全链路冗余架构通过了中汽研专项场地测试，并完成超过200项真实道路场景测试。
冗余系统要验证的内容包括单路供电突然中断、主域控断电重启或输出异常、CAN或以太网链路被切断、摄像头被遮挡、激光雷达性能下降、GNSS信号丢失或出错、主转向控制器失效、主制动控制器失效。
还要覆盖驾驶员不响应接管请求、多个相关故障同时发生，以及电压波动、网络拥塞和传感器退化引发的级联故障。
还要回答故障多久被识别、主备切换是否产生方向或制动突变、降级状态还能撑多久、系统用什么条件判断能安全变道、多次连续故障后还能否完成最小风险机动、备用系统自身潜伏故障如何靠上电自检和周期诊断发现、软件升级失败后能否回退到安全版本、故障与接管过程是否被完整记录。
ISO 26262主要处理电子电气系统随机硬件故障和系统性开发缺陷，ISO 21448关注硬件没坏、但感知或算法能力本身不足带来的风险。
后者尤其适用于依赖复杂传感器和算法的L1至L5系统，所以L3安全证明要同时覆盖功能安全、预期功能安全、网络安全、数据与事件记录、人机交互、软件升级安全、ODD边界识别，以及实车、场地和仿真验证。
小结
启境GX7 是广汽和华为从整车开发阶段就把自动驾驶失效后的控制能力纳入底层架构，L3架构开始重点解决系统异常时车辆还能做什么。
L3要过的关，是负责开车的系统突然出错时，车还知不知道怎样安全停住。
原文标题 : 启境GX7面向L3 自动驾驶8重冗余，到底“冗余”了什么
