最近奔驰定速巡航失控，车速 120 狂奔近 1 小时的新闻沸沸扬扬，虽然事件本身的真相还未还原，但是对于汽车电子可靠性的探索倒是一个很好的角度。
看完大量的技术分析，我有一点值得先拿出来给大家吃个定心丸，那就是：
在踩踏的力足够大的情况下，无论电子系统出什么问题，汽车都是可以停下来的。这是有法律法规要求的。因为踩刹车制动除了电子控制/助力以外，是可以直接把踩踏板的力，通过杠杆系统、液压系统产生制动，并且足够使车停下来（只是感觉刹车踏板会很硬），也就是说，这点不依赖于于任何电子系统，在任何电子系统失效的情下都是可以保证的。
回到定速巡航，这个功能理论上是非常容易退出的，比如：手动按钮取消定速巡航；挂空挡的时候；发动机控制器发现无法跟随车速的时候；下陡坡的时候；当驾驶员踩刹车的时候当发动机控制器检测到任何错误的时候（包括软件错误，信号丢失，接受到的信号不可信等等）等。当然，世界上没有绝对的安全，那我们就来看看，有多少部件坏了才会“巡航失灵”？
知乎网友何先生分享了自己的观点：
我标定过定速巡航，也稍有了解功能安全监控，我来说说要有多少部件坏了才会巡航失灵！
首先，定速巡航是一种保持一定速度的巡航，这点不同于自适应巡航。当你120km/h巡航时，踩下刹车，ECU 接收到刹车传感器信号，巡航马上会退出。
第二，不巧，刹车传感器坏了，ECU不知道你踩刹车了，还能允许你保持120码行驶，没关系，踩下刹车会导致汽车减速度过大，ECU 规定汽车减速度超过一定值时，必须退出巡航，所以此时巡航退出！
第三，不巧，刹车虽然是机械结构，很小的概率才会坏，但没办法真的坏了，没有制动力了，汽车停不下来！没关系，为了安全，汽车都会有主刹和辅刹，辅刹说不定还能工作，如果辅刹能工作，巡航也能退出！
第四，不巧的是，辅刹也坏了，此时两个刹车同时坏了，应立即报刹车系统故障，这是个严重的故障，ECU 应该立即限扭熄火停车，此时巡航也能退出！
第五，又巧了，刹车失效没报故障或者报故障没反应，此时我应该换空挡位，因为档位变更都会导致巡航退出！
第六，没想到变速箱可能都有问题，那看来是ECU出问题了，没事，应用层软件失效会导致功能安全激活（所谓功能安全模块是指软件里对应用层功能的监控，发现不正常就会立即响应报错处理），此时会停车熄火，巡航退出！
第七，安全监控都能失效看来是奇葩啊，应用层与监控层一起失效真不多见，看来是芯片挂了，没关系，芯片挂之后，ECU 会激活自己对自己的芯片层监控，报错，立即停车熄火，巡航退出！
第八，好吧，看来ECU和刹车等一系列硬件都挂了，但是一想到车主还能开车门，解安全带减速，这是ECU对不正常驾驶行为的反应，此时我又觉得ECU应该没坏！！？？
知乎网友李铁皮表示自己碰巧做过巡航系统的开发，他认为，在发动机ECU正常的情况下，通过操作巡航按键、踩刹车、拉起电子手刹、挂空挡、长按启动开关（熄火）都可以退出巡航。
除此之外一些异常状态例如主动安全/被动安全功能触发（ABS/ESP/安全气囊起爆）也都会导致退出巡航，发动机自身和巡航按钮的故障也会导致退出巡航。
退一万步讲，即使发动机ECU出了问题，并且卡在了巡航激活的状态中（几乎不可能），也是可以通过换挡杆挂空挡直接解除机械上的动力传递。
即使电子换挡单元碰巧也出了问题，车子挂不了空挡（几乎不可能），也是可以通过踩刹车把车子停下来。车辆制动力和发动机驱动力根本不是一个量级的，憋停一个发动机轻轻松松。
即使刹车助力模块碰巧也出了问题，车子失去制动助力（几乎不可能），但基础的制动还是在的，以一个成年男子的腿部力量也是可以在200m以内把车子停下来（国家制动法规对助力失效后果的约束）。
知乎网友郑菲表示，作为一个车辆测试人员针对此次奔驰巡航失控事件提两个原理性的问题：
1.一般而言，自适应巡航是由额外控制器控制的，而定速巡航部分通常在发动机ECU中实现。
发动机ECU的安全等级是：所有的控制器都凉了它都不会凉那种。
无论是定速巡航还是自适应巡航，要正常工作都需要一系列信号满足相应的条件才能进入激活状态，例如制动信号、车速信号、发动机标志位等等，如果总线信号不正常，那么系统会退出。所以yy总线信号由于干扰而不正常导致该事件之类的，checksum和各种watch+dog表示你们可以洗洗睡了。
此外，打开车门解开安全带，车速会下降到60。那么说明安全监控逻辑在正常工作，这也说明发动机ECU并没有跑飞。那么问题来了，到底是谁给ECU提供了假信号导致定速巡航始终不能退出？
2.结合报道中车主在事件之后还能够正常驾驶前往目的地这一点来看，基础制动系是正常工作的。再加上车主号称“业余赛车手”，想来应该掌握了全力刹车的技术，那么基础制动系能够发出的功率大概有1兆瓦，而C200的发动机的最大功率大约0.14兆瓦，120定速巡航的时候可能只有0.05兆瓦的样子，所以1 vs 0.05，为什么会停不下来？
奔驰网友“英雄在城堡”自称是奔驰售后机电组的一员，虽然不是代表官方，但是他的观点也很值得分享：
我认为这种情况不可能发生在一辆正常使用保养的C级车上，或者说是任何一辆正常保养使用的奔驰车上。
理由如下：
第一重点: 『定速巡航功能 在制动踏板有信号之后，必须退出，有法律法规要求。』
第二重点：『如果刹车踏板位置传感器失效，导致无法切换档位，w205（c级车）不是iBoost，只要踩制动踏板就可以推动主缸和刹车助力泵，产生制动力，产生的制动力绝对能使车停下来，同样有法律法规要求。』
第三重点：『若刹车踏板位置传感器失效，刹车助力泵也失效。用力踩制动踏板即可推动主缸，产生制动力，产生的制动力足够使车停下来，还是有法律法规要求。实测过，这样可以产生约0.8g减速度，一般车地板油0.5g加速度顶天，发动机满扭矩输出，车还是会减速，停下来』
第四重点：『电子手刹在一定速度以上行驶中按下，若硬件制动系统正常，能产生80%的最大制动力，该逻辑由ESC系统提供，有标准规定』
最后我想说，只有刹车踏板位置传感器失效，刹车助力泵也失效，两套制动线路全都漏油，就是整套刹车系统完全失效，这个时候才有可能刹不下来。（根本不可能突然出现这种情况）
但是，按照我和很多同行多年的经验，这种情况不可能突然发生，除非是人为，但是，就算是人为，在开车起步的瞬间也会察觉，并不需要专业知识。（踩刹车没反应你还敢开？）
小结：汽车从纯机械一步步走向最终自动驾驶的途中，可靠性和安全性是个严肃的问题，也包括本文中还未提到的“远程操控”，这些都值得不仅是汽车电子工程师，而是所有所有人的关注。
最前沿的电子设计资讯
