从小米事故看本质安全设计_风闻

德上公路上，一辆小米SU7标准版撞上了施工段的水泥桩。碰撞时已近深夜。现确认事故发生前，车辆处于NOA智能辅助驾驶状态，以116km/h时速持续行驶，车辆检测出障碍物后发出提醒并开始减速。一秒钟后驾驶员接管车辆进入人驾状态，持续减速并操控车辆转向，同时NOA退出，随后车辆与隔离带水泥桩发生碰撞。碰撞前，系统最后可以确认的时速约为97km/h。

碰撞后车辆发生大火，在没有系统检查残骸之前，推测是碰撞引起大火，并非电池自燃。现在还不能确认车门是否能打开。不过按照这个速度碰撞的话，人可能当场就昏厥甚至挂了，能不能开门无关紧要。碰撞安全也不是为这个速度设计的。

小米SU7 标准版有前向防碰撞辅助功能包括碰撞预警 (FCW) 和紧急制动 (AEB) 两个子功能，作用对象是车辆、行人、二轮车三类目标，其中AEB功能工作速度在 8-135km/h之间。这个功能和行业同配置的AEB功能类似，目前不响应锥桶、水马、石头、动物等障碍物。

事故里还有很多不清楚的地方。比如前面是否有车（估计没有），“施工减速”标志放到多远、多少可见，车上人是否在昏睡，等等。116km/h看来不算多少超速。

要是有车门在碰撞掉电后打不开的问题，这是设计中安全审查的严重失职。

工业上有本质安全的设计概念，要求在意外情况下，在de-energize的最极端情况下，系统回归安全的状态（safe park）。比如说，控制系统完全失能、仪表空气泄压时，所有气动阀门都要回归安全位置。燃料阀和进料阀自动回位到关闭，放空阀和出料阀自动回位到全开，回流阀和压力控制阀自动回到全开，等等。

这样的话，即使遇到地震、爆炸，所有系统统统瞬间失灵，也不会扩大事故的损害。

这需要对整个生产过程从头到尾的每一寸都进行危害与操作性审查（HAZOP）。这其实是设计里最冗长、乏味但又至关重要的部分，那些灵光一现的灵感时刻和数字仿真其实花不了多少时间和人力物力。

对于小米的车门来说，即使在极端事故中，电池断电，也需要能自动解锁车门。可以考虑像飞机黑盒子那样的防火防撞电池驱动，在碰撞或者起火事故时，或者在任何出发气袋的事故时，自动解锁、弹出门把手。

这到底是否有用，需要具体的HAZOP。

对了，小米SU7确认有机械紧急车门拉手，电池完全没电的情况下也能开门，但位置比较隐蔽，一般人注意不到，紧急的时候惊慌失措也可能摸不到。这方面，作为国家规定统一规定可能比较好，以后在驾校就可以作为统一的内容提醒学员。

但希望HAZOP成为中国工业技术的标准程序。事故是令人伤心的，要是不能从事故中学习和避免类似事故，那就令人伤心透顶了。