2021.4.23日更新
感谢大家的支持和互动，因为这篇文章当时写的很匆忙，难免有一些错误。特此写出更准确的分析报告，请移步观看
随着国内特斯拉汽车销量的激增，越来越多的车主购买特斯拉。可以清楚地预见，事故发生的频率也会增加。
这是正常现象，但随着媒体（如知乎）曝光的特斯拉事故越来越多，一大群人开始惊呼特斯拉不安全。原本好奇的想了解一下特斯拉的一些故障和设计缺陷，但发现的大部分结果都是一些无厘头的分析。
作为机电专业的毕业生，我自然不喜欢那些违背科学和道德的无脑黑人。这简直是对机电工程人智商的侮辱。
所以想了想，还是写了一篇关于特斯拉刹车系统的分析文章，来科学客观地分析特斯拉刹车系统的安全性，以及那些事故发生的原因。当然，也欢迎各海军势力前来开黑，让我知道该挡谁挡谁。
首先不难找到特斯拉制动系统的相关资料，它采用了博世的iBooster制动系统。相关信息链接如下：
其次说一下特斯拉的整个刹车系统和逻辑
制动系统的一般结构如下
第一个闭环系统形成在制动踏板和iBooster制动系统之间。由于踏板行程监测位于iBooster系统中，当iBooster系统检测到踩下制动踏板时，会进行相应的辅助，驱动ABS系统进行制动。第二个闭环系统在MCU和iBooster之间，主要用于自动驾驶相关的制动辅助（自动紧急制动和减速制动）。三是开路系统，即制动踏板和MCU可以同时作用于iBooster进行制动操作。此时，将按照人控优先的原则执行。能量回收通过MCU给iBooster，与刹车踏板无关。
那么从系统本身（不考虑其他系统的影响），可以保证安全性：
1是安装螺栓，
2是踏板行程传感器，
3是油罐（储油罐），
4是制动主缸（为车轮上的制动器提供压力），
5是电机和控制器，
6是输入杆
根据相关资料，如果系统出现故障：
1、如果车载电源不能满载运行，iBooster会进入节能模式，避免给车载电气系统增加不必要的负载，防止车载电源出现故障。
2、iBooster 故障，ESP 接管并提供制动助力。（ESP与ABS不同汽车的刹车系统有哪些，ABS需要踏板输入才能工作，ESP无需踏板输入也能工作。）
在这两种情况下，制动系统都可以在 200 N 的踏板力下提供 0.4g 的减速度。
如果发生系统故障（板载电源故障，无法供电）：
也就是说，在断电模式下，驾驶员可以在没有制动辅助的情况下以纯液压模式对所有四个车轮施加车轮制动，以使车辆安全停止。（这与传统的真空助力器故障相同。）
另一方面，采用iBooster制动系统的车辆不仅有特斯拉，还有保时捷918、凯迪拉克CT6、雪佛兰Bolt、Volt、本田CR-V、荣威Ei5、比亚迪e6、蔚来ES8等。
由此可见，系统的可靠性应该没有问题。
再来说说油门和刹车信号错误的可能性
有人会说，如果特斯拉车载系统误将刹车信号作为油门信号传递给控制系统，会导致车辆加速，刹车失效。
第一个结论是完全不可能
为什么：
虽然查了很多资料，没有对特斯拉电控系统的完整结构描述，但根据相关汽车拆解资料和机电设计原理，我们可以大致了解特斯拉的控制系统设计。原理如下图所示：
之前的资料已经说明，制动踏板的信号采集是集成在iBooster中的，并不直接交给中央控制器。因此，制动系统可以绕过中央控制系统，直接执行制动操作。
根据原理，油门踏板行程传感器应直接与电机驱动控制系统相连，或先通过中控系统MCU，再向电机驱动控制系统发出信号。
以上两种方法都可以，但第一种肯定是最有可能的。虽然上述部件都是特斯拉自己研发的，但从结构安全的角度来看，将油门踏板传感器直接与电机驱动控制系统连接更为合理。
所以无论怎么连接，加速信号和刹车信号都不能走同一条路径。也就是说，油门信号和制动系统不能同时直接发送到中央处理器MCU，至少制动系统可以独立。
那么我们来分析几种可能性：
首先，iBooster 不关心加速信号，它只负责制动和能量回收。如果接收到制动信号，则必须激活制动器。当 MCU 收到来自 iBooster 的制动信号时，必须执行制动优先原则，停止驱动器的加速。
如果 iBooster 无法正常向 MCU 提供制动信号，可能是加速和制动同时工作。MCU无法为iBooster提供能量回收控制信号（电机只会工作在能量回收和加速状态之一），因人为操作优先。那么制动系统肯定会正常工作。
所以最坏的可能就是边加速边刹车，会出现非常明显的刹车系统过热现象（因为ABS系统负责刹车，而加速是驱动轴负责，作用在车轮上）同时），但不会有明显的刹车痕迹。. 从刹车盘的温度可以判断是否存在这种故障。
许多汽车黑客利用这种可能性来否认特斯拉自动驾驶系统的安全性。那么，原则上，我们将这个错误分解为几个实际可能的结果
如果不踩刹车，iBooster会误将刹车信号发送给MCU，MCU误判断刹车信号变成加速信号，执行加速。
第一种可能性的概率肯定小于百万分之一（同一个系统中的多个节点同时出错），第二个MCU不可能接受来自iBooster系统的信号并将其传输到电机驱动控制系统。
踩刹车，iBooster向MCU提供刹车信号，MCU将刹车信号误判为加速信号，执行加速。
这是不可能的，因为 iBooster 提供的信号和 booster 提供的通道是相互独立的。iBooster 系统只向 MCU 提供刹车信号，不可能有加速信号。因此，单片机不可能只考虑发送信号的值，还考虑数据是从哪个通道发送过来的。显然，iBooster 系统不可能发送加速度信号，因此无法接受 iBooster 设计提供加速度信号的可能性。
上述方法中，只要踩下刹车，iBooster就会正常判断信号，肯定会进行刹车操作。无论单片机是否正确识别信号，首先要保证制动系统的正常工作。也就是说，即使MCU解析信号错误，最坏的结果是加速和刹车同时执行，不会出现只加速不刹车的问题。
这种可能性比较普遍。如果你喜欢关注车祸，大量相关事故视频（比如A站有一个交通事故视频，这个up主基本每天更新，提供地址：如果你是认真的，你会输(?ω?)ノ-(゜-゜)つロ）
这可能性有多大？我没有找到任何国内数据，只有一些不一定准确的数据：
据美国2015年统计，其境内每年平均发生1.6万起油门踏板意外事故。据统计，2011年日本平均发生油门踏板事故7000起，死亡1万人。按照这个计算，每天可能有300多人死于误踩油门的事故。
如果刹车时油门出现问题，特斯拉的自动紧急制动系统会起作用吗？
对不起，如果你猛踩油门，神不能阻止它，所以特斯拉的自动紧急制动系统不起作用
以上是特斯拉手册的节选
也就是说，无论车速多少，只要踩下油门，自动紧急制动系统肯定不会起作用。也就是说，无论是原地起步还是减速，如果不小心踩了油门当刹车，结果肯定会和其他车辆一样。
那么为什么自动紧急制动不干预这种危险行为呢？
原因是人的操作比车辆的自动操作具有更高的优先级，即车辆自动制动时，如果你猛踩油门，它肯定会向前行驶；当车辆自动加速时，如果刹车，车辆肯定会急剧减速。
为什么要这样设计？
根据交通法规，驾驶车辆的责任由车辆驾驶员承担。根据谁负责的基本逻辑，可以肯定的是，驾驶员的操作比自动操作具有更高的优先级。
另一个原因，如果你了解产品设计，你应该知道路径依赖的基本原理。自动驾驶控制逻辑继承自飞行器上的自动驾驶。
根据最近在中国发生的一些特斯拉汽车事故，有一些结论可以说是负责任的。关于制动系统的安全性汽车的刹车系统有哪些，通常第三方可以检测是否存在故障。与其像一些人说的那样需要特斯拉提供，而是给了特斯拉一个推卸责任的机会。
因为制动系统可以独立工作，只要检查制动踏板，iBooster系统的踏板行程传感器是否准确，iBooster系统工作是否正常，ABS系统是否正常。不要管单片机是否给iBooster信号，反正它不会给加速信号，也不会放弃刹车信号。
最后，有点题外话：
特斯拉Autopilot有没有可能突然加速？AP有复杂的安全冗余设计来限制自动加速的功率输出的可能性很小
特斯拉 Autopilot 是否在没有警告、没有危险的情况下突然刹车？有
特斯拉 Autopilot 是否可以不用手动启动自动启动？不，只有意外的触摸不会自行启动
特斯拉 Autopilot 是否有可能没有发现障碍物并撞到它？有
会不会是特斯拉自动驾驶时脚刹失效？除非 iBooster 出现机械故障（例如，弹簧卡住无法踩到）
特斯拉 Autopilot 有没有可能在闹市区（比如人满为患、车子等障碍物）突然加速？这几乎是不可能的。为了科学严谨，它几乎等于 99.999999%。闹市区障碍重重，识别系统会不会全出错？此外，当达到拥堵程度时，识别系统甚至无法识别车道线，根本无法启动自动驾驶。
此外，不要将电影和电视节目作为了解汽车的来源。无论是哪个国家的影视剧，无论是汽车抛锚、事故发生，还是激烈驾驶，都没有1%的几率符合科学。文艺作品中的交通事故符合剧本的要求，而不是科学的原则。