所以要进行功能安全监控，而且设计上需要保证失效也要进入fail-safe状态
而且ECU的上层控制也要足够鲁棒，保证如果是非critical的reset后，软件里的各种状态机能够根据当前输入信号快速恢复到正常功能，这个过程是几十毫秒级的，可以使驾驶员几乎无觉察

【 在 qmoyi (qmoyi) 的大作中提到: 】
: 会不会引起重大事故?
: 一直以来都有这个疑问
--
FROM 116.233.91.*