背景

2025年新能源车销量突破1600万辆，渗透率过半，L3准入法规逐步落地。线控制动国标允许ETBS正式上路，奇瑞星途、理想L9等车型已率先搭载量产EMB（电子机械制动）系统。在此背景下，EMB作为智能驾驶的关键执行部件进入量产窗口期。

一、EMB冗余设计：做减法，再做加法

EMB的安全设计理念可以概括为：对机械结构做减法，对安全冗余做加法。

做减法体现在三个维度：

• 响应：传统液压制动响应时间300~500ms，EMB通过电信号直接驱动轮端电机夹紧卡钳，响应时间压缩到100ms以内。
• 架构：完全舍弃液压模块（主缸、管路、助力器、制动液循环），大幅释放底盘空间。
• 集成：传统制动、转向、悬架是独立的三套系统，在线控后可以融合为智能底盘大系统。

做加法则是通过多重冗余实现ASIL D，当前主流方案有两种路径：

1、中央控制器+4个独立卡钳控制器：卡钳控制器可作为中央控制器的冗余备份，中央控制器内部采用主备双通路。

2、全链路冗余架构：双供电冗余隔离、冗余通信、轮端制动力动态补偿算法，每个轮端控制器接入轮速传感器，整车电源和通信均采用双路设计。

此外，执行器与控制器完全解耦，算法可移植到OEM的域控平台，对有自研能力的主机厂意味着更大的复用空间。

二、功能特点：不止于冗余

一是制动距离缩短。 相比液压系统，响应时间提升43%，制动距离缩短约2米。在ABS滑移率控制上，EMB波动更小，平均减速度提升0.05G，更适配AEB及L3以上智驾要求。

二是制动协同转向。 在转向角度不足的场景下，制动系统可响应横摆力矩请求，通过单侧制动协同转向，提高车辆可控性。

三是单轮失效跑偏补偿。 由于每个轮独立可控，当某个轮失效时，通过制动力重新分配可保证车辆不跑偏、稳定刹停。演示视频中，拆掉一个轮的EMB车辆仍能稳定刹停。

三、冗余储能的工程约束：断电即丢制动，这是EMB最硬的骨头

传统液压制动在整车断电时，驾驶员仍可通过脚力踩制动实现物理兜底。EMB是纯机电线控，完全依赖电和电机，断电即意味着制动丢失。

法规对此的强制性要求包括：

• 必须满足双电源冗余设计，两路电源独立、互不干扰
• 对蓄电装置（电池或DCDC）有明确的硬件指标和自检要求
• 需全链路能量监控，实时感知失效

法规还提出两个测试要求：

• "8+1"测试：八次全力制动后，仍须支持第九次应急制动（减速度≥2.44m/s²）
• "4+1"要求：蓄电池须具备老化报警功能，SOH（健康状态）衰减超20%时报警；电量低至阈值时车辆须在60秒内自动减速至20km/h以下

该要求的本质是把蓄电池全生命周期的健康管理纳入功能安全范畴。当前行业主流工程方案是以动力电池作为主能源、蓄电池作为备份能源，单点失效后仍可提供关键减速能量，中间电源隔离模块须满足ASIL D。

四、GB 21670与ISO 26262：不是二选一，是完整拼图

GB 21670是国内强制性标准，以结果为导向，2026年1月1日起全面实施；ISO 26262以方法论为导向。两者不是替代关系，构成完整的量产拼图。具体落地形成三层映射：

层级	要求
整体要求	ETBS须满足ASIL D硬件指标
流程映射	从概念到验证全流程须符合ISO 26262开发体系
证据链	按GB 21670附录A/B/C，对概念阶段（HARA与安全目标）、测试验证（V模型右侧）、系统/硬件/软件架构描述提供完整证据链

在ASIL分解上，不必每个通道都做到ASIL D：双路电源冗余中每路满足ASIL B即可，通过主备切换和功能安全分解实现整体ASIL D；通信冗余通过双通道和E2E（端到端保护）保障；单回路失效时仍须满足应急制动的减速度要求。

五、从分布式到集中式：底盘域控融合趋势

底盘架构正经历从分布式到集中式的变革：从2015年的分布式架构（几十到上百个ECU通过CAN总线通信），到域集中式（五大域通过以太网骨干互联），再到中央计算加区域控制架构。演进方向指向三个关键词：全线控化、软硬解耦、XYZ三向融合。

以蔚来ET9高速爆胎稳定控制为例：130km/h爆胎场景下，线控转向在230ms内完成方向修正，ESP在10ms内参与爆胎控制调整扭矩分配，全主动悬架在1ms内调节车身姿态——三系统毫秒级联动保障车辆安全平稳停车。这在传统分立式液压架构下几乎不可能实现。

EMB与集中式架构存在天然契合：纯线控的轮端直连域控，支持软件定义汽车的需求。取代液压不只是部件替换，更是在集中式架构下产生协同效应。

六、常见问题问答

Q1：单轮抱死失效，系统如何响应？力传感器成本如何平衡？
单轮失效时，系统通过制动力重新分配算法，结合各轮状态信息，通过ABS算法保证车辆稳定控制；丢失制动力的轮通过对侧力的修正保持车身姿态稳定。力传感器方面，目前主流方案已不采用物理力传感器，改用力估算算法降低成本，主流厂商均采用此方案。

Q2：EMB对前级智能配电产品有何要求？L3以上是否必须用EMB？
配电须满足功能安全（至少ASIL B），同时需提供电池SOH、故障状态等信息，中间电源隔离模块须满足ASIL D。关于L3与EMB的关系：EMB响应时间小于100ms，液压为300~500ms，大部分安全目标的FTTI定义在200~500ms之间，响应时间直接影响控制效果。L4以上EMB是必需的；L3阶段部分厂家采用EHB，但需克服响应时间瓶颈。

Q3：同构冗余怎么解决？降级算安全状态吗？
同构冗余通过DFA（关联失效分析）评估。能异构的部分尽量做异构设计（如传感器采用霍尔加电感），但MCU这类核心器件难以完全异构，这是成本与安全的平衡。降级可定义为安全状态，但具体定义取决于安全策略，降级后的ASIL等级需重新计算。

Q4：4个轮端执行器如何避免共因失效？
需考虑异构设计。能异构的做异构，但MCU等器件难以做到完全异构，这是行业共同的工程难题。

结语

EMB的价值不只是"比液压更快"，而是为智能底盘提供可独立控制、可重构、可协同的轮端执行能力。决定其能否量产落地的，不是冗余数量，而是每条冗余链路在故障发生时能否被检测、隔离、接管，并通过完整证据证明安全目标仍可满足。

【本期直播切片】

一个人想，不如一群人聊，填写表单进 SASETECH 技术社群，和作者、和同行直接对话吧