故障导向安全（Fail Safe）是一种设计原则，旨在确保在设备或系统发生故障、错误或失效的情况下，系统能够自动导向安全状态，从而减轻或避免损失。这一原则在许多关键领域，如轨道交通、医疗设备和安全系统等，具有至关重要的应用价值。

核心概念

安全优先 ：在故障发生时，系统的响应动作应优先保证安全，而不是追求效率或成本。这与互联网系统有所不同，后者通常允许一定程度的失败，并通过快速恢复来维持可用性。

默认危险状态 ：系统在处理不确定性时，会默认处于危险状态，并通过后续条件逐步验证是否可以解除这种假设。这种“默认危险”假设在障碍物检测、信号判断和设备控制等场景中非常常见。

白名单思维 ：只有通过严格的验证条件，系统才会解除危险假设，允许正常运行。这意味着系统在默认情况下会采取保守策略，确保安全性。

应用领域

轨道交通 ：在地铁和高铁等轨道交通领域，故障导向安全原则要求系统在发生故障时能够降速或立即制动停车，以确保乘客安全。

铁路信号设备 ：铁路信号设备在发生故障时，应具有导致减轻以至避免损失的功能，例如通过信号显示降级、使用冗余技术和应急替换技术等手段来保证行车安全。

医疗设备 ：在医疗设备的设计中，故障导向安全原则确保在设备发生故障时，能够自动导向安全状态，防止对患者造成伤害。

安全系统 ：在安全系统中，故障导向安全原则用于确保在系统发生故障时，能够防止人为操作错误带来的危险后果，并通过检测、报警和预防性养护技术来减轻损失。

设计原则

防止人为错误 ：通过设计防止人为操作错误带来的危险后果，例如使用联锁和闭塞错误技术。

功能软化或降级 ：在故障发生后，系统能够通过功能软化或降级使用技术，确保仍能保持一定的安全性能。

冗余技术 ：使用冗余技术，当主系统发生故障时，备用系统能够自动接管，确保系统仍能安全运行。

应急替换技术 ：在关键部件发生故障时，系统能够自动进行应急替换，确保系统的持续安全运行。

检测与报警 ：通过检测与报警技术，及时发现系统故障，并发出预警信号，以便采取相应的安全措施。

结论

故障导向安全是一种重要的设计原则，广泛应用于多个关键领域，确保在设备或系统发生故障时，能够自动导向安全状态，从而减轻或避免损失。这一原则的核心在于安全优先，通过默认危险状态和白名单思维来设计系统，确保在故障发生时能够采取保守且有效的安全措施。