安防冗余设计这笔账怎么算？——从美国强制AM广播看报警链路底线
TL;DR：美国立法强制新车免费装回 AM 广播，车企为此掏 38 亿美元；同一周，中国用户的智能硬件因云端停服作废。两件事是同一道题——当一项功能成为安全链上的环节，谁有权决定它的生死。本文把这道题翻译成安防行业的版本：断电开门我们已写进强标，但报警链路的通信冗余与云服务存续仍是空白；安防冗余设计的核心，是保证那件事在需要的那一刻一定会发生。
同一个星期里发生两件事：美国人立法强制新车装回 AM 广播，中国用户的智能硬件因云端停服而作废。它们其实是同一道题的两个解法——当一项东西成为安全链上的环节，谁有权决定它的生死，删掉它的账由谁来付。本文把它翻译成安防行业的版本，并给出一张”谁背锅”的现实清单。
美国为什么肯为一项”过时技术”掏 38 亿美元？
先把 AM 法案的逻辑说清楚，否则照搬会照歪。
2026 年 9 月 15 日，美国众议院以两党共识通过《AM Radio for Every Vehicle Act》（每台车配备 AM 广播法案），超过 300 名众议员联署。法案要求在美国生产、销售或进口的新乘用车，必须免费配备 AM 广播收音功能——不得设为选装，不得变相收费，不得订阅解锁。美国汽车研究中心（CAR）测算，为满足这一要求，整个汽车行业需投入约 38 亿美元，折算到每台电动车上约 50–70 美元。
AM 广播在今天技术上相当落后：音质差、带宽窄、易受干扰。电动车厂商嫌弃它有实打实的工程理由——高压线缆、逆变器、电机工作时的宽频电磁噪声正好落在 AM 频段内，导致明显的静电噪声，严重时完全盖过节目内容。与其做屏蔽滤波，不如干脆删掉。特斯拉、Rivian、宝马、沃尔沃都这么干过。
但应急管理部门不答应：飓风、龙卷风、野火面前，蜂窝网络和电力会中断，AM 广播不会。它是公共应急通信体系中一道不受断电断网影响的兜底通道，尤其覆盖基站稀疏的乡村地区。
立法者做了一次价值排序，钉死四条：
- 技术迭代不等于删减权。厂商有权升级，无权单方面抽掉安全链上的一环。
- 负外部性内部化。每台车省下的 50–70 美元，对应的是灾害时全社会承担的信息真空，立法把这笔账划回去。
- 付费墙红线。应急能力不得成为商业模式的一部分——几乎把 AM 广播抬到了安全带、后视镜的地位。
- Fail-Safe 法定化。紧急时刻必须可用，且无偿、默认开启、不可绕过。
过去的标准管的是”功能做得多好”，这类立法管的是”必须活多久”。这个转向，才是安防行业该竖耳朵听的部分，也是安防冗余设计立意的起点。
安防行业面对的是哪两道不同的题？
把 AM 法案往安防身上套之前，必须先承认一件事——这类讨论里通常混着两道不同的题，而它们的解法完全不同。不分开讲，安防冗余设计就只是一句口号。
| 甲类：公共安全冗余的强制性 | 乙类：产品与服务的存续性义务 | |
|---|---|---|
| 问的问题 | 紧急时刻，那个环节还在不在 | 三年五年后，这个东西还认不认账 |
| 典型场景 | 报警链路、门禁逃生、消防联动 | 云停服变砖、App 关停、算法下架 |
| 失效原因 | 厂商为降本/升级主动删除 | 服务方终止运营，硬件没坏但价值归零 |
| 救济路径 | 标准、强标、验收 | 合同、消费者保护、违约责任 |
| 中国现状 | 门禁侧硬、通信侧软 | 近乎空白，靠违约责任兜着 |
| 对应 AM 法案的哪半边 | 正面对位 | 法理同源，但不是同一题 |
AM 法案本身只解决甲类。真正让安防行业难受的是，我们甲乙两道题都摊上了，而且乙类比甲类更容易被忽略——因为它不表现为故障，表现为”东西还好好的，就是不能用了”。下面分两组看。
中国的公共安全冗余哪里领先、哪里裸奔？
领先的一面：断电开门已写进强制性规范
疏散路径上的门禁怎么处置，中国给出了成套答案：
- GB 55037-2022《建筑防火通用规范》7.1.7：建筑中控制人员出入的闸口和设置门禁系统的疏散出口门，应具有在火灾时自动释放的功能，且人员不需使用任何工具即能容易地从内部打开。注意编号——GB 5xxxx 系列是强制性工程建设规范，全文必须严格执行，没有”宜””可”的余地。
- GB 51348-2019《民用建筑电气设计标准》14.4.3：疏散通道上设置的出入口控制装置必须与火灾自动报警系统联动，在火灾或紧急疏散状态下，应处于开启状态。
- GB/T 40248-2021《人员密集场所消防安全管理》8.1.9：给出三条等效路径——报警逃生门锁系统（延迟不超过 15 s）、可远程/现场手动开启的电磁门锁、推闩式外开门。
翻译成工程师的话：电没了，门必须是开的（Fail-Safe）。这条原则靠图纸审查与竣工验收压到了每一栋楼。在”断电要不要保命”这件事上，中国的规则比美国 AM 法案还硬——人家还在等参议院，我们已经写在强标里执行了。
裸奔的一面：网没了，报警去哪儿
GB 12663-2019《入侵和紧急报警系统 控制指示设备》这份报警主机的基础强标里，供电侧规定得很细：
- 备用电源最短工作时间：安全等级 1–2 级 8 小时，3–4 级 12 小时
- 主备电源自动切换，切换时不应出现漏报警及误报警
- 到报警接收中心（ARC）的互连需周期性验证，验证间隔不大于 20 min，验证失败时应在 10 s 内给出故障指示与报警信息
需要把话说严谨：以上依据是该标准的公开条款摘录与行业通行解读（可参考站内GB 12663-2019 分级与备用电源指标解读）。就其中可见的部分而言，冗余设计集中在两个方向——供电侧（备用电源与主备切换）和链路监督（周期性互连验证、故障及时上报）；但并未看到针对”运营商制式整体退网”这类外部链路消失情形的强制兜底要求。若正文中另有规定，欢迎同行指正。
换句话说：主机坏了、电断了，标准都想到了；”整个网络没了”怎么办，没人管。这正是安防冗余设计在通信侧的缺口。
而时钟正在走：
- GSMA 数据显示，截至 2025 年底全球已有 140 多家运营商完成或计划完成 2G/3G 退网；国内 2G 已于 2023–2024 年间退网，3G 分批退出（浙江联通明确 2026 年 6 月停服）
- 过去十年部署的 GPRS/3G 报警主机、定位终端、远程抄表 RTU，大量仍依赖 2G/3G 回传
- 海外已有连锁反应：欧洲强制安装的车辆 eCall 紧急呼叫大量依赖 2G，直接拖慢了当地 2G 退网进度
【真实新闻案例：2G退网导致报警主机失联改造项目（2025）（来源：山西银行官方采购公示） 受工信部2G、3G老旧网络退网政策影响，山西银行大同分行银行网点110公安联网报警项目出现批量设备离线隐患，现场共计33台2G制式报警主机面临基站关停、报警信号失联、无法合规联网的风险。为满足公安安防备案要求、消除网点安防盲区，本次全部改造升级费用由甲方建设单位（山西银行）全额承担，通过更换通信模块完成全网升级。该官方公示案例证实，老旧蜂窝网络退市会直接导致存量安防系统失效，且无免费改造政策，存量项目普遍存在后期改造成本不可控的风险。 官方原文：山西银行采购公示 GB/T 7714-2015 参考文献】
一个坦白：付费墙这条缺数据
AM 法案最狠的一条是”不得收费”。映射到安防，对应的是报警推送、云存储、远程布撤防被做成订阅制、欠费即停的现象。
这一点我手上没有可靠的统计数据，只能作为行业观察提出，不构成严谨论据：从产品定价结构看，”基础功能免费+应急能力订阅”的模式在消费端相当常见，而 Alarm Receiving（接警）链路作为系统可用性的最后一环，理论上不应掌握在用户的续费意愿手里。这一条欢迎同行用真实合同案例补证或反驳。
设备没坏却不能用了，这笔账谁来认？
乙类问题：一个消费电子案例，以及它的边界
2026 年 9 月 16 日，央广网啄木鸟消费者投诉平台披露：湖北荆门一位消费者 2022 年购买的海康威视 D1 行车记录仪，核心卖点”高德 AR 实景导航”在使用四年后因高德相关服务调整而永久失效。厂家以”产品过保””第三方下架”为由拒绝处理，属地市场监管部门 12315 调解未果。
必须先划清边界：行车记录仪是消费电子产品，不是安防报警设备，两者后果量级完全不同，不能等同。但这个案子的价值在于，它把一个跨行业的结构性漏洞摆上了台面——而这个漏洞落在安防身上只会更重。
报道中律师的分析点出了要害：
- 走《产品质量法》第 46 条”产品缺陷”路径难以成立——缺陷的法定定义是”存在危及人身、他人财产安全的不合理的危险”，而功能失效属于履约问题
- 真正可走的是违约责任路径：页面宣传与说明书承诺构成买卖合同的组成部分，可依《民法典》第 563、577 条及《消费者权益保护法》第 24 条主张解除合同、退货退款
- 更深一层，这是典型的服务依附型产品：硬件物理寿命还长，核心价值却寄居在别人的服务器上
今天的《产品质量法》是用来对付”一次性质量缺陷”的，而智能设备的故障可能发生在交付三年之后，且根本不是硬件坏了。
空白有多大，看一组对照
美国 FTC 2024 年 11 月的调查可作为参照：工作人员抽查 184 款智能产品（涵盖助听器、安防摄像头、智能门锁等），近 89%（161 款）未在官网披露软件更新的支持期限；即便做进一步网络搜索，仍有三分之二（124 款）查不到支持期限或终止日期。FTC 明确指出，这可能涉嫌违反 Magnuson-Moss Warranty Act，也可能构成 FTC Act 下的误导性陈述（来源：U.S. FTC，2024 年 11 月，《Smart Products Surveyed Fail to Provide Consumers with Information on How Long Companies will Provide Software Updates》）。
连”我打算服务到哪年”都不用告诉你——这才是根上的问题。
【2022 年 7 月，阿里智能官方发布业务调整公告，宣布于同年 10 月 25 日正式关停阿里智能云物联平台，全面终止存量设备接入、云端算法调度与运维服务。由于大量安防传感设备、报警主机、园区物联网终端固件强制绑定厂商私有云，无本地离线运行能力、不支持国标协议迁移，平台停服后远程告警、在线巡检、设备管理等核心安防功能全部失效。大量尚在维保期内的智慧园区、小微安防项目瘫痪，导致集成商尾款结算受阻、现场被迫整体改造返工，充分说明安防系统核心业务单一公有云强绑定存在极高的停服烂尾风险（来源：物联网智库，2022-07-29）。】
设备失联期间出了事故，集成商为什么常背锅？
前面讲的都是立法和标准，落地还有一段距离。但有一笔账是明天就可能找上门的：设备失联期间出了事故，责任判给谁？
现实的走向往往是这样的：用户只知道”系统是你装的、合同跟你签的”；厂商说”网络是运营商断的，与我无关”；运营商说”退网提前公告过，是用户没迁移”。三方一推，最后坐在被告席上的常常是集成商。
这不是危言耸听，而是责任链条没有明确划分时的自然结果。所以在规则到位之前，有几件事今天就能做：
- 合同里划清链路责任边界：明确写明”通信链路可用性依赖于运营商网络与平台服务方”，并把退网、停服列为明示风险项
- 留存证据：保存运营商退网公告、厂商停服通知、你发出的书面提醒——这三样在未来的责任认定里很值钱
- 把迁移做成独立报价项：不要塞进维保里白送。2G/3G 存量改造是一次性工程，单独立项、单独报价
- 验收单多写一行：断电、断网、平台失联三种情形下，系统的实际行为是什么。这行字既是留痕，也是你区别于低价同行的专业度
【2026 年 5 月 19 日，负责连云港某县人民医院一键报警的工程商C总，皱着眉头问我2年前安装的NB-IOT按钮，为啥有5个没信号了，当初刚安装的时候 信号CSQ可是能达到20的！，我苦笑着回应:老大通信营运商基站的裁撤导致的信号覆盖变化，我也没辙啊】
立法和标准接下来会往哪走？
方向可以预判，优先级有高有低。对安防冗余设计而言，下面四条最值得盯：
| 优先级 | 调整方向 | 具体内容 | 参照样板 |
|---|---|---|---|
| 1 | 支持期限强制披露 | 智能联网产品必须标明软件与云服务支持截止年限，标入包装与说明书 | FTC 2024 报告 + Magnuson-Moss Warranty Act 思路 |
| 2 | 服务连续性与退市兜底义务 | 终止服务须提前公告，并三选一提供出路：接口/固件开源移交、第三方接管、回购或退赔；《产品质量法》第 46 条”缺陷”定义有望扩容至”服务性废止” | 现行只能走违约责任，亟待专门规则 |
| 3 | 冗余链路入强标 | 修订 GB 12663 时增补”备份传输路径”条款，按路径数量与切换时间分级 | 欧洲报警传输系统（ATS）分级体系，如 EN 50136 的成熟度框架 |
| 4 | 退网/退服成本分担规则 | 谁主张退网退服，谁承担存量迁移主要成本；或让获得替代红利的一方付费 | 美国 AM 法案 38 亿美元由车企承担 |
第 1 条成本最低、阻力最小、见效最直接——不需要厂商承诺服务到天荒地老，只需要他们把退出时间写在盒子上。
给技术侧的三条（这是工程师自己能决定的）：
- 双模/多模冗余：新建项目优先选 NB-IoT + 4G Cat.1 + LAN 的多链路机型，别把安全押在单一制式上
- 本地兜底优先：断网时本地声光报警、本地事件存储必须照常——云端应是增值项，不该成为单点故障
- 把 GB 12663 的心跳条款用足：标准已有”互连验证 ≤ 20 min、失败 10 s 内上报”的机制，把这套监督逻辑从”主机到平台”扩展到”主机到链路”，技术框架是现成的
关于安防冗余设计，有哪些常见误区？
误区一：立法就该锁死某项具体技术。AM 法案锁死的是一个具体技术（AM 广播），而不是一项能力（紧急信息在极端条件下的可达性）。三十年后 AM 真消亡了怎么办？再立一部法？安防立法若照搬，就会写成”必须配两条物理链路”，而不是”紧急报警可达率须不低于某阈值、中断不得超过某时长”。前者锁死技术路线，后者给创新留白——立法该保护的是能力，不是实现能力的那个零件。
误区二：38 亿美元的数额可以直接类比安防成本。严格讲，38 亿美元对应全美应急广播覆盖率，安防双链路对应单台设备几十元成本，两者量级不同、不可直接相减。真正可借鉴的是原理（外部成本内部化），不是数额。另外，如果这笔成本最终由用户承担，很可能会抬高最低端市场的安全门槛——把本来用得起报警器的人挡在门外，这往往不以任何人的恶意为前提。
误区三：中国在这一题上全面落后，该抄美国作业。断电开门这件事，中国用了强制性工程建设规范，比尚需参议院通过的 AM 法案执行力度更硬。所以该问的不是”中国该向美国学什么”，而是——同一套 Fail-Safe 哲学，为什么在强电侧落地了，在通信侧掉了链子？
误区四：问题的要害是”功能被砍”。AM 广播被删是表象，深层矛盾是寿命错配——一个承诺服务十年的报警主机，跑在一个三年就可能消失的网络和一个随时可能退市的云上。立法真正该打的，是服务与硬件要么同寿、要么明说短寿并给出退出安置。至于保留 AM 还是 FM、2G 还是 NB-IoT，那是实现层的事，不该写进法律。
结语：这套冗余逻辑该怎么落到日常？
回看那台行车记录仪：硬件完好，镜头清晰，存储正常，只是云端的一个决定，让它退回了一台普通录像机。
一次录像功能的衰减算不上灾难。但换个场景它就变了：如果失效的是联网报警主机的接警链路呢？如果失效的是疏散通道门禁的消防联动呢？如果失效的是消防主机的联动输出呢？
后果量级完全不同，失效机制一模一样。它们是同一类东西——平时冗余到几乎被遗忘，需要的时候一次都不能缺席。判断一个安全系统的水平，不看它正常时多聪明，看它退化时能剩多少。安防冗余设计的全部意义，就在这句话里。
在此之前，把这句话落到日常：给厂商——把”还能用多久”印在包装盒上不丢人，丢人的是让不确定性由用户独自承担。给集成商——验收单上多写一行退化行为，那是你的专业，也是你的护身符。给最终用户——采购时多问一句：”如果贵司三年后停服，我的设备还能干什么？”把回答写进合同。
FAQ：关于报警链路冗余，最常被问的四个问题
取决于当地运营商的制式存续情况。国内 2G 已在 2023–2024 年间退网（各地进度不同），建议立即做的不是更换，而是普查：盘点存量设备型号与回传制式，标记高风险清单，再按业务重要性分批迁移到多模机型。
就公开条款看，它明确管了备用电源（1–2 级 8 小时、3–4 级 12 小时）和链路监督（到 ARC 的互连周期性验证、故障及时上报），但没有看到针对”运营商制式整体退网”的强制兜底条款。这也是本文所说的缺口所在。
走《产品质量法》第 46 条的产品缺陷路径通常难以成立；实践中更可行的是违约责任路径——页面宣传与说明书承诺构成合同组成部分，依《民法典》第 563、577 条及《消费者权益保护法》第 24 条主张解除合同、退货退款。
优先多模（NB-IoT + 4G Cat.1 + LAN）、确认断网降级行为写入验收单、要求厂商书面答复云服务的支持期限，并把答复放进合同附件。
我想了解更多
看的不过瘾？来电交流下！
