2、基础知识：无人车感知系统组成、目标检测与识别的基本原理、异常保护在自动驾驶架构中的位置
无人驾驶汽车要安全行驶，首先需要“看清”世界，其次需要“理解”世界，最后还需要在“看不清”或“理解错误”时做出正确的安全响应。本章作为异常保护课程的基础，将系统梳理无人车感知系统的硬件与软件组成、目标检测与识别的基本原理，并明确异常保护机制在自动驾驶整体架构中的层级位置。只有理解了感知系统如何工作、在哪些环节可能失效，才能设计出有效的目标丢失、识别错误和人工接管处理流程。
2.1 无人车感知系统的组成
无人车感知系统是自动驾驶的“眼睛”和“耳朵”，其核心任务是将物理世界的交通环境转换为数字化的语义信息。一个完整的感知系统通常由传感器硬件层、信号预处理层、感知算法层和感知输出管理层四个部分组成。
2.1.1 传感器硬件层
不同传感器在探测原理、探测距离、精度、环境适应性上各有优劣，因此现代无人车普遍采用多传感器融合方案。下表对比了主流传感器的关键特性：
| 传感器类型 | 主要探测内容 | 优势 | 典型局限 | 异常风险点 |
|---|---|---|---|---|
| 摄像头（单目/双目/环视） | 颜色、纹理、车道线、交通标志、行人/车辆外观 | 信息丰富，成本低，可识别语义细节 | 受光照、雨雾影响大；缺乏直接深度信息 | 逆光、夜间、镜头污损导致漏检 |
| 激光雷达（LiDAR） | 三维点云、精确距离、物体轮廓 | 测距精度高（厘米级），不受光照影响 | 雨雪/雾天衰减严重；点云稀疏时识别困难 | 灰尘遮挡、振动导致点云畸变 |
| 毫米波雷达（Radar） | 目标距离、径向速度、方位角 | 全天候工作，直接测速，探测距离远 | 角度分辨率低，难以识别静止物体类别 | 多径反射导致虚假目标 |
| 超声波传感器 | 近距离障碍物（<3m） | 成本极低，近距离探测可靠 | 探测距离短，响应慢 | 泥污覆盖导致误报 |
| GNSS/IMU组合 | 车辆位置、姿态、加速度 | 提供全局定位基准 | GNSS受遮挡/多路径影响；IMU存在累积漂移 | 隧道、地下车库信号丢失 |
2.1.2 感知算法层与输出管理
感知算法层负责将原始传感器数据转化为结构化目标信息。典型流程包括：目标检测（在图像或点云中框出物体）、目标分类（判断是车辆、行人、骑行者还是障碍物）、目标跟踪（为每个目标分配稳定ID并持续更新其状态）、传感器融合（将多源数据对齐到统一时空坐标系）。感知输出管理层则负责维护一个全局目标列表，记录每个目标的ID、类别、位置、速度、朝向、置信度以及历史轨迹，供下游决策规划模块使用。
2.2 目标检测与识别的基本原理
目标检测与识别是感知系统的核心能力，其任务是在传感器数据中定位感兴趣的物体并判断其类别。当前主流技术路线分为基于深度学习的方法和传统几何/特征方法，其中深度学习已占据主导地位。
2.2.1 基于深度学习的检测流程
以摄像头图像为例，目标检测通常采用卷积神经网络（CNN）或Transformer架构。其基本流程如下：
- 输入预处理：将图像缩放至固定尺寸（如640×640），进行归一化、去畸变等操作。
- 特征提取：通过骨干网络（如ResNet、EfficientNet）提取多尺度特征图。
- 候选区域生成：在特征图上预设大量锚框（Anchor）或使用无锚框（Anchor-free）方式生成候选框。
- 分类与回归：对每个候选框预测其包含物体的类别概率（分类头）以及边框坐标偏移量（回归头）。
- 后处理：通过非极大值抑制（NMS）去除重叠框，保留置信度最高的检测结果。
对于激光雷达点云，常用方法包括PointPillars、VoxelNet等，将三维点云转换为伪图像或体素特征后进行处理。毫米波雷达则通常采用恒虚警率（CFAR）检测结合聚类算法提取目标点迹。
2.2.2 目标识别的不确定性来源
识别错误并非偶然，而是源于多个层面的不确定性：
- 传感器噪声：摄像头曝光不足、雷达多径反射、LiDAR点云稀疏等。
- 算法模型局限：训练数据覆盖不足（如罕见车型、异形车辆）、模型过拟合、泛化能力差。
- 环境干扰：雨雪、雾霾、强光、阴影、遮挡、相似外观物体（如卡车与集装箱）等。
- 时序不稳定：单帧检测正确但连续帧间出现ID切换、目标闪烁消失。
2.3 异常保护在自动驾驶架构中的位置
自动驾驶软件架构通常划分为感知层、决策规划层、控制执行层三层，而异常保护机制并非独立于这三层之外，而是贯穿其中、形成安全兜底。从功能角度看，异常保护位于感知输出与决策规划之间的安全监控与降级管理位置，同时与控制执行层联动。
2.3.1 异常保护的功能定位
异常保护模块承担三类核心职责：
- 感知质量监控：实时评估感知输出的可信度，包括目标置信度、传感器健康状态、数据时间戳新鲜度、多传感器一致性校验。
- 异常状态判定与响应：当检测到目标丢失（如跟踪目标突然消失）、识别错误（如置信度骤降、类别跳变）或系统异常（如传感器故障）时，触发相应的降级策略。
- 人工接管管理：当系统无法安全自主行驶时，通过人机交互界面（HMI）向驾驶员发出接管请求，并监控接管过程是否顺利完成。
2.3.2 异常保护与各层级的交互关系
异常保护模块与上下游的交互关系可以概括为：
- 与感知层交互：接收感知输出的原始目标列表和置信度信息，同时向感知层发送“感兴趣区域”请求（例如在目标丢失区域强制重新检测）。
- 与决策规划层交互：当异常保护判定当前感知数据不可靠时，通知决策规划层降低车速、扩大安全距离、切换至保守驾驶模式（如靠边停车）。
- 与控制执行层交互：在极端情况下（如驾驶员无响应），异常保护可直接触发紧急制动或安全停车指令。
2.4 案例拆解：感知异常导致的目标丢失与降级响应
为帮助理解异常保护的实际运作，以下通过一个典型场景进行拆解。
2.4.1 场景背景与初始现象
某L3级自动驾驶车辆在城市快速路上以80km/h巡航，感知系统通过前视摄像头和激光雷达融合跟踪前方一辆白色厢式货车。车辆行驶至高架桥下方时，阳光被桥体遮挡形成强烈明暗交替区域。此时感知系统出现以下异常：
- 摄像头检测置信度从0.92骤降至0.45，目标框出现抖动；
- 激光雷达点云在桥下区域出现稀疏，目标点云数量减少约60%；
- 融合模块输出的目标速度出现±5km/h的跳变。
2.4.2 异常保护模块的分析与判断
异常保护模块通过以下逻辑进行判定：
- 置信度阈值检查：目标置信度低于0.5，触发“低置信度”告警。
- 多传感器一致性校验：摄像头与激光雷达对同一目标的位置输出偏差超过1.5m，判定为“感知不一致”。
- 时间戳新鲜度检查：融合目标的数据更新频率从20Hz降至8Hz，判定为“数据延迟”。
综合以上三项指标，异常保护模块判定当前处于“感知部分失效”状态，目标丢失风险极高。
2.4.3 实际操作步骤与结果
异常保护模块执行以下降级策略：
- 第一步：向决策规划层发送“感知降级”信号，要求将最高车速限制从80km/h降至40km/h。
- 第二步：请求感知层对桥下区域进行强制重新检测，并扩大目标搜索范围。
- 第三步：若2秒内目标仍未恢复稳定跟踪，则触发“最小风险状态”（MRC），车辆开始减速并准备靠边停车。
- 第四步：同时通过HMI向驾驶员发出接管请求，显示“请准备接管”提示。
实际结果：车辆在3秒内平稳减速至40km/h，目标在驶出桥下阴影区后恢复稳定跟踪，系统自动解除降级状态，车辆重新加速至巡航速度。整个过程未发生急刹或碰撞，驾驶员未实际接管。
2.4.4 复盘与经验
该案例揭示了异常保护设计的几个关键原则：
- 分级响应而非一刀切：根据异常严重程度采取不同级别的降级措施，避免频繁触发人工接管。
- 时间窗口设计：给予感知系统短暂的恢复时间（如2秒），避免因瞬时抖动导致不必要的停车。
- 多指标联合判断：单一指标（如置信度）可能误报，结合一致性校验和时间戳新鲜度可提高判定准确性。
2.5 常见误区与总结复盘
在理解感知系统与异常保护时，工程师和学员常陷入以下误区：
- 误区一：认为感知置信度越高越安全。实际上，置信度是模型内部概率，不代表真实世界的确定性。高置信度误检（如将广告牌上的卡车图片识别为真实卡车）同样危险。
- 误区二：忽略传感器之间的时间同步。如果摄像头和激光雷达的时间戳未对齐，融合目标的位置会出现系统性偏差，导致异常保护误判。
- 误区三：将异常保护视为独立模块。异常保护需要与感知、决策、控制深度耦合，孤立设计会导致响应延迟或策略冲突。
- 误区四：过度依赖人工接管作为兜底。L3级及以上系统中，驾驶员可能处于分心状态，接管请求需要设计足够的缓冲时间和渐进式提醒。