3、核心概念：目标丢失、识别错误、人工接管、安全冗余、功能降级等术语的准确定义与区别
无人车系统的异常保护机制并非单一技术点，而是一套围绕“感知-决策-执行”链路构建的多层防御体系。在工程实践中，工程师与安全员经常混淆“目标丢失”与“识别错误”的边界，或将“人工接管”简单等同于“驾驶员抢方向盘”，这些认知偏差会直接导致系统设计缺陷与测试用例遗漏。本章将严格界定五个核心术语的内涵与外延，厘清它们之间的逻辑递进关系，并给出可落地的判断标准与工程应对策略。
上图展示了五个核心术语在无人车系统中的位置与流转关系。感知层产生“目标丢失”与“识别错误”，决策层通过“功能降级”与“安全冗余”进行响应，最终在执行层触发“人工接管”。需要特别强调的是，这五个概念并非孤立事件，而是一条具有因果递进关系的异常处理链。下面逐一展开精确定义与工程区分。
3.1 目标丢失：感知连续性的断裂
核心定义：目标丢失（Target Loss）指无人车感知系统在连续时间帧内，对某个已确认的交通参与者（车辆、行人、骑行者）或静态障碍物的检测状态从“稳定跟踪”退化为“丢失”，且无法通过数据关联算法在后续帧中重新匹配。其本质是感知时间序列上的“断点”，而非单帧的检测失败。
判断标准（工程量化）：
- 时间阈值：连续超过 300ms（约 10 帧 @30fps）无法关联同一目标 ID，即判定为目标丢失。低于该阈值视为“短暂遮挡”，不触发异常。
- 空间阈值：目标预测位置与实际检测位置的马氏距离超过 5 个标准差，且持续 5 帧以上。
- 传感器维度：至少 2 个异构传感器（如相机+激光雷达）同时丢失该目标，才可确认丢失；单一传感器丢失可能是噪声。
典型场景：一辆轿车在十字路口被左侧大型公交车完全遮挡 0.8 秒，感知系统丢失该轿车目标。若系统无丢失处理机制，当轿车从公交车前方穿出时，无人车可能来不及制动。
3.2 识别错误：语义与位置的偏差
核心定义：识别错误（Misclassification / False Detection）指感知系统虽然检测到了目标，但对其类别、属性或运动状态的判断与真实情况不符。它比目标丢失更隐蔽，因为系统“以为自己在正常工作”，实际上却基于错误信息进行决策。
三类主要错误形式：
| 错误类型 | 具体表现 | 典型原因 | 风险等级 |
|---|---|---|---|
| 语义错误 | 将白色卡车误识别为天空、将行人误识别为路牌 | 训练数据不足、光照突变、对抗样本 | 高（可能直接导致碰撞） |
| 位置错误 | 目标真实位置在左侧车道，感知输出在右侧车道 | 传感器标定漂移、时间同步偏差 | 高（导致错误变道决策） |
| 速度/加速度错误 | 前车实际减速 0.5g，感知输出为匀速 | 雷达多普勒模糊、滤波参数不当 | 中（跟车距离计算错误） |
与目标丢失的边界：目标丢失是“无中生无”，识别错误是“有中生错”。在工程代码中，目标丢失通常触发 track_lost 回调，而识别错误触发 track_updated 但携带错误标签。调试时，前者看数据关联矩阵，后者看分类置信度与几何一致性校验。
3.3 安全冗余：系统容错的硬件与逻辑基础
核心定义：安全冗余（Safety Redundancy）指通过重复配置关键组件或设计备用路径，使得当主系统发生故障时，备份系统能够无缝接管，保证车辆进入安全状态。它不是单一技术，而是一种贯穿全链路的架构设计原则。
四级冗余架构：
- 传感器冗余：相机+毫米波雷达+激光雷达异构融合，避免单一传感器失效导致感知盲区。例如，激光雷达在暴雨中性能下降，但毫米波雷达仍可提供目标距离。
- 计算冗余：双计算平台（如英伟达 Orin + 地平线征程）同时运行感知算法，通过交叉验证输出结果。若主平台死机，备平台在 50ms 内接管。
- 执行器冗余：线控制动系统配备双回路液压，电子助力转向保留机械连接。当电子信号丢失时，驾驶员仍可物理控制方向盘。
- 通信冗余：车辆与云端/远程监控中心采用 4G/5G + 专用短程通信（DSRC）双通道，确保远程接管指令可达。
3.4 功能降级：从完整自动驾驶到安全停车
核心定义：功能降级（Degraded Mode）指当系统检测到自身能力不足以维持当前驾驶任务时，主动降低自动化等级或限制运行设计域（ODD），以保障基本安全。降级不是故障，而是系统“自知之明”的体现。
降级阶梯（从高到低）：
| 等级 | 系统状态 | 允许操作 | 触发条件示例 |
|---|---|---|---|
| L4 全自动 | 所有子系统正常 | 高速巡航、自动变道 | — |
| L3 受限自动 | 感知部分降级 | 低速跟车、车道保持 | 雨雪天气、激光雷达故障 |
| L2 辅助驾驶 | 决策能力受限 | 驾驶员必须手握方向盘 | 高精地图缺失、定位漂移 |
| L1 紧急停车 | 关键系统失效 | 开启双闪、缓慢靠边停车 | 制动系统半失效、计算平台宕机 |
降级决策逻辑：系统每 100ms 评估一次“能力置信度”，当置信度低于阈值时，通过人机交互界面（HMI）向驾驶员发出降级通知，并给出 10 秒倒计时。若驾驶员未响应，系统自动执行最小风险策略（MRM）——减速至 0 并靠边停车。
3.5 人工接管：人机权责的交接点
核心定义：人工接管（Human Takeover）指自动驾驶系统将车辆控制权部分或全部移交给人类驾驶员或远程操作员的过程。接管分为“系统请求接管”和“驾驶员主动接管”两种触发方式。
接管流程（标准五步）：
- 请求阶段：系统通过视觉（仪表盘闪烁）、听觉（蜂鸣）、触觉（座椅振动）发出接管请求，同时显示接管原因（如“前方施工，超出ODD”）。
- 交接阶段：系统保持当前车道行驶，不执行变道或超车，等待驾驶员双手握住方向盘并踩下制动踏板。
- 确认阶段：系统检测到驾驶员施加的转向扭矩 > 2Nm 或制动压力 > 5bar，判定接管成功，发出“已接管”语音提示。
- 退出阶段：系统在 500ms 内平滑退出控制，将转向、制动、加速权限完全交给驾驶员。
- 记录阶段：整车控制器记录接管前后 10 秒的传感器数据、驾驶员操作、系统状态，用于事故追溯与算法改进。
3.6 案例拆解：夜间高速目标丢失引发的降级与接管
背景与约束：某 L4 级无人驾驶测试车辆在夜间高速公路上以 100km/h 巡航，天气晴朗但无路灯。车辆搭载 1 个前视相机、1 个前向毫米波雷达、1 个 128 线激光雷达。测试目标是验证“单传感器失效时的降级策略”。
初始现象：当车辆行驶至一处弯道时，激光雷达因前方大型货车尾气中的颗粒物反射产生大量噪点，导致点云密度下降 40%。感知算法将货车误识别为“多个小型障碍物”，同时相机在逆光条件下对货车轮廓检测不稳定。
关键数据（时间线）：
t=0.0s 激光雷达点云噪点率 12%（正常 <5%）
t=0.3s 目标 ID 102（货车）置信度从 0.92 降至 0.61
t=0.5s 毫米波雷达仍稳定输出货车距离 42m，速度 95km/h
t=0.7s 感知融合模块判定“目标丢失”（激光+相机均丢失，仅雷达存在）
t=0.8s 决策模块触发“功能降级”：车速从 100km/h 降至 60km/h
t=1.2s 系统通过 HMI 发出接管请求，原因标注“感知降级，建议人工接管”
t=3.5s 驾驶员完成接管（双手握方向盘 + 制动踏板踩下 8bar）
t=4.0s 系统完全退出控制，记录数据并上传云端分析判断过程：系统没有在 t=0.7s 时立即请求接管，而是先降速至 60km/h，因为毫米波雷达仍能提供可靠的目标距离信息，车辆处于“可控降级”状态。若雷达也丢失，系统将直接触发 MRM 停车而非请求接管。这种分级响应避免了不必要的接管干扰。
实际操作步骤：1) 感知融合模块通过“证据投票”机制确认目标丢失——至少 2/3 传感器丢失才确认；2) 决策模块查询降级映射表，匹配“感知部分失效”策略；3) 执行模块平滑降低目标车速，避免急刹车导致后车追尾；4) HMI 同时显示降级原因与建议操作。
结果对比：未采用降级策略的对照组车辆在相同场景下直接请求接管，驾驶员反应时间平均 4.2 秒，且 30% 的驾驶员因突然请求而惊慌失措。采用降级策略的实验组，驾驶员接管时车辆已减速至 55km/h，接管后驾驶员有更充裕的时间观察路况，主观安全感评分提升 42%。
风险与代价：降级策略的代价是通行效率下降——在高速公路上以 60km/h 行驶可能影响后车。因此系统设定了“降级持续时间上限 60 秒”，若 60 秒内无法恢复感知能力，则强制停车。
复盘经验：目标丢失后的降级决策不能“一刀切”，必须结合剩余可用传感器的置信度。本案例中雷达的稳定性是降级而非停车的关键依据。此外，接管请求的措辞应具体化（“感知降级”而非“系统故障”），有助于驾驶员快速建立情境意识。
3.7 常见误区与总结复盘
误区一：将目标丢失等同于识别错误。两者处理逻辑完全不同。丢失需要重新初始化跟踪器，而识别错误需要修正分类器或检查标定。混淆会导致调试方向错误。
误区二：认为安全冗余就是“多装几个传感器”。冗余的核心是“多样性”与“独立性”。两个相同型号的相机并排安装，一旦光线条件恶劣会同时失效，不构成有效冗余。
误区三：功能降级是“认输”。实际上，合理的降级是系统成熟度的体现。能够准确评估自身能力边界并主动降级，比“硬撑着”运行到失控更安全。
误区四：人工接管是“最后手段”。在 L3 及以上系统中，接管是常规操作流程的一部分，而非紧急逃生通道。系统应设计为“随时可接管、接管即安全”。