2. 自动驾驶数据基础

自动驾驶系统不是单一算法，而是一套持续感知、决策与执行的闭环工程系统。它每天产生的数据既包含车辆对外部世界的“观察”，也包含车辆自身状态的“体检记录”，还包含与用户身份相关的“隐私痕迹”。理解这些数据的类型、来源、生命周期与合规边界，是后续开展数据脱敏与访问控制的前提。本章从工程视角梳理自动驾驶数据的全貌，帮助读者建立“数据地图”意识。

一、五类核心数据类型及其工程特征

自动驾驶数据通常可归为五类：图像、点云、GPS、CAN总线、用户信息。它们在体量、结构、敏感度和脱敏难度上差异显著，不能采用同一套治理策略。

• 图像数据：来自前视、环视、侧视、后视及舱内摄像头，包含道路、车辆、行人、交通标志、车牌、人脸等。其敏感点在于可识别自然人身份与位置，脱敏重点是车牌、人脸、证件、门牌等区域。
• 点云数据：来自激光雷达，以三维坐标点描述周围物体轮廓与距离。点云本身不直接含人脸，但可还原行人步态、车辆外形，甚至通过点云配准推断特定地点，属于高精度空间数据。
• GPS数据：包含经纬度、海拔、速度、航向、时间戳。它直接暴露车辆轨迹，可推断用户住址、工作地、常去场所，是隐私风险最高的数据之一。
• CAN总线数据：包含车速、转向角、制动、油门、挡位、电池状态、故障码等车辆运行参数。它通常不含直接身份信息，但可与轨迹、时间结合形成行为画像。
• 用户信息：包括账号、手机号、车主身份、语音指令、座椅偏好、导航目的地、支付信息等，属于直接标识信息，合规要求最严格。

二、数据来源与采集链路

从采集链路看，自动驾驶数据主要来自四类来源：车端传感器、车端控制器、云端平台、外部系统。车端传感器负责原始感知数据；车端控制器通过CAN、以太网等总线汇聚车辆状态；云端平台接收回传数据并做标注、训练与仿真；外部系统则包括地图服务、天气服务、支付与账号系统。不同来源的数据在进入数据湖之前，往往已经过初步过滤、压缩与时间同步。

三、数据生命周期：从采集到销毁

数据生命周期一般分为六个阶段：采集、传输、存储、使用、共享、销毁。每个阶段都有不同的合规控制点。

1. 采集：需明确告知与授权，遵循最小必要原则，避免采集与功能无关的敏感区域。
2. 传输：车云链路应加密，使用TLS/国密算法，防止中间人窃取。
3. 存储：按敏感级别分区存储，原始数据与脱敏数据隔离，设置访问权限与审计日志。
4. 使用：训练、标注、仿真等场景应优先使用脱敏数据，并记录数据用途与责任人。
5. 共享：向第三方提供数据前需做去标识化评估，签署数据保护协议。
6. 销毁：到期数据应不可恢复地删除，并保留销毁记录。

四、合规要求与常见误区

在国内，自动驾驶数据合规主要受《个人信息保护法》《数据安全法》《汽车数据安全管理若干规定（试行）》等约束。核心要求包括：车内处理默认、车外数据匿名化、重要数据境内存储、出境安全评估、敏感个人信息单独同意等。常见误区有三类：一是认为“点云不含人脸所以不敏感”，忽视其空间可识别性；二是认为“CAN数据是车辆数据，与个人无关”，忽视其与轨迹结合后的画像能力；三是认为“脱敏一次即可永久使用”，忽视数据重新识别风险与授权时效。

五、场景案例：一次行程的数据流转

假设一辆测试车完成一次城市道路行程。摄像头采集图像，激光雷达生成点云，GPS记录轨迹，CAN记录车速与转向，用户通过语音设置目的地。数据回传后，平台先做时间对齐，再对图像中的人脸车牌做模糊，对GPS做轨迹偏移，对CAN做参数泛化，对用户信息做去标识化。最终进入训练集的是脱敏后的多模态数据，原始数据则按合规要求隔离存储并设置到期销毁。若该行程被判定涉及重要数据，还需进行出境安全评估。

行程数据目录示例：
trip_20240512_001/
  camera_front/      # 原始图像，待脱敏
  lidar_top/         # 原始点云，待降采样
  gps_track.csv      # 原始轨迹，待偏移
  can_bus.log        # 原始CAN，待泛化
  user_profile.json  # 用户信息，待去标识化
  masked/            # 脱敏后数据，供训练使用
  audit.log          # 访问与操作审计