1. 课程导入
当一辆具备L2+或L3能力的智能驾驶汽车在高速公路上以120 km/h行驶时，激光雷达突然因污渍遮挡失效、域控制器某一路供电跌落、或制动执行器反馈超时——此时系统不能"直接退出"，也不能"继续全功能运行"。它必须在毫秒到秒级的时间窗内完成一次有秩序的"能力收缩"：从高阶自动驾驶退到车道保持，再退到自适应巡航，最终退到可被人类驾驶员安全接管的最小风险状态。这门课程研究的，正是这套"有秩序收缩"的工程方法体系——智能驾驶系统故障降级工程。
一、什么是故障降级工程
故障降级工程（Fail-Degradation Engineering）是研究智能驾驶系统在感知、计算、通信、执行、电源等任一环节发生故障或性能衰退时，如何通过检测、判定、仲裁、重构与提示，使系统进入一个安全、可控、可解释的低阶运行状态，并保证最终能够到达最小风险状态（Minimal Risk Condition, MRC）的交叉工程学科。
它与传统功能安全的区别在于：功能安全关注"不发生不可接受的危害"，而降级工程关注"危害不可避免时，系统如何优雅地退场"。它也不是简单的"故障诊断"，因为诊断只回答"哪里坏了"，降级还要回答"退到哪一级、由谁接管、给驾驶员多少时间、退不下去怎么办"。
① 降级必须可检测——故障在可接受时间内被识别；
② 降级必须可执行——存在冗余路径或降级通道；
③ 降级必须可交代——驾驶员或远程平台能理解当前状态与责任边界。
二、整体知识框架
本课程围绕"感知—决策—执行—人机—验证"五条主线展开，形成如下知识结构。下图展示了故障从发生到降级完成的完整信号链与决策路径，也是后续30章反复引用的总图。
三、学习目标与能力矩阵
完成本课程后，学习者应具备以下四类能力：
- 概念能力：能准确区分故障、失效、降级、接管、MRC等术语，理解降级工程与功能安全、SOTIF的关系。
- 分析能力：能针对给定E/E架构，识别单点故障、共因失效与降级路径瓶颈。
- 设计能力：能设计安全状态机、降级仲裁策略、时间预算与HMI提示方案。
- 验证能力：能构建故障注入场景，在仿真、HIL与实车上验证降级行为的一致性。
| 模块 | 核心问题 | 关键产出 | 典型工具/方法 |
|---|---|---|---|
| 故障检测 | 故障何时被识别？ | 监控器与诊断矩阵 | FMEA、残差观测器 |
| 分级判定 | 退到哪一级？ | 降级等级表 | 安全状态机、决策树 |
| 降级执行 | 如何切换与重构？ | 冗余切换策略 | 双通道、看门狗 |
| 人机交代 | 驾驶员如何接管？ | HMI提示与接管时序 | DMS、多模态提示 |
| 验证闭环 | 降级真的有效吗？ | 故障注入报告 | 仿真、HIL、实车 |
四、典型场景：一次高速降级全过程
假设车辆在高速NOA状态下，前向毫米波雷达因泥水遮挡导致置信度骤降。系统在200 ms内检测到该故障，仲裁中枢判定"感知冗余仍可维持，但纵向安全距离估计不可靠"，于是执行如下降级序列：
[t=0ms] 雷达置信度 < 0.3，触发监控器
[t=200ms] 融合模块标记纵向目标不可信
[t=350ms] 仲裁中枢判定：降级至L2车道保持
[t=400ms] HMI弹出"请接管纵向控制"提示，DMS监测驾驶员视线
[t=1200ms] 若驾驶员未接管，系统主动降速并寻找安全停车点
[t=5000ms] 到达MRC：靠边停车，双闪开启，车门解锁
这个序列中，任何一个环节的时间预算被突破，都会导致降级失败。因此降级工程的核心不是"有没有降级"，而是"降级是否在时间与风险约束内完成"。
五、常见误区与复盘
- 误区一：降级等于退出。退出是"不干了"，降级是"换一种更安全的方式继续干"。退出往往带来更大的风险。
- 误区二：有冗余就不会降级。冗余只能提高可用性，不能消除共因失效。冗余通道同时失效时，降级仍是最后防线。
- 误区三：降级策略越复杂越好。复杂策略难以验证，容易在真实故障下产生状态震荡。可验证的简单策略往往更安全。
- 误区四：只关注技术，不关注人。降级最终常由人接管，HMI提示不清、接管时间不足，会让技术降级功亏一篑。
本课程后续将沿着这条信号链，逐层拆解感知降级、计算降级、执行降级、电源与通信降级、人机接管、验证与法规等专题。你现在需要建立的，是一张"从故障到MRC"的全局地图——它比记住任何一个具体算法都更重要。