4. 系统架构
在L2+与L3量产验证中，系统架构决定了功能边界、失效行为与验证方法。L2+仍属于“驾驶员监控并随时接管”的辅助驾驶，而L3在限定设计运行域（ODD）内允许驾驶员脱眼脱手，但必须由系统承担动态驾驶任务。这一责任转移，直接导致两者在感知、决策、规划、控制以及域控制器、传感器配置和冗余设计上的根本差异。
一、核心原理：从“辅助”到“接管”的架构分水岭
L2+的架构核心是“人机共驾”，系统提供横向和纵向控制，但驾驶员始终是最终责任主体。因此，其感知、决策、规划、控制链路可以容忍一定程度的性能降级，通常不要求全链路冗余，但必须保证驾驶员监控系统（DMS）可靠工作。L3则要求系统在ODD内完成全部动态驾驶任务，一旦系统发出接管请求，驾驶员必须在足够时间内接管。这意味着L3必须设计最小风险状态（MRM）和最小风险策略，并在关键链路中引入冗余。
关键区别：L2+的失效后果通常由驾驶员兜底；L3的失效后果必须由系统在接管请求前兜底，因此冗余不是“加分项”，而是“准入项”。
二、感知、决策、规划、控制的分层架构
无论是L2+还是L3，量产系统普遍采用分层架构：感知层负责环境建模，决策层负责行为选择，规划层负责轨迹生成，控制层负责执行。但L3在每一层都增加了冗余与监控。
- 感知层：摄像头、毫米波雷达、激光雷达、超声波雷达融合，输出目标、车道线、可行驶区域、交通标志等。L3通常要求前向感知冗余，例如摄像头+毫米波雷达互为备份。
- 决策层：根据感知结果和导航信息，决定跟车、换道、超车、避障等行为。L3需要独立的安全决策通道，用于触发MRM。
- 规划层：生成满足动力学约束的轨迹。L3要求规划模块具备降级运行能力，例如在单点故障时仍能靠边停车。
- 控制层：将轨迹转化为转向、驱动、制动指令。L3要求执行器具备冗余，例如双绕组电机、双制动回路。
三、域控制器与传感器配置
域控制器是L2+与L3架构的物理载体。L2+常采用单SoC方案，集成感知、决策、规划和控制，算力通常在几十TOPS级别。L3则需要更高算力，并普遍采用双SoC或主备MCU架构，实现故障隔离和降级运行。
| 对比项 | L2+ | L3 |
|---|---|---|
| 域控制器 | 单SoC，算力约30-100 TOPS | 双SoC/主备MCU，算力约200-500 TOPS |
| 前向感知 | 1摄像头+1毫米波雷达 | 2摄像头+2毫米波雷达，或加激光雷达 |
| 侧后向感知 | 角雷达+侧视摄像头 | 角雷达+侧视摄像头+冗余 |
| 执行器冗余 | 通常无 | 双制动回路、双转向绕组 |
| 电源冗余 | 单电源 | 双电源或备用电池 |
| 通信冗余 | 单CAN/CAN FD | 双CAN/以太网冗余 |
四、冗余设计：L3的“安全网”
L3冗余设计遵循“故障可运行”和“故障可降级”原则。常见冗余包括：
- 感知冗余：不同物理原理的传感器互为备份，例如摄像头识别车道线，毫米波雷达测距测速，激光雷达提供三维点云。
- 计算冗余：主SoC负责全功能，备用MCU或第二SoC负责安全监控和降级控制。
- 执行冗余：制动系统采用双回路，转向系统采用双绕组电机，确保单点失效后仍能控制车辆。
- 电源冗余：双电源供电，主电源失效时备用电源维持关键模块工作。
- 通信冗余：关键信号通过双通道传输，避免单总线故障导致系统失效。
验证要点：冗余设计必须通过故障注入测试验证。例如，断开主摄像头，检查系统是否在指定时间内切换到备用感知并触发接管请求或MRM。
五、案例场景：L3高速公路拥堵巡航
假设车辆在高速公路拥堵场景下以L3模式运行。主SoC处理前向摄像头和毫米波雷达数据，识别前车和车道线。备用MCU持续监控主SoC心跳。当主SoC因过热降频时，备用MCU接管安全决策，控制车辆减速并靠边停车，同时通过HMI提示驾驶员接管。如果驾驶员未响应，系统自动执行MRM，打开双闪并缓慢停车。
故障注入测试用例：
1. 断开主摄像头电源
2. 观察系统是否在200ms内切换至备用感知
3. 检查HMI是否在1s内发出接管请求
4. 若驾驶员未接管，检查MRM是否在5s内启动
5. 记录车辆减速度、靠边停车位置和双闪状态六、常见误区与复盘
误区1：认为L2+和L3可以共用同一套域控制器。实际上L3的冗余和算力要求远高于L2+，共用会导致安全目标无法满足。
误区2：只关注传感器数量，忽略传感器布局和覆盖范围。冗余不仅是“多一个”，更是“不同位置、不同原理”。
误区3：冗余设计后未做故障注入测试，导致量产阶段才发现切换逻辑不满足时间要求。
复盘时，应重点检查：冗余链路是否真正独立、故障检测时间是否满足、降级策略是否覆盖所有关键失效模式、HMI是否清晰传达系统状态。只有通过完整的架构验证，L2+与L3系统才能在量产道路上安全运行。