3. L3系统架构概览
L3级自动驾驶与L2最本质的差别，不在于“多装了几个传感器”，而在于系统首次成为动态驾驶任务的责任主体：在ODD（运行设计域）内，系统不仅要完成横向和纵向控制，还要完成对环境的完整感知、风险判断与行为决策。因此，L3的架构必须回答三个问题：谁在看、谁在想、谁在动，以及人在什么时候、通过什么通道被请回来。本节从模块组成、数据流、人机交互接口和接管子系统位置四个角度，给出L3系统架构的整体图景。
一、核心原理：四层模块与一条“接管链”
典型的L3系统可划分为感知、决策、规划、控制四个功能层，外加贯穿全栈的人机交互（HMI）与接管子系统。四层之间是逐级抽象、逐级收敛的关系：感知把物理世界转成结构化环境模型；决策在环境模型上判断“该不该做、做什么”；规划把决策意图转成时空轨迹；控制把轨迹转成转向、驱动、制动执行量。
与L2不同的是，L3架构中必须显式存在一条接管链：当系统检测到即将超出ODD、感知降级、执行器故障或自身能力不足时，不是简单退出，而是先评估“人是否可接管”，再通过HMI发出分级请求，同时执行最小风险策略（MRM）。这条链横跨决策层、HMI和车辆控制，是L3架构区别于L2的“骨架”。
二、方法流程：从感知到接管的完整数据流
把上图展开为一次典型的“正常行驶—风险出现—请求接管—人接管或MRM”流程，可以更清楚地看到各模块的协作顺序：
- 感知融合：多传感器输出经时间同步与空间标定后融合为统一环境模型，同时输出自车状态、道路结构、动态目标和ODD置信度。
- 决策判断：决策层基于环境模型判断当前行为（跟车、换道、超车），并持续评估“是否仍处于ODD内”“系统是否仍具备完成动态驾驶任务的能力”。
- 可接管性评估：一旦发现能力边界逼近，接管子系统立即计算驾驶员状态（DMS）、剩余接管时间预算、当前交通复杂度，得出“可安全接管 / 需立即MRM”的结论。
- HMI分级请求：按紧迫程度发出“提示—请求—警告”三级信号，视觉、听觉、触觉多通道并行，避免单一通道被忽略。
- 规划与控制响应：若驾驶员接管，控制权平滑移交；若未接管，规划层生成MRM轨迹，控制层执行靠边停车或最小风险停车。
- 事件记录与复盘：全过程写入事件数据记录器（EDR/DSSAD），用于责任界定与后续迭代。
接管请求提前量 T_request = 10 s # 高速公路场景
驾驶员反应预算 T_react = 4 s
MRM 触发阈值 T_mrm = 6 s # 剩余时间低于此值即启动
DMS 注视前方判定窗口 = 2 s
HMI 升级间隔 = 1.5 s # 提示→请求→警告
三、案例/场景：一次高速接管请求的架构级复盘
假设车辆在高速以110 km/h行驶，前方2 km处出现施工区，超出当前ODD。感知层首先识别锥桶与限速牌，ODD监测模块将“施工区”标记为边界事件；决策层确认无法在ODD内完成通过，触发接管请求。此时接管子系统读取DMS数据：驾驶员双手离开方向盘、视线偏离前方约3 s，判定为“低接管准备度”，于是将请求等级直接提升为警告，并把MRM触发阈值从6 s收紧到4 s。HMI以座椅振动加语音警告提示，同时规划层预生成靠右减速的MRM轨迹。若驾驶员在4 s内接管，则控制权移交；否则车辆自动执行MRM，在本车道内减速并开启双闪。
这个案例说明：接管不是HMI一个模块的事，而是感知（发现边界）、决策（判断能力）、HMI（请求人）、规划（准备MRM）、控制（执行）共同参与的跨层行为。任何一层缺失，接管链都会断裂。
四、误区与复盘：架构设计中最容易踩的坑
- 把接管子系统当成HMI的子功能：实际上它需要读取感知、决策、DMS、底盘状态，并反向影响规划和控制的优先级，属于跨层子系统。
- 只设计“请求接管”，不设计“请求失败”：L3必须默认人可能不接管，MRM是必备路径，而不是可选兜底。
- 接管时间预算拍脑袋：不同车速、不同交通密度、不同驾驶员状态下，可接管时间差异很大，必须动态计算而非固定值。
- 忽略降级后的架构一致性：传感器或执行器降级后，感知与控制的可用能力变化，决策层必须同步更新ODD边界，否则会出现“系统以为还能开”的危险状态。
下表汇总L3架构中各模块的核心职责、关键输入输出及其与接管的关系，便于在系统设计评审时逐项对照。
| 模块 | 核心职责 | 关键输入 | 关键输出 | 与接管的关系 |
|---|---|---|---|---|
| 感知层 | 环境建模与ODD监测 | 多传感器原始数据、地图 | 目标列表、可行驶区域、ODD置信度 | 提供边界事件触发源 |
| 决策层 | 行为决策与能力评估 | 环境模型、自车状态 | 行为意图、可接管性结论 | 决定是否发起接管请求 |
| 规划层 | 轨迹生成与优化 | 行为意图、地图、障碍物 | 行驶轨迹、MRM轨迹 | 提供接管失败后的安全路径 |
| 控制层 | 执行量计算与冗余切换 | 轨迹、底盘状态 | 转向/驱动/制动指令 | 执行接管移交与MRM |
| HMI | 状态告知与请求传达 | 系统状态、接管请求等级 | 视觉/听觉/触觉信号 | 人机之间的唯一显式通道 |
| 接管子系统 | 可接管性评估与流程编排 | DMS、时间预算、交通复杂度 | 接管请求、MRM触发、事件记录 | 接管链的调度中枢 |
理解L3架构，关键不是记住模块名称，而是看清数据如何逐层抽象、接管链如何跨层触发、人在什么位置被纳入闭环。只有把接管子系统放在与感知、决策、规划、控制同等重要的架构位置上，L3系统才能在“系统开车”和“人开车”之间实现真正安全、可解释的切换。