1. 课程导入

在自动驾驶技术从辅助驾驶向完全无人驾驶演进的过程中，L3 级（有条件自动驾驶）是一个极具工程分量的分水岭。它不仅是技术能力的跃迁，更是责任主体、系统架构与安全设计哲学的根本性转变。本课程《L3 自动驾驶冗余与安全架构工程》将围绕 L3 的核心特征，深入剖析冗余设计与安全架构的工程实现方法。作为开篇，本章将厘清 L3 的定义边界、分级标准，阐明冗余与安全架构为何是 L3 落地的生命线，并给出课程的整体框架与学习路径。

一、L3 的定义与分级标准：从“辅助”到“自动”的临界点

根据 SAE J3016 标准，驾驶自动化分为 L0 至 L5 六个等级。L3 的定义是：在设计运行条件（ODD）内，系统可持续执行全部动态驾驶任务（DDT），但驾驶员需在系统请求时接管。这一“系统执行、人类兜底”的混合模式，正是 L3 区别于 L2 的关键。

L2 与 L3 的本质差异不在于功能多少，而在于责任主体的转移。L2 阶段，驾驶员始终是驾驶责任主体，系统仅提供辅助；L3 阶段，在 ODD 内且系统未请求接管时，责任主体转移至系统。这意味着系统必须具备足够的安全冗余，以应对自身失效而不依赖驾驶员即时反应。下表对比了 L0-L3 的核心特征：

需要特别注意的是，L3 的“接管请求”机制要求系统在失效时提供足够的接管时间（通常要求 10 秒以上），这直接催生了冗余架构的需求——系统必须在主通道失效后，仍能维持车辆安全运行或安全停车，直到驾驶员接管。

二、冗余与安全架构的工程意义：L3 的生命线

为什么 L3 必须谈冗余？因为单点故障在 L3 中是不可接受的。L2 时代，驾驶员时刻监控，传感器或执行器失效时驾驶员可立即纠正；L3 时代，驾驶员被允许脱眼脱手，系统必须自行处理故障。冗余设计的目标是：当任一关键组件失效时，系统仍能维持最低风险状态（MRC）。

冗余并非简单“双份”，而是涵盖感知、计算、通信、供电、执行的全链路。常见的冗余策略包括：

• 感知冗余：摄像头、毫米波雷达、激光雷达多模态融合，互为补充与备份；
• 计算冗余：主控芯片与安全岛芯片异构部署，主芯片失效时安全岛接管；
• 通信冗余：CAN、以太网双通道，关键信号双路传输；
• 供电冗余：双电源、双电池，独立回路供电；
• 执行冗余：制动、转向双绕组电机或双 ECU 控制。

安全架构则是在冗余基础上，通过系统化的方法（如 ISO 26262 功能安全、ISO 21448 预期功能安全、UL 4600 自动驾驶安全）定义安全目标、安全状态与安全机制。冗余是“硬件与软件的备份”，安全架构是“如何组织这些备份并验证其有效性”。

三、课程整体框架与学习路径

本课程共 30 章，围绕“定义—标准—架构—冗余—验证—案例”的主线展开。学习路径分为四个阶段：

1. 基础认知（第 1-5 章）：L3 定义、分级标准、法规要求、ODD 设计、接管机制；
2. 架构设计（第 6-15 章）：电子电气架构、感知冗余、计算冗余、通信冗余、供电冗余、执行冗余；
3. 安全工程（第 16-24 章）：功能安全、预期功能安全、安全分析（FMEA/FTA）、安全机制、SOTIF；
4. 验证与落地（第 25-30 章）：仿真测试、实车验证、场景库、法规认证、量产案例与复盘。

学习本课程需要具备一定的基础：嵌入式系统、汽车电子、控制理论、功能安全概念。若缺乏这些背景，建议先补充相关知识，再进入架构设计部分。

四、案例与误区：从真实场景理解冗余价值

以某 L3 高速拥堵自动驾驶为例：车辆在高速上以 60 km/h 跟随前车，主计算平台突然因过热宕机。若没有冗余，车辆将失去感知与决策能力，驾驶员可能因脱眼而无法及时接管，导致碰撞。若具备冗余安全岛，安全岛可在 100 ms 内接管，利用备用传感器与执行器将车辆安全减速至应急车道停车，并发出接管请求。这就是冗余架构的工程价值。

为了更直观地展示 L3 冗余安全架构的全貌，下图给出了从感知到执行的冗余链路与安全监控关系：