1. 课程导入
在智能驾驶从L2辅助驾驶向L3有条件自动驾驶演进的过程中，NOA（Navigate on Autopilot，领航辅助驾驶）成为量产落地的核心功能形态。它能够在高速、城市快速路乃至城区道路中完成自动变道、匝道汇入汇出、跟车巡航、避障绕行等连续驾驶任务。然而，只要系统仍处于"人机共驾"阶段，就必然面对一个无法回避的工程命题：当系统能力边界被触及、感知置信度下降或驾驶员主动干预时，如何安全、平顺、可预期地完成控制权交接与功能降级。这正是本课程要系统讲解的"NOA接管与安全降级工程"。
一、学习目标
本课程面向智能驾驶系统工程师、功能安全工程师、测试验证工程师及产品定义人员，围绕"接管"与"降级"两条主线展开。完成学习后，应达到以下目标：
- 理解NOA系统的功能边界、运行设计域（ODD）与接管请求（TOR, Takeover Request）的触发逻辑；
- 掌握接管过程的时序模型，包括预警、升级提示、驾驶员响应、控制权移交与最小风险状态（MRM）的完整链路；
- 能够设计安全降级策略，区分降级等级、降级路径与降级后的车辆行为；
- 熟悉ISO 26262、ISO 21448（SOTIF）及UN R157等标准对接管与降级的要求；
- 具备接管性能指标定义、测试场景构建与失效复盘的基本能力。
二、核心概念
要理解接管与降级，先要厘清几个关键概念。它们构成了整个工程体系的"词汇表"。
| 概念 | 英文/缩写 | 含义说明 |
|---|---|---|
| 运行设计域 | ODD | 系统被设计为可安全运行的条件集合，如道路类型、天气、车速范围 |
| 接管请求 | TOR | 系统向驾驶员发出的、要求其恢复驾驶控制权的提示 |
| 接管时间预算 | TTB | 从发出TOR到必须完成接管的时间窗口 |
| 最小风险状态 | MRM | 系统在无法继续运行时所达到的低风险停车或缓行状态 |
| 最小风险策略 | MRM Strategy | 实现MRM所采取的具体控制动作序列 |
| 降级 | Degradation | 系统能力或功能等级的下调，分为可控降级与紧急降级 |
| 人机共驾 | Shared Control | 驾驶员与系统共同参与控制的状态 |
其中，接管时间预算是工程设计的核心参数。它取决于驾驶员的反应时间分布、当前驾驶负荷、提示方式（视觉、听觉、触觉）以及车辆所处的风险等级。设计过短会导致驾驶员来不及响应，设计过长则可能错过最佳避险窗口。
三、整体框架
NOA接管与安全降级工程可以拆解为"感知—决策—执行—人因—验证"五个层面，形成一条闭环链路。下图展示了从系统监测到最终安全状态的整体架构与信号流向。
从图中可以看到，接管与降级并非孤立功能，而是贯穿感知、决策、执行、人因与验证的系统工程。任何一环的缺失，都可能导致接管失败或降级不彻底。
四、行业背景与典型场景
当前行业正处于L2普及、L3试点的关键阶段。特斯拉FSD、小鹏XNGP、华为ADS、蔚来NOP+等NOA功能已大规模量产，但接管频次与降级策略仍是用户投诉与事故调查的焦点。根据公开数据，城区NOA平均每百公里接管次数仍在个位数到十几次之间波动，高速场景相对更低，但一旦发生接管失败，后果往往更严重。
这个场景浓缩了本课程要解决的核心问题：何时触发接管、如何提示、给多少时间、驾驶员不响应怎么办、降级到什么程度才算安全。
五、常见误区与复盘要点
误区二：降级等于直接退出。直接退出NOA而不进入MRM，可能把车辆置于更危险的状态。
误区三：只关注系统响应时间，忽略驾驶员反应时间分布。不同驾驶员、不同负荷下的反应时间差异可达数倍。
误区四：测试只覆盖正常接管，不覆盖"接管失败"路径。失败路径才是安全设计的重点。
复盘时应重点关注：TOR触发是否过早或过晚、提示方式是否足够显著、TTB是否匹配目标用户群体、MRM执行是否平顺且不引发二次事故、降级后的车辆是否处于可被其他交通参与者预期的状态。
六、本课程的知识地图
后续章节将沿着"概念—触发—时序—降级—人因—验证—标准—案例"的路径展开。本章作为导入，重点建立三个认知：第一，接管与降级是NOA安全落地的最后一道防线；第二，它需要感知、决策、控制、人因与验证的协同设计；第三，所有设计都必须以可量化、可测试、可复盘为原则。
核心参数速查：
TTB 接管时间预算，典型值 3~10s，随车速与风险等级调整
TOR 接管请求，需多模态提示，避免单一通道失效
MRM 最小风险状态，目标为车道内停车或应急车道停车
DMS 驾驶员监测系统，用于判断接管可行性
ODD 运行设计域，超出即触发降级或接管