📚 课程目录第1章课程导入

1. 课程导入

在自动驾驶、机器人、工业视觉等安全关键系统中，感知模块负责把传感器原始数据转化为对环境的理解：哪里有车、哪里有人、车道线在哪里、可行驶区域边界如何。然而，真实世界的雨雾、逆光、遮挡、传感器脏污、标定漂移，都会让感知结果出现漏检、误检或定位偏差。如果下游规划控制无条件信任感知输出，就可能产生危险动作。本课程要解决的核心问题正是：如何让系统知道自己“有多确定”，并在不确定时安全地降级运行。

本课程围绕两条主线展开：一条是“感知置信度评估”，回答“当前感知结果可信到什么程度”；另一条是“安全降级工程”，回答“当置信度不足时，系统应如何限速、切换模式、请求接管或安全停车”。两者共同构成从风险识别到风险响应的闭环。

学习目标

理解感知置信度的定义、来源与量化方式，能区分检测置信度、跟踪置信度、场景置信度与系统级置信度。
掌握置信度评估的典型方法：基于模型输出、基于时序一致性、基于多传感器交叉验证、基于不确定性建模。
掌握安全降级的分级策略：从功能降级、性能降级到最小风险状态（MRM）的完整设计思路。
能够设计置信度阈值、降级触发条件、恢复条件与接管提示逻辑，并评估其安全性与可用性。
通过案例与复盘，识别常见误区，如阈值拍脑袋、降级过晚、恢复过快、忽略传感器共因失效等。

整体框架：从感知到降级的安全链路

感知置信度评估与安全降级工程不是孤立模块，而是一条贯穿数据、算法、决策与执行的链路。下图展示了整体框架：传感器数据进入感知模块后，除了输出目标与场景结果，还同步输出置信度与不确定性；置信度评估模块结合时序、多源交叉和场景先验进行融合判断；安全降级决策模块根据置信度等级、风险等级和系统状态，选择正常、降级、接管或最小风险状态；最终由执行层完成限速、靠边停车或请求人工接管。

核心价值与典型应用场景

置信度评估与安全降级工程的核心价值，可以用一句话概括：让系统在“看不清”的时候，仍然做出“安全”的选择。它并不追求感知永远正确，而是承认感知存在边界，并通过工程手段把不确定性转化为可控的安全行为。典型应用场景包括：

自动驾驶雨雾天气：摄像头与激光雷达置信度下降，系统自动限速并增大跟车距离，必要时靠边停车。
园区物流机器人：遇到强光或反光地面导致车道线置信度低，机器人降速并切换至沿墙或磁条导航。
工业质检视觉：当缺陷检测置信度低于阈值时，不直接判废，而是转人工复检，避免误判造成损失。
无人机避障：多传感器交叉验证失败时，悬停或返航，而不是继续执行高风险航线。

方法流程：从置信度到降级动作

一个可落地的工程流程通常包含五个步骤：置信度采集、置信度融合、风险分级、降级决策、恢复与复盘。下表给出关键步骤与典型参数示例。

步骤	输入	关键处理	典型参数/阈值	输出
置信度采集	检测框分数、跟踪稳定度、点云密度	归一化、时间窗口统计	窗口 0.5s，采样 10Hz	原始置信度序列
置信度融合	多传感器置信度、场景先验	加权融合、交叉验证	摄像头 0.4 / 激光 0.4 / 毫米波 0.2	综合置信度 C
风险分级	综合置信度 C、车速、障碍物距离	查表或规则引擎	C≥0.8 正常；0.5≤C<0.8 降级；C<0.5 接管	风险等级 R
降级决策	风险等级 R、系统状态	状态机切换	L1 限速 30km/h；L2 靠边；L3 请求接管	降级动作
恢复与复盘	持续置信度、人工确认	迟滞恢复、日志回放	连续 3s C≥0.85 才恢复	恢复或保持降级

案例与场景：一次雨雾天气的降级过程

假设一辆自动驾驶车辆在高速上以 80km/h 行驶，突遇团雾。摄像头图像对比度下降，检测置信度从 0.92 降到 0.55；激光雷达点云因水滴散射，有效点密度下降 40%；毫米波雷达仍能稳定探测前车，但横向定位精度变差。置信度融合模块计算综合置信度 C=0.58，风险分级为“降级”。系统执行 L1 降级：限速至 40km/h，增大跟车距离，开启雾灯与双闪，并持续监测。若 C 继续降到 0.45，则进入 L2，寻找安全区域靠边停车；若无法靠边，则进入 L3，请求驾驶员接管。整个过程被完整记录，用于事后复盘阈值是否合理。

# 降级决策伪代码示例
C = fuse_confidence(cam_conf, lidar_conf, radar_conf)
if C >= 0.80:
    state = "NORMAL"
elif C >= 0.50:
    state = "DEGRADE_L1"   # 限速、增大车距
elif C >= 0.35:
    state = "DEGRADE_L2"   # 靠边停车
else:
    state = "TAKEOVER"     # 请求人工接管
log(state, C, timestamp, sensor_status)

常见误区与复盘要点

误区一：把模型输出的 softmax 分数直接当作置信度。实际上，深度模型常存在过度自信，必须结合温度缩放、时序一致性和多源交叉验证。误区二：阈值拍脑袋设定，未经过数据回放与场景覆盖验证。误区三：降级过晚，等到置信度极低才动作，安全余量不足。误区四：恢复过快，置信度短暂回升就立即恢复全功能，导致反复切换。误区五：忽略共因失效，如摄像头与激光雷达同时被泥水遮挡，单一传感器冗余失效。

复盘建议：每次降级事件都应记录触发时的置信度曲线、传感器状态、场景类型、降级动作与恢复时间。通过回放分析，持续校准阈值与迟滞时间，使系统在安全与可用之间取得平衡。

本课程后续将围绕置信度建模、多源融合、降级状态机、最小风险状态设计、测试验证与工程落地逐步展开。掌握本章框架后，你应能清晰回答三个问题：当前感知结果有多可信？不可信时系统如何降级？降级后如何安全恢复？