4. 降级工程基础
毫米波雷达在整车感知链路中承担距离、速度、角度与目标分类等关键任务，一旦出现天线遮挡、射频前端温漂、算力过载、供电瞬降或通信丢帧，系统不能简单“黑屏”或“静默退出”。降级工程的核心，是在故障发生前后，依据风险等级与可用资源，把系统从“全功能运行”平滑迁移到“可接受的安全状态”。本章围绕降级模式、功能降级、性能降级、安全降级、失效运行与最小风险状态六个概念展开，建立从故障识别到状态迁移的完整认知。
一、核心原理：降级不是失败，而是受控的能力收缩
降级工程（Degradation Engineering）研究的是：当系统无法维持标称能力时，如何以可预测、可验证、可恢复的方式降低能力，同时把风险控制在可接受范围内。它与“容错”不同——容错强调故障后继续完成原任务，而降级强调在能力受限时重新定义任务边界。毫米波雷达的降级通常由三类触发源驱动：
- 硬件类：单通道接收失效、天线罩结冰、连接器接触电阻升高、电源纹波超限。
- 环境类：强降雨、沙尘、金属护栏多径、同频干扰导致虚警率上升。
- 资源类：SoC 温度过高触发降频、点云处理队列溢出、CAN/以太网带宽不足。
降级模式是系统对上述触发源的“响应策略集合”，通常包括：正常模式（Normal）、性能受限模式（Limited Performance）、功能裁剪模式（Function Reduced）、安全降级模式（Safe Degradation）、失效运行模式（Fail-Operational）以及最小风险状态（Minimal Risk State, MRS）。这些模式不是并列关系，而是按风险与可用性构成的连续谱。
关键判断：降级的目标不是“尽量保留功能”，而是“在给定故障下，让系统停留在风险最低且仍可被整车其他子系统理解的状态”。因此，降级策略必须与整车功能安全概念（如 E-Gas 三层监控）对齐。
二、六种降级语义的边界与关系
很多团队把“功能降级”和“性能降级”混用，导致需求无法验证。下面用一张关系图明确六者的定位：功能降级改变“能做什么”，性能降级改变“做得多好”，安全降级改变“风险控制方式”，失效运行强调“故障后仍可运行”，最小风险状态则是“最终安全停靠点”。
从图中可见，性能降级与功能降级可以并行发生，但安全降级是“横切”能力：无论处于哪一级，都必须持续输出健康状态与置信度。失效运行是安全降级的一种强形式，而 MRS 是最终兜底状态。工程上常用“降级阶梯”描述这一过程：Normal → Limited Performance → Function Reduced → Safe Degradation → Fail-Operational → MRS。
三、方法流程：从故障检测到状态迁移
降级策略的落地需要一条可执行的状态机。以下是一个典型的毫米波雷达降级处理流程，包含检测、评估、决策、执行与恢复五个阶段：
- 故障检测：通过内置自检（BIST）、通道幅相监测、温度传感器、CRC 校验、点云统计特征（如噪声底、目标数突变）识别异常。
- 健康评估：将原始故障映射为健康度分数（0～100），并区分“瞬时故障”与“持久故障”，避免抖动导致频繁切换。
- 降级决策：依据健康度阈值与整车风险等级，选择目标降级模式。决策表通常由功能安全需求导出。
- 执行与通告：切换雷达工作参数，并通过 CAN/以太网向 ADAS 域控发送降级状态位、置信度与建议动作。
- 恢复管理：故障消失后，需经过滞回窗口与重新验证，才能逐级回升，禁止直接跳回 Normal。
工程提示：降级状态必须“可观测”。建议在雷达输出接口中固定保留一个健康状态字节，包含当前模式、故障码、置信度与建议动作，便于整车诊断与事后复盘。
四、案例与场景：暴雨中的性能降级与安全降级
某前向毫米波雷达在暴雨工况下，天线罩水膜导致回波衰减，噪声底抬升约 6 dB，虚警率上升。系统检测到信噪比持续低于阈值，触发性能降级：将距离分辨率从 0.2 m 放宽到 0.5 m，帧率从 20 Hz 降至 10 Hz，同时提高恒虚警检测门限。此时雷达仍能输出前方车辆距离与速度，但角度精度下降。
若雨势继续增强，部分通道出现饱和，系统进入功能降级：关闭目标分类与自由空间检测，仅保留测距测速，并将输出置信度标记为“低”。若此时 ADAS 域控判断无法维持车道保持，则请求进入安全降级：雷达限制最大探测距离输出，并持续发送“建议驾驶员接管”。若驾驶员未接管，最终进入 MRS：车辆在本车道内安全减速停车。
降级状态通告示例（CAN 信号）：
Radar_DegradeMode : 0=Normal, 1=PerfLimited, 2=FuncReduced,
3=SafeDegrade, 4=FailOperational, 5=MRS
Radar_HealthScore : 0~100
Radar_Confidence : 0~100
Radar_FaultCode : 0x0000 无故障
0x0101 通道幅相异常
0x0203 温度超限降频
0x0305 通信丢帧超阈值
Radar_ActionReq : 0=无, 1=建议接管, 2=请求安全停车五、误区与复盘
| 常见误区 | 后果 | 正确做法 |
|---|---|---|
| 把降级等同于关闭功能 | 丢失可用感知，整车突然失去输入 | 优先性能降级，保留最低可用输出 |
| 降级后不发送状态 | 域控无法判断雷达可信度，误用低质量数据 | 固定输出健康位、置信度与建议动作 |
| 故障消失立即恢复全功能 | 状态抖动，引发反复切换与误判 | 设置滞回窗口与逐级恢复验证 |
| MRS 定义模糊 | 无法验证最终安全状态，功能安全论证不完整 | 明确 MRS 的车辆行为、时间边界与接管条件 |
| 只做单点故障降级 | 多点共因故障时策略失效 | 开展共因分析与降级路径冗余设计 |
复盘时建议重点检查三件事：降级阈值是否与真实故障数据匹配、降级状态是否被下游正确消费、恢复逻辑是否经过故障注入测试。只有把降级策略当作与正常功能同等重要的“一等公民”来设计、验证与维护，毫米波雷达才能在复杂整车环境中真正实现可靠运行。