1. 课程导入

Robotaxi（自动驾驶出租车）与普通乘用车的根本差异，不在于"能不能自己开"，而在于当系统出现故障时，它还能不能安全地把乘客送到可停靠的位置。一辆人类驾驶的出租车，司机突发不适时可以由乘客、路人或交警介入；而一辆无人驾驶的Robotaxi，一旦感知、计算、执行或供电环节失效，车上没有第二个人可以接管。因此，安全冗余与故障降级不是Robotaxi的"加分项"，而是它能否合法上路、能否被公众接受的准入门槛。

本课程围绕"冗余设计—故障检测—降级决策—最小风险状态"这条主线展开，共30章，从概念定义、架构设计、工程实现到测试验证与复盘，系统讲解Robotaxi如何在单点失效甚至多点失效下仍保持安全。本章作为导入，先建立全局认知框架。

一、核心定义：冗余、降级与最小风险状态

三个概念经常被混用，但工程含义截然不同：

• 安全冗余（Redundancy）：为同一功能配置两条或以上相互独立的实现路径，使单点故障不会导致功能完全丧失。冗余可以是硬件冗余（双制动、双转向、双电源）、软件冗余（异构算法、多版本决策）、信息冗余（多传感器融合、多源定位）或时间冗余（重复计算、心跳重试）。
• 故障降级（Degradation）：当系统检测到能力下降时，主动收缩运行设计域（ODD），例如从"全速城市道路"降为"低速靠边"，从"无人载客"降为"远程协助+安全停车"。降级是有计划的性能退让，而非失控。
• 最小风险状态（Minimal Risk Condition, MRC）：降级链条的终点，指车辆进入一种即使不再恢复也能保证乘员与交通参与者安全的状态，通常表现为靠边停车、开启双闪、解锁车门并上报远程平台。

二、整体知识框架

本课程的知识体系可归纳为"三层冗余 + 一条降级链 + 一套验证闭环"。下图展示了从故障发生到进入MRC的完整信号与决策路径，也是后续各章节反复引用的主干框架。

三、工程价值：为什么这门课值得系统学

从工程视角看，安全冗余与故障降级直接决定三件事：

1. 合规准入：国内外监管框架（如ISO 21448预期功能安全、ISO 26262功能安全、UN R157）均要求自动驾驶系统具备故障检测与MRC能力。没有降级策略，车辆无法通过型式认证。
2. 运营成本：一次因单点故障导致的"趴窝"需要远程救援、乘客赔付与舆情处理，成本远高于冗余硬件的增量。冗余是用确定性成本对冲不确定性风险。
3. 公众信任：Robotaxi的事故会被放大传播。一次"系统失效后车辆失控"的事件，可能让整个城市的运营许可被暂停。降级能力是信任的物理载体。

四、典型场景与常见误区

以一个真实工程场景为例：某Robotaxi在城市道路行驶中，主激光雷达因脏污导致点云稀疏，融合定位置信度下降。此时系统应如何反应？

[故障事件] lidar_front: pointcloud_density = 0.31 (阈值 0.60)
[诊断结果] 感知降级 L2：定位仍可用，但障碍物检测距离缩短
[降级决策] ODD收缩：最高车速 60→30 km/h，禁止变道，寻找最近安全停靠点
[执行动作] 靠边停车 → 双闪 → 车门解锁 → 远程平台告警
[最终状态] MRC达成，乘客安全，车辆等待远程复位

这个链条中，任何一环缺失都会导致风险升级。常见误区包括：