2. 行业背景与法规

Robotaxi的安全冗余与故障降级工程，并不是孤立的技术问题，它深深嵌入在自动驾驶分级体系、商业化进程、功能安全标准以及监管要求所构成的行业背景之中。理解这一背景，才能明白为什么冗余设计必须做到什么程度、降级策略为何要如此保守，以及事故复盘为何会直接改变工程方案。

一、自动驾驶分级：从L0到L5的责任迁移

SAE J3016将驾驶自动化分为L0至L5六个等级，核心区分维度是“动态驾驶任务由谁执行”以及“谁负责监控与接管”。对Robotaxi而言，最关键的分水岭在L3与L4之间：L3要求人类在系统请求时接管，而L4在限定运行域内由系统独立完成全部动态驾驶任务，无需人类接管。这意味着L4 Robotaxi一旦发生故障，不能把责任推给“驾驶员未接管”，必须依靠自身冗余与降级策略把车辆带入最小风险状态。

下表梳理了各等级在责任主体、接管要求与典型应用上的差异，便于工程团队在需求分解时对齐边界。

二、Robotaxi商业化现状：从示范运营到规模复制

当前Robotaxi商业化呈现“区域化、渐进式”特征。中美两地是主要推进区域：美国以Waymo为代表，在凤凰城、旧金山等城市开展全无人收费运营；中国以百度萝卜快跑、小马智行、文远知行为代表，在北京、武汉、广州、深圳等地开展主驾无人或全无人示范运营。商业化落地的关键约束并非算法能力，而是安全冗余成本、运营区域政策与事故责任界定。

从工程视角看，商业化对冗余提出了三重压力：一是成本压力，冗余传感器与计算平台不能无限堆叠；二是运维压力，故障降级后车辆需快速恢复或安全回收；三是合规压力，监管要求企业提供可验证的安全论证材料。因此，冗余设计必须与商业化节奏匹配，既不能过度设计导致单车成本失控，也不能因降级能力不足而无法通过监管审批。

三、功能安全与预期功能安全标准：ISO 26262与ISO 21448

功能安全标准ISO 26262关注的是“系统故障”引发的危害，要求通过危害分析与风险评估确定ASIL等级，并据此设计冗余、监控与安全机制。对Robotaxi而言，制动、转向、电源、通信等关键链路通常需要达到ASIL D，这意味着必须采用冗余架构，例如双电源、双通信、双制动回路。

预期功能安全标准ISO 21448则关注“系统没有故障，但性能局限或场景理解不足”引发的危害，例如摄像头逆光、雷达误识别、算法对异形障碍物漏检。SOTIF的核心手段是场景挖掘、边界测试与性能限制识别，并通过降级策略把车辆带入可控状态。两者关系可以概括为：ISO 26262管“坏了怎么办”，ISO 21448管“没坏但看不懂怎么办”。

四、典型事故与监管要求：事故如何倒逼冗余升级

典型事故是理解冗余必要性的最佳教材。2018年Uber在亚利桑那州发生的行人致死事故中，感知系统在夜间识别到行人后反复切换分类，且默认不制动策略导致未能及时刹停；2016年特斯拉Autopilot在佛罗里达州的事故中，摄像头对白色卡车与天空的对比度识别失败，毫米波雷达未能有效融合。这些事故的共同点是：单一传感器或单一算法路径失效，而系统缺乏足够的冗余与降级判断。

监管层面，中国已发布《智能网联汽车道路测试与示范应用管理规范》，要求测试主体具备安全冗余与远程监控能力；美国NHTSA要求自动驾驶企业提交事故报告；欧盟则通过UN R157等法规对自动车道保持系统提出安全要求。监管的核心诉求可以归纳为三点：可验证的安全冗余、可追溯的事故数据、可执行的降级策略。

五、工程复盘：从标准到落地的检查清单

结合上述背景，工程团队在Robotaxi冗余与降级设计中，可对照以下清单进行自查：

• 关键链路是否达到ASIL D，是否具备双电源、双通信、双制动/转向回路；
• 是否完成SOTIF场景挖掘，识别感知性能边界并定义降级触发条件；
• 降级策略是否覆盖“靠边停车、远程协助、最小风险状态”三级路径；
• 事故数据是否可记录、可回放、可上报，满足监管追溯要求；
• 冗余通道之间是否真正独立，是否存在共因失效风险。

降级触发条件示例（伪代码）：
if 主制动回路压力异常:
    切换备用制动回路
    if 备用回路仍异常:
        触发MRM靠边停车
        请求远程协助接管
        记录故障码与传感器快照

综上，自动驾驶分级决定了责任边界，商业化现状决定了成本与合规约束，ISO 26262与ISO 21448分别从故障与性能局限两个维度提出安全要求，典型事故与监管要求则不断倒逼冗余与降级能力升级。只有把这些背景因素纳入工程决策，Robotaxi的安全冗余设计才具备真正的落地价值。