3. 系统总体架构

Robotaxi 远程协助与安全接管系统不是单一软件，而是一套跨车端、云端、通信链路、远程操作台与安全监控模块的分布式实时系统。理解总体架构的关键，不是记住五个模块的名字，而是看清它们之间的数据流、控制流与安全边界：车端负责感知与执行，云端负责调度与决策支持，通信链路负责低时延高可靠传输，远程操作台负责人机协同干预，安全监控模块则贯穿全链路进行风险识别与降级控制。

一、核心原理：五层模块的职责边界

车端是系统的“手脚与感官”，包含感知、定位、规划、线控底盘执行器以及车载安全冗余单元。它持续输出车辆状态、感知结果和接管请求，并在收到远程指令后执行转向、制动或靠边停车。云端是“大脑与调度中心”，负责车队任务分配、远程协助会话建立、高精地图与路径服务，以及数据存储与回放。通信链路是“神经”，通过 5G/V2X 提供低时延、高可靠的双向通道，承载视频流、遥测数据、控制指令和心跳包。远程操作台是“人机协同界面”，操作员通过多屏监控、方向盘/踏板模拟输入和语音指令对车辆进行干预。安全监控模块则是“免疫系统”，贯穿全链路进行风险识别、接管超时判定、最小风险状态（MRM）触发和审计日志记录。

二、方法流程：一次远程协助的完整交互链路

以车辆遇到施工路段为例，完整交互流程如下：

1. 车端触发：感知模块识别到无法自主通过的场景，生成接管请求，并通过通信链路上报云端。
2. 云端调度：云端会话管理模块根据车辆位置、任务优先级和操作员负载，分配远程操作台席位。
3. 链路建立：通信链路建立专用视频流与控制通道，确保端到端时延低于 200ms。
4. 操作员介入：远程操作台显示多路视频与车辆状态，操作员通过模拟方向盘或指令按钮给出绕行路径。
5. 车端执行：车端接收控制指令，经安全校验后由线控底盘执行，同时持续回传执行状态。
6. 安全监控：安全监控模块全程监测接管时长、链路质量和车辆姿态，若超时或异常则触发 MRM。

三、关键参数与接口清单

四、案例与误区复盘

案例：某 Robotaxi 在隧道内遭遇 5G 信号衰减，视频流出现卡顿。安全监控模块检测到链路质量下降，立即将车辆限速并提示远程操作台。操作员在视频恢复后 3 秒内完成绕行指令下发，车辆安全通过。该案例说明，通信链路的质量监测必须与安全监控联动，而不是仅依赖操作员肉眼判断。

复盘要点：第一，车端与云端的职责必须清晰，避免车端把安全决策完全外包；第二，通信链路要有质量分级和降级策略，不能假设永远在线；第三，安全监控模块应独立部署，避免与业务模块共享故障域；第四，远程操作台的交互设计要减少操作员认知负荷，关键指令需二次确认。

# 典型链路质量监测参数示例
link_status:
  rtt_ms: 45
  packet_loss: 0.2%
  video_bitrate: 4.5Mbps
  heartbeat_interval: 100ms
  degrade_threshold:
    rtt_ms: 150
    packet_loss: 2%
  action_on_degrade: "limit_speed_and_alert"

总体来看，车端、云端、通信链路、远程操作台与安全监控模块构成一个闭环：车端产生需求，云端调度资源，通信链路保障传输，远程操作台提供人工干预，安全监控模块兜底风险。五者缺一不可，且必须在架构设计阶段就明确各自的故障边界与降级策略，才能支撑 Robotaxi 远程协助与安全接管的高可靠运行。