1. 课程导入
当一辆满载 49 吨的重型牵引车以 90 km/h 行驶在高速公路上，智能驾驶系统突然遭遇前视摄像头被泥水遮挡、激光雷达点云异常、或线控转向反馈丢失时，车辆并不会"暂停"等待故障修复。它必须在毫秒到秒级的时间窗内，完成一次可验证、可追溯、可交付的安全状态迁移——这正是商用车智能驾驶安全降级工程要解决的核心问题。
安全降级（Safety Degradation）是指智能驾驶系统在检测到自身能力边界被突破、关键部件失效或运行条件超出设计范围时，按照预设策略有序降低自动化等级、限制功能范围或移交驾驶权，使车辆进入一个风险可控的最低安全状态（Minimal Risk Condition, MRC）的全过程。
一、定义：降级不是"关机"，而是"有序退让"
在乘用车领域，安全降级常被简化为"提示驾驶员接管"。但商用车完全不同：整车质量大、制动距离长、盲区多、驾驶员可能处于疲劳或分神状态，且运营方对时效与油耗高度敏感。因此，商用车安全降级工程是一门跨域系统工程，它同时涉及：
- 功能安全（ISO 26262）：E/E 架构的失效模式、ASIL 等级分解、安全机制设计；
- 预期功能安全（ISO 21448 SOTIF）：性能局限与可预见误用导致的降级触发；
- 线控底盘与冗余：制动、转向、电源、通信的冗余切换与降级执行；
- 人机共驾与接管：驾驶员状态监测、接管请求时序、最小风险策略；
- 法规与运营：UN R157、GB 44497 等对降级策略与数据记录的要求。
换句话说，安全降级工程研究的是"系统在变坏的过程中，如何仍然保持可控"。
二、学习目标：从"知道"到"能设计、能验证"
本课程共 30 章，围绕一条主线展开：识别风险 → 定义降级策略 → 设计冗余与执行 → 验证与运营闭环。学完后，你应当能够：
- 用 FMEA、STPA、故障树等方法识别商用车智能驾驶的降级触发源；
- 为 L2～L4 不同自动化等级设计分级降级策略与 MRC；
- 理解线控转向、线控制动、双电源、双通信的冗余架构与切换逻辑；
- 编写降级状态机、接管请求时序与 HMI 提示规范；
- 搭建 HIL/SIL/实车测试用例，验证降级路径的覆盖率与实时性；
- 建立降级事件的数据记录、复盘与 OTA 迭代机制。
三、整体知识框架：五层结构
下图给出本课程的知识地图。它从"触发源"出发，经过"策略决策"，落到"执行与冗余"，再由"验证"和"运营闭环"反哺策略迭代，形成闭环而非单向流程。
四、行业价值：为什么商用车更需要"降级工程"
商用车智能驾驶的商业化路径与乘用车不同：它更早进入干线物流、港口、矿区、环卫等场景，运营方关注的是出勤率、事故率与保险成本。一次因降级策略不当导致的高速停车，可能引发追尾；一次接管请求过晚，可能让疲劳驾驶员来不及反应。因此，安全降级能力直接决定：
| 维度 | 降级能力不足的后果 | 降级工程完善后的价值 |
|---|---|---|
| 安全 | 故障后失控、急停、二次事故 | 有序进入 MRC，降低事故严重度 |
| 合规 | 无法满足 UN R157 / GB 44497 | 通过型式认证与运营许可 |
| 运营 | 频繁误降级导致时效损失 | 精准触发，减少无效接管 |
| 成本 | 高额保险与赔付 | 事故率下降，保费与赔付优化 |
| 迭代 | 问题难以复现与定位 | 数据闭环驱动 OTA 持续改进 |
五、常见误区与复盘视角
误区一：把降级等同于"功能关闭"。降级的目标不是让系统停止工作，而是让车辆进入一个风险可接受的状态。例如，L3 系统在传感器失效后，可能降级为 L2 横向控制 + 驾驶员纵向接管，而非直接退出。
误区二：只关注硬件冗余，忽略策略时序。双电源、双通信只是基础，真正决定安全的是"何时切换、切换多久、切换后如何提示驾驶员"。
误区三：用乘用车经验直接套用商用车。商用车的制动距离、载荷变化、盲区范围、驾驶员工作强度都不同，降级阈值与 MRC 必须重新标定。
复盘时，建议用一条固定问题链检查每个降级事件：触发是否准确？决策是否及时？执行是否到位？驾驶员是否理解？数据是否可追溯？这五个问题，将贯穿本课程后续所有章节。
降级事件复盘检查清单（示例）
[ ] 触发源：传感器/执行器/ODD/驾驶员/通信，是否可复现？
[ ] 决策：降级等级、MRC、接管请求时间是否符合设计？
[ ] 执行：冗余切换时间、制动/转向响应是否在阈值内？
[ ] 人机：HMI 提示是否清晰？驾驶员接管时间是否足够？
[ ] 数据：EDR 是否记录触发前后 30s 关键信号？
[ ] 闭环：是否形成 OTA 改进项并跟踪验证？