4. 安全降级核心概念
在商用车智能驾驶系统中，安全降级不是“功能失效后的被动补救”，而是一套被预先设计、可验证、可追溯的安全机制。它的核心目标是：当系统能力因故障、环境超出设计运行域或外部干预而受限时，车辆能够以可控方式从当前自动驾驶状态退出，并进入一个风险可接受的状态。理解安全降级，必须同时掌握五个相互关联的概念：降级定义、降级等级、最小风险状态、最小风险策略与降级触发条件。
一、降级定义：从“能力受限”到“风险可控”
降级（Degradation）是指智能驾驶系统在感知、决策、执行或供电通信等环节出现异常，或运行条件超出设计运行域（ODD）时，系统主动或被动地降低自动化等级、缩小功能范围或退出自动驾驶模式的过程。降级不等于故障，故障是原因，降级是响应；降级也不等于停车，停车只是最小风险策略的一种可能结果。
在工程语境中，降级强调三个要素：可检测——系统能识别自身能力边界；可决策——系统能判断应降到什么等级；可执行——车辆能完成从当前状态到目标状态的过渡。缺少任何一环，降级都只是纸面概念。
二、降级等级：按风险与时间压力分层
商用车通常按自动化程度和风险紧迫度将降级划分为若干等级。等级越高，系统保留的自动化能力越少，但接管要求越紧迫。常见划分如下：
| 降级等级 | 系统状态 | 典型场景 | 驾驶员/安全员要求 |
|---|---|---|---|
| L0 正常 | 全功能自动驾驶 | ODD 内无异常 | 无需干预 |
| L1 功能受限 | 部分功能降级，仍可自动驾驶 | 单传感器性能下降 | 保持监控，准备接管 |
| L2 模式降级 | 退出自动驾驶，进入辅助驾驶 | 感知置信度不足 | 立即接管横向/纵向控制 |
| L3 最小风险 | 执行最小风险策略 | 关键执行器故障 | 配合或等待系统停车 |
| L4 紧急停车 | 紧急制动或安全停车 | 碰撞风险不可避 | 按安全规程避险 |
等级划分不是越细越好，而是要与车辆类型、运营场景和法规要求匹配。例如干线物流重卡更关注高速场景下的稳定降级，而港口牵引车则更关注低速精准停车。
三、最小风险状态与最小风险策略
最小风险状态（Minimal Risk Condition, MRC）是指车辆在无法继续自动驾驶时，能够达到的一种风险可接受的状态。它可以是本车道内安全停车、靠边停车、驶入应急车道，或在特定场景下继续低速行驶至安全区域。MRC 的关键是“风险可接受”，而不是“绝对无风险”。
最小风险策略（Minimal Risk Maneuver, MRM）是实现 MRC 的具体动作序列。它回答“怎么降”的问题，通常包括：触发确认、接管请求、横向控制、纵向减速、灯光警示、最终停车或移交。MRM 必须考虑时间、距离、交通流和道路几何，不能简单等同于“一脚刹车”。
四、降级触发条件：何时必须降
触发条件是降级机制的入口，必须明确、可量化、可测试。商用车常见触发条件可分为四类：
- 感知类：摄像头遮挡、雷达失效、激光雷达点云异常、融合置信度低于阈值。
- 决策类：规划模块超时、路径不可行、地图与定位不匹配。
- 执行类：制动、转向、驱动系统故障，或冗余通道切换失败。
- 外部类：驾驶员接管、远程指令、天气超出 ODD、道路施工改道。
触发条件不能只看“是否发生”，还要看“持续多久”和“影响多大”。例如，单帧感知置信度下降不应立即触发 L3，而应结合持续时间、故障等级和车辆状态综合判定。
触发判定示例：
if 感知置信度 < 0.6 且 持续 > 500ms:
降级等级 = L2
elif 制动系统故障 且 冗余不可用:
降级等级 = L3
elif 碰撞时间 TTC < 1.2s:
降级等级 = L4
else:
保持当前等级五、案例与误区复盘
以一辆高速干线物流重卡为例：车辆在 80 km/h 巡航时，前向毫米波雷达因泥水遮挡导致目标丢失，融合感知置信度从 0.92 降至 0.55，持续 600 ms。系统判定为 L2 模式降级，立即发出声光接管请求，同时执行纵向减速至 60 km/h，并保持车道居中。驾驶员在 3 秒内接管，车辆恢复人工驾驶。若驾驶员未接管，系统将在 5 秒后升级为 L3，执行靠边停车。
安全降级的五个概念不是孤立术语，而是一条闭环链路：触发条件决定何时降，降级等级决定降到什么程度，最小风险策略决定怎么降，最小风险状态决定降到哪，降级定义则统摄整个过程的目标——在能力受限时，仍把风险控制在可接受范围内。