1. 课程导入
自动驾驶系统不是单一算法，而是一套由感知、定位、预测、决策、规划、控制、执行与云端协同构成的复杂安全关键系统。随着L2辅助驾驶大规模量产、L3有条件自动驾驶在限定场景落地，行业关注点正从“功能是否可用”转向“系统是否可信、失效是否可控、健康状态是否可管理”。本课程围绕两条主线展开：一是安全机制，回答“系统出错时如何避免伤害”；二是健康管理，回答“系统在失效前能否被提前发现并处置”。
1. 概念层：理解功能安全、预期功能安全、信息安全、健康管理之间的边界与交集；
2. 方法层：掌握危害分析、安全目标分解、故障树、FMEA、监控降级、失效运行等核心方法；
3. 工程层：能够把安全需求落到架构、接口、参数、测试用例与运维策略中；
4. 体系层：建立覆盖“设计—验证—量产—运营—迭代”的全生命周期安全与健康管理视角。
一、核心概念：安全、可靠、健康与可用性的关系
在自动驾驶语境中，几个概念经常被混用，但工程含义不同。功能安全关注由电子电气系统故障引发的危害，强调避免随机硬件失效和系统性失效；预期功能安全关注系统在没有故障时，因性能局限、场景理解不足或误用而引发的危害；信息安全关注外部攻击、篡改、伪造和未授权访问；健康管理则通过状态监测、故障预测、健康评估和维修决策，使系统在退化过程中仍保持可控。
可用性、可靠性与安全性之间并非简单正相关。一个系统可能非常可靠，但一旦失效就不可控；也可能具备冗余，但冗余切换逻辑本身引入新的失效模式。因此，安全机制必须与健康管理联动：健康管理提供“当前状态是否可信”的判断，安全机制提供“状态不可信时如何降级或停车”的策略。
二、整体框架：从危害到处置的闭环
下图给出本课程贯穿始终的整体框架。它把车辆端、云端和工程流程连接起来，形成“感知风险—评估健康—触发安全—恢复或降级—数据回灌”的闭环。
三、方法流程：安全机制与健康管理的协同工作流
工程落地时，安全机制与健康管理通常按以下流程协同：
- 定义运行设计域与场景：明确ODD边界、道路类型、天气、速度范围与驾驶员状态。
- 开展危害分析与风险评估：识别危害事件，评估严重度S、暴露率E、可控性C，确定ASIL等级。
- 制定安全目标与功能安全需求：把“避免非预期制动”等目标分解到感知、决策、执行各层。
- 设计健康监测与诊断策略：确定监测参数、阈值、诊断覆盖率与故障响应时间。
- 实现安全机制：包括看门狗、心跳、冗余仲裁、降级策略、最小风险状态。
- 验证与确认：通过HIL、SIL、实车测试、故障注入和场景回放验证安全机制有效性。
- 运营与迭代：通过影子模式、数据回传和OTA持续优化健康模型与安全策略。
四、案例场景：一次“感知退化”的联动处置
假设车辆在高速行驶中遇到强逆光，前视摄像头置信度持续下降。健康管理模块检测到感知通道健康度从0.92降至0.55，并触发“感知退化”事件。安全机制随即执行以下动作：
- 降低最高车速，增大跟车距离；
- 切换至雷达与高精地图融合的降级感知模式；
- 若健康度继续低于0.35，则请求驾驶员接管；
- 若驾驶员无响应，则执行最小风险策略，靠边停车并开启双闪。
该案例说明：健康管理负责“发现状态变差”，安全机制负责“决定如何处置”，两者通过统一的健康度指标和仲裁逻辑耦合。若只有健康监测而没有安全策略，系统只能报警；若只有安全策略而没有健康监测，系统无法提前预判。
五、常见误区与复盘要点
误区二：认为冗余越多越安全。冗余会引入共因失效、切换冲突和成本上升，需通过独立性分析和共因失效分析验证。
误区三：健康管理只做故障报警。健康管理应输出可量化的健康度、剩余寿命和处置建议，并与安全策略联动。
误区四：忽视数据闭环。没有运营数据回灌，安全机制和健康模型难以覆盖长尾场景。
六、关键术语与参数速查
| 术语/参数 | 含义 | 工程关注点 |
|---|---|---|
| ASIL | 汽车安全完整性等级，分A~D | 由S/E/C组合确定，决定开发 rigor |
| SOTIF | 预期功能安全 | 性能局限、场景理解不足、误用 |
| FMEA/FTA | 失效模式与影响分析/故障树分析 | 自下而上与自上而下的失效分析 |
| MRM | 最小风险策略 | 降级、靠边、停车、请求接管 |
| 健康度 | 系统或部件当前可信程度 | 阈值、趋势、剩余寿命预测 |
| 诊断覆盖率 | 被诊断出的故障比例 | 影响ASIL分解与安全验证 |
七、行业背景与学习建议
当前行业正从“单车智能”走向“车路云一体化”，法规层面ISO 26262、ISO 21448、ISO/SAE 21434和UN R155/R156逐步成为准入基线。量产车型普遍要求具备故障监控、降级运行、数据记录和OTA能力。对学习者而言，建议先建立“危害—安全目标—安全机制—健康监测—验证—运营”的完整链路认知，再深入具体算法与工具。
学习路径建议：
1. 概念筑基：功能安全 + SOTIF + 信息安全 + 健康管理
2. 方法训练：HARA、FMEA、FTA、故障注入、场景测试
3. 工程实践：架构设计、接口定义、参数标定、诊断策略
4. 运营闭环：影子模式、数据回传、OTA、健康档案