2. 自动驾驶系统基础

自动驾驶系统并非单一算法，而是由分级定义、分层架构、实时链路、传感器组合与计算平台共同构成的复杂安全关键系统。理解这些基础对象，是后续讨论安全机制与健康管理的前提。

一、SAE分级：从辅助到自动的责任迁移

SAE J3016 将驾驶自动化分为 L0 至 L5 六个等级，核心区别不在于“功能多少”，而在于动态驾驶任务（DDT）由谁执行、谁负责监控、谁承担接管。L0–L2 属于辅助驾驶，驾驶员始终是责任主体；L3 在限定运行域内由系统完成 DDT，但驾驶员需在请求时接管；L4 在运行域内系统可独立完成 DDT 与接管，无需人类响应；L5 则无运行域限制。

二、系统架构：分层解耦与冗余设计

典型自动驾驶系统采用分层架构：感知层负责环境与自车状态建模；定位与地图层提供全局位姿与先验信息；决策规划层完成行为决策、路径与速度规划；控制层将轨迹转化为转向、驱动、制动指令；执行层由线控底盘执行；健康管理与安全层贯穿全栈，负责监控、降级与最小风险策略。

安全关键路径通常要求冗余：感知冗余（摄像头+雷达+激光雷达）、计算冗余（主备 SoC）、通信冗余（以太网+CAN FD）、供电冗余（双电源）与执行冗余（双绕组电机、冗余制动）。冗余不是简单叠加，而是异构冗余——不同物理原理的传感器与不同软件栈的通道，才能降低共因失效。

三、感知-决策-控制链路：实时数据流

链路可概括为：传感器采集 → 时间同步与标定 → 感知融合 → 目标跟踪与预测 → 行为决策 → 轨迹规划 → 控制求解 → 线控执行 → 状态反馈。每一环都有明确的时延预算与安全约束。

该链路的关键约束是端到端时延与时间一致性。若感知输出与自车运动状态时间戳不一致，融合结果会产生“幽灵目标”或位置漂移。因此，PTP/gPTP 时间同步、传感器标定与在线外参校正是链路可靠性的基础。

四、关键传感器与计算平台

传感器组合决定感知能力边界：摄像头提供语义与纹理，但受光照影响；毫米波雷达测距测速稳定，但角分辨率有限；激光雷达提供高精度三维点云，但成本与恶劣天气衰减明显；IMU/GNSS 提供自车运动与全局定位，但隧道与城市峡谷易失锁。工程上常采用前融合或后融合策略，并保留各传感器独立通道用于故障隔离。

计算平台通常采用“主 SoC + 安全 MCU”异构架构：主 SoC 运行感知与规划大算力任务，安全 MCU 运行实时监控、看门狗与降级逻辑。典型配置参数如下：

主 SoC：算力 200–1000 TOPS，运行 Linux/QNX
安全 MCU：锁步双核，ASIL-D，运行 AUTOSAR CP
通信：车载以太网 1000BASE-T1 + CAN FD 5Mbps
时间同步：gPTP，同步误差 < 1ms
供电：双 12V 冗余，掉电保持 > 200ms

五、场景复盘：一次 AEB 误触发链路分析

某 L2 车辆在隧道出口发生 AEB 误触发。复盘链路：摄像头因明暗突变产生虚假目标 → 雷达未确认该目标 → 后融合模块因时间戳偏差将两者错误关联 → 决策层未做置信度交叉校验 → 控制层执行紧急制动。改进措施包括：引入雷达-摄像头时间对齐校验、设置融合置信度阈值、在决策层增加“单传感器目标不触发 AEB”的安全规则，并在健康管理中记录传感器置信度降级事件。

该案例说明：感知-决策-控制链路的安全不仅取决于单点算法精度，更取决于跨模块的一致性校验、时延约束与降级策略。这些正是后续安全机制与健康管理工程要解决的核心问题。