2. 自动驾驶系统基础
理解自动驾驶安全架构，必须先建立对系统本身的整体认知。自动驾驶并不是单一算法或单一控制器，而是由分级定义、传感器体系、计算平台、执行机构与安全机制共同构成的复杂系统。本节从SAE分级出发，梳理系统组成与感知—决策—控制链路，并结合典型场景说明安全挑战的来源。
一、SAE分级：从辅助到自动的责任迁移
SAE J3016将驾驶自动化分为L0至L5六个等级，核心区分维度是动态驾驶任务（DDT）由谁执行、谁监控、谁兜底。L0至L2属于驾驶辅助，驾驶员始终是责任主体；L3是有条件自动驾驶，系统在限定运行域内执行DDT，但驾驶员需在请求时接管；L4在限定运行域内由系统完成DDT及最小风险状态，无需人类接管；L5为无限制全场景自动驾驶。
| 等级 | DDT执行 | 监控主体 | 接管/兜底 | 典型能力 |
|---|---|---|---|---|
| L0 | 驾驶员 | 驾驶员 | 驾驶员 | 仅预警提示 |
| L1 | 驾驶员+系统 | 驾驶员 | 驾驶员 | 纵向或横向单一控制 |
| L2 | 系统 | 驾驶员 | 驾驶员 | 同时控制横向与纵向 |
| L3 | 系统 | 系统（需接管时人） | 驾驶员 | 限定域内自动驾驶 |
| L4 | 系统 | 系统 | 系统 | 限定域内无人驾驶 |
| L5 | 系统 | 系统 | 系统 | 全场景无人驾驶 |
二、系统组成：感知、计算、执行与安全冗余
典型自动驾驶系统由四层构成。第一层是感知层，包括摄像头、毫米波雷达、激光雷达、超声波雷达、GNSS/IMU等，负责环境与自车状态获取。第二层是计算与决策层，由域控制器、AI加速芯片、实时操作系统与算法栈组成，完成目标检测、跟踪、预测、规划与控制。第三层是执行层，包括线控转向、线控制动、线控驱动与档位控制，接收控制指令并反馈执行状态。第四层是安全与冗余层，涵盖电源冗余、通信冗余、制动冗余、监控看门狗与失效降级策略。
三、感知—决策—控制链路：闭环与延迟约束
链路可概括为“传感器采集→时间同步→感知融合→目标预测→路径规划→控制求解→线控执行→状态反馈”。其中每一环都引入延迟，而安全控制对端到端延迟有硬约束。例如高速场景下，100 km/h约等于27.8 m/s，若感知到制动执行的总延迟为200 ms，车辆已前进约5.6 m，这直接决定最小安全距离与AEB触发门限。
感知周期: 50 ms (20 Hz)
融合与预测: 30 ms
规划周期: 100 ms (10 Hz)
控制周期: 20 ms (50 Hz)
执行响应: 50~80 ms
端到端典型延迟: 200~300 ms因此，安全架构必须区分功能链路与安全链路：功能链路追求性能与体验，安全链路追求确定性与可验证性。常见做法是设置独立的安全监控通道，对关键信号进行范围、时序与一致性校验，一旦越界即触发降级。
四、典型应用场景与安全挑战
不同场景对系统能力要求差异显著。下表列出典型场景与主要安全挑战：
| 场景 | 典型等级 | 关键能力 | 主要安全挑战 |
|---|---|---|---|
| 高速巡航 | L2~L3 | 车道保持、自适应巡航 | 异形车辆、静止障碍物、接管及时性 |
| 城市拥堵跟车 | L2~L3 | 低速跟车、加塞处理 | 近距离切入、非机动车混行 |
| 自动泊车 | L2~L4 | 低速路径规划、超声波融合 | 低矮障碍物、盲区儿童 |
| Robotaxi | L4 | 全链路无人、远程协助 | 长尾场景、最小风险状态、网络安全 |
| 干线物流 | L3~L4 | 高速编队、疲劳替代 | 恶劣天气、传感器污损、冗余失效 |