1. 课程导入
自动驾驶系统从实验室走向公开道路，真正决定其安全上限的往往不是“正常工况下开得多好”，而是“异常发生时能否被及时发现、被正确处置、被安全接管”。本课程围绕异常检测与紧急接管两条主线展开，目标是把感知、预测、规划、控制、人机交互、功能安全与数据闭环串成一条可工程落地的技术链路。学完本课程，你应当能够识别自动驾驶系统中的典型异常模式，设计可量化的检测指标，构建分级接管策略，并对接管过程进行复盘与迭代。
一、学习目标：从“能开”到“开得安全”
本课程的学习目标分为四个层次。第一层是概念层：理解异常、故障、失效、降级、接管、最小风险状态（MRM）等术语的边界与联系。第二层是方法层：掌握基于规则、基于模型、基于数据驱动的异常检测方法，以及时序一致性、残差分析、不确定性估计等关键技术。第三层是系统层：能够把检测模块嵌入到感知—决策—控制闭环中，设计接管请求（TOR）的触发条件、时间预算与交互方式。第四层是工程层：能够用指标、日志、场景库和仿真工具对接管效果进行量化评估与持续改进。
二、核心概念：异常、失效与接管的边界
在工程语境中，异常指系统行为偏离预期但尚未造成功能丧失的状态，例如感知置信度骤降、定位跳变、预测轨迹发散。故障是部件或模块失去规定功能，失效则是功能在任务层面不可接受。异常检测的目标是在故障演化为失效之前发出可行动的信号。紧急接管则是在系统无法继续安全运行时，将控制权或决策责任转移给驾驶员、远程操作员或降级策略的过程。
需要特别区分三类接管：计划内接管（如驶出ODD前的提示）、计划外接管（如突发施工区）、紧急接管（如系统失效且碰撞风险高）。三者的时间预算、交互强度和法律责任完全不同。工程上常用“接管时间预算”来约束设计：从发出请求到驾驶员有效接管，通常需要1.5～4秒，而紧急场景可能只有0.5～1秒，因此系统必须提前预测并分级降级。
三、方法流程：从信号到接管的五步链路
工程上，异常检测与紧急接管通常遵循一条五步链路：采集—检测—评估—决策—执行。采集阶段需要保证时间同步与数据质量；检测阶段输出异常分数与置信度；评估阶段结合车辆动力学、交通规则与风险模型判断是否进入降级；决策阶段选择接管等级与目标状态；执行阶段完成人机交互、控制权转移与最小风险操作。
以“前向毫米波雷达短时丢帧”为例，检测模块会观察到目标航迹中断、残差增大；评估模块结合视觉与激光雷达的冗余信息判断是否为真实异常；若确认，则触发L2级接管请求，同时规划模块准备靠边停车。整个过程需要在100毫秒级完成检测，在秒级完成决策，否则留给驾驶员的接管时间将不足。
异常检测与接管伪代码：
1. 读取多源传感器帧，时间对齐
2. 计算残差 r = |z - h(x_pred)|
3. 若 r > threshold 且持续 N 帧：
anomaly_score = f(r, uncertainty, consistency)
4. 若 anomaly_score > risk_threshold：
触发 TOR，等级 = classify(risk, TTC, driver_state)
5. 若 driver_takeover_time > budget：
执行 MRM：减速、靠边、双闪
6. 记录事件链，写入场景库与日志四、案例与场景：三类典型异常
第一类是感知异常，如隧道口逆光导致车道线丢失、雨雾中激光雷达点云衰减。第二类是定位异常，如城市峡谷中GNSS多路径导致位置跳变。第三类是预测与规划异常，如他车突然切入导致轨迹不可行。三类异常的检测手段不同，但接管逻辑可以统一到风险分级框架中。
| 异常类型 | 典型表现 | 检测信号 | 接管策略 |
|---|---|---|---|
| 感知异常 | 车道线丢失、目标漏检 | 置信度下降、时序不一致 | L2 请求 + 降速 |
| 定位异常 | 位置跳变、航向漂移 | GNSS 残差、地图匹配失败 | L3 紧急 + MRM |
| 预测异常 | 轨迹发散、冲突概率高 | TTC 骤降、不确定性增大 | L2/L3 分级接管 |
| 执行异常 | 转向/制动响应偏差 | 执行器反馈残差 | L4 自动 MRM |
五、误区与复盘：不要只盯着“检测率”
复盘时应关注四个问题：异常是否被提前发现？接管请求是否及时且可理解？驾驶员是否在预算时间内有效接管？若未接管，MRM是否将风险降到可接受水平？只有把检测、决策、交互、执行四个环节的指标都纳入评估，才能形成真正的安全闭环。
本课程后续将围绕感知异常检测、定位与地图异常、预测与规划异常、接管策略设计、人机交互、功能安全与预期功能安全、数据闭环与仿真评估等模块展开。第1章的任务是建立整体框架与术语共识，为后续深入工程细节打下基础。