1. 课程导入
欢迎进入《自动驾驶最小风险状态设计工程》。在正式进入架构、算法与验证细节之前，本章先回答三个问题：这门课要解决什么问题、什么是最小风险状态（Minimal Risk State，MRS）、整门课的学习路径如何展开。自动驾驶系统的目标从来不是“永不失效”，而是在失效、超出设计运行域或遭遇无法继续行驶的场景时，仍能把车辆带入一个可接受的安全状态。最小风险状态设计，正是把这一目标工程化的核心方法。
1.1 学习目标
完成本课程后，学习者应能够独立完成以下工作：
- 概念层：准确区分最小风险状态（MRS）、最小风险策略（MRM）、最小风险条件（MRC）与安全停车、降级运行之间的关系。
- 设计层：根据运行设计域（ODD）与失效模式，推导出可执行的最小风险策略，并定义状态进入、维持与退出的条件。
- 架构层：把 MRS 需求分解到感知、决策、控制、执行与安全监控模块，形成可追溯的需求链。
- 验证层：设计覆盖典型与边角场景的测试用例，用指标证明 MRS 达成率、误触发率与残余风险满足目标。
- 工程层：识别常见误区，例如把“靠边停车”等同于 MRS、忽略乘员与交通参与者的二次风险。
1.2 什么是最小风险状态
最小风险状态是指：当自动驾驶系统无法继续执行原定动态驾驶任务，或系统检测到自身能力不足以安全运行时，车辆所进入的一种风险被降低到可接受水平的稳定状态。它不一定是“停车”，也可能是减速、靠边、保持车道、开启危险报警闪光灯、请求远程协助或移交人工驾驶。关键在于：该状态下的残余风险已被明确评估，并且系统有能力稳定维持。
与之紧密相关的三个概念需要先厘清：
| 术语 | 含义 | 典型示例 |
|---|---|---|
| MRC（最小风险条件） | 进入 MRS 所需满足的道路、交通与车辆条件 | 右侧应急车道可用、车速低于 30 km/h |
| MRM（最小风险策略） | 为达到 MRC 而采取的动作序列 | 打右转向灯、减速、靠边、停车、开双闪 |
| MRS（最小风险状态） | 策略执行后车辆所处的稳定安全状态 | 车辆停稳于应急车道，系统保持监控 |
核心判断：MRS 不是单一动作，而是“触发条件 → 策略选择 → 状态维持 → 退出/接管”的闭环。设计时既要回答“怎么停”，也要回答“停在哪、停多久、谁来接管、如何证明安全”。
1.3 整体课程框架与学习路径
本课程共 30 章，按“概念—设计—实现—验证—复盘”的主线组织。下图给出课程的整体知识地图与学习路径，帮助你在后续章节中定位每个知识点所处的位置。
从图中可以看到，课程并非线性罗列知识点，而是围绕“触发—策略—维持—退出—证据”这条闭环反复深入。前几章建立概念与边界，中段进入需求分解与架构设计，随后是策略实现与验证，最后通过复盘把经验沉淀为可复用的设计模式。
1.4 典型场景与常见误区
以一个高速公路场景为例：车辆以 100 km/h 行驶，前方传感器突然失效，系统判定无法继续完成车道保持与跟车任务。此时可选的 MRM 包括：立即紧急制动、减速并靠右停车、请求驾驶员接管、或降级到低速巡航。不同选择对应不同的 MRC 与残余风险。若直接紧急制动，可能引发后车追尾；若靠边停车，需要确认右侧应急车道可用且无静止障碍。MRS 设计的难点，正是在有限时间内做出风险最小且可执行的选择。
常见误区一：把 MRS 等同于“停车”。在高速车流中，突然停车可能比继续低速行驶更危险。
常见误区二：只考虑本车安全，忽略对周围交通流的影响与乘员二次伤害。
常见误区三：定义了 MRS 却没有定义退出条件，导致车辆长期停留在低效状态。
常见误区四：缺少证据留存，事后无法证明系统确实进入了预期状态。
1.5 一个可执行的设计检查清单
在后续章节中，你会反复用到下面这份清单。建议在阅读每一章时，把它当作对照表：
MRS 设计检查清单（初版）
1. 触发条件：哪些失效、降级或 ODD 退出会触发 MRS？
2. 目标状态：MRS 的车辆状态、位置、灯光、通信分别是什么？
3. 策略选择：有哪些候选 MRM？如何排序与仲裁？
4. 时间预算：从触发到进入 MRS 允许的最大时间是多少？
5. 退出条件：何时移交人工、何时恢复自动驾驶、何时请求远程协助？
6. 验证指标：MRS 达成率、误触发率、残余风险、乘员舒适度如何度量？
7. 证据链：日志、数据回放、场景记录是否完整可追溯？本章建立了课程的整体认知框架：MRS 是一种被明确定义、可执行、可维持、可退出的安全状态；MRM 是达到该状态的策略；MRC 是进入该状态所需的条件。三者共同构成最小风险状态设计的核心概念三角。接下来的章节将沿着知识地图逐层展开，从概念边界走向工程实现与验证闭环。