📚 课程目录第2章自动驾驶安全体系概览

2. 自动驾驶安全体系概览

自动驾驶系统不是单一算法，而是由感知、决策、控制、执行、通信与云端服务共同构成的复杂安全关键系统。要理解最小风险状态（Minimal Risk State, MRS）的工程定位，必须先看清它与其他安全体系之间的关系。行业通常用四类安全视角描述自动驾驶安全：功能安全（Functional Safety, FuSa）、预期功能安全（Safety of the Intended Functionality, SOTIF）、网络安全（Cybersecurity）以及最小风险状态（MRS）。它们不是彼此替代，而是从不同失效来源、不同时间尺度、不同责任边界共同支撑“运行安全”。

核心判断：FuSa 处理“系统坏了怎么办”，SOTIF 处理“系统没坏但能力不够怎么办”，Cybersecurity 处理“系统被恶意攻击怎么办”，MRS 处理“当风险不可继续承担时，车辆应进入什么可控状态”。四者最终都要落到可执行、可验证、可追溯的安全机制上。

一、四类安全视角的分工与边界

功能安全关注电子电气系统的随机硬件失效和系统性失效。例如制动执行器卡滞、控制器看门狗复位、电源瞬降、CAN 通信丢帧等。它的典型手段包括 ASIL 分解、安全目标、安全机制、故障树分析、FMEA 和诊断覆盖率。功能安全回答的是：当某个部件或链路失效时，系统能否检测并进入安全状态。

预期功能安全关注的是“没有发生故障，但功能本身受限于场景、算法或性能边界”所引发的危害。例如摄像头在逆光下漏检、毫米波雷达对静止异形物识别不足、规划算法对施工区锥桶误判。SOTIF 的核心工作是识别已知不安全场景、未知不安全场景，并通过限制运行域、提升性能、增加冗余感知或降级策略来降低风险。

网络安全关注恶意攻击导致的非预期行为，例如传感器欺骗、CAN 总线注入、OTA 固件篡改、云端指令伪造、GPS 欺骗等。它通过身份认证、消息完整性、入侵检测、安全启动、密钥管理和安全日志来保证系统在敌对环境下仍能维持可信运行。

最小风险状态则是上述安全机制在风险不可接受或系统能力不足时，所导向的最终可控状态。它可以是本车道安全停车、靠边停车、低速巡航至安全区域、保持车道并请求远程协助，或在极端情况下执行最小风险机动。MRS 不是“故障处理”的同义词，而是安全策略链的末端执行目标。

二、四者如何协同：从失效来源到 MRS

可以把自动驾驶安全体系理解成一条“风险收敛链”。FuSa 从硬件和软件失效出发，提供故障检测、冗余通道和降级能力；SOTIF 从场景和性能边界出发，提供 ODD 监控、能力评估和保守策略；Cybersecurity 从攻击面出发，提供可信身份、完整性和异常检测；MRS 则接收前三者输出的风险信号，结合车辆状态、道路环境和驾驶员状态，决定是否进入最小风险状态以及进入哪一种。

例如，当制动系统出现单点失效时，FuSa 机制会触发降级制动，同时向仲裁模块发送故障等级；如果此时车辆仍在高速行驶，MRS 可能选择“靠边停车”而非“立即急停”。如果摄像头被强光致盲，SOTIF 会降低感知置信度，MRS 可能选择“降低车速并保持车道”。如果 CAN 总线检测到异常注入，Cybersecurity 会隔离可疑报文并请求安全停车，MRS 则执行“本车道安全停车并开启双闪”。

安全视角	主要失效来源	典型机制	与 MRS 的关系
功能安全 FuSa	随机硬件失效、系统性失效	诊断、冗余、看门狗、安全状态	提供故障等级与降级能力，触发 MRS 请求
预期功能安全 SOTIF	性能局限、场景不足、误判	ODD 监控、场景库、能力评估、保守策略	提供能力边界与风险置信度，决定 MRS 类型
网络安全	欺骗、注入、篡改、重放	认证、加密、入侵检测、安全启动	提供攻击置信度，触发隔离与安全停车
最小风险状态 MRS	风险不可接受或能力不足	本车道停车、靠边停车、低速巡航、远程协助	作为最终可控状态目标，承接前三者输出

三、典型场景：四类安全机制同时介入

假设一辆 Robotaxi 在城市快速路以 60 km/h 行驶，前方出现施工区。此时可能同时发生：毫米波雷达对静止锥桶识别置信度下降（SOTIF）；制动控制器报告间歇性通信超时（FuSa）；云端下发了一条未通过签名校验的调度指令（Cybersecurity）。安全仲裁模块需要综合三类风险：感知置信度低于阈值、制动链路存在故障、云端指令不可信。此时 MRS 不应简单选择“立即急停”，而应结合后方交通流、车道线和路肩条件，选择“减速并靠边停车”，同时开启双闪并请求远程协助。

这个场景说明，MRS 不是某个单一安全体系的附属功能，而是跨体系风险融合后的决策结果。FuSa 告诉系统“哪里坏了”，SOTIF 告诉系统“哪里看不清”，Cybersecurity 告诉系统“哪里不可信”，MRS 则回答“现在应该把车带到哪里、以什么状态停下来”。

工程实践建议：在架构设计阶段，应把 MRS 作为独立的安全服务进行定义，明确其输入接口包括故障等级、感知置信度、攻击置信度、驾驶员状态、车辆动力学状态和 ODD 边界；输出接口包括目标状态、目标轨迹、人机交互提示和远程请求。

四、常见误区与复盘要点

误区一：把 MRS 等同于紧急制动。紧急制动只是 MRS 的一种可能动作，且在很多场景下可能引发追尾或失稳。MRS 应优先选择风险最低的可控状态。
误区二：认为 SOTIF 只属于感知。SOTIF 贯穿感知、预测、规划和控制，任何因性能局限导致的危害都属于其范围。
误区三：网络安全只做加密。加密解决机密性，但自动驾驶更关注完整性、真实性和可用性，入侵检测与安全日志同样关键。
误区四：四类安全各自为政。如果 FuSa、SOTIF、Cybersecurity 和 MRS 没有统一的风险接口和仲裁逻辑，就会出现“各自降级、整体失控”的局面。

MRS 仲裁输入示例：
fault_level        = 2        # 0 正常，1 轻微，2 严重，3 致命
perception_conf    = 0.42     # 感知置信度，低于 0.5 触发 SOTIF 降级
cyber_trust        = false    # 云端指令签名校验失败
driver_state       = "attentive"
odd_status         = "highway_construction"
vehicle_speed      = 60 km/h
road_shoulder      = "available"

仲裁输出：
target_state       = "pull_over_and_stop"
target_speed       = 20 km/h
hmi_message        = "车辆即将靠边停车，请保持关注"
remote_assist      = true

复盘时可以用三个问题检查体系是否闭环：第一，风险信号是否被及时、准确地采集并传递到仲裁模块；第二，MRS 决策是否考虑了车辆动力学约束和交通环境；第三，MRS 执行后是否有状态反馈和日志记录，用于后续验证与迭代。只有把 FuSa、SOTIF、Cybersecurity 与 MRS 放在同一张安全架构图上，才能避免“单点安全、整体失效”的工程陷阱。