3. 最小风险状态核心概念
在自动驾驶安全设计中，MRM、MRC、MRT、DDT、ODD 这五个术语经常被混用，但它们分别回答的是不同层面的问题：ODD 回答“系统被允许在哪些条件下运行”，DDT 回答“驾驶任务本身包含哪些动作”，MRM 回答“当 ODD 不再满足时系统该做什么”，MRC 回答“MRM 执行后要达到什么稳定状态”，MRT 回答“从触发到进入 MRC 允许用多长时间”。理解它们的边界，是后续设计最小风险状态策略的前提。
一、核心原理：五个术语的职责分层
可以把这五个概念理解为一条“条件—任务—触发—动作—目标—时间”的责任链。ODD 是运行设计域，它定义了道路类型、天气、车速、地理围栏、交通密度等边界条件；一旦实际运行条件超出 ODD，系统就失去了继续执行完整 DDT 的合法性。DDT 是动态驾驶任务，包含横向控制、纵向控制、目标与事件探测响应、以及部分规划决策。当系统无法继续承担 DDT 时，必须触发 MRM，即最小风险机动。MRM 不是单一动作，而是一组可执行的降级策略，例如减速停车、靠边停车、保持车道减速、请求人工接管等。MRM 的终点是 MRC，即最小风险状态，它要求车辆处于相对安全、可预期、不会对周边交通造成不可接受风险的状态。MRT 则是时间约束，规定从 MRM 触发到进入 MRC 的最大允许时间，通常以秒或毫秒计。
一句话辨析：ODD 是“能不能开”，DDT 是“开的时候要做什么”，MRM 是“不能开时怎么退”，MRC 是“退到什么状态算安全”，MRT 是“退的过程最多花多久”。
二、方法流程：从 ODD 越界到 MRC 达成的判断链
工程上，这五个概念通常按以下顺序进入设计流程：
- 定义 ODD：明确道路、天气、光照、车速、交通、通信等允许条件，并给出可检测的边界指标。
- 分解 DDT：把横向控制、纵向控制、感知响应、决策规划拆成可监控的子任务。
- 设置触发条件：当 ODD 指标越界、DDT 子任务失效、驾驶员无响应或系统故障时，触发 MRM。
- 选择 MRM 策略：根据当前车速、车道、交通流、剩余制动距离，选择减速停车、靠边停车、车道内停车或请求接管。
- 约束 MRT：为每种 MRM 设定最大执行时间，确保在 MRT 内进入 MRC。
- 验证 MRC：确认车辆停止或稳定后，不占用行车道、不阻碍紧急通道、不引发二次事故。
这条链的关键在于：MRM 是“动作”，MRC 是“状态”，MRT 是“时间窗”，三者不能互相替代。例如，车辆减速到 0 km/h 并不自动等于进入 MRC，如果它停在高速公路超车道上，仍然不是最小风险状态。
三、场景案例：高速公路 ODD 越界后的 MRM 与 MRC
假设一辆 L3 级自动驾驶车辆在高速公路以 100 km/h 行驶，ODD 允许条件包括“车道线清晰、无施工、能见度大于 200 m”。当系统检测到前方施工区、车道线丢失且能见度降至 80 m 时，ODD 不再满足。此时系统不能继续执行完整 DDT，必须触发 MRM。
一个合理的 MRM 策略是：先通过人机交互请求驾驶员接管，若驾驶员在 3 s 内无响应，则执行“车道内减速停车”，同时开启危险报警闪光灯。MRT 设定为 8 s，要求车辆在 8 s 内从 100 km/h 减速到 0 km/h。最终 MRC 是“车辆停在当前车道内，危险报警闪光灯开启，车门保持锁止，紧急呼叫已触发”。如果此时车辆停在行车道中央，虽然速度为零，但可能不是最优 MRC；更理想的 MRC 是“靠边停车”或“驶入应急车道后停车”。
| 术语 | 全称 | 核心问题 | 典型输出 | 边界示例 |
|---|---|---|---|---|
| ODD | 运行设计域 | 系统能在哪里开？ | 道路、天气、车速、地理围栏 | 能见度低于 100 m 即越界 |
| DDT | 动态驾驶任务 | 驾驶要做什么？ | 横向控制、纵向控制、感知响应 | 车道保持失效即 DDT 降级 |
| MRM | 最小风险机动 | 不能开时怎么退？ | 减速停车、靠边停车、请求接管 | 驾驶员无响应后自动减速 |
| MRC | 最小风险状态 | 退到什么状态算安全？ | 停车、稳定、可预期、低风险 | 应急车道内停车并开双闪 |
| MRT | 最小风险时间 | 退的过程最多多久？ | 秒级或毫秒级时间窗 | 8 s 内从 100 km/h 减到 0 |
四、误区与复盘：最容易混淆的四个边界
误区一：把 MRM 当成 MRC。MRM 是过程，MRC 是结果。减速动作本身不是最小风险状态，只有车辆进入稳定、低风险状态后，才算达成 MRC。
误区二：把 MRT 当成固定值。MRT 取决于车速、路面附着、交通流和 MRM 策略。高速场景的 MRT 通常比低速场景更长，但必须保证在可用距离内完成。
误区三：ODD 越界后立即停车就是最优。在高速车流中突然停车可能引发追尾。更合理的 MRM 可能是先减速、再靠边、最后停车。
误区四：DDT 只等于控制。DDT 还包括目标与事件探测响应、决策规划以及部分人机交互，不能只盯着横向和纵向控制。
复盘时，建议用“触发—动作—时间—状态”四元组检查每个场景：触发条件是否来自 ODD 或 DDT 失效？动作是否属于 MRM 策略库？时间是否满足 MRT？最终状态是否满足 MRC？只有四者闭合，最小风险状态设计才算完整。
掌握这五个术语的边界后，后续设计 MRM 策略库、定义 MRC 判定条件、分配 MRT 时间预算时，就能避免“动作与状态混淆”“时间与距离脱节”“ODD 与 DDT 错位”等常见问题。最小风险状态设计的本质，是把 ODD 的边界、DDT 的任务、MRM 的动作、MRC 的状态和 MRT 的时间统一到同一套可验证的工程闭环中。