2. 自动驾驶系统基础
要理解自动驾驶的安全验证，必须先建立对系统本身的清晰认知。自动驾驶并不是一个“大模型直接开车”的黑盒，而是由分级定义、分层架构、感知—决策—执行闭环、传感器组合与计算平台共同构成的工程系统。本节从这五个维度建立基础框架，为后续的功能安全、预期功能安全与量产验证打下概念地基。
一、SAE分级：从L0到L5的责任边界
SAE J3016 将驾驶自动化分为 L0 至 L5 六个等级，其核心区分维度不是“车辆能做什么”，而是动态驾驶任务（DDT）由谁执行、谁负责监控、谁承担失效后的兜底。L0—L2 属于“驾驶辅助”，人类驾驶员始终是驾驶主体；L3 是分水岭，系统在限定运行域（ODD）内完成 DDT，但人类需在系统请求时接管；L4 在 ODD 内系统自行兜底，无需人类响应；L5 则无运行域限制。
分级的关键在于“责任转移点”。L2 与 L3 的差别不是算力或传感器数量，而是失效时谁负责。这一区别直接决定了验证策略：L2 验证人机共驾的交互可靠性，L3 及以上必须验证系统在 ODD 边界内的完整闭环与最小风险状态（MRM）能力。
二、系统架构：分层解耦的工程骨架
主流自动驾驶系统采用分层架构，自下而上通常包括：车辆平台层（底盘、线控执行）、传感器层、计算平台层、感知层、定位与地图层、预测层、决策规划层、控制层，以及贯穿全局的安全与诊断层。分层的目的在于解耦：感知输出统一的环境模型，规划消费该模型并输出轨迹，控制将轨迹转化为油门、制动、转向指令。
架构设计中，安全层是独立于功能链路的“旁路”。它监控功能链路的健康状态，在异常时触发降级或最小风险策略。量产系统中，安全层往往运行在独立 MCU 上，与高性能 SoC 形成异构冗余。
三、感知、决策、执行模块的职责与接口
感知模块负责把多源传感器数据转化为统一的环境模型，包括目标列表、车道线、可行驶区域、交通标志与自车定位。其输出必须带时间戳与置信度，供下游做时空对齐。决策规划模块分为行为决策与轨迹规划：前者决定“跟车、变道、让行、停车”，后者生成满足动力学约束与安全边界的平滑轨迹。执行模块将轨迹转化为线控指令，并通过闭环控制抑制跟踪误差。
三个模块之间是强实时数据流关系。感知延迟会直接压缩规划的安全裕度，控制延迟则影响跟踪精度。因此量产系统中，端到端时延是核心验证指标之一。
四、常见传感器与计算平台对比
| 传感器 | 主要优势 | 主要局限 | 典型用途 |
|---|---|---|---|
| 摄像头 | 语义丰富、成本低 | 受光照与天气影响大 | 车道线、标志、目标分类 |
| 毫米波雷达 | 测距测速准、全天候 | 角度分辨率有限 | 自适应巡航、盲区监测 |
| 激光雷达 | 三维精度高、点云稠密 | 成本高、雨雾衰减 | 高精地图匹配、障碍物检测 |
| 超声波 | 近距离探测可靠 | 探测距离短 | 泊车、低速防碰撞 |
| GNSS/IMU | 绝对定位与姿态 | 隧道、城市峡谷易失锁 | 全局定位、航位推算 |
计算平台方面，量产方案通常采用“高性能 SoC + 安全 MCU”的异构组合。SoC 承担深度学习推理与规划计算，MCU 承担安全监控、通信调度与降级执行。两者通过车载以太网或 CAN FD 交互，并依赖时间同步保证数据一致性。
五、案例与常见误区
案例：某 L2+ 量产项目在高速匝道场景出现“幽灵刹车”。复盘发现，毫米波雷达将相邻车道金属护栏误检为目标，而摄像头因逆光置信度下降，融合模块未设置合理的冲突仲裁策略。最终通过增加雷达与视觉的时空一致性校验、引入护栏静态特征过滤解决。这说明感知融合不是简单加权，而是需要明确的冲突处理与安全兜底逻辑。
常见误区：一是把 SAE 等级等同于“能力等级”，忽视责任边界；二是认为传感器越多越安全，忽略标定、时间同步与融合策略；三是把计算平台算力当作唯一指标，忽视功能安全机制与实时性；四是在架构设计中让安全层与功能链路共享资源，导致共因失效。
验证视角提示：后续章节中的危害分析、场景库构建与测试用例设计，都建立在本节的架构与接口之上。建议在阅读时同步梳理：每个模块的输入输出、时延预算、失效模式与降级路径，这将直接决定量产验证的覆盖范围与深度。
典型端到端时延预算（示例）：
传感器采集与驱动 : 10 ~ 20 ms
感知推理与融合 : 30 ~ 60 ms
预测与决策规划 : 20 ~ 50 ms
控制指令与线控响应 : 10 ~ 30 ms
--------------------------------
端到端总时延 : 70 ~ 160 ms掌握 SAE 分级、分层架构、感知—决策—执行闭环、传感器特性与计算平台组合，是理解自动驾驶安全验证对象的前提。只有先看清系统“由什么构成、如何连接、在哪里可能失效”，后续的功能安全、预期功能安全与量产验证方法才有明确的落点。