自动驾驶系统基础：感知、决策、执行三大模块的功能与组成

在讨论高级别自动驾驶（L3及以上）的冗余设计之前，必须首先建立对自动驾驶系统基础架构的统一认知。无论整车厂或Tier 1采用何种技术路线，量产自动驾驶系统的功能逻辑均可抽象为三大核心模块：感知（Perception）、决策（Decision & Planning）与执行（Actuation）。这三大模块并非简单的串联链路，而是存在数据流、控制流与状态反馈的复杂耦合关系。理解各模块的功能边界、内部组成与接口特征，是后续进行传感器冗余、计算单元冗余、执行器冗余以及电源/通信冗余设计的先决条件。本章将逐一拆解三大模块，并重点分析其在全冗余架构下的功能映射与设计约束。

2.1 感知模块：从物理信号到语义理解的转换层

核心原理

感知模块的本质是将物理世界中的光、电磁波、声波、惯性变化等信号，转换为计算机可理解的语义信息（如目标类型、位置、速度、车道线曲率、自车姿态）。在高级别自动驾驶中，感知模块的输出不仅是单一目标的检测框，而是包含时间戳对齐、置信度、运动状态预测的融合感知结果。从硬件组成看，感知模块包含三类传感器：环境感知传感器（摄像头、激光雷达、毫米波雷达、超声波）、自车状态传感器（GNSS、IMU、轮速编码器）、以及定位与地图传感器（高精地图、RTK基站）。从软件算法看，感知模块包含信号预处理、目标检测、目标跟踪、传感器融合、场景理解等子功能。

传感器特性与选型判断

不同传感器在感知冗余设计中承担不同角色，其物理特性决定了冗余策略的侧重点。下表对比了主流环境传感器的关键参数与失效模式：

传感器类型	探测原理	优势	典型失效模式	冗余设计关注点
摄像头（Camera）	可见光/红外成像	颜色、纹理、车道线识别	逆光、暗光、镜头污损、卷帘快门果冻效应	曝光控制、镜头清洁、双目/环视冗余
激光雷达（LiDAR）	TOF / FMCW	3D点云、测距精度高、不受光照影响	雨雾衰减、运动模糊、激光器老化	多回波技术、固态/机械混合冗余
毫米波雷达（Radar）	77GHz / 79GHz FMCW	全天候、直接测速、穿透力强	角分辨率低、静止目标漏检、多径干扰	与视觉融合、波形设计、天线冗余
超声波（USS）	40-60kHz 声波	近距离探测、成本低	温度漂移、脏污覆盖、探测距离短	低速泊车场景、自检功能

感知融合策略与案例拆解

在L3级及以上系统中，单一传感器无法满足功能安全要求（ISO 26262 ASIL-B/C）。以典型的高速NOA（Navigate on Autopilot）场景为例，当车辆以120km/h行驶时，感知系统需要同时处理：前方200m处的静止故障车辆、相邻车道快速切入的车辆、以及道路施工区域的临时车道线。此时，前视摄像头负责识别车道线和交通标志，前向毫米波雷达负责测量前方车辆相对速度，侧后角雷达负责监测盲区，激光雷达（若配备）提供高精度轮廓信息。融合算法采用基于卡尔曼滤波的多目标跟踪，将不同传感器的检测结果在鸟瞰视角（BEV）下进行关联。

常见误区与总结

• 误区一：传感器数量越多越好。实际上，异构传感器（Camera+Radar+LiDAR）的融合效果优于同构传感器堆叠，因为异构传感器的失效模式不相关。
• 误区二：感知模块只关注目标检测。忽略了对传感器自身健康状态的监控（如镜头污损检测、雷达天线罩加热），导致冗余设计失效。
• 误区三：时间同步是软件问题。实际上，传感器数据的时间戳对齐需要硬件层面的PTP（IEEE 802.1AS）或GMSL2时钟同步机制支持。

2.2 决策模块：从环境理解到驾驶行为的转化中枢

核心原理

决策模块接收感知模块输出的环境模型，结合自车状态与导航地图，生成安全、舒适、高效的驾驶行为。其内部逻辑可分为三层：任务规划层（决定走哪条路、是否变道）、行为决策层（决定跟车、超车、让行、停车）、运动规划层（生成具体的轨迹点与速度曲线）。在高级别自动驾驶中，决策模块还包含安全验证子模块（如安全包络检查、碰撞时间TTC计算）和驾驶模式管理（如人工驾驶、辅助驾驶、自动驾驶模式切换）。

决策算法与计算平台

决策算法的实现依赖高性能计算平台。当前主流架构采用“大算力SoC+高安全MCU”的异构方案：SoC（如NVIDIA Orin、Qualcomm Snapdragon Ride）运行复杂的深度学习模型与规划算法，MCU（如Infineon AURIX TC397）运行ASIL-D级别的安全监控与降级逻辑。下表展示了决策模块不同子功能对计算资源的需求：

子功能	算法类型	计算平台	安全等级	典型延迟要求
行为预测	Transformer / 图神经网络	SoC GPU/NPU	ASIL-B	<100ms
轨迹规划	优化算法 / 采样方法	SoC CPU	ASIL-B	<50ms
安全监控	状态机 / 规则引擎	MCU	ASIL-D	<10ms
执行器指令生成	PID / 前馈控制	MCU	ASIL-D	<5ms

决策冗余与降级策略

决策模块的冗余设计核心是“异构备份”。当主决策路径（基于深度学习）因输入异常或计算错误导致输出不可信时，备份决策路径（基于规则与状态机）必须能够接管。例如，在高速公路上，若感知模块输出的目标轨迹出现跳变，主决策路径可能规划出急转向轨迹。此时，安全监控模块通过“安全包络检查”（将规划轨迹与车辆动力学极限、道路边界进行比对）发现风险，触发降级：切换至备份决策路径，执行“减速靠边停车”策略。

案例拆解：城市复杂路口决策

在某城市L3级自动驾驶测试中，车辆面临无保护左转场景：对向直行车流密集、行人横穿、非机动车混行。决策模块的处理流程如下：

1. 场景理解：感知模块输出对向车辆轨迹预测（3条候选轨迹）、行人意图（静止/移动）、非机动车速度。
2. 行为决策：行为决策层评估“直接左转”、“等待后左转”、“放弃左转”三个选项，计算每个选项的风险值（碰撞概率×碰撞严重度）。
3. 运动规划：选择“等待后左转”，生成一条平滑的S型轨迹，并设置速度上限为15km/h。
4. 安全验证：安全监控模块将轨迹投影到时间-空间坐标系，检查与所有动态障碍物的最小距离是否大于0.5m。
5. 执行输出：将轨迹离散为转向角序列与加速度序列，通过CAN FD发送至执行模块。

该案例中，决策模块的冗余体现在：当主规划器因计算超时（>100ms）未输出轨迹时，MCU上的备份状态机直接输出“停止”指令，确保车辆安全。

2.3 执行模块：从数字指令到车辆运动的物理实现

核心原理

执行模块是自动驾驶系统的“手和脚”，负责将决策模块输出的转向角、加速度、制动压力等数字指令，转换为车辆实际的横向与纵向运动。执行模块包括转向执行系统（EPS或SBW）、驱动执行系统（VCU与电机控制器）、制动执行系统（ESP、iBooster或EMB）。在高级别自动驾驶中，执行模块必须具备线控（X-by-Wire）能力，即取消机械连接，完全通过电信号控制执行器。

执行器冗余架构

执行模块的冗余设计是功能安全的重中之重，因为执行器直接涉及车辆动力学控制。以转向系统为例，L3级及以上要求“双电机冗余”或“双绕组电机”。当主电机故障时，备份电机必须在50ms内接管。制动系统则要求“液压备份+线控备份”：iBooster提供线控制动，ESP作为液压备份，且两者独立供电。下表展示了典型执行器冗余方案：

执行系统	主执行器	冗余执行器	切换时间要求	通信接口
转向	EPS电机（12V/2kW）	第二EPS电机或SBW备份	<50ms	CAN FD / FlexRay
制动	iBooster（线控）	ESP液压单元	<100ms	CAN FD + 硬线
驱动	前电机控制器	后电机控制器（双电机车型）	<200ms	CAN FD / 私有协议

执行器健康管理与故障注入测试

执行模块的冗余设计不仅仅是硬件备份，还需要实时健康监控。每个执行器需上报其状态（位置、电流、温度、故障码），决策模块根据这些信息判断是否触发降级。在开发阶段，必须进行故障注入测试（Fault Injection Test），模拟执行器卡死、断线、短路、通信超时等故障，验证冗余切换逻辑的有效性。

常见误区与总结

• 误区一：执行冗余只关注硬件备份。忽略了执行器控制器的冗余（如双MCU、双电源轨）以及通信链路的冗余（如双CAN通道）。
• 误区二：认为线控系统不需要机械备份。在L3级系统中，虽然法规允许取消机械连接，但为了安全，通常保留机械转向柱作为最终备份（L3及以上可取消，但需满足更严格的可靠性要求）。
• 误区三：执行器响应延迟只影响舒适性。实际上，延迟超过100ms可能导致车辆在紧急避障时偏离预期轨迹，引发严重事故。

2.4 三大模块的协同与接口约束

感知、决策、执行三大模块并非独立工作，而是通过高速通信网络（CAN FD、FlexRay、Ethernet）和同步机制紧密耦合。在冗余设计中，必须关注以下接口约束：

• 时间同步：感知数据的时间戳必须与决策模块的规划周期对齐，否则会导致“看到的是过去的世界”。通常采用IEEE 802.1AS（）实现微秒级同步。
• 数据带宽：激光雷达原始点云数据量可达100Mbps以上，需要Ethernet或PCIe接口传输；而执行器控制指令仅需CAN FD即可满足。
• 故障传播隔离：当感知模块故障时，不能影响决策模块的正常运行；当决策模块故障时，执行模块必须能进入安全状态。这要求模块间采用“故障隔离”设计（如独立的电源域、独立的接地、光耦隔离）。