[首發(fā)于智駕最前沿微信公眾號(hào)]對(duì)于自動(dòng)駕駛汽車而言，傳感器是它感知世界的窗口。攝像頭負(fù)責(zé)采集環(huán)境圖像，毫米波雷達(dá)和激光雷達(dá)則用于測(cè)量周圍物體的位置和速度，而GNSS（全球?qū)Ш叫l(wèi)星系統(tǒng)）與慣性測(cè)量系統(tǒng)可提供車輛的定位信息。這些數(shù)據(jù)經(jīng)過融合處理之后，自動(dòng)駕駛系統(tǒng)才能判斷周圍環(huán)境、規(guī)劃行駛路徑并控制車輛。

圖片源自：網(wǎng)絡(luò)

然而在真實(shí)交通場(chǎng)景中，傳感器并不是始終可靠的。攝像頭可能在雨天或夜間因光線不足而變得模糊；激光雷達(dá)容易受大霧、反射或灰塵影響導(dǎo)致測(cè)量失真；GNSS信號(hào)也可能被高樓遮擋或在隧道內(nèi)中斷，造成定位錯(cuò)誤。如果僅依賴單一傳感器，行駛風(fēng)險(xiǎn)將大大增加。因此，必須設(shè)計(jì)有效的失效檢測(cè)機(jī)制與容錯(cuò)策略，確保當(dāng)某個(gè)傳感器出現(xiàn)問題時(shí)，系統(tǒng)能夠及時(shí)識(shí)別、隔離故障，并采取安全措施。

這一點(diǎn)在《道路車輛功能安全》（ISO 26262）中也有明確要求，安全關(guān)鍵系統(tǒng)必須具備容錯(cuò)能力，即使部分組件失效，也應(yīng)保持基本的安全功能。這不僅是一項(xiàng)理論規(guī)范，更是自動(dòng)駕駛汽車上路必須滿足的安全條件。

如何進(jìn)行傳感器失效檢測(cè)？

傳感器失效檢測(cè)并不是只看傳感器是否通電工作，而是要判斷傳感器的數(shù)據(jù)是否可信。有時(shí)候攝像頭可能供電正常，但畫面會(huì)出現(xiàn)模糊、曝光過度或被遮擋的現(xiàn)象，這同樣屬于失效的范疇。類似地，毫米波雷達(dá)雖然能輸出距離數(shù)據(jù)，但如果包含明顯噪聲或錯(cuò)誤目標(biāo)，也意味著它已無法可靠地工作。

圖片源自：網(wǎng)絡(luò)

在設(shè)計(jì)失效檢測(cè)機(jī)制時(shí)，系統(tǒng)會(huì)對(duì)傳感器數(shù)據(jù)進(jìn)行多層次的檢查。最基礎(chǔ)的是從信號(hào)層面進(jìn)行檢查，例如確認(rèn)數(shù)據(jù)包是否完整、時(shí)間戳是否正常、幀率是否穩(wěn)定等。進(jìn)一步則會(huì)使用統(tǒng)計(jì)和模型檢測(cè)方法來判斷數(shù)據(jù)，如利用濾波器檢測(cè)異常值，或者用機(jī)器學(xué)習(xí)模型估計(jì)當(dāng)前數(shù)據(jù)是否符合正常模式。此外，還有基于多任務(wù)或多視角的信息一致性檢測(cè)方法，將不同任務(wù)輸出之間的相互關(guān)系作為判斷依據(jù)，當(dāng)發(fā)現(xiàn)不一致時(shí)，就可能是某個(gè)傳感器或算法出現(xiàn)了問題。

通過這些檢測(cè)機(jī)制，系統(tǒng)能夠在傳感器出現(xiàn)異常初期就及時(shí)識(shí)別，避免錯(cuò)誤數(shù)據(jù)導(dǎo)致誤判甚至引發(fā)危險(xiǎn)行為。當(dāng)檢測(cè)到異常后，系統(tǒng)還會(huì)根據(jù)故障等級(jí)采取如降級(jí)使用、切換備用傳感器或進(jìn)入安全狀態(tài)等相應(yīng)措施，從而保障自動(dòng)駕駛汽車始終在可靠感知的基礎(chǔ)上運(yùn)行。

如何進(jìn)行多傳感器冗余與信息補(bǔ)償？

即使檢測(cè)到傳感器失效，自動(dòng)駕駛系統(tǒng)也必須保證車輛能夠繼續(xù)安全運(yùn)行或平穩(wěn)降級(jí)。因此，需要在自動(dòng)駕駛系統(tǒng)設(shè)計(jì)之初就引入冗余機(jī)制。所謂冗余，指的是在關(guān)鍵功能上不依賴單一傳感器，而是讓多個(gè)不同的傳感器共同承擔(dān)感知任務(wù)。這實(shí)際上是可靠性工程中的一種常見思路，即讓多個(gè)組件相互備份，即使其中一個(gè)失效，其他組件仍能繼續(xù)工作。

圖片源自：網(wǎng)絡(luò)

自動(dòng)駕駛系統(tǒng)中的冗余體現(xiàn)在兩個(gè)層面。一是同類傳感器冗余，如在車輛前部安裝多個(gè)攝像頭或多個(gè)雷達(dá)，讓它們的視野相互重疊，這樣即使某一個(gè)傳感器損壞，其他傳感器仍然可以覆蓋關(guān)鍵區(qū)域。二是異構(gòu)傳感器冗余，也就是利用不同類型的傳感器進(jìn)行互補(bǔ)。攝像頭擅長識(shí)別交通標(biāo)志和顏色信息，但在雨天或霧天效果會(huì)變差；毫米波雷達(dá)對(duì)雨霧不敏感，但對(duì)靜態(tài)物體的細(xì)節(jié)識(shí)別能力較弱；激光雷達(dá)能提供高精度的三維點(diǎn)云，卻對(duì)強(qiáng)反光表面較為敏感。將這些傳感器的信息疊加融合后，系統(tǒng)得到的感知結(jié)果會(huì)更全面、更可靠。

冗余設(shè)計(jì)的目標(biāo)并不是簡單堆砌硬件，而是確保在某些傳感器失效時(shí)，其他傳感器仍能提供足夠的信息，使自動(dòng)駕駛系統(tǒng)維持在安全狀態(tài)。

軟件層面的故障隔離與健康管理

在軟硬件協(xié)同的容錯(cuò)系統(tǒng)中，軟件部分承擔(dān)著“健康檢查”和“故障隔離”的關(guān)鍵作用。每個(gè)傳感器數(shù)據(jù)輸入到系統(tǒng)后，首先要經(jīng)過預(yù)處理和健康評(píng)估模塊。這個(gè)模塊會(huì)實(shí)時(shí)計(jì)算如信噪比、延遲、異常分布、與歷史數(shù)據(jù)的一致性等指標(biāo)。一旦某個(gè)數(shù)據(jù)的指標(biāo)超出正常范圍，就觸發(fā)告警，并將該傳感器標(biāo)記為“狀態(tài)不健康”。

經(jīng)過預(yù)處理和健康評(píng)估的數(shù)據(jù)會(huì)進(jìn)入數(shù)據(jù)融合層。融合層會(huì)根據(jù)傳感器當(dāng)前狀態(tài)決定是否納入融合。如果某個(gè)傳感器不健康，融合算法會(huì)降低其權(quán)重甚至剔除其數(shù)據(jù)。這一動(dòng)態(tài)調(diào)整過程一般會(huì)基于自適應(yīng)濾波器（如卡爾曼濾波的變種）或更復(fù)雜的概率圖模型實(shí)現(xiàn)，使自動(dòng)駕駛系統(tǒng)能夠根據(jù)各傳感器的實(shí)時(shí)表現(xiàn)，動(dòng)態(tài)分配信任度。

圖片源自：網(wǎng)絡(luò)

要補(bǔ)充一點(diǎn)的是，健康管理不僅限于傳感器層面，還要貫穿整個(gè)系統(tǒng)鏈路。若某個(gè)算法模塊在短時(shí)間內(nèi)輸出異常的路徑規(guī)劃結(jié)果，也應(yīng)被健康管理模塊檢測(cè)并觸發(fā)隔離機(jī)制。這種設(shè)計(jì)能有效避免因單一模塊的錯(cuò)誤影響整車行為，從而提升系統(tǒng)的整體容錯(cuò)能力與運(yùn)行安全。

容錯(cuò)行為策略如何設(shè)計(jì)？

檢測(cè)到故障并完成隔離后，如何妥善處理才是核心問題。自動(dòng)駕駛系統(tǒng)應(yīng)設(shè)計(jì)多層級(jí)的降級(jí)策略，要依據(jù)故障的嚴(yán)重程度以及具體環(huán)境狀況，逐步降低系統(tǒng)的自動(dòng)化功能。

若故障影響較輕，如某個(gè)側(cè)前攝像頭偶爾出現(xiàn)模糊，但整體環(huán)境感知仍在可接受范圍內(nèi)，系統(tǒng)就應(yīng)采取“軟降級(jí)”策略?？纱蠓档驮搨鞲衅鲾?shù)據(jù)在融合決策中的權(quán)重，同時(shí)向駕駛員發(fā)出提示，建議其保持對(duì)周圍環(huán)境的關(guān)注。此時(shí)，輔助駕駛功能仍可繼續(xù)運(yùn)行。

如果失效更加嚴(yán)重，比如出現(xiàn)多路視覺傳感器在雨天同時(shí)受影響，系統(tǒng)識(shí)別到感知精度無法滿足復(fù)雜決策需求，就應(yīng)自動(dòng)關(guān)閉部分自動(dòng)駕駛功能，將車輛功能退回到更低級(jí)別的輔助駕駛模式。類似的，如果定位系統(tǒng)失效導(dǎo)致定位誤差增大時(shí)，車輛應(yīng)限制速度、加大跟車距離，以降低風(fēng)險(xiǎn)。

如果出現(xiàn)系統(tǒng)無法可靠地判斷環(huán)境這種更極端的情況，如多傳感器同時(shí)失效或計(jì)算單元發(fā)生故障時(shí)，系統(tǒng)應(yīng)觸發(fā)最低風(fēng)險(xiǎn)條件。要根據(jù)設(shè)計(jì)規(guī)范與安全策略，讓車輛自動(dòng)減速、靠邊安全停車，并持續(xù)提醒駕駛員接管控制，這是確保不讓車輛繼續(xù)在高風(fēng)險(xiǎn)狀態(tài)下行駛的最后一層防線。

圖片源自：網(wǎng)絡(luò)

其他容錯(cuò)設(shè)計(jì)方案

硬件的容錯(cuò)設(shè)計(jì)并只是增加傳感器數(shù)量，還會(huì)涵蓋整個(gè)計(jì)算與控制架構(gòu)?，F(xiàn)階段，自動(dòng)駕駛車輛的主控制單元會(huì)配置獨(dú)立的安全監(jiān)控核心。該核心專門負(fù)責(zé)系統(tǒng)健康監(jiān)測(cè)和關(guān)鍵安全決策，但不會(huì)參與日常的復(fù)雜運(yùn)算。一旦主處理器發(fā)生故障或輸出異常，安全核心能夠優(yōu)先接管控制，并執(zhí)行如減速、停車或提醒駕駛員接管等預(yù)設(shè)的安全策略。

圖片源自：網(wǎng)絡(luò)

此外，還有一些技術(shù)方案會(huì)采用雙機(jī)或多核冗余方案。即使一個(gè)計(jì)算模塊完全失效，其他模塊仍可維持核心功能的運(yùn)行。為了準(zhǔn)確識(shí)別故障模塊，系統(tǒng)會(huì)比較多個(gè)模塊的輸出結(jié)果，通過投票機(jī)制或一致性檢驗(yàn)來判斷正確路徑。這類設(shè)計(jì)已在航空航天領(lǐng)域得到長期應(yīng)用，可確保在復(fù)雜故障情況下系統(tǒng)仍能保持可控。

還有一些高級(jí)自動(dòng)駕駛系統(tǒng)會(huì)有如雙通道制動(dòng)系統(tǒng)、雙通道轉(zhuǎn)向驅(qū)動(dòng)等獨(dú)立的執(zhí)行器級(jí)別的冗余。這些硬件設(shè)計(jì)可以在某一組件失效時(shí)，確保車輛不喪失關(guān)鍵控制能力，從而進(jìn)一步提升系統(tǒng)的整體安全性與可靠性。

最后的話

傳感器失效檢測(cè)與容錯(cuò)設(shè)計(jì)是自動(dòng)駕駛安全體系中的重要一環(huán)。從傳感器數(shù)據(jù)健康檢測(cè)到多傳感器冗余融合，從軟件隔離策略到硬件多核冗余，從漸進(jìn)式降級(jí)到安全?？浚俭w現(xiàn)了軟硬件協(xié)同設(shè)計(jì)的重要性。其目的就是讓自動(dòng)駕駛系統(tǒng)在面對(duì)現(xiàn)實(shí)世界中不可避免的傳感器問題時(shí)，依然能夠以安全、合理的方式繼續(xù)運(yùn)行，或者在必要時(shí)將控制權(quán)交還給駕駛員。這樣的設(shè)計(jì)不僅提高了自動(dòng)駕駛系統(tǒng)的可靠性，也為實(shí)現(xiàn)更高級(jí)別自動(dòng)駕駛奠定了堅(jiān)實(shí)基礎(chǔ)。