3. 智能驾驶系统架构与功能安全基础

各位工程师朋友，咱们今天聊点实在的。智能驾驶系统，说白了就是让车自己看路、自己判断、自己开。但这里有个核心问题——万一它看错了怎么办？判断错了怎么办？这就是功能安全要解决的事。

我个人习惯，在讲任何安全设计之前，先搞清楚系统长什么样。你连架构都不清楚，谈安全就是空中楼阁。

3.1 智能驾驶系统的分层架构

我参与过几个量产项目，发现大家用的架构大同小异。基本上可以分成三层：

• 感知层：摄像头、激光雷达、毫米波雷达、超声波传感器。它们负责采集环境数据。
• 决策层：域控制器或中央计算平台。负责融合感知数据，做出规划和控制决策。
• 执行层：线控转向、线控制动、驱动系统。负责执行决策层的指令。

嗯，这里要注意。很多新手工程师容易忽略一个点——这三层之间是有时间约束的。感知到决策，再到执行，整个链路必须在几十毫秒内完成。我在项目中遇到过，某个传感器数据延迟了20毫秒，结果车辆在高速上差点追尾。从那以后，我对时间同步特别敏感。

3.2 功能安全的核心概念

功能安全，说白了就是「系统出故障时，不能伤人」。ISO 26262 标准里定义了一套方法论。我挑几个最常用的讲讲。

概念	说明	我的理解
ASIL等级	Automotive Safety Integrity Level，从A到D	等级越高，安全要求越严。ASIL D是最严格的，比如刹车系统。
安全目标	系统必须满足的最高层级安全要求	比如「车辆不能非预期加速」就是一个安全目标。
FTTI	Fault Tolerant Time Interval，故障容忍时间	从故障发生到系统进入安全状态，允许的最大时间。
安全状态	系统在故障后进入的、不会造成危害的状态	比如「紧急制动并停车」就是一种安全状态。

你想想看，如果一个系统连安全目标都没定义清楚，后面做再多测试也是白搭。我曾经见过一个项目，团队花了大半年做功能开发，结果安全评审时发现安全目标定义有歧义，全部返工。那叫一个惨。

3.3 智能驾驶中的典型安全架构

智能驾驶系统里，最常用的安全架构是1oo2（1 out of 2）和2oo3（2 out of 3）。

• 1oo2：两个通道，只要有一个正常工作，系统就能运行。适合对可用性要求高的场景。
• 2oo3：三个通道，至少两个一致才能输出。适合对安全性要求极高的场景。

我个人建议，在L2+级别的系统中，至少采用1oo2架构。L3以上，2oo3会更稳妥。为什么？因为L3以上，驾驶员可以脱手，系统一旦失效，后果更严重。

3.4 安全机制与故障处理

有了架构，还得有具体的安全机制。我常用的几种：

1. 故障检测：比如看门狗、ECC校验、CRC校验。这些是基础，必须做。
2. 故障响应：检测到故障后，系统怎么反应？降级运行？还是立即停车？
3. 故障隔离：一个模块出问题，不能影响其他模块。这需要硬件和软件配合。

我曾经在项目中踩过一个坑。某个传感器故障后，系统没有及时隔离，导致错误数据传播到了决策层，车辆直接来了个急转弯。幸好当时是在测试场，不然后果不堪设想。从那以后，我对故障隔离的设计格外重视。

3.5 功能安全与预期功能安全的区别

这里有个容易混淆的点。功能安全（Functional Safety）管的是「系统故障」，比如硬件坏了、软件跑飞了。而预期功能安全（SOTIF，ISO 21448）管的是「系统在正常工作时，因为性能局限或环境复杂导致的风险」。

举个例子：

• 功能安全：摄像头坏了，画面全黑，系统要能检测到并降级。
• 预期功能安全：摄像头没坏，但逆光拍摄导致画面过曝，系统识别不到行人。这属于性能局限，不是故障。

你想想看，这两个概念是不是都得管？缺一个都不行。我在实际项目中，通常把功能安全和预期功能安全放在一起做，共用一套危害分析和风险评估流程，只是触发条件不同。

3.6 知识体系总览

下面这张图，是我自己总结的智能驾驶系统架构与功能安全的知识体系。你可以把它当作一个检查清单，看看自己还有哪些盲区。

好了，这一章的内容就到这里。智能驾驶系统架构和功能安全，说白了就是「怎么让车安全地跑起来，并且在出问题时也能安全地停下来」。这个基础打好了，后面讲具体的安全机制和测试方法时，你才能跟得上。

公众号:蓝海资料掘金营，微信deep3321