一、轨道交通自动驾驶概述：发展历程、系统架构、核心挑战与安全等级
大家好，我是老张。在轨道交通这行摸爬滚打了十几年，今天咱们来聊聊自动驾驶的核心算法。说实话，这个领域看着高大上，但拆开了揉碎了，其实挺接地气的。
你想想看，一列几百吨重的列车，在轨道上以80公里甚至更高的时速飞驰，全靠算法来操控。这活儿，容错率几乎为零。我刚开始接触这个领域时，心里也犯嘀咕：这玩意儿真能靠谱吗？后来亲手调过几套系统，才明白——靠谱，但前提是你得把每个细节都吃透。
1.1 发展历程：从人工驾驶到全自动运行
轨道交通自动驾驶，说白了就是让列车自己跑、自己停、自己开门关门。这个演进过程，我把它分成四个阶段。
| 阶段 | 时间 | 特点 | 典型系统 |
|---|---|---|---|
| 人工驾驶 | 19世纪-20世纪中期 | 司机全权操控，凭经验驾驶 | 传统铁路 |
| ATP防护 | 20世纪60-80年代 | 自动列车防护，超速自动制动 | 中国铁路CTCS-2 |
| ATO辅助 | 20世纪90年代-21世纪初 | 自动列车运行，司机监控 | 地铁GoA2级 |
| 全自动运行 | 2010年至今 | 无人值守，全自动控制 | GoA4级（如北京大兴机场线） |
我记得2015年参与过一个项目，当时要从GoA2升级到GoA3。说白了就是要把司机从驾驶室里解放出来。那段时间，我们团队几乎天天泡在测试线上。有一次，列车在站台停车偏差超过了30厘米，门对不准。排查了三天，最后发现是速度传感器的滤波参数设得太保守了。嗯，这种坑，踩过一次就记住了。
核心观点：轨道交通自动驾驶的演进，本质上是「人机职责」的重新分配。从人负责全部，到人负责监控，再到人完全不参与。每一步，都是算法在接管人的判断力。
1.2 系统架构：三层四域，各司其职
一个完整的轨道交通自动驾驶系统，我习惯把它拆成「三层四域」。你想想看，这就像盖房子——地基、框架、装修，缺一不可。
三层架构：
- 感知层：负责「看」和「听」。雷达、摄像头、速度传感器、轨道电路……这些设备把物理世界的信号变成数字信号。
- 决策层：负责「想」。根据感知数据，算出一条安全、高效的运行曲线。这是算法的核心战场。
- 执行层：负责「做」。牵引、制动、车门控制……把决策层的指令变成物理动作。
四个功能域：
- 安全防护域：这是底线。超速了？自动制动。闯红灯了？强制停车。这个域，优先级最高。
- 运行控制域：负责精准停车、区间运行、节能优化。说白了，就是让列车跑得又快又稳又省电。
- 人机交互域：司机（如果有的话）和系统的接口。显示什么信息、什么时候报警、怎么接管……这些细节，直接影响用户体验。
- 诊断维护域：系统自己给自己做体检。哪个传感器漂移了？哪个制动阀响应慢了？提前预警，避免故障。
我的经验：很多新手容易忽略「诊断维护域」。我曾经在一个项目中，因为一个温度传感器的漂移，导致列车在高温天气下频繁误制动。排查了两个月，最后发现是诊断逻辑里没有做「合理性校验」。从那以后，我每个项目都会专门写一套传感器健康度评估算法。
1.3 核心挑战：安全、精准、鲁棒
做轨道交通自动驾驶，说白了就是在跟三个「敌人」较劲：安全、精准、鲁棒。这三个词，每一个背后都是一堆血泪史。
挑战一：安全第一，没有妥协
为什么轨道交通的安全等级要求那么高？因为一列车几百人，一旦出事就是大事。我参与过的项目，安全等级最低也是SIL2（安全完整性等级2级），大部分核心功能要求SIL4。你想想看，SIL4意味着什么？意味着系统失效的概率要低于10的负8次方每小时。这个数字，比飞机还严苛。
挑战二：精准停车，厘米级误差
地铁站台的屏蔽门，跟列车车门之间的缝隙，通常只有几厘米。停车偏了，门对不上，乘客就下不了车。我记得有一次在测试线上，列车每次停车都偏左5厘米。查了三天，最后发现是制动曲线的减速度参数没校准。说白了，就是算法里用的「理想减速度」跟实际制动系统的「真实减速度」对不上。
挑战三：鲁棒性，应对各种「意外」
轨道上什么情况都可能发生：落叶打滑、雨雪天气、轨道上有异物、信号干扰……算法必须能应对这些「非典型」场景。我曾经遇到过一个问题：列车在雨天经过一段下坡道时，制动距离比平时长了20%。原因是轮轨黏着系数下降了，但算法里用的还是干爆轨道的参数。从那以后，我坚持在算法里加入「实时黏着系数估计」模块。
避坑指南：我曾经犯过一个低级错误——在仿真环境里测试了上千次都没问题，结果一上真实线路就出故障。原因是仿真里的传感器噪声模型太理想了。真实世界的传感器，噪声是时变的、非高斯的。所以我现在做算法，一定会留一个「传感器噪声在线估计」的接口。
1.4 安全等级：SIL与GoA，两个维度
轨道交通的安全等级，通常从两个维度来定义：SIL（安全完整性等级）和GoA（自动化等级）。这两个概念，我建议你一开始就搞清楚。
SIL等级：衡量系统「失效」的风险。SIL1最低，SIL4最高。轨道交通的核心安全功能，比如ATP（自动列车防护），通常要求SIL4。这意味着系统设计必须做到「故障安全」——即使某个部件坏了，系统也要能导向安全状态（比如紧急制动）。
GoA等级：衡量系统「自动化」的程度。GoA0是人工驾驶，GoA4是无人值守。目前国内地铁主流是GoA2（有司机监控的ATO），新建线路很多在推GoA3（无人驾驶但有随车人员）和GoA4（完全无人）。
| GoA等级 | 驾驶模式 | 典型应用 | SIL要求 |
|---|---|---|---|
| GoA0 | 人工驾驶 | 传统铁路 | 无 |
| GoA1 | ATP防护下人工驾驶 | 部分干线铁路 | SIL4（ATP） |
| GoA2 | ATO自动运行，司机监控 | 国内大部分地铁 | SIL4（ATP）+ SIL2（ATO） |
| GoA3 | 无人驾驶，有随车人员 | 部分新建线路 | SIL4（核心功能） |
| GoA4 | 无人值守，全自动 | 北京大兴机场线、新加坡地铁 | SIL4（全部安全功能） |
关键点：GoA等级越高，对算法的要求越苛刻。GoA4系统里，连「司机紧急制动按钮」都没有了。所有安全决策，全部交给算法。这意味着，算法不仅要「做对」，还要在「做对」的同时，证明自己「永远做对」。这就是为什么我们需要形式化验证、冗余设计、故障注入测试……这些听起来很学术的东西，在工程里都是实打实的硬功夫。
好了，第一章的内容就到这里。这一章我们聊了轨道交通自动驾驶的来龙去脉、系统怎么搭的、难点在哪、安全等级怎么分。下一章，我会带你深入感知层，聊聊传感器融合那些事儿。你想想看，列车是怎么在隧道里「看」到前方的信号的？咱们下回分解。
课后思考：如果你来设计一套GoA4级的自动驾驶系统，你会把「安全」和「效率」的优先级怎么排？举个例子：列车在区间运行时，前方突然出现一个障碍物。紧急制动可以保证安全，但会导致后续列车晚点。你会怎么选？
公众号:蓝海资料掘金营，微信deep3321