[首發(fā)于智駕最前沿微信公眾號]對于自動駕駛汽車而言，傳感器是它感知世界的窗口。攝像頭負(fù)責(zé)采集環(huán)境圖像，毫米波雷達和激光雷達則用于測量周圍物體的位置和速度，而GNSS（全球?qū)Ш叫l(wèi)星系統(tǒng)）與慣性測量系統(tǒng)可提供車輛的定位信息。這些數(shù)據(jù)經(jīng)過融合處理之后，自動駕駛系統(tǒng)才能判斷周圍環(huán)境、規(guī)劃行駛路徑并控制車輛。

然而在真實交通場景中，傳感器并不是始終可靠的。攝像頭可能在雨天或夜間因光線不足而變得模糊；激光雷達容易受大霧、反射或灰塵影響導(dǎo)致測量失真；GNSS信號也可能被高樓遮擋或在隧道內(nèi)中斷，造成定位錯誤。如果僅依賴單一傳感器，行駛風(fēng)險將大大增加。因此，必須設(shè)計有效的失效檢測機制與容錯策略，確保當(dāng)某個傳感器出現(xiàn)問題時，系統(tǒng)能夠及時識別、隔離故障，并采取安全措施。

這一點在《道路車輛功能安全》（ISO 26262）中也有明確要求，安全關(guān)鍵系統(tǒng)必須具備容錯能力，即使部分組件失效，也應(yīng)保持基本的安全功能。這不僅是一項理論規(guī)范，更是自動駕駛汽車上路必須滿足的安全條件。

如何進行傳感器失效檢測？

傳感器失效檢測并不是只看傳感器是否通電工作，而是要判斷傳感器的數(shù)據(jù)是否可信。有時候攝像頭可能供電正常，但畫面會出現(xiàn)模糊、曝光過度或被遮擋的現(xiàn)象，這同樣屬于失效的范疇。類似地，毫米波雷達雖然能輸出距離數(shù)據(jù)，但如果包含明顯噪聲或錯誤目標(biāo)，也意味著它已無法可靠地工作。

在設(shè)計失效檢測機制時，系統(tǒng)會對傳感器數(shù)據(jù)進行多層次的檢查。最基礎(chǔ)的是從信號層面進行檢查，例如確認(rèn)數(shù)據(jù)包是否完整、時間戳是否正常、幀率是否穩(wěn)定等。進一步則會使用統(tǒng)計和模型檢測方法來判斷數(shù)據(jù)，如利用濾波器檢測異常值，或者用機器學(xué)習(xí)模型估計當(dāng)前數(shù)據(jù)是否符合正常模式。此外，還有基于多任務(wù)或多視角的信息一致性檢測方法，將不同任務(wù)輸出之間的相互關(guān)系作為判斷依據(jù)，當(dāng)發(fā)現(xiàn)不一致時，就可能是某個傳感器或算法出現(xiàn)了問題。

通過這些檢測機制，系統(tǒng)能夠在傳感器出現(xiàn)異常初期就及時識別，避免錯誤數(shù)據(jù)導(dǎo)致誤判甚至引發(fā)危險行為。當(dāng)檢測到異常后，系統(tǒng)還會根據(jù)故障等級采取如降級使用、切換備用傳感器或進入安全狀態(tài)等相應(yīng)措施，從而保障自動駕駛汽車始終在可靠感知的基礎(chǔ)上運行。

如何進行多傳感器冗余與信息補償？

即使檢測到傳感器失效，自動駕駛系統(tǒng)也必須保證車輛能夠繼續(xù)安全運行或平穩(wěn)降級。因此，需要在自動駕駛系統(tǒng)設(shè)計之初就引入冗余機制。所謂冗余，指的是在關(guān)鍵功能上不依賴單一傳感器，而是讓多個不同的傳感器共同承擔(dān)感知任務(wù)。這實際上是可靠性工程中的一種常見思路，即讓多個組件相互備份，即使其中一個失效，其他組件仍能繼續(xù)工作。

自動駕駛系統(tǒng)中的冗余體現(xiàn)在兩個層面。一是同類傳感器冗余，如在車輛前部安裝多個攝像頭或多個雷達，讓它們的視野相互重疊，這樣即使某一個傳感器損壞，其他傳感器仍然可以覆蓋關(guān)鍵區(qū)域。二是異構(gòu)傳感器冗余，也就是利用不同類型的傳感器進行互補。攝像頭擅長識別交通標(biāo)志和顏色信息，但在雨天或霧天效果會變差；毫米波雷達對雨霧不敏感，但對靜態(tài)物體的細節(jié)識別能力較弱；激光雷達能提供高精度的三維點云，卻對強反光表面較為敏感。將這些傳感器的信息疊加融合后，系統(tǒng)得到的感知結(jié)果會更全面、更可靠。

冗余設(shè)計的目標(biāo)并不是簡單堆砌硬件，而是確保在某些傳感器失效時，其他傳感器仍能提供足夠的信息，使自動駕駛系統(tǒng)維持在安全狀態(tài)。

軟件層面的故障隔離與健康管理

在軟硬件協(xié)同的容錯系統(tǒng)中，軟件部分承擔(dān)著“健康檢查”和“故障隔離”的關(guān)鍵作用。每個傳感器數(shù)據(jù)輸入到系統(tǒng)后，首先要經(jīng)過預(yù)處理和健康評估模塊。這個模塊會實時計算如信噪比、延遲、異常分布、與歷史數(shù)據(jù)的一致性等指標(biāo)。一旦某個數(shù)據(jù)的指標(biāo)超出正常范圍，就觸發(fā)告警，并將該傳感器標(biāo)記為“狀態(tài)不健康”。

經(jīng)過預(yù)處理和健康評估的數(shù)據(jù)會進入數(shù)據(jù)融合層。融合層會根據(jù)傳感器當(dāng)前狀態(tài)決定是否納入融合。如果某個傳感器不健康，融合算法會降低其權(quán)重甚至剔除其數(shù)據(jù)。這一動態(tài)調(diào)整過程一般會基于自適應(yīng)濾波器（如卡爾曼濾波的變種）或更復(fù)雜的概率圖模型實現(xiàn)，使自動駕駛系統(tǒng)能夠根據(jù)各傳感器的實時表現(xiàn)，動態(tài)分配信任度。

要補充一點的是，健康管理不僅限于傳感器層面，還要貫穿整個系統(tǒng)鏈路。若某個算法模塊在短時間內(nèi)輸出異常的路徑規(guī)劃結(jié)果，也應(yīng)被健康管理模塊檢測并觸發(fā)隔離機制。這種設(shè)計能有效避免因單一模塊的錯誤影響整車行為，從而提升系統(tǒng)的整體容錯能力與運行安全。

容錯行為策略如何設(shè)計？

檢測到故障并完成隔離后，如何妥善處理才是核心問題。自動駕駛系統(tǒng)應(yīng)設(shè)計多層級的降級策略，要依據(jù)故障的嚴(yán)重程度以及具體環(huán)境狀況，逐步降低系統(tǒng)的自動化功能。

若故障影響較輕，如某個側(cè)前攝像頭偶爾出現(xiàn)模糊，但整體環(huán)境感知仍在可接受范圍內(nèi)，系統(tǒng)就應(yīng)采取“軟降級”策略?？纱蠓档驮搨鞲衅鲾?shù)據(jù)在融合決策中的權(quán)重，同時向駕駛員發(fā)出提示，建議其保持對周圍環(huán)境的關(guān)注。此時，輔助駕駛功能仍可繼續(xù)運行。

如果失效更加嚴(yán)重，比如出現(xiàn)多路視覺傳感器在雨天同時受影響，系統(tǒng)識別到感知精度無法滿足復(fù)雜決策需求，就應(yīng)自動關(guān)閉部分自動駕駛功能，將車輛功能退回到更低級別的輔助駕駛模式。類似的，如果定位系統(tǒng)失效導(dǎo)致定位誤差增大時，車輛應(yīng)限制速度、加大跟車距離，以降低風(fēng)險。

如果出現(xiàn)系統(tǒng)無法可靠地判斷環(huán)境這種更極端的情況，如多傳感器同時失效或計算單元發(fā)生故障時，系統(tǒng)應(yīng)觸發(fā)最低風(fēng)險條件。要根據(jù)設(shè)計規(guī)范與安全策略，讓車輛自動減速、靠邊安全停車，并持續(xù)提醒駕駛員接管控制，這是確保不讓車輛繼續(xù)在高風(fēng)險狀態(tài)下行駛的最后一層防線。

其他容錯設(shè)計方案

硬件的容錯設(shè)計并只是增加傳感器數(shù)量，還會涵蓋整個計算與控制架構(gòu)?，F(xiàn)階段，自動駕駛車輛的主控制單元會配置獨立的安全監(jiān)控核心。該核心專門負(fù)責(zé)系統(tǒng)健康監(jiān)測和關(guān)鍵安全決策，但不會參與日常的復(fù)雜運算。一旦主處理器發(fā)生故障或輸出異常，安全核心能夠優(yōu)先接管控制，并執(zhí)行如減速、停車或提醒駕駛員接管等預(yù)設(shè)的安全策略。

此外，還有一些技術(shù)方案會采用雙機或多核冗余方案。即使一個計算模塊完全失效，其他模塊仍可維持核心功能的運行。為了準(zhǔn)確識別故障模塊，系統(tǒng)會比較多個模塊的輸出結(jié)果，通過投票機制或一致性檢驗來判斷正確路徑。這類設(shè)計已在航空航天領(lǐng)域得到長期應(yīng)用，可確保在復(fù)雜故障情況下系統(tǒng)仍能保持可控。

還有一些高級自動駕駛系統(tǒng)會有如雙通道制動系統(tǒng)、雙通道轉(zhuǎn)向驅(qū)動等獨立的執(zhí)行器級別的冗余。這些硬件設(shè)計可以在某一組件失效時，確保車輛不喪失關(guān)鍵控制能力，從而進一步提升系統(tǒng)的整體安全性與可靠性。

最后的話

傳感器失效檢測與容錯設(shè)計是自動駕駛安全體系中的重要一環(huán)。從傳感器數(shù)據(jù)健康檢測到多傳感器冗余融合，從軟件隔離策略到硬件多核冗余，從漸進式降級到安全停靠，都體現(xiàn)了軟硬件協(xié)同設(shè)計的重要性。其目的就是讓自動駕駛系統(tǒng)在面對現(xiàn)實世界中不可避免的傳感器問題時，依然能夠以安全、合理的方式繼續(xù)運行，或者在必要時將控制權(quán)交還給駕駛員。這樣的設(shè)計不僅提高了自動駕駛系統(tǒng)的可靠性，也為實現(xiàn)更高級別自動駕駛奠定了堅實基礎(chǔ)。