自动驾驶系统概述、技术分级与产业演进

自动驾驶系统并非单一算法的工程集合，而是一类在物理世界长尾分布、安全强约束、法规强约束三重压力下运作的复杂信息物理系统（Cyber-Physical System, CPS）。理解其架构，本质上是要回答三个递进的问题：第一，自动驾驶究竟由哪些功能模块组成，这些模块之间通过何种契约进行数据与时间的耦合？第二，模块化、端到端、混合架构三大技术流派为何同时存在，它们的设计哲学差异如何映射到工程取舍？第三，在不同的运行设计域（Operational Design Domain, ODD）下，传感器、计算平台、线控底盘的选型逻辑是什么，商业化路径又如何反向约束技术架构？本章将围绕这三条主线，建立后续 14 章深入展开的共同坐标系。

1.1 自动驾驶的核心概念边界：从 ADAS 到 AD 的工程跃迁

1.1.1 SAE J3016 标准的语义基线

SAE International 于 2014 年发布的 J3016 标准（2021 年修订版）建立了一套被全球产业、监管机构与司法系统广泛采纳的语义基线。该标准的核心抽象是"动态驾驶任务"（Dynamic Driving Task, DDT），即车辆在道路交通中实时执行的感知、判断与操作行为的总和。DDT 又被进一步分解为横向控制（转向）、纵向控制（加减速）、目标与事件探测响应（Object and Event Detection and Response, OEDR）以及战术规划（如变道决策、避障路径选择）四个子任务。围绕"谁在持续执行完整的 DDT"这一判定准则，J3016 划定了 L0 至 L5 共六个等级。

| 等级 | 名称 | 系统持续执行的 DDT 子任务 | OEDR 主体 | 失效回退主体 | |------|------|--------------------------|-----------|------------| | L0 | 无自动化 | 无 | 人类驾驶员 | 人类驾驶员 | | L1 | 驾驶员辅助 | 横向或纵向其一 | 人类驾驶员 | 人类驾驶员 | | L2 | 部分自动化 | 横向 + 纵向 | 人类驾驶员 | 人类驾驶员 | | L3 | 有条件自动化 | 完整 DDT（ODD 内） | 系统 | 人类驾驶员（接管后） | | L4 | 高度自动化 | 完整 DDT（ODD 内） | 系统 | 系统 | | L5 | 完全自动化 | 完整 DDT（全场景） | 系统 | 系统 |

理解这张表的关键在于把握两个工程维度的本质差异：OEDR 责任主体与失效回退主体。在 L1–L2 阶段，系统虽能同时控制横向与纵向，但环境感知与战术规划仍由人类驾驶员负责，系统不承担"OEDR"责任——这意味着驾驶员必须持续监控交通环境并随时准备介入。L3 则是责任主体发生关键跃迁的等级：在 ODD 内，系统完整执行 DDT，包括 OEDR；一旦系统检测到自身能力边界（接近 ODD 退出条件）或发生故障，将向人类驾驶员发起接管请求，但接管过渡期内仍由系统承担责任。从 L4 开始，失效回退也由系统承担，这意味着系统必须能够在不依赖人类接管的前提下，自主完成最小风险状态（Minimal Risk Condition, MRC）的转移，例如靠边停车或安全熄火。

1.1.2 ODD：定义自动驾驶的"作战空间"

ODD 是自动驾驶系统设计中最重要的工程抽象之一。J3016 将 ODD 定义为"特定驾驶自动化系统被设计为可运行的特定条件"，其完整描述包含但不限于：地理围栏（特定城市、高速路段或园区）、道路类型（结构化道路 vs 非结构化道路）、天气条件（晴、雨、雾、雪）、光照条件（白天、夜间、隧道）、速度范围、是否包含行人与非机动车、信号灯与标志的完备性等。

ODD 概念的工程价值在于，它将"无穷无尽的开放世界"切分为了"有限可枚举的工况集合"，从而使得系统的功能安全论证成为可能。例如，百度 Apollo Go 在武汉的 Robotaxi 服务，其 ODD 被严格限定在武汉市经开区与光谷的指定地理围栏内、晴朗与小到中雨天气、白天与城市照明良好的夜间、最高时速不超过 60 km/h、限定城市道路与快速路（不含高速公路）。任何超出 ODD 的场景，系统必须执行 MRC 而非继续运行——这是 L4 系统合规运行的法律前提。

相比之下，乘用车辅助驾驶（如 Tesla FSD、华为 ADS 3.0、小鹏 XNGP）的 ODD 声称覆盖"全国可驾驶路段"，但实际上系统在 ODD 边界的判定上仍依赖人类监督。一旦监管机构以"系统未能在超出 ODD 时可靠触发 MRC"为由发起质询，厂商就面临重大合规风险。这是 2023–2024 年间美国 NHTSA 对 Tesla Autopilot 多次调查、以及中国工信部《关于开展智能网联汽车准入和上路通行试点工作的通知》（2023）反复强调"ODD 内运行"原则的根本原因。

1.1.3 ADAS 与 AD 的本质差异

"高级驾驶辅助系统"（Advanced Driver Assistance Systems, ADAS）与"自动驾驶"（Automated Driving, AD）的差异，并非简单的"功能强弱"之别，而是责任分配哲学的根本不同。ADAS 的设计哲学是辅助——系统降低驾驶员的工作负荷，但责任主体始终是驾驶员；系统的失效模式必须向驾驶员透明化，并在合理时间内触发可控降级（Degradation）。AD 的设计哲学是替代——在 ODD 内，系统承担完整责任，驾驶员成为"乘客"；系统的失效必须自主处理，驾驶员无接管义务。

这一差异在工程上产生三个直接后果。第一，冗余设计粒度：ADAS 系统的传感器与计算单元通常为单链路或部分备份（如 L2 自动驾驶域控的双 SoC 锁步），而 AD 系统必须满足 ASIL-D 等级的失效安全（Fail-Operational），通常要求双电源、双计算、双通信链路甚至三重冗余。第二，人机交互设计：ADAS 强调驾驶员监控系统（DMS）的可靠性，方向盘扭矩检测、视线追踪、注意力评分等模块必不可少；AD 则几乎取消驾驶员交互界面，转而强调远程运营平台与乘客体验。第三，验证与确认（V&V）方法论：ADAS 可通过统计意义上的事故率（如每百万公里事故数）证明安全性；AD 必须满足 SAE J3016 引用的 ISO 21448 SOTIF（预期功能安全）以及 UL 4600 等以场景覆盖度为基础的论证框架，对场景库（Scenario Catalog）的完备性提出极高要求。

理解这一点，对本书后续章节的组织至关重要：感知、预测、规划、控制四大模块在 L2 ADAS 与 L4 AD 中虽然算法可能重叠，但其接口契约、性能边界、失效模式要求完全不同。

1.2 三大技术流派：模块化、端到端与混合架构的形式化对比

1.2.1 模块化流水线：经典工程的胜利与代价

模块化流水线（Modular Pipeline）是自动驾驶领域最古老、也最成熟的技术路线。其哲学根源是 1980 年代以来人工智能领域对"分而治之"（Divide and Conquer）策略的信任：一个复杂的感知-决策-控制问题，可以被分解为感知（Perception）、预测（Prediction）、决策（Decision）、规划（Planning）、控制（Control）五个串联子模块，每个子模块独立设计、独立优化、独立验证，模块之间通过显式的中间表示（Intermediate Representation, IR）传递信息。

Waymo（前身 Google Self-Driving Car Project）是该流派的代表性工业实践。在 Waymo 的 5 代系统中，感知模块负责多传感器融合后输出"障碍物列表"（包含 3D 位置、速度、加速度、类别、姿态角），每个目标附带置信度；预测模块以高精地图（HD Map）作为先验，对每个障碍物在未来 3–8 秒内的轨迹进行采样输出；决策模块基于有限状态机或部分可观察马尔可夫决策过程（POMDP）选择行为意图（跟车、变道、让行）；规划模块在 Frenet 坐标系下生成参数化轨迹；控制模块则通过模型预测控制（MPC）或线性二次调节器（LQR）跟踪参考轨迹。

模块化流派的工程优势极为突出。第一，可解释性强：每个模块的输入输出都是显式的语义化数据结构（轨迹、意图、状态），便于工程师调试与监管机构审查。Waymo 在 2023 年公开的《Safety Case》报告中，能够精确追溯每个决策链条中各模块的贡献度，这在端到端系统中几乎不可能实现。第二，可单点升级：某个模块（如感知中的 3D 目标检测器）可独立替换为更优算法而不影响其他模块，便于工程迭代。第三，可分阶段验证：每个模块可在仿真、封闭场地、公开道路独立测试成熟后再集成，整体安全论证的复杂度被分解。第四，团队并行：感知、规划、控制可由不同团队并行开发，符合大型工业研发的组织模式。

但模块化同样付出了显著的工程代价。信息瓶颈（Information Bottleneck）是其根本性缺陷。模块之间的显式 IR 本质上是对真实世界状态空间的有损压缩——感知模块输出"目标列表"时，已丢失了大量对规划可能有用的细粒度信息（如车辆后视镜角度、行人视线方向、路面积水反光强度）。误差累积（Error Propagation）进一步放大这一问题：感知 5% 的漏检率经预测模块放大后，可能在决策模块表现为 15% 的误判率，最终在控制模块产生不可接受的轨迹偏离。模块间的优化目标不一致：感知模块通常以 mAP（mean Average Precision）为优化目标，规划模块以舒适性、效率、安全性的加权为优化目标，二者难以联合优化。长尾场景的工程爆炸：每个模块的长尾叠加为系统的复合长尾，使得模块化系统难以应对真正罕见的边缘案例（Corner Case）。

Waymo 的工程实践表明，模块化路线可以达到非常高的安全性水平（公开数据显示其在美国部分城市的 Robotaxi 事故率已低于人类驾驶员平均水平），但代价是海量的人工标注成本（高精地图绘制、感知数据标注）、高昂的研发投入（Waymo 累计投入估计超过 300 亿美元）以及较慢的 ODD 扩展速度。

1.2.2 端到端学习：从感知直接到控制的范式革命

端到端学习（End-to-End Learning）的哲学与模块化截然对立。它主张将感知与控制之间的所有中间环节替换为单一神经网络，原始传感器数据（图像、点云）直接输入网络，网络直接输出控制指令（转向、制动、油门）或轨迹。这一思想最早可追溯至 1989 年 Pomerleau 的 ALVINN 系统——一个三层全连接网络将相机图像映射至转向角——但受限于算力与数据，长期未成为主流。直到 2017 年后，NVIDIA、Wayve、Tesla 等公司在大规模算力、BEV（Bird's Eye View）感知范式、Transformer 与基础模型（Foundation Model）的推动下，端到端路线重新成为产业焦点。

Tesla FSD（Full Self-Driving）是端到端路线的最强工业代表。从 2020 年的 FSD Beta v8 起，Tesla 逐步用 BEV + Transformer 架构替代了原先的多任务感知网络；到 2023 年的 FSD v12，Tesla 引入了"端到端神经网络"（End-to-End Neural Network）作为驾驶决策的核心，城市道路的规划与控制几乎完全由单一神经网络输出，特斯拉在公开技术分享中将这一架构描述为"从光子到动作"（from photons to actions）。Wayve（一家英国初创公司，由英伟达、微软等投资）则更进一步，训练了一个名为 LINGO-2 的视觉-语言-动作基础模型，可同时输出驾驶轨迹与自然语言解释，展示了多模态基础模型在自动驾驶中的潜力。

端到端流派的核心优势是信息流无瓶颈。由于不存在显式 IR，原始传感器数据中的所有信息理论上都可以影响最终决策。可联合优化：网络的整体目标（如安全性、舒适性、效率的加权）可通过梯度反传直接优化各层参数，避免模块间目标不一致。数据规模效应显著：随着训练数据从百万公里级增长至十亿公里级，端到端网络的能力可以"涌现"出工程师未曾显式设计的能力（Tesla 多次演示 FSD 在未明确编程的城市路况下表现出的"自然"驾驶风格）。对新场景的泛化能力：理论上，只要训练数据覆盖足够多样，端到端网络可以应对比模块化系统更广泛的 ODD。

但端到端流派同样面临三类根本性挑战。第一，可解释性近乎为零：当网络输出一个看似错误的决策时，工程师无法像模块化系统那样定位到"感知漏检"或"规划模块的代价函数设计不当"，这使得 V&V 流程成为重大挑战。第二，长尾数据需求呈指数级增长：要让网络在 99.99% 的场景下正确决策，需要的训练数据规模远超人类驾驶员的实际驾驶里程数。Tesla 通过其全球数百万辆车的影子模式（Shadow Mode）持续收集数据，但即使如此，FSD 仍频繁出现需要驾驶员立即接管的"幻觉"（Hallucination）案例。第三，对分布外（OOD）场景的脆弱性：当训练数据未覆盖的场景（如某地罕见的红绿灯样式、施工区域的新型警示标志）出现时，端到端网络的行为可能完全不可预测，这是 SOTIF 标准最担忧的风险。

1.2.3 混合架构：工业务实主义的折中

鉴于模块化与端到端各自的优劣，2023 年以来产业界逐渐形成了第三种主流路线——混合架构（Hybrid Architecture）。其核心思想是：用端到端网络替代模块化系统中信息瓶颈最严重的环节（如感知与预测的联合、规划与决策的联合），同时保留可解释性强的环节（如安全监控、轨迹验证、最终控制）作为"安全网"（Safety Net）。

百度 Apollo 在 2023 年发布的 ADFM（Apollo Driving Foundation Model）是这一路线的代表。其架构中，感知与场景理解由大规模多任务神经网络完成，决策与规划采用基于学习的轨迹生成网络，但最终输出的轨迹仍经过基于规则的"安全过滤器"（Safety Filter），后者是一组显式编码的交通规则、动力学约束、碰撞检测逻辑的组合。即便学习模块在某个罕见场景下输出不安全的轨迹，安全过滤器将兜底拒绝，并通过降级策略触发最小风险操作。

华为 ADS 3.0（2024 年发布）采用了类似的"端到端规划 + 规则兜底"架构，其端到端规划网络（PDP，Predict-Decision-Plan 网络）输出多模态轨迹候选，规则层进行碰撞检测与法规符合性验证。Waymo 在 2024 年也开始引入学习型规划网络替代部分基于搜索的规划器，但其 Decision 模块仍保留基于规则的安全约束。

混合架构的工程哲学可以概括为"以可学习模块追求能力上限，以显式模块保证安全下限"。这一思路在功能安全（ISO 26262）与 SOTIF（ISO 21448）的双重框架下具有合规优势：显式规则模块可被论证为已知的失效模式可控，而学习模块的残余风险可通过场景库覆盖率进行统计论证。混合架构并非完美——其最大挑战在于"端到端"与"规则"两个子系统之间的接口契约设计：当学习模块与规则模块对同一场景判断矛盾时，应以谁为准？这通常需要设计"分级仲裁机制"（Hierarchical Arbitration），即首先由学习模块提出候选方案，规则模块拒绝不安全的，然后由学习模块在剩余安全方案中按代价函数选择最优。

```mermaid flowchart LR Sensor[原始传感器数据] --> Perception[感知模块<br/>目标检测与跟踪] Perception --> Prediction[预测模块<br/>轨迹预测] Prediction --> Decision[决策模块<br/>行为选择] Decision --> Planning[规划模块<br/>轨迹生成] Planning --> Control[控制模块<br/>轨迹跟踪] Control --> Chassis[线控底盘] Chassis --> Vehicle[车辆动力学] Vehicle --> Sensor SafetyFilter[安全监控与回退] -.-> Perception SafetyFilter -.-> Planning SafetyFilter -.-> Control ```

图 1-1 自动驾驶经典模块化流水线架构。实线箭头表示主要数据流，虚线箭头表示安全监控的旁路接入。各模块间的硬性时间约束如下：感知 50–100 ms，预测 30–50 ms，决策 10–20 ms，规划 30–50 ms，控制 10–20 ms，整链路端到端延迟通常需控制在 100–200 ms 以内以确保高速场景下的安全性。

1.3 自动驾驶软硬件栈：从芯片到中间件的工程实现

1.3.1 计算平台：异构 SoC 与算力军备竞赛

自动驾驶计算平台是整个系统的"数字大脑"。其选型需在算力（TOPS/W）、能效比（TOPS/W）、功能安全等级（ASIL-B/D）、软件生态成熟度、供应链可控性之间取得平衡。当前主流方案可分为三大阵营。

NVIDIA 阵营：Drive Orin（254 TOPS，2022 年量产）、Drive Thor（2000 TOPS，2025 年规划）是当前算力最强的车规级 SoC。Orin 基于 Ampere 架构 GPU + Arm Cortex-A78AE CPU 异构设计，已被蔚来 ET5/ET7、小鹏 G9/G6、理想 L7/L9、奔驰 EQS Drive Pilot 等超过 30 家整车厂采用。Thor 则更进一步，采用 Hopper 架构 GPU，单芯片即可满足 L4 级 12 摄像头 + 多激光雷达的感知融合算力需求。NVIDIA 的核心优势是 CUDA 生态——基于 TensorRT 的模型部署工具链成熟，感知算法移植成本低。

华为 MDC 阵营：MDC 610（200 TOPS，2022 年）、MDC 810（400 TOPS，2023 年）基于昇腾 SoC（自研达芬奇架构 NPU），已在问界 M7/M9、阿维塔 11/12、智界 S7 等车型量产。华为方案的核心特点是"芯片+操作系统+中间件+算法"全栈自研，鸿蒙 OS 与 MDC 深度耦合，提供了较强的实时性保障与功能安全认证（ASIL-D）。

地平线阵营：征程 5（J5，128 TOPS，2022 年）、征程 6（J6，多颗系列化型号 2024 年量产）基于自研 BPU（Brain Processing Unit）架构，已在理想 L 系