基于目标、需求、方法与学习闭环的限定运行域自动驾驶系统

道枢四链智驾系统

完整名：

道枢四链智驾系统：一种基于目标链、需求链、方法链与学习链的自动驾驶实现方案

其中：

text 复制代码

道枢：
    道路、车道、交通参与者、车辆控制中枢

四链：
    目标链
    需求链
    方法链
    学习链

智驾：
    自动驾驶 / 辅助驾驶 / 限定区域无人驾驶

这里先按限定运行区域自动驾驶 来设计，比如园区、港口、矿区、封闭道路、固定路线接驳车。原因是自动驾驶不能一上来就假设"任何道路、任何天气、任何场景都能开"。按 NHTSA 对自动化等级的说明，L4 高度自动化通常是在有限服务区域内由系统负责驾驶任务，而 L5 才是所有条件、所有道路下的通用自动化；NHTSA 同时说明，美国目前面向消费者销售的车辆并不是完全自动驾驶车辆。(NHTSA)

1. 总体目标

系统总目标可以定义为：

text 复制代码

目标G：
    车辆从当前位置A
    自动行驶到目的地B
    在目的地安全停车

但这个目标不能直接变成"踩油门、打方向"。它必须先拆成需求。

完整目标应包含：

text 复制代码

G1：知道自己在哪里
G2：知道目的地在哪里
G3：知道道路结构
G4：识别周围车辆、行人、非机动车、障碍物、信号灯、标志线
G5：判断当前是否在允许自动驾驶的运行区域内
G6：规划合法、安全、舒适的行驶路线
G7：控制方向、油门、制动、灯光
G8：遇到异常时进入最小风险状态
G9：行驶结束后把经验写入学习链

一句话：

自动驾驶不是"车自己开"，而是"车辆在场景中持续生成需求、匹配方法、执行控制、验证结果、积累经验"。

2. 系统总体结构

可以设计成下面这个结构：

text 复制代码

道枢四链智驾系统
├── 场景层
│   ├── 车辆自身场景
│   ├── 道路场景
│   ├── 交通参与者场景
│   ├── 信号灯/标志/车道线场景
│   └── 天气/光照/路况场景
│
├── 目标链
│   ├── 导航目标
│   ├── 行驶目标
│   ├── 停车目标
│   └── 安全目标
│
├── 需求链
│   ├── 安全需求
│   ├── 法规需求
│   ├── 车道保持需求
│   ├── 跟车需求
│   ├── 换道需求
│   ├── 转弯需求
│   ├── 避障需求
│   └── 最小风险停车需求
│
├── 方法链
│   ├── 感知方法
│   ├── 定位方法
│   ├── 预测方法
│   ├── 行为决策方法
│   ├── 轨迹规划方法
│   ├── 控制方法
│   └── 应急方法
│
├── 执行层
│   ├── 转向控制
│   ├── 加速控制
│   ├── 制动控制
│   ├── 灯光控制
│   └── 声音/提示控制
│
├── 安全监督层
│   ├── 运行边界检查
│   ├── 碰撞风险检查
│   ├── 传感器健康检查
│   ├── 控制器健康检查
│   ├── 接管/降级策略
│   └── 最小风险停车
│
└── 学习层
    ├── 行驶日志
    ├── 场景回放
    ├── 失败案例挖掘
    ├── 方法评分更新
    ├── 感知模型更新
    ├── 预测模型更新
    └── 地图/规则修正

3. 运行边界：先定义系统能在哪里开

自动驾驶系统必须有一个核心前提：

text 复制代码

ODD = Operational Design Domain
即：运行设计域 / 运行边界

可以先定义一个保守版本：

text 复制代码

运行区域：
    园区、港口、厂区、封闭道路、固定接驳路线

道路条件：
    结构化道路
    有清晰车道线或高精地图
    有固定上下客点
    有限速规则

速度条件：
    低速运行，例如 20-40 km/h 范围内

天气条件：
    白天或良好照明
    无暴雨、浓雾、积雪、严重扬尘

交通条件：
    混行交通可存在，但必须低复杂度
    行人、非机动车、车辆可识别

对应到需求层：

text 复制代码

需求D_ODD：
    当前场景必须属于允许自动驾驶的运行边界

如果不满足：

text 复制代码

方法M_ODD_失败：
    减速
    靠边
    打双闪
    停车
    请求人工接管或远程协助

ISO 21448:2022，也就是 SOTIF，关注的正是"预期功能本身不足、感知和处理不足、合理可预见误用"等造成的不合理风险，尤其适用于依赖复杂传感器和处理算法、自动化等级 1 到 5 的系统。这个思想很适合放进你的"需求链"和"安全监督层"。(ISO)

4. 场景层设计

自动驾驶的"世界"可以拆成五类存在。

4.1 自车存在

text 复制代码

存在E_自车：
    位置
    速度
    加速度
    航向角
    横摆角速度
    轮速
    方向盘角度
    油门开度
    制动压力
    档位
    电量/油量
    传感器状态
    控制器状态

4.2 道路存在

text 复制代码

存在E_道路：
    车道
    车道线
    路口
    人行横道
    停车线
    限速牌
    禁行区域
    可停车区域
    路缘
    障碍物边界

4.3 动态交通参与者

text 复制代码

存在E_车辆
存在E_行人
存在E_自行车
存在E_电动车
存在E_施工机械
存在E_动物

每个对象都有：

text 复制代码

类型
位置
速度
加速度
朝向
尺寸
轨迹历史
预测轨迹
风险等级
置信度

4.4 交通规则存在

text 复制代码

红绿灯状态
交通标志
车道方向
限速规则
让行规则
优先权规则
临时施工规则

4.5 环境存在

text 复制代码

天气
光照
路面湿滑程度
能见度
施工状态
地图版本
通信状态

这一步的意义是：自动驾驶系统不是直接看摄像头画面，而是把外部世界转成一个可计算、可比较、可判定的场景。

5. 目标链设计

目标链不是一个目标，而是一串可执行目标。

例如从 A 点到 B 点：

text 复制代码

目标链G：
    G0：系统自检通过
    G1：定位到当前车辆位置
    G2：生成从A到B的导航路线
    G3：从停车状态进入行驶状态
    G4：沿当前车道行驶
    G5：经过路口
    G6：必要时跟车
    G7：必要时换道
    G8：必要时避障
    G9：到达B点附近
    G10：进入靠边/泊车区域
    G11：停车
    G12：结束任务并写入学习链

目标链可以分层：

text 复制代码

最高目标：
    安全到达

一级目标：
    不碰撞
    不违规
    不离开运行边界
    不让乘客不适
    尽量高效

二级目标：
    车道保持
    跟车
    超车
    转弯
    避障
    停车

自动驾驶里，目标优先级必须固定：

text 复制代码

第0优先级：生命安全
第1优先级：系统安全
第2优先级：交通规则
第3优先级：完成导航
第4优先级：舒适性
第5优先级：效率

这意味着：

text 复制代码

如果"按时到达"和"安全停车"冲突：
    选择安全停车

如果"舒适通过"和"紧急制动"冲突：
    选择紧急制动

如果"继续自动驾驶"和"离开运行边界"冲突：
    退出自动驾驶

6. 需求链设计

需求链是整个系统的骨架。每个需求都要能被判定。

6.1 安全需求

text 复制代码

D_不碰撞：
    与所有动态/静态障碍物保持安全距离

D_可制动：
    当前速度下，车辆必须能在可见安全距离内停车

D_低风险：
    预测轨迹不能与他人预测轨迹发生冲突

D_传感器可信：
    关键感知结果置信度不能低于安全阈值

D_控制可信：
    转向、制动、驱动系统必须处于健康状态

安全需求只能使用严格满足。不能说"大概安全"。

6.2 法规需求

text 复制代码

D_遵守限速
D_遵守红绿灯
D_遵守车道方向
D_礼让行人
D_不压实线
D_路口按规则让行
D_施工区减速

6.3 行驶需求

text 复制代码

D_车道保持：
    横向偏差在允许范围内
    航向角误差在允许范围内

D_跟车：
    与前车保持安全时距
    速度不超过前车允许跟随速度

D_换道：
    目标车道可用
    后方车辆安全距离足够
    横向加速度不超过舒适范围

D_转弯：
    目标车道正确
    行人/非机动车冲突已消除
    转弯半径可达

D_停车：
    停车点合法
    低速接近
    车身姿态正确
    最终速度为0

6.4 运行边界需求

text 复制代码

D_ODD：
    位置在允许区域
    天气可接受
    光照可接受
    地图有效
    定位可信
    道路类型可处理

如果这个需求失败，就不能继续普通驾驶方法。

6.5 最小风险需求

text 复制代码

D_MRC：
    MRC = Minimal Risk Condition
    最小风险状态

要求：
    减速
    靠边或停在安全区域
    打双闪
    保持制动
    通知乘客/远程端
    等待人工处理

7. 方法链设计

方法链可以理解为自动驾驶的"技能库"。

每个方法都应该有：

text 复制代码

方法M：
    适用场景
    前置需求
    输入状态
    动作策略
    期望结果
    风险评分
    失败回退方法
    学习记录入口

7.1 感知方法

text 复制代码

M_车道线识别
M_目标检测
M_目标跟踪
M_红绿灯识别
M_交通标志识别
M_可行驶区域识别
M_占用栅格生成
M_传感器融合

输入：

text 复制代码

摄像头
毫米波雷达
激光雷达
超声波雷达
IMU
轮速计
GNSS
高精地图

输出：

text 复制代码

场景对象
车道结构
障碍物列表
交通信号
可行驶区域
置信度

7.2 定位方法

text 复制代码

M_GNSS定位
M_视觉定位
M_激光点云定位
M_IMU轮速融合
M_地图匹配

输出：

text 复制代码

车辆在地图中的位置
姿态
速度
定位置信度

7.3 预测方法

text 复制代码

M_恒速预测
M_车道跟随预测
M_行人意图预测
M_路口交互预测
M_多轨迹概率预测

输出：

text 复制代码

其他交通参与者未来1秒、3秒、5秒轨迹
每条轨迹的概率
潜在冲突点

7.4 行为决策方法

text 复制代码

M_保持车道
M_跟车
M_减速让行
M_停车等待
M_变道
M_绕障
M_路口通过
M_靠边停车
M_紧急制动

7.5 轨迹规划方法

text 复制代码

M_车道中心线轨迹
M_跟车轨迹
M_换道轨迹
M_避障轨迹
M_停车轨迹
M_紧急制动轨迹

输出：

text 复制代码

未来若干秒的轨迹点：
    x
    y
    速度
    加速度
    航向角
    曲率
    时间戳

7.6 控制方法

text 复制代码

M_横向控制：
    控制方向盘角度

M_纵向控制：
    控制油门、制动

M_稳定控制：
    限制加速度、减速度、横摆变化

M_灯光控制：
    转向灯、刹车灯、双闪

7.7 应急方法

text 复制代码

M_紧急制动
M_靠边停车
M_原地停车
M_低速爬行
M_请求接管
M_远程协助
M_传感器降级
M_地图失效降级
M_制动冗余控制

注意：**应急方法不能依赖学习模块临时发挥。**它必须是经过验证的固定安全策略。

8. 方法匹配机制

在每一个控制周期，比如每 50ms 或 100ms，系统都做一次判断：

text 复制代码

当前场景S
当前目标G
当前需求D
可用方法集合M

然后匹配：

text 复制代码

方法是否满足前置条件？
方法结果是否覆盖需求？
方法风险是否低于阈值？
方法是否在当前运行边界内？
方法是否有失败回退？

可以设计一个评分：

text 复制代码

方法评分 =
    安全覆盖度 * 权重A
  + 需求满足度 * 权重B
  + 路径效率 * 权重C
  + 舒适性 * 权重D
  - 风险代价 * 权重E
  - 能耗代价 * 权重F
  - 不确定性代价 * 权重G

但安全需求必须一票否决：

text 复制代码

如果 M 不满足 D_不碰撞：
    禁止执行

如果 M 不满足 D_ODD：
    禁止执行

如果 M 不满足 D_控制可信：
    禁止执行

如果 M 没有应急回退：
    禁止执行

这和你前面理论中的"严格满足 / 相似满足"很契合：

text 复制代码

安全类需求：
    必须严格满足

法规类需求：
    必须严格满足

舒适类需求：
    可以相似满足

效率类需求：
    可以相似满足

导航类需求：
    可根据场景动态调整

9. 自动驾驶主循环

可以抽象成下面这个流程：

text 复制代码

while 自动驾驶开启:

    1. 读取传感器
        摄像头
        雷达
        激光雷达
        IMU
        GNSS
        轮速
        车辆底盘状态

    2. 更新场景层
        更新自车状态
        更新车道
        更新障碍物
        更新交通灯
        更新行人/车辆/非机动车
        更新环境状态

    3. 检查运行边界
        如果不在ODD内：
            进入最小风险方法

    4. 根据目标链生成当前需求
        当前该保持车道？
        当前该跟车？
        当前该让行？
        当前该转弯？
        当前该停车？

    5. 从方法链中匹配候选方法
        保持车道
        跟车
        减速
        换道
        停车
        绕障
        紧急制动

    6. 安全监督层审核
        碰撞风险
        法规风险
        控制风险
        感知置信度
        预测不确定性

    7. 选择方法
        优先安全
        其次法规
        再考虑舒适和效率

    8. 生成轨迹
        输出未来轨迹点

    9. 控制车辆
        转向
        加速
        制动
        灯光

    10. 记录结果
        实际轨迹
        预测误差
        控制误差
        是否满足需求
        是否触发异常

    11. 写入学习链

简化成一句：

text 复制代码

感知世界 → 更新场景 → 生成需求 → 匹配方法 → 安全审核 → 执行控制 → 验证结果 → 写入学习

10. 控制输出设计

自动驾驶最终必须落到车辆执行机构。

text 复制代码

控制输出C：
    steering_angle      方向盘角
    throttle            油门
    brake               制动
    gear                档位
    turn_signal         转向灯
    hazard_light        双闪
    horn                喇叭
    parking_brake       驻车制动

控制层输入：

text 复制代码

期望轨迹
当前车辆状态
道路曲率
轮胎附着估计
速度限制
乘坐舒适约束
执行器状态

输出控制命令：

text 复制代码

方向盘角度
加速度目标
制动压力
灯光状态

例如：

text 复制代码

当前需求：
    车道保持

当前方法：
    M_车道中心线轨迹 + M_横向控制 + M_纵向限速

输出：
    方向盘角 = 小幅修正
    油门 = 保持目标速度
    制动 = 0

再比如：

text 复制代码

当前需求：
    前方行人横穿

当前方法：
    M_减速让行 或 M_紧急制动

输出：
    油门 = 0
    制动 = 增大
    方向盘 = 保持稳定
    双闪 = 必要时开启

11. 安全监督层必须独立

自动驾驶系统最危险的地方是：主算法觉得"我可以"，但实际上已经进入风险区。

所以要设计一个独立安全监督层，类似"铁面判官"。

text 复制代码

安全监督层输入：
    当前场景
    当前轨迹
    当前控制指令
    感知置信度
    定位置信度
    执行器状态
    ODD状态

它有权否决任何方法：

text 复制代码

如果碰撞时间过短：
    否决当前轨迹
    触发制动

如果定位丢失：
    降速
    靠边停车

如果感知置信度过低：
    降级
    请求接管

如果制动系统异常：
    限速
    进入应急状态

如果道路超出运行边界：
    最小风险停车

安全监督层不能完全依赖神经网络。它应该有明确规则、形式化约束、冗余检查和可审计日志。

ISO 26262 关注道路车辆中安全相关电气/电子系统的功能安全，并提供把功能安全活动集成到开发框架中的方法；它处理由安全相关 E/E 系统故障行为导致的潜在危险。这个框架适合约束自动驾驶中的底盘控制、制动、转向、电源、传感器健康监控等模块。(ISO)

12. 学习链设计

学习链不能直接无约束地改写驾驶行为。它应该分为四类。

12.1 感知学习

记录：

text 复制代码

误检
漏检
目标类别混淆
红绿灯识别错误
车道线识别错误
雨雾夜间退化
传感器遮挡

更新：

text 复制代码

感知模型
传感器融合权重
低置信度场景识别规则

12.2 预测学习

记录：

text 复制代码

前车急刹预测失败
行人横穿预测失败
非机动车逆行预测失败
路口车辆抢行预测失败

更新：

text 复制代码

行为预测模型
风险评估模型
交互场景库

12.3 方法评分学习

每个方法都有执行记录：

text 复制代码

方法：M_跟车
场景：低速拥堵
结果：成功
误差：小
舒适性：良好
风险：低
耗能：中

或：

text 复制代码

方法：M_换道
场景：后车快速接近
结果：取消换道
原因：风险过高

然后更新：

text 复制代码

方法适用范围
成功率
风险评分
舒适评分
失败回退策略

12.4 场景学习

系统应该持续积累"危险场景片段"：

text 复制代码

鬼探头
施工改道
无保护左转
遮挡行人
非机动车逆行
大型车辆遮挡
雨夜反光
车道线缺失
临时交通指挥

这些场景进入仿真库和回放库，用于下一轮验证。

学习链的原则：

text 复制代码

线上只记录和保守调整
线下训练
仿真验证
封闭场测试
灰度发布
安全审查后才能更新车端模型

不能让车辆在公共道路上"边冒险边学习"。那不是智能，是把骰子装进方向盘。

13. 需求、方法、学习的闭环示例

以"前方出现慢车，需要判断是否换道"为例。

场景

text 复制代码

自车速度：30 km/h
前车速度：10 km/h
左侧车道存在后车
后车速度：35 km/h
目的地仍需直行

目标

text 复制代码

G：继续前往目的地

需求

text 复制代码

D1：不碰撞
D2：不超速
D3：保持安全车距
D4：若换道，左侧车道必须安全
D5：若不换道，稳定跟车

方法候选

text 复制代码

M1：继续跟车
M2：减速等待
M3：左侧换道
M4：停车等待

方法匹配

text 复制代码

M3_左侧换道：
    左后车接近速度较高
    安全距离不足
    不满足D4
    禁止执行

M1_继续跟车：
    满足D1
    满足D2
    满足D3
    可执行

执行

text 复制代码

选择M1：
    降低速度
    保持车距
    等待左车道安全后重新评估

学习

text 复制代码

记录：
    本次换道被否决
    原因：左后车速度过高
    方法M3在类似场景下风险评分上调

这就是自动驾驶里的"四链闭环"。

14. 另一个例子：接近人行横道

场景

text 复制代码

前方有人行横道
右侧有行人接近
交通灯未知或无灯
自车速度较低

目标

text 复制代码

通过路口

需求

text 复制代码

D1：礼让行人
D2：不进入潜在冲突区域
D3：可随时停车
D4：后车风险可控

方法

text 复制代码

M1：减速观察
M2：停车等待
M3：低速通过
M4：紧急制动

匹配

text 复制代码

如果行人意图不确定：
    M1 或 M2 优先

如果行人已经进入横道：
    M2 停车等待

如果行人突然冲出：
    M4 紧急制动

学习

text 复制代码

记录遮挡来源
记录行人运动轨迹
记录预测误差
加入"人行横道不确定意图"场景库

15. 可以落地的模块划分

工程实现可以拆成这些模块：

text 复制代码

1. 传感器接入模块
    摄像头、雷达、激光雷达、IMU、GNSS、轮速

2. 场景构建模块
    把传感器数据变成世界场景

3. 高精地图模块
    车道、路口、限速、停车点、禁行区域

4. 定位模块
    计算车辆在地图中的位置

5. 感知模块
    识别车、人、非机动车、障碍物、信号灯、标志线

6. 预测模块
    预测其他交通参与者未来轨迹

7. 目标管理模块
    管理导航目标、停车目标、乘客目标

8. 需求生成模块
    根据目标和场景生成当前需求

9. 方法匹配模块
    从方法链里选出候选驾驶方法

10. 行为决策模块
    决定跟车、换道、停车、让行、转弯

11. 轨迹规划模块
    生成可执行轨迹

12. 控制模块
    转向、加速、制动

13. 安全监督模块
    独立否决危险动作

14. 学习模块
    日志、回放、场景挖掘、模型更新

15. 人机交互模块
    状态提示、接管提示、远程协助

16. 云端管理模块
    地图更新、模型发布、车队数据分析

16. 与现有链式数据结构的对应

你的理论结构可以这样套进去：

text 复制代码

世界链：
    存放车辆、道路、交通参与者、信号灯、障碍物、环境状态

特征值链：
    存放位置、速度、方向、置信度、风险值、交通灯状态等动态特征

需求链：
    存放安全需求、法规需求、行驶需求、停车需求

任务链：
    存放一次完整驾驶任务：
        A点上车
        路线行驶
        路口通过
        目的地停车

方法链：
    存放跟车、换道、让行、避障、停车、紧急制动等方法

学习链：
    需要新增
    存放方法执行记录、失败案例、场景片段、模型版本、评分更新

可以新增一个：

text 复制代码

学习信息链

或：

text 复制代码

经验链

结构示例：

text 复制代码

学习记录节点：
    场景ID
    目标ID
    需求ID
    方法ID
    执行前状态
    执行后状态
    是否成功
    风险评分
    舒适评分
    误差
    人工标注结果
    模型版本
    时间戳

17. 推荐的第一版实现范围

不要第一版就做城市开放道路。建议第一版做：

text 复制代码

封闭园区低速自动驾驶

第一版能力：

text 复制代码

固定路线导航
车道保持
低速跟车
障碍物停车
红绿灯识别
人行横道礼让
指定点停车
远程接管
最小风险停车
日志回放
场景学习

暂不做：

text 复制代码

复杂无保护左转
高速道路自动驾驶
雨雪雾全气候驾驶
无地图开放城区驾驶
复杂环岛
警察手势识别
极端混合交通
完全无人泛化驾驶

这不是保守，而是把龙先养在池子里，别一上来丢进台风眼。

18. 最小可行版本 MVP

MVP 可以这样做：

text 复制代码

MVP目标：
    在封闭园区内，从A点自动行驶到B点，并安全停车

MVP速度：
    低速

MVP地图：
    固定路线 + 停车点 + 禁行区

MVP传感器：
    摄像头
    毫米波雷达
    激光雷达或深度感知设备
    GNSS/RTK
    IMU
    轮速

MVP功能：
    定位
    车道保持
    障碍物检测
    行人检测
    低速制动
    固定路线规划
    到点停车
    最小风险停车
    手动接管
    日志记录

MVP 主流程：

text 复制代码

1. 车辆自检
2. 加载园区地图
3. 确认当前处于ODD
4. 生成A到B路线
5. 进入自动驾驶
6. 感知周围环境
7. 持续生成需求
8. 匹配方法
9. 执行控制
10. 到达B点
11. 停车
12. 保存日志
13. 回放分析
14. 更新方法评分

19. 验证体系

自动驾驶系统必须先验证，再上车，再扩域。

text 复制代码

仿真验证：
    大量虚拟场景测试

日志回放：
    用真实采集数据重放算法

软件在环：
    SIL，Software-in-the-Loop

硬件在环：
    HIL，Hardware-in-the-Loop

封闭场测试：
    假人、假车、假障碍物

低速实车测试：
    安全员随车

灰度运行：
    小范围、小车队、小速度、小区域

安全评审：
    每次模型更新都必须审查

每个方法都要有测试记录：

text 复制代码

方法M_跟车：
    测试场景数
    成功率
    最大误差
    最坏情况
    失败原因
    回退是否成功

20. 最终方案总结

这套自动驾驶系统可以用一句话概括：

把驾驶任务放进场景，把目标拆成需求，把需求匹配成方法，把方法执行成控制，把结果沉淀成学习。

核心闭环是：

text 复制代码

目标链：
    我要去哪

需求链：
    当前必须满足什么

方法链：
    用什么驾驶技能满足需求

学习链：
    执行后学到了什么

工程闭环是：

text 复制代码

传感器
  ↓
场景构建
  ↓
目标生成
  ↓
需求分解
  ↓
方法匹配
  ↓
安全审核
  ↓
轨迹规划
  ↓
车辆控制
  ↓
结果验证
  ↓
学习更新

最推荐的系统名：

道枢四链智驾系统

副标题：

基于目标、需求、方法与学习闭环的限定运行域自动驾驶系统

它和前面的"七枢四链垂航系统"是一套哲学的两个分身：

一个在空中分配推力，一个在道路上分配决策。一个驭风，一个驭路。