下一代自动驾驶技术在相关领域专业的研发已经进行得如火如荼，特别是对于几大关键研究领域来说，自动驾驶的开发已经迫在眉睫。前文我们有分析过关于下一代自动驾驶产品架构的设计方案，从芯片级别、架构连接、硬件选型等方面进行了详细分析。但是自动驾驶涉及的领域十分广泛，本文将针对几个当前比较火的领域进行阐述，意在为自动驾驶的技术研发提供相应的支撑。这几大领域包含大规模的故障数据记录、环境数据采集；同时还好包括了系统级别的功能安全设计及逻辑错误校验；此外，针对系统失效情况下需要设置怎样的安全路径也是一大考验。下面的内容将就如上几项内容进行一一说明。自动驾驶的数据采集技术在当前已经并不陌生，一般较为直观的记录方式采取像行车记录仪一样的方式采集视频信息。而不同点在于自动驾驶中采集的视频信息包括实际检测到的前方路面视频、周边环视视频以及后方视频等。这种记录方式都是直接采集车辆视觉传感器（如前视摄像头、环视摄像头、后视摄像头等）直接发送的数据进行存储的。
下一代自动驾驶系统对于环境数据的采集方案会重点关注以下几类场景：1）事件触发采集记录：即对发生的如下特定事件后，直接记录发生前后数秒的完整记录。
这个也是自动驾驶数据采集技术中比较常用的记录类型。一般用于对特殊情况或故障的直接追溯和情景复现，以便可以很好的分析出事故原因，鉴定事故责任。2）特定地点采集记录：即当车行驶到如下特定地点后，完整记录数据。
这种自动驾驶数据采集技术是主要针对特定场景的记录方式，即通过不断记录各类自动驾驶工况下的行驶状态，可以做到不断收集相关的自动驾驶数据，最终使得在该特定地点下的数据得以完备，后续用于自动驾驶开发及仿真测试。3）影子模式采集记录：系统持续记录驾驶时的各项数据，包括驾驶员驾驶车辆时的特定驾驶行为数据，但不包括原始视频。如油门踏板或刹车踏板踩踏深度、踩踏速率，以及转向速率和转向角度等。这里需要重点说明一下“影子模式”的采集和记录方式。影子模式最早是由Tesla提出，就是驾驶员在主动驾驶的时候，汽车的传感器仍旧处于可激活待机状态，在“影子”中持续跑自动驾驶的算法。通过一定的对比算法，得出自动驾驶与人类的驾驶相比，谁的效率更高，性能更优。“影子模式”的核心在于在有人驾驶状态下，系统包括传感器仍然运行但是不进行控制，用来跑算法模型、对其进行验证。自动驾驶算法在“影子模式”下做持续模拟决策，并且把决策与驾驶员的行为进行对比。当驾驶员驾驶行为与自动驾驶系统控制行为完全一致时，则系统保持当前的控制状态不改变。当驾驶员驾驶行为与自动驾驶控制行为产生差异时，就会产生两种情况：其一是该结果差异过大时，则判定可能是驾驶员的驾驶过程出了问题，系统会对驾驶员提出警报；如果驾驶员急踩油门超过一定的速率和深度，系统通过对环境的探测，对比实际应该执行的驾驶风格，判定驾驶员可能是误踩油门当成刹车踏板，此时系统会发出误踩制动警报告知驾驶员当前操作为误操作。其二是当结果差异较小时，说明自动驾驶算法本身还不够完善，需要从当前的实际驾驶情况学习新的自动控制策略。比如当某一个工况下，系统判定该环境下需要进行减速，系统以较大的减速度进行减速，导致车辆跟随前车行驶时停止距离较大，该工况无法完全满足自动驾驶性能需求。由此，系统需要根据驾驶员在该工况下实际踩踏板的深度和速率更加符合目标预期，因此系统后续发送的加速度会尽量模仿驾驶员的加减速度及速率。
这种增强学习的方法主要是通过影子模式进行数据实时记录，然后生成感知语义、驾驶员行为、车辆数据等信息，后续上传至云端，通过云端运行决策规划算法进行增强学习模型训练，最后自动改进决策规划算法。
这种增强学习的方法主要是通过影子模式进行数据实时记录，然后生成感知语义、驾驶员行为、车辆数据等信息，后续上传至云端，通过云端分析学习特定的场景驾驶行为以及异常驾驶行为，最后改进决策规划算法。这里需要注意的是影子模式里面需要设置一个判断逻辑标准，该标准是一个高于驾驶员和机器的存在，用于判断驾驶员和机器的控制谁更优，从而帮助自动驾驶算法做下一步优化控制。因子为了确保影子模式对于自动驾驶算法优化的有效性，就必须要保证其判断标准是最优的，否则在误判的情况下可能造成对于驾驶行为参数的误调整。4）特定数据采集记录：系统按照要求，记录如下指定的采集数据
这种特定数据采集记录方式一般是某种指定条件下进行的，比如自动驾驶需要将高精地图建图的基础数据都放入到中央控制芯片中进行处理，那么就需要单独对这些特定数据进行提前采集和处理，后续域控制器可以直接提取该类数据进行建模和计算。最终使得建图数据更加能够反应驾驶环境的真实情况。自动驾驶系统的功能安全设计中一般重点考虑对于硬件级别的控制器和传感器的功能安全需求分配。但是对于系统功能中的软件算法设计问题并未有一致性的解决方案，这里的软件算法设计包含三个主要的部分：基于SOC的AI算法设计主要是针对传感器数据处理提出来的，作为感知数据处理的中央大脑，前端Soc芯片主要的计算任务包括原始目标数据处理、数据融合以及目标定位几个方面。此外，作为逻辑运算中心的MCU而言，主要的任务包括决策控制、轨迹验证、轨迹仲裁、模式仲裁、模式降级、驾驶等方面，其中决策和轨迹验证需要在两片MCU控制芯片之间进行冗余设计。其中，除开规划决策与轨迹预测外，其余软件模块的功能安全等级要求均需要满足ASIL D的等级。对于整个系统监控过程而言，主要包括对传感数据处理的监控以及对逻辑控制过程的监控。此外，针对数据传输链路的监控也是十分必要的，对该数据传输过程的监控可以确保数据通信的有效性和可用性。如上SOC芯片的运算功能安全等级要求均需要满足ASIL B级以上，整体实现ASIL B+的安全等级要求。
对于整个AI芯片对传感数据的处理过程及MCU对逻辑数据的处理过程而言，需要重点考虑两者对于功能安全的不同要求。在自动驾驶系统中，要求整个控制过程必须要达到最高安全等级ASIL D。对于如上几个层面的功能安全设计而言，其关键是考虑在对车辆的实际控制中的安全策略。一般的，在感知数据处理中，由于各传感器的硬件安全标准不同，可能导致其整个系统的处理结果可能存在偏差。通常情况下，感知端的软件功能安全一般是ASIL B或ASIL D，如果SOC在对传感数据的处理中没有加入功能安全岛Safty Island，那么这种情况下的功能安全等级一般只能达到ASIL B；如果SOC在对传感数据的处理中加入了功能安全岛，那么整个软件将可以持续的利用锁步的方式进行安全校验。此外，对于逻辑控制的MCU而言，需要对整套系统的车辆控制负责，要求其功能安全等级必须足够高（一般情况下为ASILD），以便保证在感知能力不足以满足高等级功能安全需求时，还可以在规划、决策、控制执行端弥补这一缺陷。同时，从MCU安全设计层面上讲，其中规划决策和轨迹验证是需要进行冗余校验的。在关联系统功能安全需求上，传感器本身硬件端要求一般也是要求ASIL B+，特别是针对诸如摄像头、雷达等对目标的探测要求更加精准，识别率要求更高。因此，传感器的需求可能达到ASIL C甚至D级，而对于像定位系统，由于本身的缺陷，可能无法满足高安全等级，故一般可能只要求满足ASIL A或者更低的等级如QM。另一方面，对于执行器来说，如转向单元、制动器单元，一般要求其功能安全等级都高达ASIL D等级。这样的设置过程才能保证在外围控制上进一步满足ASIL D安全等级的需求。自动驾驶设计过程中比较容易出现的问题就是系统失效的问题。系统失效主要包含传感器失效、自动驾驶域控制器失效、电源失效、软件逻辑失效几个主要方面。另外，系统临时不可用以及车辆行驶超过ODD也算在系统失效里面。
1）传感器失效——>需要首先判定失效传感器对于整个自动驾驶系统的影响程度，通过不同程度的判定结果选择不同的自动驾驶系统处理路径。
前毫米波雷达：FR，前激光雷达：Lidar，前视摄像头：FC，角雷达：SR，侧视摄像头：SC。
首先系统需要判定是否在该传感器失效时，相应的两条冗余处理路径均处于安全状态，如果是，则仍旧正常保持L3功能驾驶。如果系统只有一条路径处于可用状态，则转向该路径上的驾驶功能安全控制算法，确保传感器失效时保持自动驾驶系统控制车辆安全停车；
2）控制端失效——>这个过程一般通过对如上所述的安全路径首先判定L3正常控制路径能否继续控制车辆进行自动驾驶，如果失效的控制器不影响控制车辆进行正常的自动驾驶。则保持正常的L3正常的自动驾驶功能，否则转向冗余安全控制策略，控制车辆进行本车道安全停车或靠边安全停车。
总结
下一代自动驾驶设计中有几个比较关键的技术领域，包含系统架构设计、数据参数采集、系统失效降级策略设计，这几个领域各自有相应的设计规则，我们在进行系统开过程中，需要注意如何在保证开发目的的情况下有效的进行设计和应用。
