本发明涉及智能交通管理系统及物联网安全控制领域，具体涉及一种一种用于实现多层级故障容错的道路泊位计费与控制系统及其方法。
背景技术：
1、在现代智慧城市的建设过程中，路侧停车位的智能化管理是缓解城市“停车难”问题的关键环节。随着地磁传感器、毫米波雷达以及视频识别技术的广泛应用，自动化的泊位占用检测与自动计费系统已逐步取代了传统的人工巡检。然而，由于道路泊位系统部署在严酷且复杂的户外街道环境下，现有技术方案在实际运行中面临着严重的鲁棒性挑战。
2、首先，感知层面的可靠性不足是现有系统的核心痛点之一。单一传感器在特定环境下极易产生误报。例如，地磁传感器虽然功耗低、寿命长，但在遇到地下电力线路切换、地铁经过或是邻位停放大型金属车辆时，其磁场测量值会产生剧烈波动。毫米波雷达在常规天气下具备优秀的探测精度，但在大雨或路面积水环境下，水膜对电磁波的吸收和杂波反射会导致信噪比显著下降，引发错误的检测结果。即便引入了视频识别技术，在强逆光、浓雾、夜间低光照或镜头遮挡的情况下，ai模型的识别准确率也会大幅下降。现有的简单融合算法往往采用固定的权重分配，无法在感知环境恶化时动态避开“弱势”传感源。
3、其次，网络连接的脆弱性限制了系统的服务连续性。目前的泊车管理系统高度依赖于4g/nb-iot等广域无线网络将数据实时传输至云平台。然而，在城市建筑遮挡、基站故障或恶意干扰器存在的情况下，网络中断是不可避免的常态。一旦网络断开，现有系统往往无法完成支付流程，甚至导致车位锁无法解锁，使用户车辆被“困”在位，这不仅造成了严重的经济损失，还极易引发法律纠纷。同时，如何在网络恢复后确保本地产生的支付数据与云端账单系统实现最终一致性，防止因并发写入导致的计费逻辑冲突，也是亟待解决的技术难题。
4、最后，单点硬件失效是户外物联网设备无法回避的问题。由于长期暴露在日晒雨淋、车辆辗轧及可能的恶意破坏环境下，单个泊位控制设备的通信模组、处理器或是传感器可能发生不可预测的物理损坏。当设备“变砖”后，其关联的车位锁将失去响应。现有技术通常只能依靠人工维修人员携带专用工具到场处理，响应时间极长，严重影响了公共基础设施的服务形象。
5、因此，本领域迫切需要一种能够自适应环境变化、在断网状态下依然能够安全计费、且具备单点故障自愈能力的泊车计费与控制系统。
技术实现思路
1、本发明的目的在于克服上述现有技术的缺陷，提供一种具有感知、网络、硬件三层容错能力的系统架构及协议，旨在确保道路泊位管理系统在极端极端条件下依然具备极高的可用性和数据完整性。
2、为实现上述目的，本发明提供了以下技术方案：
3、一种用于实现多层级故障容错的道路泊位计费与控制系统，该系统包括一个或多个道路边缘控制器（ecu）及若干传感与控制单元（scu），每个所述scu与一个道路停车泊位关联，并且所述scu包括：一个本地传感器组，包括地磁传感器和毫米波雷达；一个环境感知子模块，配置用于检测所述泊位周围的实时气象环境状态及物理场干扰状态；一个物理安全元件（se），配置用于安全地存储至少一个设备特有的加密密钥，并执行硬件级非对称加密运算；一个非易失性存储器，配置用于存储一个基于哈希链结构的不可变事务日志；一个设备间控制网络接口，用于与邻近的scu或ecu进行低延迟的对等通信或自组织网格通信；一个用户本地通信接口，配置用于与用户终端进行近场无线数据交互；一个与所述泊位关联的智能车位锁，包括机械执行机构、电机驱动电路以及受控于所述设备间控制网络接口的备用解锁电路；以及一个低功耗微处理器（mcu）；其中，所述ecu包括一个高算力处理器，配置用于执行基于深度学习的视频ai分析，并将针对泊位占用状态的结构化识别结果通过网络下发至对应的所述scu；所述scu的mcu被配置为执行特定指令，以实现如下多层级容错处理逻辑：（感知层容错）实时接收所述本地传感器组的原始采样数据、所述ecu下发的结构化识别结果、以及所述环境感知子模块反馈的环境特征参数；基于所述环境特征参数表征的置信度，动态调整所述本地传感器组中各传感器在占用状态判定算法中的数据融合权重，以生成最终的泊位占用状态信号；（网络层容错）在检测到与云平台或所述ecu的通信链路中断时，自动切换至本地自治模式，在通过所述用户本地通信接口接收到经过验证的本地支付凭证后，在所述非易失性存储器中的所述不可变事务日志中创建并追加一个携带所述物理安全元件数字签名的本地支付记录条目，并依据该条目控制所述智能车位锁执行解锁动作；（硬件层容错）在正常工作期间持续监听所述设备间控制网络接口；当接收到一个指向邻近故障scu的签名代理命令时，调用所述物理安全元件执行多重安全校验，所述多重安全校验至少包括：(a)使用预存的根证书公钥验证所述签名代理命令中携带的云平台或授权实体的数字签名；以及(b)校验所述签名代理命令中包含的一个一次性随机数（nonce）在本地已执行记录缓存中是否为首次出现；在所述多重安全校验均通过后，由所述mcu通过物理链路触发所述邻近故障scu的备用解锁电路。
4、所述环境感知子模块至少包括一个压电式雨量传感器及一个霍尔磁场监测器；在执行感知层容错逻辑时，若所述压电式雨量传感器的采样值超过预设的降雨强度阈值，所述mcu被配置为自动降低所述毫米波雷达在判定算法中的权重系数；若所述霍尔磁场监测器检测到背景磁场波动频率处于非车辆感应频段且幅值超过干扰阈值，所述mcu被配置为自动降低所述地磁传感器在判定算法中的权重系数。
5、所述ecu的高算力处理器采用异构计算架构，包含多核cpu及专用gpu加速单元；所述scu的低功耗微处理器采用哈佛架构，具备独立的数据总线与指令总线。
6、所述scu在检测到通信链路恢复后，被配置为启动基于saga分布式事务模式的数据同步流程：所述scu通过上行链路主动向云平台推送所述不可变事务日志中尚未上报的本地支付记录条目；所述云平台在接收并验证所述记录条目及其数字签名的合法性后，若发现云端订单状态与该记录条目存在冲突，则强制执行一个补偿事务，将云端订单状态回滚并重写为“已支付（离线）”，以此赋予本地物理交易事实以最高优先级，并显式排斥基于时间戳的“最后写入为准”冲突解决逻辑。
7、所述scu的mcu在所述非易失性存储器中维护一个循环覆盖的已执行nonce缓存列表，且在处理所述签名代理命令时，若所述一次性随机数存在于该列表中，则所述mcu判定该命令为重放攻击尝试，并向所述ecu上报一个安全警示报文。
8、所述用户本地通信接口支持数字人民币（e-cny）双离线支付协议，允许所述scu在既无公网信号又无本地局域网连接的情况下，与用户持有硬件钱包的终端完成基于可信执行环境（tee）的价值转移及解锁指令确认。
9、所述设备间控制网络接口采用基于ieee802.15.4标准的低延迟无线传感器网络协议，且每个所述scu在逻辑上被配置为网状网络（mesh）中的路由节点。
10、本发明还提供一种用于道路泊位计费与控制的多层级故障容错方法，该方法由一个包含边缘控制器（ecu）及分布于各泊位的传感与控制单元（scu）的协同系统执行，所述方法包括以下步骤：动态感知融合步骤：由所述scu实时采集本地地磁、雷达数据以及外部环境参数，并接收由所述ecu通过计算机视觉技术生成的泊位状态参考值；基于所述外部环境参数对不同传感模式的信噪比影响，实时重构多源数据融合的加权矩阵，从而输出具有环境自适应能力的泊位占用状态判定结果；离线自治计费步骤：在所述scu检测到网络接入层失效时，启动本地离线计费时钟；当接收到用户通过本地近场通信发起的结算请求时，在所述scu内部的安全元件保护下执行支付凭证验证，并将交易元数据及设备端签名写入具有抗物理篡改特性的不可变事务日志中，随后驱动泊位锁具开启；一致性数据同步步骤：在网络连接重建后，所述scu与云平台执行saga事务同步逻辑，所述云平台依据所述不可变事务日志中的签名条目，通过执行状态机补偿事务，确保离线支付事实被同步至全局账单系统，防止产生错误的欠费记录；协同代理解锁步骤：当检测到目标泊位的scu发生硬件故障无法响应指令时，由健康的邻近scu接收并转发来自权威授权方的代理解锁指令；所述健康的邻近scu通过验证所述指令的非对称签名及nonce值来确认指令的合法性与时效性，在校验通过后通过物理硬连线链路强制触发所述故障scu关联的锁具机构。
11、在所述动态感知融合步骤中，当检测到降雨量超过5mm/h或磁场波动变化率超过200mg/s时，系统分别下调毫米波雷达权重或地磁传感器权重，并将缺失权重按比例补偿至视频ai分析结果权重。
12、在所述协同代理解锁步骤中，所述健康的邻近scu在检测到签名校验失败次数超过预设的攻击防御阈值时，自动进入锁定模式并切断其与外部网络的特定控制指令接收通道。
13、本发明核心的容错机制通过以下三个维度实现：
14、1.感知层容错：基于环境感知变量的动态权重融合scu内部集成了一个环境感知子模块，用于监测降雨强度、背景磁场强度及温度变化。scu的微处理器运行一个自适应的数据融合引擎，其特征在于：系统不采用固定的权重分配比例，而是根据环境感知子模块反馈的参数动态重构加权矩阵。
15、降雨补偿：当检测到降雨量超过5mm/h时，系统自动调低毫米波雷达的置信度权重（从0.3降至0.1），同时提升不受雨水影响的地磁传感器和具备视频去雾补偿能力的ecu视觉ai的权重。
16、磁场抗扰：当检测到非车辆运动特征的磁场剧烈跳变时，降低地磁传感器的权重。这种机制确保了系统能始终利用当前信噪比最高的传感源进行决策。
17、2.网络层容错：基于saga模式的本地自治与离线支付为应对网络中断，scu被赋予了临时决策权，并配备了物理安全元件（se）。
18、离线事务记录：当与云端心跳中断时，scu进入本地自治模式。若用户发起结算请求，scu利用ble/nfc接口与手机终端通信。本发明特别集成了数字人民币双离线支付规范，在scu和用户终端均处于离线状态时，通过预置的电子签名和可信硬件环境完成价值确认，并在scu内部生成一个“不可变事务日志”。该日志基于哈希链构建，确保了即便设备被物理移除也无法伪造支付记录。
19、基于saga的补偿机制：在网络恢复后，scu与云平台不使用简单的“最后写入为准”规则。云平台作为saga编排器，在接收到scu上传的有效签名日志后，若发现该订单在云端已被标记为“异常/逃费”，则自动启动补偿事务，将状态修正为“已完成”，从而消除数据冲突。
20、3.硬件层容错：基于签名代理的邻里协同协议针对单个scu硬件完全失效（变砖）的情况，本发明设计了一种通过邻居节点实施“心脏搭桥”式控制的方案。
21、代理解锁逻辑：若scu-a失效，云平台通过邻近的、健康的scu-b下发一段经过高强度加密签名的“代理解锁命令”。
22、双重安全校验：scu-b在接收到指令后，必须调用其内部的se芯片验证指令的签名来源（确认为云平台发出），并校验指令中的一次性随机数（nonce）是否已在缓存中存在，以防御重放攻击。
23、物理链路触发：校验通过后，scu-b通过预留的短距物理线路（如专用rs-485总线或继电器触点）强制触发scu-a关联的车位锁执行机构，实现故障下的安全驶离。
24、有益效果
25、本发明的技术方案具有如下显著优势：
26、1.感知准确性与环境适应性：通过感知层的动态确权，系统在雨天及磁场干扰下的准确率可保持在99%以上，远超传统单一或简单叠加的传感方案。
27、2.极高的业务连续性：即使在完全断网且用户手机无信号的极端“双离线”场景下，系统依然能够提供完整的计费、支付及解锁服务，彻底消除了用户被困风险。
28、3.强大的故障自愈能力：通过邻里代理解锁协议，在不增加人工维护成本的前提下，实现了对硬件单点故障的实时容错，提高了城市基础设施的智能化水平。
29、4.金融级的安全性：系统深度集成了国密标准的安全元件和数字人民币协议，确保了所有离线产生的交易数据均具有不可篡改性和法律法偿性。