解讀小馬智行（Pony.ai）自動駕駛安全報告

駕駛哥

2020年12月29日 16:12

"我們相信保持謹慎、嚴謹的理念與做法是通往未來的唯一正途，沒有捷徑。這種信仰正是指引我們研發、測試與部署自動駕駛出行前路的燈塔。"

小馬智行聯合創始人

CEO彭軍、CTO樓天城

解讀小馬智行（Pony.ai）自動駕駛安全報告的圖1

后臺回復 “小馬智行” 獲取完整報告

12月25日，小馬智行（Pony.ai）發布安全報告，強調安全至上是公司始終堅持的核心理念，并詳解技術特征與發展，并闡述自動駕駛技術如何令出行更安全。

這份名為《我們如何實現安全（Our Approach to Safety）》的報告介紹了小馬智行自主研發的系統的各個模塊，例如傳感器融合方案，感知、預測、規劃與控制、地圖與定位等各個主要模塊的研發理念與原理；軟硬件開發與測試、驗證的流程，體現了公司對工程師文化的信奉與堅守。

報告強調，縝密的工程師思維和操作，嚴苛的驗證和測試對于打造安全的自動駕駛汽車也是必要的。報告還介紹了公司在測試運行區域如何積極融入社區，努力普及自動駕駛技術。

以下為報告的主要內容節選：

第一部分

小馬智行的自動駕駛系統

1. 傳感器

為幫助無人車更加精準地感知和了解周邊環境，小馬智行采用多傳感器融合方案，可以在兩方面保證自動駕駛車輛的安全。

首先是多樣化（diversity）

通過在傳感器組件中融合高清攝像頭、毫米波雷達和激光雷達等，我們充分利用每種傳感器的優勢并彌補各自缺陷，以實現車輛感知達到保證安全的范圍。高清攝像頭完成準確的物體和顏色識別，從而認出前方的障礙物。激光雷達和毫米波雷達則為無人車提供位置信息和障礙物的運動分析，解決例如障礙物距離、移動方向等問題。

第二是穩健（robustness）

傳感器組件必須可靠才能保證工作效果。我們的傳感器和零部件為真實路況而設計。而且我們為自動駕駛系統設計、裝載了監控系統以保持實時關注每個零部件的狀態。一旦一個傳感器失靈，系統將在危險發生之前發現問題，防患于未然。

而在感知傳感器之外，我們還在系統中應用高精度全球導航衛星系統（GNSS）和慣性測量單元（IMU），輔以我們在高精地圖與定位方面的能力，以確保無人車精準定位。

2. 軟件

感知：感知模塊使我們能夠看到并理解自動駕駛車輛周圍的世界。我們通過融合和處理由傳感器和高清地圖收集的數據來實現這一目標。感知模塊負責對象分割，檢測，分類等工作，簡而言之，感知模塊告訴我們車輛周圍正在發生什么。因此，感知模塊的保真度和準確性對于自動駕駛汽車的安全運行至關重要。

為確保這一點，我們利用結合了深度學習（deep learning）和啟發式方法（heuristics）的混合解決方案。此外，我們使用傳感器融合來優化數據使用，從而提高整體感知模塊的可靠性。

預測：基于感知模塊感知結果、傳感器原始數據和道路行為主體（road agents，包括機動車、行人和其他可動的物體）過往決策數據，來預測路上的行為主體將采取什么行為和行動軌跡。

與感知相似，小馬智行的預測模塊也使用了深度學習與啟發式方法相融合的方案來促進機器的學習速度與應用，這對于自動駕駛系統來講是格外重要的，特別是考慮到我們的車隊每天在全球生成海量數據。我們能夠充分運用在全球累積的大量豐富的交通場景，提升預測能力，而且是以比人類司機更快的速度。

地圖與定位模塊：自動駕駛車輛和周圍的交通主體都需要厘米級的精準定位，以及精準的道路環境信息顯示，以準確處理各類日常狀況和長尾場景。在小馬智行，我們運用工程實踐所長，加之為我們帶來海量數據的傳感器融合方案，讓我們具備了繪制高精地圖能力與行業領先的定位水平。我們的定位模塊目前可提供精確的位姿、速度、加速度和角速度等信息，及其精度等級、準確性等。

多傳感器融合方案使我們的車輛一旦某類信息不可用時，仍可以使用其他信息來源可靠工作，從而不會迷失方向，讓安全得以保證。

規劃與控制：這個模塊包括機器學習以在行進中實現對車輛的安全操作，以及對外部狀況、行為做出準確反應。我們的控制模塊實現了對車輛操作的精準度達到厘米級。

3. 硬件與車輛整合

計算單元：車載計算單元負責處理傳感器收集的數據，以及在真實場景中運用我們專屬的算法來實現車輛的自動駕駛。小馬智行的計算單元運用了行業內先進的異構計算架構，包括中央處理單元（CPU）、圖像處理單元（GPU），現場可編程門陣列（FPGA）和微控制器單元（MCU）。這使得它能以高帶寬收集傳感器數據的同時，為軟件算法提供充足的計算能力。

計算單元的每個部分都代表了業內高可靠性的組件，并通過了嚴格的驗證和測試。小馬智行的硬件組件還通過冗余來確保安全、可靠。我們的運算系統由雙輸入冗余供電支持，如果主電源系統出現故障，備用電源系統可以無縫接替工作，確保為運算系統供電。

整車集成：實現小馬智行自動駕駛系統的最后一步是將系統集成到車輛中。我們在自動駕駛軟件堆棧和車輛平臺之間建立了可靠的接口，以確保車輛平臺可以準確地接收并執行控制命令。這套解決方案建立在汽車級硬件和軟件工具鏈的基礎之上，并包括成熟的診斷管理機制，以監控自動駕駛系統與車輛系統。

車載監控系統：車載系統為各個模塊提供了統一的應用程序交互接口（API），以保證數據傳輸從前端的傳感器到后面的規劃與控制保持穩定。車載系統在兼顧安全與表現的方面發揮關鍵作用。它同時密切監控自動駕駛系統以及各個零部件可能出現的故障。

安全員交互界面（UI）：我們的UI提供3D圖像，幫助安全員實現與車載系統之間的交互。它顯示車輛周圍的障礙物、車輛狀態（包括自動或人工模式、車速、方向等信息），道路以及規劃路徑。安全員通過觸屏發號施令。

UI同時也是可視化的預警裝置。如果車載系統或任何組件出現問題，它將會彈出紅色預警界面以提醒安全員及時接管。

UI同時以音頻的方式同安全員交互，讓每個組件及時通知其安全相關的決定，并在出現潛在危險時（例如后車突然加速接近并有造成碰撞的可能）及時提醒安全員接管。小馬智行的安全員均接受過嚴格的培訓，在此基礎上UI為其提供了額外的幫助以保證他們準確地提前預判和化解道路上可能出現的各種危險。

第二部分

小馬智行系統的開發、測試與驗證

“安全至上”是我們始終踐行的核心理念和開展一切工作的宗旨。

首先要了解開發自動駕駛系統所面臨的挑戰以及我們如何對系統進行測試。普通人在日常駕駛中所面對的場景大多相對簡單，實現真正安全需解決“長尾”問題：異常的危險僅占車輛遇到情況的很小一部分，但這正代表自動駕駛系統所面臨的最嚴峻安全風險，極具挑戰。對于任何安全的自動駕駛系統來說，成功駕馭少數異常狀況是必須做到的。

第二個挑戰是驗證：如何確認自動駕駛系統可以在充滿挑戰的道路環境中成功且安全地運行。小馬智行將新技術和軟件的創新與完善的安全和工程原理相結合來應對這一挑戰。我們為技術所帶來的變革潛力感到自豪，并將其與安全工程師實踐所得出的最佳實現方案結合，以確保車內外人員安全。

1. 多市場/地點發展

從百年車企到小馬智行這樣的年輕科技公司都在積極研發自動駕駛汽車，但鮮有玩家在全球范圍設計、研發和測試系統。

小馬智行作為其中一員，就正在多種具有挑戰的環境中開展測試，包括美國加州多地的城區道路與高速路，和中國多個城市，例如北京 - 全國政治文化中心，廣州 - 南方的增長與創新極，以及上海 - 汽車之都和經濟中心。

2. 嚴謹的工程文化

小馬智行的安全概念首先建立在安全負責的開發實踐基礎上。我們的團隊擁有世界一流的工程能力和專業知識。

我們采用系統工程方法以確保所有組件均被單獨驗證。我們參照行業現存的安全標準，例如ISO 26262，套用其框架來最好地測試、驗證我們的自動駕駛系統。除此之外，我們還運用了多種已被證實和采用過的安全分析工具，例如失效模式與影響分析（FMEA）和故障樹分析（FTA），來驗證系統和確定需進一步進化的領域。

3. 軟件開發

從仔細設置并遵守嚴格的研發流程開始，小馬智行軟件開發的整個環節都以安全至上為宗旨。如此高難度的自動駕駛軟件開發需要在每一個步驟都進行多次安全檢測。一旦我們在路測中發現需要改進的問題或是需要拓展車輛安全的邊界，就會對軟件系統進行修改。我們使用大量路測數據（包括安全員的反饋）來及時發現并處理可能影響到車輛行駛與操作安全的潛在危險。

設計文檔是解決類似問題的第一步。每當我們的工程師在開發新特征或參數的時候，他們總是從建檔開始，先闡述這項新工作將如何提升系統。這對于后續發現問題，并通過書寫新代碼去解決問題是重要的參考，也是后續每一步相關工作的參照。設計文檔一旦建立后，將會由一群經驗豐富的工程師從各個角度來進行驗證，以保證它從工程角度來講是靠譜的，并且與大方向保持一致。這是研發工作實際開始前的必經步驟。

代碼一旦被書寫，要通過多方面的驗證后才能被車輛運用。首先，代碼要經過多位有經驗的工程師相互檢查，確保它是長遠的解決方案，而不是反而可能導致系統出現更多問題的權宜之計。

代碼還將經過擁有不斷增長數據集的兩道仿真測試：回歸測試和長尾場景。前者的作用是代碼被使用后，不會降低整個系統處理任何可預見場景的能力以致降低整體表現。后者則確保系統能準確、快速地處理路上可能會出現的少數復雜場景，因為從安全的角度出發，任何延遲都可能會導致問題。

新代碼都需通過這兩項仿真測試才會被輸入車輛，運用于真實世界。這是一個需要時間、仔細的過程。車輛首先要通過較簡單場景的道路測試，才會行駛到復雜的交通狀況中。我們及時、嚴格的檢查在這一過程中收集到的數據，當一切就緒后，才會被推向真正的運用。

數據記錄與儲存：數據就像自動駕駛技術進步與算法發展的燃料。所有的進步都源于我們從真實路測收集而來的數據。小馬智行通過自己的數據處理管理線（data pipeline）收集并處理所有的傳感器和內部系統數據，并對數據進行甄別、分類，再決定如何儲存與運用。

這種系統化的數據梳理過程十分重要，因它能幫我們辨別真正有價值的數據，以形成強大的數據集來訓練我們的系統。如前文所述，儲存后的數據也將會在仿真系統中經歷各類回歸測試，以更好地驗證我們的系統。除此之外，儲存的數據將會幫助我們重建、復盤各類事件，以找到我們在真實道路上遇到的各類問題的根本原因。

硬件研發：與軟件開發一樣，我們的硬件研發通用采用行業內最高標準與做法，并同時平衡快速迭代和解決自動駕駛技術發展獨特需求的問題。我們的硬件研發基于SAE J1938行業標準并遵照V模型以保證輸出的產品質量最佳。我們設置了靈活而嚴格的硬件設計與開發流程，包括：需求征集、設計、檢查、驗證、發布等主要步驟。

運行設計域（ODD）：這是保證自動駕駛車輛運營安全的又一個關鍵環節，它包括車身周邊物體、道路類型、交通狀況、天氣、時間等等一系列可以反應車輛可實現自動駕駛的場景參數。要做到負責任的開展路測與最終部署自動駕駛車隊，了解系統的能力與極限至關重要。

關鍵是我們如何選擇ODD。小馬智行只會將自動駕駛車輛部署在其行駛行為達到安全與表現標準的區域。在部署到每個區域前，車輛已經過了軟硬件兩個方面嚴格的測試與驗證。同時，我們將對車輛在行進過程中的每一個決策都保持密切關注。

小馬智行目前的ODD保證了我們的車輛可以從容應對各種挑戰，包括：

復雜道路場景：從多車道的交通大動脈、到擁堵的城區、再到擁擠的停車場等等。從在通暢的大路行駛到面對大堵車。
各類天氣，包括但不限于交加的風雨、24小時內不同的光照、極端溫度。
應對各種可能出現的道路主體，包括各類車輛、行人與電單車、自行車等，以及其他意想不到的不速之客，例如大搖大擺走過鄉間馬路的火雞和在商場停車場誤入主路的購物車。

我們在測試環境中也包括了一些當地社區的特定地點。我們仔細謹慎地考慮測試區域的擴大，在保證安全的同時還必須要遵守當地法律和交規。在新區域的測試一旦開始，我們將對系統的表現密切監控以保證安全，將危險據之千里之外。

4. 后備方案和額外安全措施

獨立監控系統與最低風險狀態（MRC）：小馬智行自動駕駛系統的一大特征是我們專屬的獨立、完整的監控系統。系統在車輛行駛過程中保持工作，時刻監控各個軟硬件模塊的狀態，一旦發現非正常情況立刻向整個系統和安全員發送預警。而當發現可能導致系統無法正常工作的問題出現，車輛將自動切換至最低風險狀態，暫停當前的行程規劃并就近在路邊停靠直至剎停，在需要的時候自動打開應急燈。

安全員和隨車工程師的任務是觀察車輛周圍物體與監控整個系統，保證達到預期的安全水準。車上人員對我們的研發非常重要，特別是當我們測試新特征或者是系統需要重要升級的時候。我們的目標是打造比任何人開車都更加安全的自動駕駛。換句話說，要打造人類可以依賴的虛擬司機，我們必須把人本身放在整個研發過程中最重要的位置。

我們要求我們的安全員在路測中不走尋常路，而是去發現最具有挑戰的場景以獲得最有價值的反饋，讓我們打造出安全可靠的系統。他們以工程師的眼光觀察和評估車輛表現，他們了解軟硬件的設計并能像有經驗的工程師一樣準確發現問題。他們又從普通司機視角觀察自動駕駛車輛可能做出的非人性化和那些會讓乘客體驗降低的操作。

我們的安全員在勝任獨立測試前都必須經歷數周嚴格培訓。

防撞與撞擊后輔助駕駛：小馬智行有幸與一些世界主要的整車廠達成了戰略合作。我們依賴他們車輛平臺的安全系統成為我們系統整合的基礎。我們使用的車輛平臺均符合美國聯邦機動車輛安全標準（FMVSS），并得到我們合作伙伴、供應商的認可。我們在工程研發與系統整合的過程用測試與驗證了每輛汽車的輔助駕駛功能。

我們自研自制的一個關鍵部件便是位于車頂安裝傳感器的車頂結構。我們對它的設計要求是扛撞與堅固。我們還根據現行的工業標準測試了它的極端載重能力。

另外，我們的安全員也經歷過嚴格的專門訓練，一旦發生事故，他們有明確的章程和操作流程，指導他們如何與事主和執法部門交流。