去年10月，谷歌自動駕駛公司Waymo發布了43頁Waymo Safety Report，里面詳細介紹了如何裝備和訓練自動駕駛車輛，從而避免駕駛過程中一些意外情況的發生。而后美國交通廳發布的聯邦政策框架《自動駕駛系統 2.0：安全駕駛的愿景》也基本參考了Waymo的這份安全報告。

今年1月，美國車企大佬通用也發布了《2018自動駕駛安全報告》（GM2018 Self-Driving Safety Report），詳盡介紹了其自動駕駛汽車的理念、設計過程和技術特點。

發布詳盡的安全報告，似乎已經成為這些巨頭們推動自動駕駛向前發展的一項基礎工作。

作為全球科技巨頭和車企巨頭的谷歌和通用都發布了自己的自動駕駛安全報告，作為國內自動駕駛一哥的百度，自然不能落下這項推動自動駕駛發展的基礎工作。于是，在2018百度 AI 開發者大會（Baidu Creat 2018）上，百度Apollo重磅發布了長達64頁的《Apollo Pilot 安全報告》。

那這份報告講了什么呢？下面一一介紹。

Apollo Pilot 是什么？

你可能會問，百度自動駕駛平臺不就是Apollo嘛，為啥還有個Apollo Pilot呢？簡單理解，可以認為百度的Apollo計劃的終極目標是星辰大海——L4、L5級別的高級/全自動駕駛。但百度不還有個L3事業部（智能汽車事業部）嘛，而這個Apollo Pilot就是目前面向量產車做的自動駕駛產品（總和）。注意，是量產車。

而Apollo Pilot的愿景就如題圖所示——讓駕駛更安全，旨在提升整個出行過程的安全性，將交通事故率降低一個數量級，甚至更多。

Apollo Pilot for PassengerCar是什么？

Apollo Pilot for PassengerCar（APC），是Apollo Pilot中的一個產品，是國內首個L3級別的自動駕駛產品。報告是這么定義APC的：

提供有駕駛員的車輛在限定場景下的自動駕駛系統；根據系統請求，駕駛員需做出適當的響應，系統將會至少提前10秒鐘發出請求，以便給駕駛員保留安全響應時間。

從定義中，我們可以發現以下信息：

1、這是一個人機共駕的自動駕駛產品，即針對的是目前量產車的產品，也即前面所說，是一個L3自動駕駛產品。

2、必須在限定場景ODD下使用，只要系統允許的ODD下，自動駕駛就能保證高度的自動駕駛。報告后面提到，系統在允許的ODD下，95%的情況下不需要用戶接管，而不是像有的公司（暗指馬一龍），要求用戶時刻保持警惕，隨時接管汽車。這就類似通用在凱迪拉克CT6搭載的超級智能駕駛系統Super Cruise以及奧迪A8搭載的Traffic Jam Pilot，前者適合在某些高精地圖覆蓋的高速公路上使用，后者則在60KM/H的情況下使用。

3、如果超出了ODD邊界，系統也會提前至少10秒提醒用戶接管車輛。

總之，在能用的情況下，讓用戶用得爽，用得安全。

APC優先上線的三個場景

這三個場景及對應的系統分別是：

高速環路：高速自動駕駛系統

城市擁堵：城市交通擁堵輔助系統

停車取車：自動泊車系統

之所以選擇這三個場景及對應的三個自動駕駛系統，我想，一是這三個場景對于每天開車的人來說（量產車），是出現最多的場景，也即最高頻的需求；二是技術可行性較高。比如，報告中提到，高速公路事故是致死率最高的交通事故之一，因此，該系統能夠解決高速公路因疲勞駕駛引起的交通事故。而城市擁堵，則是中國多數城市面臨最普遍的問題之一。2016年滴滴出了份城市擁堵報告，里面就提到，全國400座城市的平均車速為24.8KM/H。所以，奧迪的Traffic Jam Pilot將ODD時速限制在60KM/H已經搓搓有余，可以應對絕大多數國內城市道路行駛了。別再說這個功能不實用啦。再來看自動泊車系統，報告中也提到，中國地大物博，但城市里還是寸土寸金的，現狀就是停車位小。有了這個功能，能夠幫助很多人解決停車難的問題。另外，泊車系統也能解決共享汽車叫車、還車、充電、調度的問題。

接下來，報告就從安全設計和安全運營兩個大方面、七個章節來講述Apollo Pilot如何做到安全的。

一、安全設計

操作安全

人機共駕，對于用戶來說是一個全新的駕駛模式。這也是為什么谷歌認為自動駕駛沒有過渡階段，而應該直接研發L4/L5級別的自動駕駛。要做到完全自動駕駛還有很長的一段路要走，但如果能夠實現特定場景下的“完全自動駕駛”，不僅是商業化，帶來一定收入的問題。更關鍵的在于，能夠通過大規模量產使用，大規模地采集數據，快速地優化算法，提升車輛的自動駕駛能力。因此，操作安全變得尤為重要，需要明確地告知，并且教育用戶，如何正確地、安全地使用自動駕駛汽車（或者確切地說，智能駕駛汽車），確保用戶知道自動駕駛的能力和場景邊界。而用戶教育，也是Waymo自動駕駛安全報告和美國交通廳自動駕駛安全指南中所強調的。此外，凱迪拉克官網對CT6使用的Super Cruise也做了文字說明，告知用戶這并非無人駕駛，不能用于全路況。

當然，除了用戶教育，還要進行“媒體教育”。比如，馬一龍就經常噴媒體，說媒體經常夸大自動駕駛，或對特斯拉的AutoPilot作誤導性報告。

Waymo Safety Report

Automated Driving Systems: A Vision for Safety

1.1 HMI系統

報告指出，APC人機交互設計的核心理念是“自然”和“安全”，并通過不同的感官設計來達到安全、自然的目標。

本人現在也負責一個安全駕駛相關的產品，針對不同場景、不同等級的警示內容，會采用不同的提示方式，比如不同的文字提示、不同的蜂鳴聲以及不同的語音播報等。那么百度APC具體是怎么做的呢？

中控共享全面屏：這里的共享全面屏并非拜騰那個酷炫的、長1.25米的共享體驗屏。從下圖也可以看到，拜騰的目標是通過這塊屏“讓你和你關心的人和事時刻保持聯系，實現車內和車外的無縫切換……”。我覺得這塊屏當作是下一代L4/L5級別自動駕駛的時候或許合適，但現在拿出來應用，有些太超前（太不安全了）。

在人機共駕的情況下，這塊屏最重要的作用是讓司機/乘客，時刻知道這輛車的狀態、車周邊環境，以及這輛車正在或即將做什么等等這些重要的信息。而APC的共享全面屏也正是這樣做的：

為保障乘客安全，除車輛基本信息外，共享全面屏還將在突出位置顯示駕駛重要提示和警示通知等。

環繞氛圍燈：即通過不同的燈光效果，提示不同的信息。

聲音交互：通過不同的聲音提示，讓用戶聽到必要的信息，并通過語音交互的方式，了解車輛狀況等信息。

觸覺交互：主要是通過觸動、震動的方式進行必要的提醒，例如，通過智能方向盤、體感座椅向用戶傳達接管請求。這種觸覺交互也同樣適用于未來無人駕駛汽車中殘障人士乘車的警示提醒。

如上文所講，人機共駕是一種全新的駕駛模式，要用好（安全操作）這個系統，用戶需要經歷兩個階段——探索期和成熟期。

所謂探索期，就是初次使用Apollo Pilot時。在這個階段，Apollo Pilot會提供用戶說明書供用戶了解這個系統。但實際的情況很可能是多數用戶并不會認真閱讀用戶手冊。那APC還會在用戶駕駛時，通過推送tips的方式讓用戶逐步了解該系統。而且，在用戶使用初期，也會采用更為保守的駕駛策略。因為在這個階段，讓用戶逐步熟悉，并對自動駕駛系統產生信任非常重要。在信任建立后，用戶可以再根據自己的情況去調整駕駛策略。而后，過渡到成熟期。

在成熟期，APC會減少探索期的新手提醒，而更多的是提示基于百度Intelligent Map產生的預先信息以及ODD邊界。

1.2 接管機制

所謂接管機制，即前面提到，APC僅適用于一些特定的場景，如高速、城市擁堵道路等，當超出這個邊界的時候，就需要人類司機接管。因此，對于一套自動駕駛系統（ADS）來說，首先要做的就是設計適用范圍（ODD），從而明確哪些情況是ODD之外需要人類接管。

對于Apollo Pilot來說，除了讓用戶在需要的時候安全接管，還考慮了體驗的問題，即盡量讓用戶不需要在需要接管和不需要接管之間來回切換，這樣才能做到真正的輕松駕駛，否則來回切換更需要集中注意力，也容易導致駕駛疲勞。因此，APC的目標是，在自動駕駛場景下95%以上的時間，都不需要用戶接管。APC的接管機制主要體現在以下三點：

一是，當系統能夠判斷超出ODD邊界時，APC會預先多次提醒用戶，使得用戶有充足時間安全接管車輛。

二是，當遇到非預判類的超出ODD接管時，比如降速停車。在停車后，會通過雙閃、喇叭、自動連接遠程客服等方式保證車內人員安全。

三是，設計了“特別關懷安全停車”功能，即當自動駕駛系統遇到人員異常的時候（一些自動駕駛公司也申請了諸如識別人類醉酒、睡覺的專利），比如突發疾病，無法在預留的10秒的時間內接管，APC在降速停靠之外，還會在識別環境狀況、車輛狀況允許的情況下，一直自動駕駛從而找到安全地帶停車，比如停車島、寬敞的應急車道。

在美國NHTSA那份《自動駕駛系統2.0：安全愿景》中提到類似內容，即OEDR（目標和意外檢測和響應）以及退出機制（最小風險方案）。

二、環境安全

在很長一段時間，自動駕駛車輛都將和有人駕駛車輛同在路上行駛，所以就需要考慮如何讓自動駕駛汽車融入到這種環境當中。一方面，自動駕駛汽車需要適應這樣的環境；另一方面，人類駕駛員也要知道如何與自動駕駛汽車如何相處。

為了達到上面的兩個目標，APC設計了三大系統來保證：

自動駕駛車輛能夠認知周邊動靜態環境；

自動駕駛車輛能夠與環境進行雙向的交互；

最后采取的駕駛行為是基于實時環境信息及全面的、可解釋的駕駛規則進行的。

2.1 系統一：環境建模系統

APC通過三種傳感系統實現對環境的建模，從而做到對環境的認知，即實時感知、預先感知及生態感知。

實時感知，主要通過分布在車內外的傳感器來實現。用于量產車的傳感器布局依據主要是兩個：安全、車規級。但看來看去后者應該是出于安全基礎上的成本考量（因為方案里沒有昂貴的LIDAR）。

Apollo參考了兩款帶有自動駕駛功能的量產車，然后選擇了更加豐富的傳感器方案，以應對復雜的中國道路駕駛環境。具體來說，APC的方案是：

攝像頭：車外9個+車內1個（駕駛員監控）

毫米波雷達：4個（前向/ 側前向/ 后向）

超聲波雷達：12個

以及GNSS、IMU

當然，這份報告并沒有說明對比的是哪兩家？Tesla？Audi？順便附上目前量產車帶自動駕駛/智能駕駛功能車輛的對比如下。

參考：新智駕

預先感知，即通過高精地圖預先采集厘米級的地圖信息，讓自動駕駛車輛看得比數百米級的實時感知傳感器更遠。報告中舉了兩個例子來說明高精地圖的重要性。

一個是在高速路上，通過高精地圖可以預知一公里后有一個匝道，且這個匝道經常有大量車輛匯入高速。那么這個時候車輛就可以提前換到最內的車道，或者提前降慢車速。

另一個例子則在城市道路。我們知道城市道路時不時會有車道線磨損不清的情況，在這種情況下，實時感知系統有可能導致車輛在行駛時因為模糊不清的車道線而不斷調整對車道線的識別，出現車輛抖動的現象。這個時候，如果有高精地圖預先采集的道路信息，加上實時感知的信息，便能實現安全穩定的自動駕駛。

簡單來說就是，百度地圖和Apollo數億的日活用戶會帶來大量的實時數據，便于車輛對當前路況、安全級別做出判斷，從而采用不同的駕駛策略。比如，我們在用百度地圖發現前方有路段成紅色，便知道前方堵車。同樣，裝了APC的車輛也能知道，可以提前降速行駛，提升駕駛安全性。

2.2 系統二：EMI系統

前文提到HMI人機交互系統，但這并不夠，還需要與周圍環境交互的系統，即EMI，從而構成完整的自動駕駛交互系統——XMI。

一方面EMI輸入一些環境的信息以做出決策，另一方面也會主動向周圍環境輸出交互信息，即這是一個雙向交互的系統。比如，除了常規的燈光、喇叭之外，車輛還會配置車外燈帶、揚聲器、狀態顯示屏等交互設備。這點類似drive.ai那輛橙色的無人駕駛運營車。

drive.ai

APC豐富的交互設備

2.3 系統三：DPS系統

DPS，即Drive Policy System，駕駛策略系統。這是一個駕駛行為規則的系統，主要工作就是，基于前面的環境感知和環境交互，讓車輛在當前環境下采取正確的駕駛行為，好好開車。

報告中提到，通過機器學習，自動駕駛確實能掌握很多駕駛技能。但問題就在于，你完全不知道它學習來的“良好”的駕駛行為，到底有什么依據，是不是真的靠譜，尤其是在路上人機混駕的情況下。

因此，設計DPS時有兩個目標：全面性和可解釋性。

簡單而言，全面性是指車輛的駕駛策略完全覆蓋在自動駕駛場景下的所有環境及環境的組合。可解釋性是指每一條駕駛策略都有其依據，比如來自交通法規，比如來自CIDAS真實事故案例反推過來的安全要求等。

2.4 Mobileye RSS模型

除了前三個系統之外，百度還采用了Mobileye的RSS模型，即責任敏感安全模型（Responsibility Sensitive Safety）。RSS模型是采用數學的方式來界定“安全狀態”。在“安全狀態”中，無論其他車輛做出任何反應，自動駕駛汽車都不會引發事故。百度也與Mobileye合作，確保Mobileye定義的各種駕駛場景公式，均能反映中國獨特的駕駛風格，并應用到Apollo的產品里。

文末提供RSS相關下載

RSS模型要達到的目標有兩個：

1、自動駕駛汽車本身不會導致事故。

2、自動駕駛汽車應該在其它車輛發生錯誤時做出正確反應。這里涉及到兩點，在安全報告里提到。一是，要能識別“危險情況”；其次，要能“適當響應”。

三、行為安全

人類開車從零基礎到老司機，會經歷三個階段：駕考、實習和熟練。這個過程需要駕駛時間和里程的積累。同樣，自動駕駛系統也要經歷類似的過程。APC通過四個方面的海量數據收集和訓練，培養自動駕駛國賓級老司機。

3.1 ADS自動駕駛場景庫

蘭德公司（RAND Corporation）的研究報告指出，若要證明無人駕駛車輛比人類駕駛車輛更安全，需要在各種交通場景下對100輛車進行24小時全天測試，并連續測試225年，只這么做的話，真是要等到花兒都要謝了。因此，建場景庫是加速測試，加速自動駕駛汽車上路的最有效途徑。

從另一個角度看，自動駕駛離不開人工智能，人工智能離不開數據，百度擁有的能力就在于構建了一個完備的場景庫數據采集體系，尤其是針對前面提到的三個場景。

專業采集車隊：百度已有數千輛專業數據采集車，采集大量精準詳細的數據用于Apollo學習。

用戶輔助改善：數百萬臺搭載了攝像頭等傳感器的車輛加入到“駕駛安全改善計劃”，同樣為Apollo提供了大量的真實場景及駕駛行為數據。（實際上本人現在做的事情也跟這個有關）

數據生態：毋庸置疑，百度地圖有上億日活的用戶，不光百度地圖自己的App，也包括那些調用百度地圖接口的設備，一起構建了百度強大的場景庫數據生態。

3.2 中國特色的DPS策略庫

一方面，國賓級老司機學習經驗，因為這種老司機駕駛行為與初學者駕駛行為有很大的差異。因此，百度Apollo與多家出行公司合作，對駕齡超過10年且無事故記錄的國賓級司機的數據進行收集分析。

另一方面，中國不僅道路復雜，司機駕駛行為也非常復雜。因此，百度Apollo還會不斷收集中國特色的駕駛策略。比如報告中提到的“安全距離 VS. 加塞”的例子：交通擁堵時，按照交通法規要求，司機得保持足夠大的前后車距。但在中國的駕駛環境下，過大的車距就讓他人有了趁虛而入的機會，反而會帶來更多的隱患和事故幾率。而且，如果這套ADS系統總是乖蠢乖蠢地讓人插隊加塞，用戶體驗反而不好。

3.3 監控和診斷系統

老司機就是長年累月養成了排查安全隱患的習慣和危機意識，而APC也在這方面向老司機學習看齊。

一方面，APC會實時監控環境狀態、車輛狀態、自動駕駛軟硬件以及司機的狀態。比如，監控到司機未系安全帶，系統會作出安全提示，如果司機不做響應，自動駕駛系統會要求人類司機接管，如果還不作出響應，自動駕駛車輛則會優雅地降速停車。

另一方面，APC也會有一套在線診斷系統，幫助用戶了解車輛的問題，并提供解決辦法。

3.4 危險應對能力

如RSS提到，首先這個模型不會主動導致事故的發生。但“不導致”不代表“不卷入”，因為老司機也有可能會遇到馬路殺手。所以，在面對不可避免的危險時，除了車輛本身的安全措施外（如氣囊），APC還會提供額外的一些應對能力。例如，在預判了有碰撞風險后，在碰撞來臨之前進行緊急制動、側向安全區域躲避、安全帶預張緊等操作，最大程度地降低危險帶來的傷害。

此外，百度還跟CIDAS合作，研究數千個交通事故案例，基于大量真實交通事故和危險場景數據，加上深度學習和仿真等技術，不斷學習和訓練，確保系統在遇到危險時能第一時間做出正確的應對措施。

四、功能安全

汽車制造企業和互聯網企業有著非常大的不一樣，他們有兩種不一樣的工作思維以及不一樣的工作流程。互聯網企業講求小步快跑、快速迭代、先有再優，功能不完善沒關系，做個MVP先到市場上去跑一跑就好。而車企則有著非常嚴格的制造流程，務必確保所有的工作都符合嚴格的工作流程，確保每輛車都經過嚴格的測試、質檢后才能上市銷售。安全是汽車制造企業最最關注的。這也是為什么很多造車新勢力的朋友都提到，在他們公司，組織建設非常重要，即如何把兩種完全不同類型的人放在一起高效地工作是一件至關重要的事情。

百度也深知百年汽車工業發展起來的工程實踐才是保證ADS系統安全、穩定運行在道路上的基礎。因此，百度會確保自己所做的事情都完全符合企業界已有的安全規范。具體而言，百度通過以下三個方面保證功能安全。

4.1 安全流程

百度在報告中指出，百度安全流程的關鍵在于，每一個與安全相關的設計和需求，都會要求被嚴謹而全面的分析、設計、實現、驗證。

百度使用全面的業界標準安全分析方法，提出自上而下的，一整套全面的安全需求。并且確保這些需求，在軟件、硬件、系統集成、整車層面，在各種場景下，進行測試，以此驗證ADS滿足了這些安全需求。

除了技術上確保安全，每一個工程師都貫徹“安全為最高優先級”的理念，并且這個理念貫穿于系統設計的始終。

4.2 安全功能設計

安全功能設計體現在兩個方面，一是實時診斷監控系統，二是冗余設計。

診斷系統會實時監控自動駕駛軟件、硬件以及相關的整車狀態。而冗余設計既包括各種傳感器的冗余，也包括自動駕駛大腦計算單元（ACU）的冗余，還包括整車關鍵的執行系統（如剎車、轉向等）是獨立且冗余的。

4.3 預期功能安全

我們已經知道，自動駕駛軟、硬件和駕駛場景異常的復雜。為了在這種復雜的情況下，達到安全的目標，百度將充分評估所有自動駕駛的關鍵功能，這個方法就是“預期功能安全”（Safety of the Intended Function）。

簡單來說就是，為了證明某個自動駕駛功能/系統安全可靠，可以處理所有非預期的情況，就必須在各種可能的場景下去測試和驗證這個功能，并找到該功能不完善的地方，然后加以改進。最終需要通過量化的數據（里程累積）來證明系統的安全性。

要達到這樣的目的，前面提到的場景庫就成了關鍵。

五、質量安全

到這里，就已經分析完了這份報告安全設計的部分，接下來則是關于安全運營。

首先是質量安全，APC會通過充分的測試以及信息安全機制來確保自動駕駛系統的質量安全。

5.1 充分測試

從研發到最終交付給用戶，自動駕駛系統所有的模塊和功能，都會進行大量的測試，既包括在仿真系統上進行數百億公里的測試，也包括在APC設計的自動駕駛場景下進行百萬公里的真實路測。

5.2 信息安全

智能汽車一個顯著的特點就是“網聯”，與外界不斷交互，包括云、移動設備、基礎設施等等。不像過去的汽車無法與外界連接，自動駕駛汽車必然要關注信息安全。

百度自動駕駛項目成立之初就成立了信息安全團隊，今年4月19日，又聯合國家相關部門、車企、高校，成立了Apollo信息安全實驗室，加大對汽車信息安全技術的研究力度。

APC構建了多層縱深防御體系的信息安全解決方案，并從三個重點層面（對外通信層、接入網關層及車內應用層）來確保實現車規級的信息安全，從而達到APC信息安全的核心目標——防御外部入侵，防范核心應用和隱私數據泄露，防范控車威脅。

六、安全進化

安全沒有終點，或者像報告里說的，世上并沒有絕對的安全。要實現安全行駛的關鍵就在于構建一個不斷進化的自動駕駛系統。

6.1 快速發現問題

進化前，或者解決問題前的先決條件是能夠發現需要進化或解決的問題是什么。基于百度Apollo用戶、地圖生態實時、大規模的數據，能夠讓自動駕駛系統更快更精準地發現問題所在。這是快速解決問題的基礎。

6.2 OTA - 快速解決問題的關鍵

OTA，空中升級，對于我們來說并不陌生。如今的智能手機系統的升級，幾乎都是空中升級，不再像以前，作為發燒友的我們需要download系統到電腦上，然后刷機安裝新系統。在汽車行業我們最為熟悉的OTA升級非特斯拉莫屬了，每隔一段時間，特斯拉都會更新其Autopilot系統。這是一種很互聯網的方式。

百度Apollo的OTA升級包含兩個方面：軟件系統OTA升級，以及數據的OTA升級。針對不同的升級內容，會有不同的更新頻率，比如，涉及到駕駛安全相關的，可以做到“天”級更新。（此處可以看到一大片掉光頭發的程序員）

七、機制安全

馬一龍之所以很激進地在特斯拉汽車上加裝并不完善的自動駕駛系統的原因就是他堅信Autopilot駕駛的安全性已經比人類自己駕駛要高了。其實，這并沒有錯，但問題的關鍵在于，如何讓大眾和監管機構妥妥接受。

百度Apollo則積極承擔這一社會責任，推動法律法規、保險、援助等社會機制在中國走向完善。

規范

自動駕駛路測法規（已實現）

自動駕駛上路運行法規（推動中）

自動駕駛國家安全標準（推動中）

保障

自動駕駛保險產品（已達成意向）

自動駕駛事故援助基金（建設中）

自動駕駛事故處理專項機構（建設中）

EDR - 自動駕駛黑匣子

在年初的CES 2018上，發布了智能汽車黑匣子產品（如下）。黑匣子通過硬件與軟件的結合，可以安全儲存大量駕駛數據。而人性化的交互界面，也使數據讀取變得更為便捷。黑匣子不僅可以為事故責任溯源提供幫助，其記錄的海量數據還可以為各類自動駕駛企業改進產品質量提供依據。

RVC - 遠程客服控制系統

遠程客服控制系統，在《自動駕駛網約車的落地》也有提到谷歌小范圍運營的自動駕駛出租車上就有“HELP”按鍵（如下圖），在遇到緊急事件時，按下按鍵，可以遠程連線客服人員。

最近與某電動車企合作的項目中，我們也在下圖差不多的位置上，看到其測試工程車也有個“SOS”按鍵。出于保密，不便將合作伙伴的照片放上來。