千亿美元市场的Robobus，其自动驾驶安全如何设计？
据美国咨询公司联合市场研究（Allied market research）表明，预计到2026年，Robobus的市场将达到745.2亿美元，从 2020年到2026年复合年增长率为40.5%。
“使用激光雷达很蠢。任何依赖激光雷达的人都注定要失败，昂贵的传感器是不必要的，这就像是一大堆昂贵的附属品”。
马斯克在“特斯拉自动驾驶开放日”活动上的话一石激起千层浪，对于这样的说法，很多人都表示不认同。
“自动驾驶感知能力的本质是消除不确定性（信息熵），从信息论的角度来说，消除不确定性需要多维度、多类型的信息源，且信息源要尽量形成正交，因此多传感器融合才是提升感知能力的正确途径”PIX Moving 创始人&CEO 喻川表示。
自动驾驶汽车关键技术主要由“环境感知、决策与规划、控制与执行”三个部分组成。而运行中的安全设计会涉及到方方面面，从硬件配置到多传感器融合、安全冗余，再到智慧道路等。
以无人小巴 PIX Robobus 为例，分享一下安全设计逻辑。
PIX Robobus
线控底盘
实现精准控制与执行
PIX Moving 另辟蹊径，Robobus 的线控底盘部分采用了轮毂电机方案，在轮毂电机的加持下，对4个轮毂电机进行独立的力矩分配，在车身姿态稳定、内部空间面积，续航里程方面都有显著提升。
“PIX Robobus 对所有执行器进行闭环控制，能够进行精准的力矩、制动压力、转向输出与控制。”PIX Moving 硬件工程师Nick如是说。
PIX 线控底盘
“同时，PIX Robobus线控底盘部分设置了3层安全冗余，当系统检测到一个控制器失效，另一个控制器可以激活启动，提供基本功能候补。更进一步，如果其它控制器失效，还要有最后一重安全冗余提供底盘制动的基本功能”。
多传感器融合
增强对周围环境的感知能力
今年5月份，马斯克曾在社交平台发文表示，特斯拉美国工厂从5月份开始，生产没有搭载毫米波雷达的Model 3和Model Y车型，只使用摄像头和超声波。
这就意味着马斯克从实际行动上押注了视觉为主的技术方案，验证了2019年在“特斯拉自动驾驶开放日”活动上的说法。
不过与马斯克激进选择不同的是，PIX Robobus从信息论对消除不确定性的数学描述出发，选择多传感器融合方案。
“PIX Robobus有园区、机场、地铁以及旅游景区接驳等不同的场景，运行环境极为复杂，加之在车辆进行自动驾驶的过程中，如果遇到雨、雪、雾等恶劣天气时，摄像头所见的景象和人眼基本相同，视线受阻，安全性将大大降低。”PIX Moving 自动驾驶工程师Mark Jin说到。
“现在单一的视觉方案根本无法适应，需使用更加复杂的感知系统，其中包括布置在车辆四周不同位置、不同焦距的摄像头，多线激光雷达、毫米波雷达以及超声波雷达；辅以感知融合算法，最大程度地减少感知盲区”。
“毫米波雷达的重要能力之一就是应对恶劣环境，识别前方存在的障碍物。这种能力得益于毫米波雷达发出的波是电磁波，电磁波在传导过程中，恶劣环境只会造成微弱影响，但不会完全无法传递。而视觉传感器在恶劣环境下只能所见即所得，局限性较大。”PIX Moving首席科学家Alexander Carballo Segura进一步解释到。
PIXRobobus配备了32线的4个激光雷达、1个12路超声波雷达探头、2个毫米波雷达，14个摄像头，配合高精度地图，可以完成对复杂道路信息的感知，为乘客提供舒适、安全的接驳。
自动驾驶测试车
Robobus传感器布局示意图
“对于Robobus来讲，除了基础的车辆避让、自动变道、自动转向、红绿灯识别等功能，还要具备应对各类城市复杂的交通场景的能力，比如人车混杂的路口通行，Cut in处理，鬼探头等。
PIX Robobus依靠多个激光雷达、遍布车身周围的摄像头以及多个毫米波雷达等多种传感器进行融合，配合高精度地图，完成对复杂道路信息的感知。
高精度地图提供先验的道路语义信息，比如现在处于第几车道、哪里会有红绿灯、标识牌信息等，帮助车辆根据已知道路环境提前进行决策规划，而多传感器的融合感知给出实时道路环境的信息。
比如车道线信息、障碍物位置、当前红绿灯状态等，从而使车辆完成避障、变道、等待红绿灯、避让行人等一系列操作。同时 Robobus还需要提前根据高精度地图预设乘客站点，配合实时感知系统，完成上下客的动作。流畅、舒适、安全的接驳，这都需要依赖实时高精度的感知系统”自动驾驶工程师Fitz表示。
“无人驾驶是交通和人车关系的未来形态，更是解放车对人限制的工具，是对未来移动城市空间转移和构造的探索。PIX Robobus无人小巴的自动驾驶设计，源于微循环的小巴场景，更不止于普通的乘车交互。
从人性化角度，团队深度优化小巴驾控和交互性能，以柔和平稳的乘坐体验为目标；从安全性能角度，通过制定超越ISO低速自驾全要求的标准和多重安全冗余设计，将车内外人员的安全置于首位，彻底打消乘客的安全顾虑。
高标准的乘坐体验和安全性能不仅解放了司机的双手，更释放了乘员的紧张情绪。而PIX Moving团队的终极自动驾驶系统设计目标，则回归于提供无感的无人驾驶服务，让乘员彻底忘记机器，享受移动城市生活带来的舒适和便利。”PIX Moving自动驾驶工程师 Nan 如是说。
安全冗余
多重安全冗余设计，保障运营安全
安全冗余是保障运营的重要组成部分，主要包含“自动驾驶系统、网络服务、调度系统、工控机、传感器、线束、机械结构功能、VCU、CAN线束、电池组”等安全冗余设计。
下面以自动驾驶系统安全冗余设计为例，来看PIX Robobus如何做多重安全冗余设计的。
1、定位模块
GNSS组合惯导
潜在问题：GNSS网络攻击
自检方法：Health checker
处理方法：根据已经通过Lidar和有效时的GNSS信息保留局部地图记忆，进行靠边紧急停车操作，依赖其他传感器：Lidar、Radar、Camera进行定位。
故障类型：故障急停（不可继续任务）
潜在问题：信号遮挡丢失
自检方法：SOL TYPE - 解析类型 - NMEA 诺瓦泰
处理方法：
（1）自动重新定位；
（2）使用IMU继续运行；
（3）视觉方案靠边停车；
（4）调度系统远程驾驶接入；
（5）如果无法继续正常运行或调度系统终止则紧急停车。
故障类型：（1）故障继续运行 ；（2）故障急停
2、感知模块
激光雷达
潜在问题：GNSS网络攻击
自检方法：Health checker
处理方法：根据已经通过Lidar和有效时的GNSS信息保留局部地图记忆，进行靠边紧急停车操作，依赖其他传感器：Lidar、Radar、Camera进行定位。
故障类型：故障急停（不可继续任务）
摄像头（主摄）
潜在问题：GNSS网络攻击
自检方法：Health checker
处理方法：根据已经通过Lidar和有效时的GNSS信息保留局部地图记忆，进行靠边紧急停车操作，依赖其他传感器：Lidar、Radar、Camera进行定位。
故障类型：故障急停（不可继续任务）
摄像头（红绿灯）
潜在问题：GNSS网络攻击
自检方法：Health checker
处理方法：根据已经通过Lidar和有效时的GNSS信息保留局部地图记忆，进行靠边紧急停车操作，依赖其他传感器：Lidar、Radar、Camera进行定位。
故障类型：故障急停（不可继续任务）
摄像头（环视）
潜在问题：GNSS网络攻击
自检方法：Health checker
处理方法：根据已经通过Lidar和有效时的GNSS信息保留局部地图记忆，进行靠边紧急停车操作，依赖其他传感器：Lidar、Radar、Camera进行定位。
故障类型：故障急停（不可继续任务）
超声波雷达
潜在问题：GNSS网络攻击
自检方法：Health checker
处理方法：根据已经通过Lidar和有效时的GNSS信息保留局部地图记忆，进行靠边紧急停车操作，依赖其他传感器：Lidar、Radar、Camera进行定位。
故障类型：故障急停（不可继续任务）
毫米波雷达
潜在问题：GNSS网络攻击
自检方法：Health checker
处理方法：根据已经通过Lidar和有效时的GNSS信息保留局部地图记忆，进行靠边紧急停车操作，依赖其他传感器：Lidar、Radar、Camera进行定位。
故障类型：故障急停（不可继续任务）
3、规划模块
全局路径规划：
潜在问题：道路突发封闭
自检方法：（1）接入导航系统；（2）人工检测
处理方法：（1）重新自动规划路径；（2）人工干预；（3）调度系统指令。
故障类型：（1）故障继续运行；（2）故障急停
局部路径规划：
潜在问题：变道、行驶失败
自检方法：（1）接入导航系统 ；（2）人工检测
处理方法：（1）重新自动规划路径；（2）人工干预（3）调度系统指令
故障类型：（1）故障继续运行；（2）故障急停
4、事故
碰撞事故-非行人
潜在问题：碰撞事故-非行人
自检方法：（1）接入导航系统；（2）人工检测
处理方法：（1）重新自动规划路径；（2）人工干预；（3）调度系统指令
故障类型：（1）故障继续运行；（2）故障急停
碰撞事故-行人
潜在问题：碰撞事故-行人
自检方法：（1）接入导航系统；（2）人工检测
处理方法：（1）重新自动规划路径；（2）人工干预；（3）调度系统指令
故障类型：（1）故障继续运行；（2）故障急停
从硬件选择，到多传感器融合，再到安全冗余设计，自动驾驶运营安全设计是一项系统工程，从现阶段的技术成熟度来看，多传感器融合可靠性会更高。
自动驾驶时代即将来临，一切不以安全为前提的技术开发，都是耍流氓。对于自动驾驶汽车而言，安全问题尤为不容忽视，只有解决好了安全问题，自动驾驶才能真正实现大规模的商业应用。
