年5月7日，自动驾驶汽车发生第一次致命车祸。

特斯拉ModelS车主、前美国前海豹突击队队员乔舒亚·布朗在使用Autopilot系统时，全速撞上了一辆左转的白色大挂拖车，重伤后身亡。

彼时，自动驾驶系统需要传感器等安全冗余的声音就已不绝于耳。

此后，随着自动驾驶汽车逐步向大众迈进，安全问题更成为重中之重。“全冗余量产平台”“全栈冗余设计”等说法层出不穷。冗余设计也逐渐成为自动驾驶领域刚需。

那，到底自动驾驶车如何实现各环节冗余？企业有哪些方案设计思考？产品是否存在冗余过度问题？

01

各环节怎么实现冗余？

所谓冗余，就是为了系统的可用性，采用两套或者两套以上的相同或相似且相对独立配置并可切换使用的设计。简而言之，当一套系统出现问题时，另一套系统能够迅速切换，在不改变系统运行状态的条件下保障系统仍然可用。

冗余最早是飞机常用的技术术语，飞机的电子控制系统均进行了安全备份，确保飞机可以安全飞行，这也是飞机被称为最安全交通工具的原因之一。

随着自动驾驶技术在车辆上的运用，冗余也延伸至汽车领域。毕竟在高等级自动驾驶的场景中，人为干预情况极少，所有的感知、计算、决策、控制均由系统自动完成，在复杂的流程中只要有一个小故障发生导致部分系统不可用，就会产生车毁人亡的重大后果。因此冗余设计必不可少。

那么，哪些环节可以引入冗余设计？此前博世给出了自己的观点。

Δ博世推出一系列冗余设计方案

博世的自动驾驶冗余设计方案系统架构，包含环境感知、定位、环境分析、路径规划、转向、制动，以及通讯和电源。在它看来，这样的架构即覆盖了可能想象到的所有安全问题。

通常来说，决策冗余和执行冗余是最核心的。因为这两处冗余直接决定车辆能否在关键时刻做出正确的反应。其中，能不能做是执行冗余负责，正不正确则是决策冗余负责。

执行冗余通常安置于制动、转向系统，一般是设计互不干扰的两套。以博世为例，制动系统其采用ESP9.3与iBooster形成了整车制动的双重保障；转向系统则采用其最新的线控转向系统——配备了两套电机，两套电源以及两套绕组。

决策冗余，则是大脑端。博世在L3级的自动驾驶功能中，会配置两套核心运算单元（即域控制器），整车E/E架构也会做相应的冗余设计与之相呼应。从整车架构层面、功能定义层面，到系统的分解，到部件的软硬件设计等都采用了冗余架构设计理念。

而感知冗余主要是靠传感器冗余。即在一个任务上增设多个传感器，这是车上最为常见的冗余设计。博世采用的是超声波传感器+毫米波雷达+摄像头+激光雷达多传感器冗余方案。

定位层面，一般通过高精定位和高精地图实现。还是以博世为例，其采用基于卫星信号的绝对定位和基于道路特征的相对定位所组成的冗余定位方案，在天气恶劣或遮挡等不利条件下，两种定位方案相互校验，以保证车辆的精准定位。

02

各家冗余设计大不同？

自动驾驶汽车需要安全冗余，这已经是业内共识。但如何进行冗余设计，却有着两种截然不同的做法。

一部分企业认为，自动驾驶系统是要做加法，即搭载最基本的软硬件，随着技术的成熟，以及测试的验证，再进行增减。这以特斯拉最为典型。

以更直观可观察的硬件为例，特斯拉的硬件设备一共有三次升级，HW1.0到HW2.0主要通过增加传感器数量和深度学习功能使感知力大幅提升。HW2.0到HW3.0主要针对芯片进行了两次升级，基本实现了L5完全自动驾驶级别所需的计算能力。

Δ特斯拉硬件历经三次升级

特斯拉在第一代硬件HW1.0时采用Mobileye视觉识别芯片，信息收集阶段主要依靠Mobileye的图像识别技术，数据来自于车顶的Mobileye摄像头，车首的雷达和周边雷达只是提供辅助信息；HW2.0增加了侧前侧后方摄像头，前置摄像头由单目进化为三目摄像头；在HW3.0时特斯拉采用自主研发的双芯片设计，算力达到了TOPS。

实际上，直到年底，特斯拉在最新的软件更新中，才激活了HW3.0的双重冗余系统。

“从简到繁”的好处很明显，最大程度的节约资源、减少浪费。

另一部分企业则认为，自动驾驶冗余设计完善是做减法的过程。即先“武装到牙齿”，方法面面实现冗余，再进一步验证，去粗取精。很多车企也都是这么宣传的。

去年9月，高合HiPhi首款量产车型高合HiPhiX亮相之际，即宣布搭载了HiPhiPilot高合自动驾驶辅助系统，采用感知、信息、制动、电源、转向和计算六大冗余系统。

无独有偶，年底，长城汽车发布咖啡智驾"战略"时也曾表示，咖啡智驾打造了全球首款真正的自动驾驶全冗余量产平台，具有6大冗余系统，即感知冗余、控制器冗余、架构冗余、电源冗余、制动冗余、转向冗余。

Δ部分车企/车型冗余设计方案

第二种选择在Robotaxi企业里面更甚。

今年7月6日，AutoX发布第五代全无人驾驶系统AutoXGen5，搭载了50个高清车规级传感器，其中包括：28个万像素的车规级摄像头，2个线主激光雷达，4个64线盲区盲区专用激光雷达，以及高分辨率4D毫米波雷达等。

在发布会之后的采访中，AutoX创始人兼CEO肖健雄称，一切的冗余设计都是为了保证安全。“我们不接受在行驶过程中出现意外，因此放了大量传感器、做了多重冗余。”

03

冗余设计过犹则不及

到底是“由多到少”好，还是“由简到繁”优？目前业内还很难下定论。

毕竟，冗余不足的危险显而易见，一旦自动驾驶过程中，有故障发生系统没有及时应对，会产生车毁人亡的重大后果。

但冗余多度也并非良药。

一方面，冗余设计是否基于整体结构还未可知。有自动驾驶从业者表示，一些企业所有的软硬件都想冗余，不断搭载更多传感器等，却并未从整体架构考虑，实际上是起不到真正冗余作用的。

另一方面，传感器间存在相互干扰的可能。此前，特斯拉选择去掉毫米波雷达，即是认为毫米波雷达不但起不到冗余作用，还影响其专注视觉、做出判断。有观点认为，毫米波雷达所具有的可测量距离、具“穿透性”优势已不再明显，且相比激光雷达、纯视觉图像感知系统，其劣势分辨率低越发明显。同时，在某些非金属物体表面上反射的局限也将成为应用毫米波雷达的主要制约之一。

Δ禾赛科技Pandar64

此外，冗余过度也会造成成本的高企。无论是激光雷达、摄像头，还是芯片，价格都不算便宜。此前有无人物流行业专家曾对赛博汽车表示，“美团新一代无人配送车魔袋20搭载超30个传感器，包括一颗禾赛科技Pandar64，对于一个低速行驶的无人车，可能存在过度搭载问题。”

“成本浪费不止体现在购买装载当下。”也有自动驾驶从业者认为，目前行业还处于探索阶段，无论是技术路线，还是算法算力判断还不够成熟，现在的硬件冗余和芯片算力冗余并不一定能够真正适用于未来。这意味着会形成更大的浪费。

不过，也有企业认为，一切为了安全的付出都是值得的。

“最好的冗余设计肯定是让用户预期和系统能力尽可能趋于一致。”有自动驾驶领域专家称，自动驾驶技术实现难，如何保证安全更难，实现成本与安全的平衡更是难上加难。

因此，他认为，除了是纯粹的为了“噱头”乱加软硬件，其他或基于安全、或基于成本的探索都是有意义的。