一次临时停滞,看懂自动驾驶的安全策略

3月31日晚，武汉市区部分“萝卜快跑”车辆发生停滞。目前，相关受影响交通路段已恢复正常秩序。

业内人士分析，此次“萝卜快跑”车辆停滞，很可能是遇到突发情况，自动驾驶系统为了保障安全，主动触发的“最小风险策略”（Minimum Risk Maneuver, MRM），当车辆遇到无法确认安全的状态时，原地停车是最负责任的选择。

这不是技术故障，而是行业通用的安全底线，更是自动驾驶技术中“安全冗余”设计的直观体现。

就在三个月前，谷歌Waymo在旧金山也上演了几乎一模一样的一幕。Waymo无人车在美国旧金山因停电致交通信号灯失效，触发了“最小风险策略”，开启双闪原地停滞。这一策略也是当地对L4级无人驾驶车辆的强制性安全要求。

这两起事件，恰好为我们提供了一个重新审视自动驾驶技术的绝佳视角。

中国信息协会常务理事、新经济研究院院长朱克力在朋友圈表示：国际标准ISO23793-1:2024将最小风险操作（MRM）分为直线停与道内停两类，允许辆在触发MRM时纵向减速并在任意位置停。

在朱克力看来，无论是去年的Waymo无人车在信号灯失效的情况下原地停滞，还是此次萝卜快跑主动停止运行，均属于最小风险操作的安全机制，体现了自动驾驶系统在面对不确定性时选择最保守的退出策略。这种对“安全第一”的严格遵循，虽表现为看似“异常”的停车，实则为公众信任奠定基础。随着技术迭代，此类保守触发将逐步减少，但安全底线将贯穿技术演进的始终。

看似“掉链子”的停滞，实则是自动驾驶技术规模化落地过程中，一次典型的安全冗余策略触发，更是整个行业迈向成熟的必经考验。

01

不是“抛锚”，是主动“降级保护”

很多人看到这次萝卜快跑的事儿，第一反应是“车坏了”，就像家用车半路抛锚一样。但实际上，两者有着本质区别：家用车抛锚是被动故障，而自动驾驶车辆的停滞，是系统检测到潜在风险后，主动触发的 “最小风险策略”，核心目的是“避免风险扩大”。

这就像我们开车时，发动机故障灯亮起后，车辆会自动限速甚至熄火保护，防止发动机进一步损坏——这是燃油车行业沿用多年的安全逻辑，自动驾驶车辆更是将这一逻辑做到了极致。

自动驾驶一旦系统感知到“不确定”，比如传感器异常、网络中断、路况超出预设范围，最安全的选择就是“停下来”，而不是冒着风险继续行驶。

此次武汉萝卜快跑事件，据业内人士结合自动驾驶的安全设计逻辑分析，大概率是系统自检时发现了潜在风险，比如网络波动、云端调度异常、数据传输中断，或是感知系统无法准确识别周边环境，进而触发了原地停摆的“最小风险策略”。

这并非车辆“死机”，而是系统在说：“我遇到了我不确定的情况，为了你的安全，我选择停下来。”这种主动降级，远比“硬着头皮继续开”更负责任，也正是自动驾驶技术“安全优先”的核心体现。

值得注意的是，作为百度旗下的自动驾驶出行平台，萝卜快跑的技术实力早已经过长期验证：落地全球 26 座城市，累计完成超过 2000 万次出行。这样一套成熟的系统，绝不会轻易出现“无故故障”，主动停滞，恰恰是它的“安全基因”在发挥作用。

02

安全冗余，自动驾驶的“多重保险”

要理解无人车的主动停滞，就必须读懂一个核心概念——安全冗余。简单来说，就是给自动驾驶系统装上“多重备份”，就像民航飞机的自动驾驶仪一样，哪怕一个环节出问题，备用系统也能及时补位，确保安全。

民航领域早已验证了安全冗余的价值：3月29日，达美航空一架A330客机起飞后左侧发动机爆炸，之所以能安全返航、零伤亡，除了机组的专业操作，更离不开飞机的冗余设计——即使一侧发动机完全损毁，另一侧发动机仍能提供足够推力，关键系统的多重备份也避免了连锁故障。

而自动驾驶车辆的安全冗余设计，正是借鉴了航空领域的成熟经验，甚至更为严苛。从感知、计算到转向、制动，构建了全链路的“双重保险”。

·感知冗余是“多双眼睛”，车辆搭载多激光雷达、高清摄像头、毫米波雷达等，主感知与补盲感知独立工作。即使一只“眼睛”被遮挡，其他传感器也能在毫秒级内完成无缝接管。

·计算冗余是“双大脑”，双计算平台异构架构，主芯片负责日常决策，备用芯片实时同步数据。一旦主芯片异常，备用单元毫秒级切换，确保决策链路永不掉线。

·执行冗余是“安全底线”，转向采用主副双电机独立供电，制动系统配备双控制器与双油路。单点失效时，备份系统瞬间介入，依然能提供完整的转向力和制动力。

·电源与通讯冗余则杜绝“断供风险”，双路电源+应急电容，保证核心系统永不断电。

这套系统的核心逻辑，用行业术语叫“故障可运行”——当系统发生故障时，不是立即失效，而是维持安全运行，直至车辆抵达最小风险状态。

此次萝卜快跑事件，正是这套冗余系统在发挥作用：当系统检测到某一环节出现不确定风险时，没有勉强运行，而是直接触发“最小风险策略”——这不是技术缺陷，而是L4级全无人驾驶的强制安全要求，就像飞机遇到异常必须切换降级模式一样，是行业通行的“安全准则”。

这样的场景，并非萝卜快跑独有，国际同行Waymo也曾经历过类似情况。2025年12月，美国旧金山因变电站火灾引发大规模停电，交通信号灯大面积失效，Waymo全无人驾驶车辆因无法快速确认路口安全状态，纷纷原地停滞、开启双闪，部分乘客短时被困，拖车连夜介入处置。

事后Waymo回应称，这种停滞是加州DMV对L4级自动驾驶的强制要求，并非企业自主选择，其系统预设将失效信号灯视为“四向停车”（Four-way stop）场景，但停电规模超出预期，导致安全确认耗时过长，最终触发了最小风险策略。

一边是武汉的萝卜快跑，一边是旧金山的Waymo，两场相似的情形，背后是同一个逻辑：L4级自动驾驶的核心不是“从不失误”，而是“出现风险时，能最大限度保障安全”。安全冗余设计，就是这份保障的底气所在。

03

创新的必经之路

任何一项颠覆性技术的普及，都必然伴随“成长阵痛”。偶发的小插曲，恰恰是技术迭代的必经之路。自动驾驶也不例外。

我们不妨换个角度思考：电力作为现代社会的基础能源，历经数百年发展，技术已高度成熟，但停电依然是常态。2025 年，中国仅因极端天气导致的区域停电就达200 余次，但这并未阻碍电力的普及。相反，正是一次次停电事故，推动了电网升级、储能技术发展，让电力供应越来越稳定。

民航飞机曾因早期技术限制，多次发生事故，引发公众恐慌。但如今，航空已成为全球最安全的交通方式 ——每百万次飞行事故率仅为 0.02 次。这一成就，正是建立在无数次事故复盘、安全冗余设计优化、应急流程完善的基础上。

技术创新从来不是一蹴而就的，其普惠过程，必然会伴随各种极端场景的考验。自动驾驶的终极目标是实现零事故出行，但这需要时间。在技术普及过程中，我们更应该关注的是：出了事如何兜底、如何快速响应与迭代。

萝卜快跑在武汉事件后，已迅速启动系统排查与优化；Waymo 在旧金山停电后，推出三项应急措施，提升车辆应对基础设施故障的能力。这种快速响应与持续迭代，才是衡量企业真实实力的关键钥匙。

面对自动驾驶的偶发事件，公众的担忧可以理解，但更需要建立理性、客观的预期。

武汉萝卜快跑这次事件，让我们看到了自动驾驶系统在“不确定”面前的保守与谨慎——它选择了停下来，而不是带着风险继续行驶。这种选择本身，恰恰体现了安全优先的设计哲学。

对于公众而言，我们需要建立合理的预期：无人驾驶技术的发展，必然伴随着偶发性的阶段性挑战。我们不应因一次停滞就否定整个行业，而应理性看待、包容创新，给技术一点耐心，给安全一份信任。

毕竟，一个“知道什么时候该停下来”的系统，或许比一个“永远不停但可能出错”的系统，更值得我们托付安全。

THE END

推荐阅读