干自动驾驶这行十有八九都被问过同一个问题如果刹车失灵前面左边是行人右边是护栏系统该优先保护谁这个问题听起来像是哲学考试但在我这几年的项目里它其实是需求评审、算法设计、仿真验证、法务谈判都要反复碰的硬骨头。今天这篇就围绕自动驾驶汽车伦理难题聊一聊紧急情况下“优先保护谁”这个问题到底怎么落到工程上、行业现在的主流做法是什么以及作为工程师你该从哪些地方下手。内容适合正在做决策规划、功能安全、仿真测试的同行也适合想弄明白自动驾驶事故责任的产品经理和普通用户。1. 别急着谈“撞谁”先把伦理难题变成工程问题1.1 电车难题在真车上不是单选题经典电车难题设计得很干净轨道分岔一边绑着五个人另一边绑着一个人拉不拉杆。可真实道路根本没有这种“二选一”的开关。车辆面对的是一团连续变化的环境信息它需要先搞清楚“那个影子到底是不是人”“旁边的空隙够不够车身挤过去”“对向车道有没有来车”。等这些信息被感知、融合、预测完系统可能已经只剩几百毫秒这时候它能做的往往不是选择撞A还是撞B而是选择一个尽量降低碰撞风险的轨迹。所以伦理问题在工程上被“降维”成了轨迹优化问题在所有可行轨迹里找到碰撞概率和伤害期望最小的一条。但降维不意味着消失因为不同轨迹最终对应的伤亡结果差别很大算法选择哪条轨迹、为什么选了这条轨迹会直接影响车型定义、测试标准和事故后的法务判定。我认为做自动驾驶的不该拿“我们把电车难题交给算法”这种话敷衍用户而是要让决策逻辑经得起逐层追问为什么当时转向右侧为什么没有更早踩刹车。1.2 责任链条算法、车企、安全员各承担哪一部分“优先保护谁”看起来是算法的一句代码实际上是一条很长的责任链条。底层感知供应商提供目标识别结果决策规划模块决定避让路线控制模块执行转向和制动整车厂定义功能安全目标和测试标准运营方在特殊路段设置安全员或远程接管。哪个环节出了问题都会影响最终碰撞结果。我曾经参与过一个模拟项目X当时讨论的就是“行人横穿”场景下感知模块把行人识别成了“静止交通锥”决策模块自然没有触发紧急制动直到后面的视觉模型给出高置信度结果但已经来不及完全刹停。你说这是算法责任还是感知供应商责任很难分。但有一点是明确的伦理决策不能只压在“最终决策模块”身上前面任何一个信号错误都可能让伦理判断失效。所以做工程的人要习惯把哲学问题拆成“感知置信度是否足够”“预测轨迹有没有覆盖”“决策里安全边界是否被突破”“执行层有没有能力跟上”几个子问题逐项验证。1.3 三个最常见的设计误区第一个误区是“车内乘客优先”一刀切。很多Demo为了营销写死“先保车内人”看上去很符合商业逻辑但放在公开道路上会变成对行人的系统性歧视监管和舆论都很难接受。第二个误区是试图把道德哲学直接写进代码。比如给“小孩”“老人”“成人”设置不同权重这听起来很伦理可实际上既无法验证权重是否合理也会让系统在模糊识别时做出不可解释的决定。你是想让算法看脸决定生死吗我觉得这个方向非常危险。第三个误区是认为“不做选择就不用担责”。有人说紧急情况下系统可以随机输出反正都是不可预测。这恰恰是最糟的设计因为随机等于放弃了所有可优化空间工程师无法追溯、改进事故后也完全没有解释依据。2. 紧急场景下的实车运行逻辑2.1 从感知到执行的时间线要理解“优先保护谁”为什么难先得明白系统在紧急情况下到底有多赶。假设车辆以80km/h行驶也就是每秒约22米如果前方目标在30米外出现留给系统的时间只有1.36秒左右。这一秒多里要完成的事情包括传感器采样、多传感器融合、目标检测、运动预测、路径规划、控制指令下发、制动/转向执行机构响应。不同模块的典型延迟大概是摄像头和雷达处理40到80毫秒融合与跟踪30毫秒预测50毫秒决策和规划50到100毫秒执行机构响应100到200毫秒。光这些固定延迟加起来就可能超过300毫秒再加上系统调度、信号传输和计算负载波动实际可用时间非常有限。所以算法不能等到目标“完全确认”再动作而要在概率还不确定时就开始“逐步压迫式制动”或调整横向偏移。这也是很多新团队容易翻车的地方只在仿真里测“目标在一个固定位置突然横穿”却忽略了传感器延迟和通信链路抖动。真实的伦理场景是一个“持续动态博弈”目标位置、速度、意图都在变系统必须边更新边决策。2.2 决策模块的输入到底有哪些决定“该躲还是该刹”之前系统需要知道很多信息。首先是自车状态当前速度、加速度、横摆角速度、转向能力、路面附着估计。其次是目标状态类型置信度、位置、速度、历史轨迹、预测的未来几秒路径。然后是周围环境可行驶区域、车道线、路沿、占位栅格、对向车辆、后方车辆位置。有时候还要考虑一些更软的信号比如目标是否在低头看手机、是否奔跑状态、旁边是否有遮挡物。我们项目里曾尝试把行人的姿态信息做成“意图特征”比如人在路边站着不动和突然起步跑向车道系统给出的安全走廊完全不同。但这类特征不稳定夜间、雨天的识别置信度会下降很多。这里我想强调一个关键点决策模块不应该直接拿“目标id”做道德判断而应该把输入还原成“碰撞概率”和“伤害风险”的估计。比如一个高速运动的小物体可能是皮球可能是小孩识别置信度都不高那系统该怎么处理正确做法不是去猜“它值不值得保护”而是把它当成“不可忽略风险”降低车速、拉大横向距离给后续判断留时间。2.3 车辆动力学约束安全距离、制动极限、路面附着很多伦理讨论默认车辆能在瞬间完成任何转向这是对物理规律的无视。车辆制动距离大致可以用 v²/(2μg) 估算其中v是车速μ是路面附着系数g是重力加速度。干燥沥青μ大约0.880km/h制动距离约31米湿滑路面μ降到0.4同样速度制动距离超过62米。这还只是理想模型没算轮胎衰退、负载转移和制动系统延迟。转向避让同样有极限。车辆侧向加速度受到附着系数限制湿滑路面上猛打方向可能直接失控反而制造更大的危险。而且路面留给车辆调整的横向空隙必须足够大我们工程上常用至少1.5米的安全余量来避免与目标擦碰低于这个值系统更倾向于强制动而不是转向。所以所谓伦理选择很多时候不是“要不要保护谁”而是“物理上还能不能避免碰撞”。一旦制动距离不足、转向空间太窄算法能做的只是在多个高风险方案里挑一个最短路径上的止损点。把这一点说清楚才能避免公众把自动驾驶想象成能飞天遁地的超级英雄。3. 目前行业采用的主流解决思路3.1 “最小风险状态”优先行业里相对形成共识的第一原则不是“保护行人”或“保护乘客”而是让车辆尽快进入“最小风险状态”。正常情况下系统应该保持安全行驶当发现前面无法按原计划安全行驶时算法会降低速度、开启危险报警灯、尝试靠边停车这个过程常被称为最小风险操作。为什么要强调这个因为碰撞伤害和速度密切相关动能随速度平方增长速度降低一点点结局往往完全不同。自动驾驶不需要在紧急情况下做出“炫技式”的完美绕障很多时候最正确的决策是提前减速、果断刹车哪怕造成后车追尾也要优先把本车对弱势交通参与者的撞击动能降到最低。我见过一个做得不错的系统它在无法避开的情况下不会“选一个人撞”而是按照“纵向强制动最小横向修正”的方式尽可能让车停在目标附近而不是正面高速撞上。这种做法不试图解决电车难题但大幅降低了实际风险也更容易被监管和公众接受。3.2 伤害分层避免伤害大于降低伤害如果进一步拆解“优先保护谁”会被翻译成一套风险分层目标。最理想是“避免伤害”系统通过保持安全距离、监控目标意图、提前预警让危险不出现。其次是“降低伤害”当危险已可预期但无法完全消除时系统选择减速、变更轨迹使碰撞能量最小。最后才是“可控伤害”实在无法避免碰撞时选择风险矩阵中综合伤害更低的方向。这里有个容易被误解的地方伤害分层不是简单地“人比动物更重要”。真实代码里往往用“风险场”或“代价地图”表示每个障碍物有一个风险区域算法计算的是轨迹进入这些区域的概率和对碰撞严重度的估计。一个移动缓慢的骑行者、一个突然加速的电动车、一个静止的护栏它们的风险表达形式完全不同系统会根据预测模型和动力学约束动态更新。做分层目标时要特别注意“舒适性”和“安全性”的冲突。有些用户会抱怨系统“过于保守”动不动就急刹但这是为了换取极端场景下的安全边界。我们的经验是宁可让系统在日常体验上多做打磨也不要在安全边界上妥协否则一旦出现伦理级事故前期体验优势全部归零。3.3 驾驶员存在时的接管策略L2/L3级系统里伦理决策还有一条退路把控制权交给驾驶员。很多量产方案在探测到驾驶员分神、打瞌睡或长时间不接管时不是由系统陷入伦理判断而是先发出分级警告再逐步降级到最小风险状态。设计接管策略时要考虑“人的反应时间”和“系统退让时间”。如果系统检测到前方有潜在冲突但驾驶员还有足够时间反应它会先给出强烈的视觉、听觉提示等待驾驶员转向或制动如果检测到驾驶员已经无响应系统会自动退出“驾驶员主导”模式进入安全仲裁。有人觉得这是逃避问题但我觉得在实际工程里把权限清晰转移比强行做伦理选择更可靠。毕竟人的优势和短板都很明确人类可以基于复杂社会场景做判断但在持续监控、疲劳状态下容易掉线。系统能做的是识别“人掉线的时刻”并尽早接管。3.4 从规则引擎到神经网络可解释性的代价决策模块的实现路线大致分成两类一类是规则引擎加状态机可解释性强但面对长尾场景容易顾此失彼另一类是端到端神经网络直接从传感器出控制指令泛化能力好但很难解释“为什么在这个路口选择突然转向”。行业目前更多采用“混合架构”用规则和概率模型做底层安全仲裁用学习模型做复杂场景的轨迹预测某些局部决策可以用神经网络加速但最终执行结果必须能在安全层被约束和解释。伦理问题对“可解释性”的要求极高。事故发生后监管、法务、公众都会问“为什么车选择向右而不是向左”如果模型内部是一堆不可解释的向量很难自证清白。所以我一直认为所谓自动驾驶汽车伦理难题不止是“该保护谁”的问题更是“事后如何证明你的保护逻辑是合理的”工程问题。4. 测试验证与数据收集的实操难点4.1 仿真场景库的构成要做伦理相关场景的测试第一件事是搭一套参数化的仿真场景库。常见要素包括行人突然横穿、儿童追球冲入车道、非机动车从遮挡区域冲出、对向车辆强行借道、路面低附着加连续弯道。这些场景不能只做单一版本需要把相对速度、初始横向距离、遮挡物位置、目标加速度曲线、天气和路面都设成变量。仿真场景不是越多越好而是要覆盖“决策灰度地带”。比如目标在“能刹停”和“不能刹停”的边缘速度、距离稍微变一点结论完全不同。我们常用网格化参数扫描行人横穿速度取1.5到6m/s自车速度取30到90km/h横向距离取1到8米每个组合跑几十次记录失败率和风险指标。仿真还有个容易被忽视的问题把真实事故数据转成仿真场景时原始数据往往不完整。没有精确的摩擦系数、没有传感器丢帧情况、没有司机的微操作重建出来的场景很可能“失真”。所以场景库既要包含真实数据重建也要加入大量合成对抗场景否则测不出边界。4.2 真实道路测试怎么设计伦理场景真实道路测试里我们不可能人为制造“必须撞谁”的伦理困境那既违反安全底线也会给测试人员带来巨大风险。所以测试设计围绕的是“系统是否在临界点之前采取了合理避险动作”而不是“最后一秒选谁”。封闭场地里常用气球假人、可移动平台、遥控模型车来模拟目标。测试时会设定一个最低碰撞时间mTTC的保护门限如果车辆即将越过这个门限安全员会通过远程急停终止测试。我们在测试中验证的核心指标是系统是否提前识别了威胁、是否做出了有效减速或避让、避让过程是否保持车辆稳定。我强烈建议在封闭场地里加入“干扰目标”同时出现一个静止车辆、一个穿行行人和一个路侧施工区域看系统能否在信息不完整时优先选择降低风险。这种多干扰场景比单一目标更能暴露出决策仲裁的问题。4.3 影子模式积累真实决策数据真实道路上很难遇到极端伦理场景直接采集太危险于是很多团队采用“影子模式”自动驾驶系统在后台运行不控制车辆只做决策输出与真实驾驶员的控制行为进行比较。这样既能积累大量真实数据又不会介入安全风险。影子模式的难点在于数据分布极度不均衡。绝大多数情况下驾驶员和系统的决策结果是一致的没有任何价值真正有价值的可能是每十万公里一两次的急刹车、避让或误判。所以我们需要建立“事件挖掘”机制当车辆出现急减速、车道偏离、目标切入等特征时自动把前后30秒的原始数据打包上传再离线回放分析。但回放分析有个大坑离线数据只有传感器记录没有驾驶员当时的心态、视线方向也没有路面摩擦的真实测量值。我们曾经认为某次偶发刹停是系统误判回放后才发现其实是前车在坡顶后突然排队驾驶员自己都没看清但系统先一步给了警报。这种数据能帮我们优化预警时机却不能直接当作“伦理决策正确”的证据。4.4 我们踩过的几个坑我在多个项目里都遇到过类似问题写出来给大家避坑。第一传感器延迟会让伦理决策“永远晚一步”。一开始我们用当前帧目标位置做规划结果发现目标横穿时从检测到执行已经有300多毫秒目标实际位置比帧上位置更靠前。后来我们加了运动补偿用预测位置替代当前帧位置紧急避险能力提升非常明显。第二假目标的置信度设置要格外小心。曾经有个测试场景需要检测塑料袋我们把“低置信度目标”直接过滤了结果在雨天看到一个变形纸箱系统毫不在意地冲过去。后来改成“低置信度但高风险”的目标也参与风险场计算只是权重降低安全性立刻提升。第三测试场的地面和真实道路差异巨大。测试场往往是高附着、平整的路面制动性能非常好参数在测试场屡屡通过一到潮湿的城市快速路就“踩不住”。所以我们在标定中一定要把最大制动减速度下调到真实道路的保守值并加入路面附着估计。第四场景“太干净”反而会误导优化。很多仿真场景只有一辆行人车系统在这种环境下敢大胆避让但真实道路两侧都有车流避让轨迹很可能和对向车道车辆发生碰撞。后面我们做联合场景生成把可能的冲突目标同时放进同一段时空系统的决策明显更保守也更安全。5. 法律法规与责任认定的现实约束5.1 产品责任与驾驶责任的分裂传统交通事故责任建立在“驾驶员有过错”的框架下谁违规谁负责。但L4级自动驾驶没有驾驶员车辆本身成为“产品”。一旦发生碰撞到底应该按产品缺陷追究制造方责任还是按道路参与者责任划分这是各个地区监管都在讨论的问题。从产品角度看如果系统因为在伦理困境中选择了某种避险策略而发生事故需要证明这个选择是否合理。合理性的依据不是“直觉”或“公关话术”而是车辆在设计时是否遵守了行业公认的安全目标比如是否保持足够安全距离、是否在检测到威胁后及时制动、是否在无法避免碰撞时选择了伤害最小的方向。这个变化对开发流程影响很大。我们团队现在做决策模块时会邀请法学和保险背景的人参与“风险推演”把可能的法律后果前置到需求阶段而不是等技术方案做完再补救。虽然效率会变低但能避免后期责任认定时陷入被动。5.2 事故数据记录仪的作用要还原事故中“系统当时在想什么”必须依赖类似飞机黑匣子的车辆事件数据记录仪。它需要记录的不只是最终控制指令还包括传感器原始信号、目标检测结果、预测轨迹、规划轨迹、安全仲裁状态、驾驶员接管状态等。记录这些数据会产生巨大的带宽和存储成本但这是值得的。没有底层数据只有“车当时转向了”的结果事故后完全说不清是不是传感器把目标识别错、是不是规划模块给出的轨迹超过了车辆极限、是不是安全边界被错误覆盖。我在一个内部评审里曾要求决策模块把“每个候选轨迹的风险评分”也写进日志。一开始同事觉得没必要后来在一次封闭场地误碰撞分析中正是靠评分记录发现系统对某个低置信度目标的惩罚权重过低导致轨迹评分被高估。这个改动帮助我们在后续版本里建立了一套失败归因流程。5.3 行业共识与标准动向虽然还没有全球统一的“伦理算法标准”但几个方向正在形成共识尽量避免给算法设置“人群优先级”不把“保护乘客”作为绝对第一原则优先强调最小风险状态和伤害降低策略所有决策需要有可解释、可追溯的记录。标准制定的另一个方向是把“伦理场景”纳入功能安全和预期功能安全的评估框架。传统功能安全主要关注系统失效问题而预期功能安全关注的是“即使系统正常发挥也可能因为感知局限、环境复杂导致伤害”。这组概念可太适合伦理场景了它把从传感器盲区到天气干扰再到目标行为不确定的问题都拉到了同一张风险矩阵上。当然标准归标准实际落地很难。很多场景的风险概率极低但后果极其严重这种“低概率高风险”事件在统计学测试里几乎不可能被充分验证。所以我的判断是短期内不会有“万能伦理标准”更多的是靠企业主动设计安全边界和透明披露。6. 我的实践体会与给同行的建议6.1 伦理决策不是一步到位的完美命题刚入行时我也幻想过“写一个终极算法解决电车难题”做了几年之后我越来越明白伦理决策是一个持续迭代的工程收敛过程。每代系统能做的是在更早的时间点识别危险、在更安全的边界内规划轨迹、在更充分的证据下使用更保守的策略。与其追求一次完美的“道德算法”不如先建立一个低风险的默认策略任何时候只要情况不明优先减速、减少危险动作、增加安全距离。这样即便最终决策不如人类完美也不至于造成严重、不可挽回的后果。伦理问题会随着感知能力提升和预测模型丰富而不断收窄但永远需要人来定义安全底线。6.2 给团队的最小可行闭环建议如果你想在自己的项目里启动伦理场景相关工作我建议按下面这个闭环走。第一步建伦理相关场景库把“行人横穿”“障碍物突然出现”“低附着紧急制动”做成可重复的仿真测试集。第二步在仿真里跑通最小风险状态确保系统在无法完成原计划时能安全停车。第三步用真实车辆在封闭场地验证关键参数比如紧急制动减速度、横向避让阈值。第四步上线影子模式持续积累真实道路上的“临界事件”数据并回放分析系统决策和驾驶员操作的差异。第五步成立跨职能伦理评审小组至少包含算法、功能安全、法务和测试的人定期审视安全边界参数和异常数据。每一步都要留下文档和日志否则后续问题来了连怎么复盘都没有依据。6.3 普通人视角下的“优先保护谁”对外沟通时我们经常被问到“你们到底优先保护谁”我现在的回答会变简单我们优先保护“在风险中尽力降低伤害的可能性”而不是给特定类型的人贴标签。车辆会通过更早的感知、更谨慎的决策、更宽的物理空间去避免把自己和别人推到危险的选择里。这个答案可能让一些人失望因为它没有给出“碰到二选一的时候选哪边”的确定回答。但这恰恰是工程和哲学的区别工程不承诺奇迹只承诺把碰撞概率压到最低、把在事故中的伤害降到可控范围。我觉得用户真正需要的也不是一个残酷的决策标准而是对这个系统安全边界的清晰认知。我自己在项目里最深的体会是伦理难题不是靠写在发布会上的漂亮口号解决的而是靠一代代测试数据、一次次事故复盘、一份份可追溯日志堆出来的。下次再有人问你“自动驾驶该优先保护谁”你可以告诉他好的系统会努力让这个问题不发生如果实在躲不过它会选择把速度降到最低把伤害的代价留给可解释、可改进的证据链。