典型事故与经验教训
自动驾驶行业每一次重大事故都会把整个行业向安全曲线的更高处推一寸。与其回避这些痛苦的记忆，不如系统地复盘：哪一层出了错？责任如何认定？行业因此做了什么改变？本节精选 2016 年以来十余起具有行业影响力的事件，以技术栈分层与规律提取两条线索加以组织。
阅读说明
- 每起事件的表述以公开调查报告（NTSB、NHTSA、加州 DMV、国内媒体）为主，必要处补以公司公告与学术论文；
- 责任认定以最终监管结论为准；正在调查的案例会明确标注"Pending"；
- 本节不旨在指责具体公司，而是希望读者从工程视角提炼可复用的教训。
1. 事故分类框架
在分析具体案例前，先建立一个分层模型，便于把每起事件映射到对应的技术栈位置：
| 层级 | 典型失效模式 | 对应案例 |
|---|---|---|
| L1 感知层 | 目标漏检、误检、语义理解错误 | Tesla 白色卡车事故、Uber ATG 2018 |
| L2 预测/决策层 | 意图预测错误、行为决策保守/激进 | Cruise SF 2023、Waymo Pedestrian Drag 2024 |
| L3 规划/控制层 | 轨迹不可执行、控制振荡 | Apollo Go Wuhan 2024 碰撞 |
| L4 HMI / 驾驶员接管 | 提示模糊、监控失效、滥用 | Tesla Autopilot 多起、特斯拉滥用 FSD Beta |
| L5 系统集成 | 冗余失效、故障切换失败 | Tesla Hardware 3 降级、Waymo 灯光通信失效 |
| L6 运营 / 远程协助 | 远程指令误操作、调度漏洞 | Cruise SF 2023 远程处置不当 |
| L7 监管 / 流程 | 报告隐瞒、资质失效、违规扩张 | Cruise 隐瞒 CA-DMV、Uber ATG 停测 |
所有案例都可以在这张表里"对号入座"——很多重大事故其实是 多层同时失效 的结果。
2. 事故详解
2.1 Uber ATG：Tempe 亚利桑那致死事故（2018-03-18）
事件概述 测试车辆（Volvo XC90，搭载 Uber 自研 ADS）于凤凰城 Tempe 晚间 22:00 前后，以约 63 km/h 通过四车道道路时，撞上推自行车横穿马路的 Elaine Herzberg 女士，致其当场死亡。车内有一名测试安全员 Rafaela Vasquez，事后视频证实其在事发前观看手机视频。
技术原因（NTSB 2019 报告）
| 层级 | 问题 |
|---|---|
| 感知 | 检测器在 5.6 秒内对目标的分类在"未知 / 车辆 / 自行车"之间多次切换，未能稳定识别 |
| 预测 | 由于分类不稳，预测器重置了跟踪历史，未能输出连续轨迹 |
| 规划 | Uber 软件禁用了 Volvo 原厂 AEB（防止冲突），同时将"紧急制动抑制窗口"设置为 1 秒以上，避免急刹体验差 |
| HMI | 未向安全员发出声/光警报要求接管；事发前 6 秒系统已识别目标但没有任何提示 |
责任与结果
- 安全员 Vasquez 被检方以过失杀人起诉，2023 年认罪换缓刑；
- Uber 公司未被起诉，但 ATG 部门于 2020 年以 40 亿美元卖给 Aurora；
- Arizona 吊销 Uber 路测资质，加州也随即暂停。
行业影响
- 所有美国路测公司后撤并重新审计检测器的类别切换稳定性；
- NHTSA 开始要求 L2+ 系统的紧急事件日志最小保留时间；
- 后续行业共识：不得关闭原厂 AEB，自研 AEB 必须至少达到原厂水平；
- 安全员培训更严格：禁止随身携带分心设备，需双人值守。
2.2 Tesla Autopilot：Joshua Brown 事故（2016-05-07，佛罗里达）
事件概述 2016 Tesla Model S 以 Autopilot 模式在 4 车道公路上行驶，一辆白色半挂卡车横穿道路。车辆未识别卡车侧面，以约 119 km/h 径直撞入挂车底部，Brown 当场死亡。这是全球首例 L2 自动驾驶致死事故。
技术原因（NTSB 2017 报告）
- 视觉检测将白色挂车侧面错认为明亮天空；
- Mobileye EyeQ3 当时不支持垂直于车辆行进方向的静态大目标检测；
- 毫米波雷达因"避免拱桥误触发"而把静态高空返回过滤掉，挂车被一并过滤；
- Autopilot 允许用户连续 37 分钟完全不施加方向盘扭矩，监控机制严重不足。
责任与结果
- NHTSA 认为 Autopilot 没有设计缺陷，但指出 Tesla 对"驾驶员监督"的设计不充分；
- Mobileye 随后公开与特斯拉分道扬镳，公司随后自研 HW2；
- 事故加速了 NHTSA 推出新的 L2 系统调查机制，后来演化为 2021 年的 Standing General Order。
后续类似事故
| 年份 | 受害者 | 背景 |
|---|---|---|
| 2018 | Walter Huang | Model X 沿 US-101 撞上高速护栏分岔头；FSD 未识别磨损车道线 |
| 2019 | Jeremy Banner | Model 3 撞入横穿的卡车，重复 Brown 事故场景 |
| 2023 | Dillon Angulo | FSD Beta 测试过程中 Model S 冲过停车标志撞击路口来车 |
教训
- Operational Design Domain 必须显式定义：高速公路并非所有子场景都可安全驾驶；
- 静态大目标检测是视觉感知的经典难题，必须通过多帧融合与多模态校验；
- 驾驶员监督不能仅靠方向盘扭矩，需引入面部/视线跟踪；
- 产品命名"Autopilot"误导用户，监管持续要求整改。
2.3 Uber ATG 之后：Cruise 旧金山 Pedestrian Drag 事件（2023-10-02）
事件概述 深夜 22:00 前后，旧金山 5th & Market 路口，一名女性行人被另一辆有人驾驶汽车撞飞后抛入 Cruise 无人出租车前方，Cruise 车辆碾压后将其拖拽约 6 米并停车于右前轮下方。行人重伤但幸存。
技术原因（Cruise 自查与 DMV 处罚通告）
| 层级 | 问题 |
|---|---|
| 感知 | 车辆检测到了碰撞，但将"人体在车轮下"错判为"路边障碍物" |
| 规划 | 碰撞后，系统触发"靠边停车"程序，试图完成 pullover maneuver，实际拖行伤者 |
| 系统集成 | 系统未检测到车底存在人体；未实现车底碰撞检测冗余 |
| 运营与监管 | Cruise 在最初提交 CA-DMV 的视频中隐去拖行片段，只展示碰撞瞬间 |
责任与结果
- 加州 DMV 立即吊销 Cruise 无人驾驶运营牌照；
- Cruise 主动撤回全美 Robotaxi 运营，召回 950 辆车辆；
- CEO Kyle Vogt、CTO、首席产品官辞职；
- 通用汽车在 2024 年宣布彻底关闭 Cruise Robotaxi 业务（改为将技术用于消费车 Super Cruise）；
- 第三方调查报告（Exponent/Quinn Emanuel）揭露内部沟通不透明与安全治理薄弱。
行业影响
- 车底/车轮冗余检测列为一线 Robotaxi 公司的必做项（Waymo 随后公开新增超声波环车检测）；
- Post-Collision 的规划逻辑写入 SAE J3237 草案（Minimum Post-Crash Behavior）；
- 各大公司开始公开事故全量视频而非片段，提升监管信任；
- 行业意识到：运营治理和工程同等重要，再强的技术也会被透明度丑闻反噬。
2.4 Waymo 拖行行人事件（2024-02，凤凰城）与自报披露
事件概述 2024 年 2 月凤凰城一起事故中，Waymo 车辆在左转过程中刮到一位骑行者，幸无重伤。与 Cruise 形成强烈对比，Waymo 主动在 24 小时内公开事故调查报告。
核心启示
- Waymo 的主动召回 + 自愿软件更新策略，在公众与监管层建立了区别于 Cruise 的信任档位；
- 行业观察者将两家处理方式作为"安全文化"好与坏的标准教材。
2.5 Tesla FSD 与 Highway Patrol 案（2023-02，Fremont）
Tesla Model S 激活 FSD Beta 后，沿 880 号高速公路追尾前车，造成 1 死 1 伤。NHTSA 将该事件纳入对 FSD 的大规模调查，至 2024 年 12 月发布召回，要求 Tesla 更新软件以改进驾驶员监控，影响约 202 万辆车。
教训：
- 长尾场景中的前车减速识别仍是 L2 的软肋；
- 监管更强硬地使用 OTA Recall 机制，Tesla 软件召回将成为常态工具。
2.6 Apollo Go 武汉运营期间的典型事件（2023–2024）
2024-07 武汉某路口碰撞：萝卜快跑与人驾出租车发生低速碰撞，无人员伤亡。百度第一时间公开行车视频，并向监管提交事故日志。
公众舆情：2024 年夏天，武汉出租车司机对无人出租车"抢单"引发广泛抗议，倒逼运营方调整 ODD（避开高峰时段、限制热门商圈）。
教训：
- 工程安全之外，社会接受度是商业化必修课；
- ODD 动态调节需要运营/工程协同流程（如 Geofencing + Time-fencing）。
2.7 Tesla Model S 加州高速火灾（2021-04，Spring, TX）
车辆脱离车道冲出撞树并起火，初步报告称无人在驾驶座。NHTSA 最终调查发现事故时仍有驾驶员，但该事件凸显：
- BMS 热失控下的救援难度（FSD 配套 4680 电池热保护工程重要性）；
- 事故现场取证对新能源自动驾驶车的新挑战：需要同时保留电池状态、自动驾驶系统日志、远程命令流水。
2.8 Pony.ai / WeRide 等国内路测事件
| 时间 | 公司 | 事件 | 处置 |
|---|---|---|---|
| 2021-10 | Pony.ai 加州 | Fremont 单车撞隔离带 | 加州 DMV 暂停路测牌照 6 个月，公司补交感知模块整改报告 |
| 2022-04 | WeRide 广州 | 路口识别不全撞环卫车 | 广州监管要求暂停部分路线，驾驶员全员培训 |
| 2023-06 | 某初创公司 | 追尾事故，数据未及时上报 | 行业自律倡议加强，中汽协牵头推出事故信息披露自律条例 |
教训：
- 路测数据完整留存与 5 分钟内 upload-to-cloud 是监管底线；
- 单车事故即可触发全车队重新验证，模块化测试回归的自动化工具必不可少。
2.9 网络安全事件：Jeep Cherokee 远程劫持（2015）
虽然早于自动驾驶规模化，但 Charlie Miller 与 Chris Valasek 利用 Uconnect 漏洞远程控制 Jeep 方向盘/刹车，触发 140 万辆车召回。对自动驾驶行业的意义：
- 首次证明车载 T-Box / IVI 可以成为汽车被劫持的入口；
- 催生 ISO/SAE 21434、UN R155/R156 等现行车辆网络安全法规。
2.10 小米 SU7 高速事故（2025-03-29，安徽铜陵）
这是中国辅助驾驶发展史上影响最深远的事故。一辆小米 SU7 在高速公路上以 NOA 状态行驶时撞击施工路段隔离带并起火，造成 3 名大学生死亡。
已知的时间线要素： 车辆在 NOA 状态下识别到施工改道后发出接管请求，驾驶员接管后仍在极短时间内发生碰撞。事故的关键争议集中在三点——从系统预警到碰撞的接管时间窗口是否足够、碰撞后车门是否可正常开启、以及事故前 NOA 的实际能力边界是否被用户正确理解。
监管连锁反应：
- 2025 年 4 月，工信部召开会议整顿智能驾驶宣传：全行业由"智驾"改称"辅助驾驶"，禁止夸大宣传、禁止公测式推送、收紧 OTA 申报
- 该事件是 2026 年 7 月发布 GB 47955—2026（首个 L2 组合驾驶辅助强制性国标）的直接背景之一
未决状态： 截至 2026 年 3 月新一代 SU7 上市时，官方调查结论与责任认定仍未公布，是行业长期关注的悬案。
教训：
- 接管窗口必须按人因工程而非系统能力设计：即使系统"依规"发出了 TOR，若留给人类的反应时间不足以完成感知—决策—操作链路，该设计在安全论证上就是不成立的；
- 营销话术是安全边界的一部分：用户对系统能力的理解直接决定其监督强度，夸大宣传会系统性地降低驾驶员的警觉水平；
- 被动安全不能被智能化叙事掩盖：碰撞后的电池热失控、车门解锁逻辑、乘员逃生同样是自动驾驶车辆的安全设计要素。
2.11 萝卜快跑武汉大规模趴窝事件（2026-03-31）
3 月 31 日晚，武汉二环线、杨泗港长江大桥、白沙洲大桥、三环线等多个路段约上百辆萝卜快跑同时停在路中，警方通报为系统故障（外界推测为云端通信链路中断），造成数小时交通拥堵，无人员伤亡。
教训：
- 云端链路是全车队级单点失效：远程调度与远程协助提升了运营效率，却把云侧故障放大成全车队事件；
- 通信降级下必须保留车端自治：失去云端连接时，正确的降级行为是自主驶离主车道后靠边停车（最小风险策略），而非原地等待指令——这是"失效可运行（fail-operational）"要求从传感器/计算单元向整条云端链路的延伸；
- 无伤亡不等于无危害：大规模道路阻塞本身即是公共安全事件，且对公众信任的损害不亚于一起碰撞。
2.12 Waymo 的规模化召回（2026）
| 时间 | 事件 | 召回规模 |
|---|---|---|
| 2026-05 | 4 月一辆空载无人车在圣安东尼奥极端天气中驶入被洪水淹没的路段 | 3 791 辆 |
| 2026-06 | 自 4 月起 12 起以上车辆无视匝道封闭标志、驶入高速施工区 | 约 3 900 辆（几乎全部美国车队） |
此外，2026 年 1 月一辆 Waymo 在圣莫尼卡一所小学门口接送时段撞到一名儿童（轻伤），NHTSA 与 NTSB 分别立案调查，调查在 2026 年内持续。
教训：
- 车队规模放大了软件缺陷的爆炸半径：当软件统一、车队达到数千辆，任何缺陷都不再是"个别车辆问题"而是系统性事件，单次召回即覆盖全部车辆；
- 灰度发布与快速回滚必须是运营基础设施，而非工程团队的临时手段；
- 长尾场景正在从"研究话题"变成"监管条目"：洪水路段、施工封闭、校区儿童这些场景在 2026 年集中转化为召回与调查。
2.13 Zoox 火灾现场处置失当与召回（2026-06）
2026 年 6 月 20 日，一辆 Zoox Robotaxi 在拉斯维加斯驶入火灾现场的浓烟区域并出现异常停车行为。Zoox 于 7 月提交自愿软件召回（105 辆），新增烟雾与消防现场识别能力。
同月，NHTSA 局长向全体自动驾驶开发商致函，指出"无人驾驶车辆干扰执法与急救人员已形成明显模式"，要求月底前提交整改方案。
教训：
- 应急场景是独立的 ODD 维度：消防现场、警戒线、执法指挥手势构成一类专门的交互场景，需要显式建模而非依赖通用感知泛化；
- 与人类应急人员的交互能力已成为 2026 年美国监管的新焦点。
2.14 Tesla Katy 致命事故（2026-06-19，得克萨斯）
一辆 Model 3 冲入民宅，造成一名 76 岁女性死亡。驾驶员称当时自动化功能处于激活状态；特斯拉表示数据显示加速踏板被踩到底、覆盖了系统。NHTSA 启动专项碰撞调查，NTSB 另行立案。
此前 2026 年 3 月，NHTSA 针对 FSD 闯红灯、逆行等违章行为的调查（EA26002）已升级为工程分析，覆盖约 290 万辆——该阶段通常先于召回。
教训：
- 驾驶员输入与系统行为的归因需要可信数据：当厂商是唯一的数据持有方时，事故归因结论的公信力取决于数据能否被独立验证；
- "系统被人为覆盖"不自动等于系统无责：设计上是否应对明显异常的踏板输入做合理性检查（pedal misapplication mitigation），本身就是安全设计议题。
3. 关键教训汇总
将所有案例按"失效层级 × 频次"聚合，可以抽象出七条可复用的工程经验：
- 不要抑制原厂安全功能：任何自研 AEB、AES、LKA 必须在关闭原厂时同等覆盖，且监管可稽核。
- 监控驾驶员不是形式主义：扭矩检测易被规避，要结合视线/面部监测；L2 必须在 ODD 边界主动脱退。
- 感知不稳并不罕见，架构要能"失败安全"：一旦类别连续切换，系统应进入保守策略而非正常规划。
- 事故后行为（Post-Collision Behavior）是设计目标，不是补丁：停车、打双闪、呼叫远程、不得拖曳。
- 多传感器并不自动等于冗余：需要交叉校验（cross-check）和独立失效分析，不是简单"加块 LiDAR"。
- 远程运营中心（ROC）是安全链的一部分：流程、话术、审计日志都需纳入 ISO 26262/SOTIF 管理。
- 监管透明是生存策略：隐瞒细节会被加倍惩罚；主动披露是长期商业模型的一部分。
- 规模本身是一种风险源：车队从数百辆增长到数千辆后，统一软件使单个缺陷同时作用于全部车辆（2026 年 Waymo 两起近全车队召回、萝卜快跑武汉集体趴窝）。灰度发布、影子验证、快速 OTA 回滚必须前置为运营基础设施。
- 云依赖需要车端自治兜底：把调度与协助放到云端提升了效率，但也创造了全车队级单点失效；通信中断时的默认行为必须是主动进入最小风险状态，而非原地等待。
- 用户预期是安全设计的输入变量：行业分析认为超过 60% 的辅助驾驶事故源于系统能力与用户认知的错配。宣传口径、命名、HMI 提示共同决定了驾驶员的实际监督强度，因此属于安全工程范畴而非市场部门的自由裁量。
4. 事故复盘的方法论
对工程团队而言，每起真实事故都应转化为可执行的改进项。推荐使用如下复盘模板：
1. 事件摘要 → 5W1H（时间 / 地点 / 车辆 / 环境 / 结果）
2. 时间轴重建 → 传感器帧、规划指令、执行器响应毫秒级对齐
3. 故障树分析（FTA）→ 根因树 → 潜在共因故障
4. 失效模式（FMEA） → 与事件相关的所有 FMEA 条目是否已覆盖？
5. 责任矩阵 → 工程 / 流程 / 运营 / 监管各占比例
6. 改进项 → 可验证、可追踪、有截止日期
7. 回归用例 → 写入仿真场景库，作为后续所有版本的必考题
8. 对外沟通 → 客户、乘客、监管、大众分别准备哪些材料
高成熟度组织会把每个事件都变成长久存在的场景脚本（Scenario）。Waymo 的 Carcraft、Cruise 的 Matrix、Apollo 的 Scenario Factory 都是此方法论的产物。
5. 小结
事故并非技术的耻辱，而是行业诚实面对自身的镜子。自动驾驶发展的真正里程碑，从来不是"xxx 不再出错"，而是每次出错后能否让所有人更安全。
- 从 Brown（2016）到 Herzberg（2018），行业意识到了"驾驶员监督的必要性"；
- 从 Cruise（2023）到 Waymo 召回（2024），行业学会了"透明披露的商业价值"；
- 接下来的几年，随着 Robotaxi 规模扩大，事故统计学基础将越来越清晰，也会有更多未知场景暴露出来。
读者在后续章节学习具体模块时，不妨回忆：这个设计选择，能避免本节中的哪一起事故？
参考资料
- NTSB. Collision Between Vehicle Controlled by Developmental Automated Driving System and Pedestrian, Tempe, Arizona. HAR-19/03, 2019.
- NTSB. Collision Between a Car Operating With Automated Vehicle Control Systems and a Tractor-Semitrailer Truck. HAR-17/02, 2017.
- California DMV. Order of Suspension of Autonomous Vehicle Deployment Permit, Cruise LLC. 2023-10-24.
- Exponent / Quinn Emanuel. Cruise Incident Independent Review. 2024-01.
- NHTSA. Standing General Order 2021-01: Incident Reporting for Automated Driving Systems and Level 2 Advanced Driver Assistance Systems.
- Miller, C., Valasek, C. Remote Exploitation of an Unaltered Passenger Vehicle. Black Hat USA 2015.
- 国家市场监督管理总局. 汽车产品召回通告，2022–2026.
- 百度 Apollo. 萝卜快跑安全白皮书. 2024.
- NHTSA. Recall Report RCAK-26E026: Waymo freeway construction zone entry. 2026-06.
- CNBC. Amazon's Zoox recalls robotaxis after incident at smoky fire scene. 2026-07-17.
- CNBC. NHTSA opens investigation into fatal Tesla crash in Katy, Texas. 2026-06-22.
- NHTSA. Letter to AV developers on interactions with first responders. 2026-07.
- 工业和信息化部. 关于规范智能网联汽车生产企业宣传与 OTA 管理的会议要求. 2025-04.