MIT 的 SANDO 无人机规划器：狭义安全保证为何重要

一架无人机穿过没有地图的建筑、森林火灾现场或矿井隧道时，面对的是一个容易描述、却很难解决的问题：刚才还安全的路线，可能在飞行器到达下一个转弯点之前就变得危险。障碍物可能移动，传感器可能漏检；即使规划器反应足够快，也可能只是依赖一个软性的偏好，而不是硬性的安全约束。

麻省理工学院研究人员开发了一套名为 SANDO 的飞行规划系统。SANDO 是 Safe Autonomous trajectory planning for Dynamic unknOwn environments 的缩写，意为面向动态未知环境的安全自主轨迹规划。该系统针对一种具体缺口：无人机事先不知道地图，还必须应对未来运动同样未知的障碍物。MIT 表示，SANDO 在仿真中生成了无碰撞规划，并在 12 次真实世界测试飞行中避开了动态障碍物。

这是一项有分量的研究成果，尤其是因为它把形式化分析与机载硬件测试结合起来。不过，它并不是一张适用于所有真实环境的通用安全证书。SANDO 的保证依赖于若干明确假设，包括障碍物速度、感知、估计误差、飞行器动力学，以及持续重规划的能力。这些条件不是脚注，而是决定这一结果究竟意味着什么的边界。

理解 SANDO 的更好方式，是把它看作自主系统中一个困难层面的安全架构，而不是飞行员、空域规则、可靠硬件或运行判断的替代品。

SANDO 要解决的问题

大多数自主无人机规划器都处在速度与确定性之间的某个位置。一套系统可以通过采样可能路径，并提高那些贴近障碍物的轨迹成本，来获得很快的响应速度。在普通环境中，这种方法可能表现良好，但成本并不等于禁令。如果最短路线的总体评分更高，优化器仍可能选择一条与物体距离近得令人不安的路径。

另一些规划器使用硬约束。它们会排除进入已知障碍物的路径，并能提供更强的保证；但随着环境变得复杂，或系统必须开始推理时间因素，计算也会更加困难。静态障碍物本身已经是几何问题。移动障碍物则同时涉及几何与时间：无人机不仅要避开物体当前所在的位置，还要避开它可能在无人机经过同一空间时所在的位置。

最困难的情形叠加了三种不确定性：

• 无人机起飞时没有完整地图。
• 障碍物可能以规划器无法精确预测的方式移动。
• 飞行器必须足够快地决策，才能依靠机载计算机飞行。

在静态地图中计算出的路线，只要有人、车辆、航空器或碎片进入路线，就可能立即失效。一个只在事后反应的规划器可能已经来不及，尤其是在狭窄空间或高速飞行时。SANDO 的目标，是让安全计算随着飞行器发现周围环境而持续运行。

MIT 的系统介绍称，这套规划器面向倒塌建筑搜索与救援、矿井勘探，以及拥挤区域配送等场景。这些应用类别合理地说明了问题的重要性，但也揭示了其难点。灾区并不只是未知；环境还可能因火灾、坠落物、救援人员、灰尘、烟雾或其他航空器而持续变化。

安全走廊如何工作

SANDO 把任务拆分成几个相互连接的部分。它首先利用无人机传感器建立环境表示，然后生成一条倾向于拥有更大可用空间的全局路线。MIT 将其描述为基于热力图的规划器：障碍物密度更高的区域会得到更高的风险成本，在存在替代路线时，系统会倾向于远离拥挤或不确定区域。

更有特色的部分是依赖时间的安全走廊。SANDO 不会把每个检测到的移动障碍物都当作在整个规划时间范围内可能占据其最坏位置，而是为每个时间区间估算一个可达区域。论文把这些按时间分层的区域称为时空安全飞行走廊。

基本思路并不复杂。如果已知障碍物的移动速度不会超过某个规定的最大速度，规划器就可以围绕障碍物设置一个保护体积，并根据可用于移动的时间让这个体积扩张。无人机的规划轨迹必须在相关时间点保持在该体积之外。随着时间推进，系统可以利用新的传感器观测重新构建走廊。

这比单一的静态缓冲区提供了更多信息。障碍物周围过于保守的缓冲区，可能让密集环境看起来根本无法通行；时间感知缓冲区则可以在飞行器快速通过时更小，在障碍物拥有更多移动时间时更大。结果仍然是保守的，但会把保守性放在物理上真正相关的地方。

最终轨迹优化在混合整数二次规划中使用硬性的碰撞规避约束。这种形式的计算负担很重，因此研究人员引入了一种变量消除技术，试图减少优化器必须处理的决策数量。相关研究论文报告称，该技术最多可将优化时间提速 7.4 倍。

从实际角度看，SANDO 并不是让神经网络猜测一条路线看起来是否安全。它利用感知结果更新几何模型，然后求解一个受约束的规划问题，在其中，避碰被视为必须满足的要求。这一区别很重要。学习型感知仍可能参与世界的检测与分类，但最终路径会依据明确的安全公式进行检查。

测试究竟证明了什么

目前报告的证据分为三层。仿真中，研究人员在静态和动态环境里将 SANDO 与其他规划系统进行比较。MIT 表示，在测试场景中，SANDO 在避免碰撞的同时，比几种先进方法更快到达目标。论文称，在其基准条件下，SANDO 的成功率最高，且没有违反约束。

第二层测试使用的是感知，而不是完美的真实地图。这一点很重要，因为如果规划器接收到模拟器提供的精确障碍物位置，系统可能看起来非常出色。真实航空器必须通过摄像头、深度传感器、激光雷达或其他机载测量来推断环境，而这些设备都有探测距离有限、时序不完美等问题。因此，SANDO 的感知闭环实验比理想化的纯地图演示更有信息量。

第三层是硬件验证。MIT 报告称，系统在真实无人机上进行了 12 次测试飞行，并避开了动态障碍物。论文摘要则描述了静态环境中的 6 次安全飞行，以及动态障碍物之间的 10 次飞行；两组数字不同，原因似乎是论文与后来的 MIT 总结对测试分组的统计方式不同。稳妥的结论是，这项工作包含多次机载实验，而不是已经完成了一次大规模运行试验。

飞行器使用自己的计算机和传感器进行规划与重规划。这是机器人研究中的一个有意义门槛。依赖强大外部工作站的系统，可能证明了算法思想，却不能说明该思想能在可部署飞行器上运行。机载执行并不意味着系统已经适合生产使用，但它确实弥合了仿真与飞行演示之间的一道重要鸿沟。

这些测试也必须放回原有背景中理解。12 次飞行足以说明实现可以在选定条件下工作，却不足以证明系统在不同天气、光照、烟雾、反光表面、传感器退化、通信中断、电池老化、异常飞行器行为或密集人群活动中都可靠。没有哪场短期研究能够覆盖整个空间。

这是一项有条件的保证，不是魔法

如果省略前提，“无碰撞保证”这一说法很容易被误解。SANDO 的形式化安全分析依赖系统必须知道或估计的边界。其中最重要的是障碍物最大速度。如果移动物体能够比用于扩张安全区域的速度边界移动得更远或更快，安全走廊就可能不再覆盖它所有可能的未来位置。

保证同样依赖感知和状态估计。规划器只有在检测到障碍物、把它放置在正确位置，并配备足够大的不确定性余量时，才能围绕障碍物执行硬约束。摄像头可能无法在深色背景中看见深色物体。雨水、灰尘、玻璃、树叶或反光表面可能让激光雷达回波稀疏或变形。移动的人可能一直部分被遮挡，直到无人机几乎没有机动空间。

数学模型与真实航空器之间也存在差异。分析可以纳入无人机的尺寸和运动限制，但真实飞行器还有执行器延迟、振动、空气动力学扰动、电池限制、温度影响和软件故障。如果航空器无法足够贴近地跟随优化后的轨迹，模型中的安全路径在现实世界中就未必安全。

系统还必须保持递归可行性：新的观测到来后，仍然要能够找到有效的后续路径。规划器可能为下一段路线生成安全路径，却把航空器留在一个无法安全抵达最终目标的位置。SANDO 的时变走廊设计有助于处理这个问题，但不能消除对备选行为的需求。成熟产品需要明确规定：如果不再存在可行走廊，系统应如何减速、悬停、返航、降落，或把控制权交给人类。

这些限制反而让结果更可信，而不是削弱它。定理之所以有用，正是因为它说明了哪些条件必须成立。真正的工程工作始于此：运营人员要检验这些条件能否在真实任务中被监测、执行，并在失效后恢复。

这对灾害响应意味着什么

搜索与救援队伍经常需要把机器人送入人类无法安全进入的地方。小型无人机可以检查倒塌结构、寻找热信号、绘制地下通道地图，或把轻型传感器送到响应队伍前方。在这些环境中，GPS 可能不可用，地图可能已经过时，飞行器还可能遇到移动中的救援人员或坠落碎片。

一个只是“通常能够避开障碍物”的导航系统，并不适合承担这种任务。碰撞的代价不只是更换无人机。坠机可能破坏观察受困人员的唯一传感器视角、堵住通道、引发电池火灾，或迫使救援人员进入危险区域取回航空器。形式化约束可以为任务规划人员提供更有力的风险评估依据。

同样的逻辑也适用于巡检。围绕工业设备、桥梁、电力基础设施或风力涡轮机飞行的无人机，可能需要靠近结构，同时与工人和其他机器保持安全距离。时间感知走廊有助于应对突然进入作业区域的起重机、车辆或人员。当固定地图无法反映每日变化时，这种能力尤其可能有价值。

但救援与巡检任务的要求也比实验室飞行更严格。烟雾会降低感知质量，风会把飞行器推离预期动力学范围；救援人员可能因为人类任务优先级而不可预测地移动，不会像一个速度受限的障碍物那样行动。实际运行系统需要保守的备选规则和清晰的权限结构：谁可以停止无人机，远程操作员如何接管，以及通信消失后会发生什么。

它没有解决配送无人机的全部问题

包裹配送是一个显而易见的商业应用，但仅凭 SANDO 并不能让自主配送变得可行。配送运营商需要的不只是局部避障，还包括航线授权、空域协调、地理围栏、身份识别、天气监测、可靠通信、降落或交付流程，以及应对人员、动物、电线和意外车辆的方案。

在美国，FAA 当前的 Part 107 指南仍然要求普通运行遵守目视范围内飞行规定；超视距飞行通常需要豁免或其他适用授权。FAA 也为在人群和移动车辆上方运行设定了条件。更好的规划器可以支持未来的审批申请，却不会自行授予飞行许可。

产品报道中很容易丢掉这个区别。“无人机能够避开未知的移动障碍物”描述的是一种技术能力；“运营商可以让无人机在社区上空执行无人监管的配送路线”描述的则是一套完整服务，包含法规、维护、保险、公众接受度和事故响应。前者是研究成果，后者是仍需建设的商业与安全系统。

不过，SANDO 仍可能成为这套系统的一部分。配送飞行器可以把形式化局部规划器作为航线管理服务下方的一层。航线管理器决定飞行器获准前往何处，局部规划器则在环境变化时让它保持在安全走廊内。这种分层方式类似许多安全关键系统的工程设计：高层任务策略选择被允许的行为，低层控制器执行物理约束。

运行层面的问题是：保守到什么程度

安全余量总是有代价。如果假设障碍物的最大速度很高，可达安全体积就会迅速扩大。航空器可能需要绕行更远、降低速度，或判定走廊不可行。如果速度边界设得太低，保证就无法覆盖真实环境。因此，边界的选择同时是技术决策和运行决策。

灾害响应团队可能愿意接受较慢路线，以保护价值很高的传感器。配送公司可能希望路线更高效，却对在人口密集区域上空悬停的容忍度更低。巡检运营商可能更希望工人进入作业区时无人机立即撤退。同一种算法可以产生不同的行为，因为失败后果和中断成本不同。

这也是 SANDO 热力图组件在概念上有用的地方。规划器不会把所有自由空间路线都视为同样理想。即使某个拥挤区域在技术上可以通过，系统也可以避开它。在真实部署中，这张风险地图还可以纳入比障碍物密度更多的信息：不确定性、人员存在、风暴露、紧急出口、禁飞区，以及可用传感器数据的质量。

优秀的自主系统应当让这些权衡可见。运营人员应能看到路线为何被拒绝、哪个假设使它变得不安全，以及航空器是否正在接近备选行为阈值。一个黑箱式的“安全”标签，不如一个显示当前速度边界、感知置信度、剩余走廊宽度和下一次重规划周期剩余时间的控制面板有用。

软件可能和飞行器本身同样重要

SANDO 还指向机器人领域更广泛的变化。人们常常用飞行器机体、电池或模型规模来衡量进步。但在困难环境中，限制因素可能是连接感知与行动的软件层，尤其是它如何在不确定性下做出决策。飞行器不需要像人一样的身体，才能从更好的规划中受益；它需要的是一个能理解世界何时改变、并把物理约束视为不可协商条件的控制器。

这项研究可能有价值，是因为它同时以算法、证明和实现的形式呈现。MIT 航空航天控制实验室的出版记录把这项工作列在其他轨迹规划研究旁边；论文也提供了足够细节，让研究人员检查假设并复现部分评估。相比一段精心剪辑、却没有说明规划器、传感器输入或失败案例的飞行视频，这对整个领域更有帮助。

如果开源研究代码得到持续维护，并由独立团队在原始硬件和环境之外进行测试，它的价值还可以继续扩大。下一步真正有意义的证据，应包括更长时间的试验、不同传感器、更强扰动、遮挡、感知退化和有意制造的故障。研究人员也应报告险些碰撞、紧急停止、不可行规划和操作员介入，而不只是成功飞行。

对于商业机器人来说，这些负面案例往往比醒目的成功率更有信息量。一个能够安全停止并请求帮助的系统，比一个持续移动直到触碰模型脆弱边界的系统更有价值。备选行为的质量，可能决定规划器能否获得认证，并在人群附近运行。

接下来应该关注什么

SANDO 的直接贡献是狭窄而明确的：它展示了无人机如何在未知动态环境中，把依赖时间的障碍物建模、硬性轨迹约束、快速优化和机载重规划结合起来。这足以让它成为自主飞行规划中的重要成果，但并不证明通用无人机已经准备好在任何公共空间中无监督飞行。

下一阶段的里程碑应当具体。研究人员需要说明系统如何在现场估计障碍物速度边界，当这些边界被违反时会如何运行，以及增大不确定性余量会损失多少性能。他们还应使用传感器掉线、通信延迟、风、低能见度，以及无法用简单几何体很好近似的障碍物来测试规划器。

部署方则应提出另一组问题：系统能否解释一条被拒绝的路线？人类能否立即中断它？系统是否有安全降落策略？事故发生后，其假设能否被审计？它如何融入空域授权和运行控制框架？

这些问题听起来可能没有“保证避免碰撞”那么吸引人，但它们决定了一条定理能否经受真实任务的检验。SANDO 的重要性在于，它把安全讨论中的一部分从模糊信心推进到了明确条件。实际成就不是无人机变得不会犯错，而是这项安全主张可以被检查、测试，并最终得到改进。

来源

本文依据 MIT News 对 SANDO 系统的介绍、SANDO 研究论文、MIT 航空航天控制实验室出版记录，以及美国联邦航空管理局关于 Part 107 和人群上方运行的监管资料改写。文中关于测试数量、速度边界、优化加速、应用限制与监管条件的表述，均保留了原始材料中的范围和不确定性。