ROAM

摘要：ASIL E 目前不是正式标准。它真正有价值的地方，不是提出了一个更高等级名称，而是把 L4/L5 自动驾驶安全论证里一个长期存在的问题说清楚了：当车里没有人时，安全案例不能继续 credit 一个不存在的人类控制者。对我来说，这份 proposal 更适合被翻译成三类工程资产：一页 L4 无人兜底审查清单、ADSafetyPilot 里的四个证据字段，以及 ROAM / DRIVEResearch / ADSafetyPilot 之间的一条运行阶段证据闭环。 前段时间，我在 LinkedIn 上看到一位功能安全同行发了一个 proposal，题目很直接： The Case for ASIL E. 本地 PDF 是 79 页，副标题是 A Sixth Integrity Level for L4/L5 Autonomous Systems。它的核心观点是：ISO 26262 的 ASIL D 是当前最高等级，但它背后的 controllability 逻辑，来自一个仍然有驾驶员作为残余控制者的世界。到了 SAE L4/L5，系统设计目标就是不依赖驾驶员接管，这个假设会断掉。 我读完之后，第一反应不是“ASIL E 要来了”。 恰恰相反，我的第一反应是： 这不是一个新等级问题，而是一个老问题终于被说清楚了。 先把边界说清楚 截至 2026 年 6 月 3 日，ASIL E 不在已发布的 ISO 26262、ISO 21448 或 UL 4600 中。 ...

摘要：当无人车的 AI 搞不定的时候，行业有没有一套成体系的应急管理机制？答案是没有，连一个参考标准都没有。本文从武汉萝卜快跑事件出发，回顾 Robotaxi 行业近期的三记重锤，扫描 ISO/SAE/IEC/中国四大标准体系在远程运营领域的全部空白，分析武汉事件后中国监管的根本性转向，并介绍 ROAM（Remote Operations & Anomaly Management）开源参考架构的四个模块、十种运营模式与 52 条标准扫描结果。 3 月 31 日，武汉。 近百辆萝卜快跑在晚高峰时段于高架路段同时熄火。乘客被困车内，SOS 按钮无响应，客服热线打不通。最终解决方案是什么？ 交警，一辆一辆地，手动救。 整个过程持续了两个小时。 同一天，大洋彼岸，美国参议员 Markey 发布了一份名为《Remote Back Seat Operators》的调查报告。他向七家头部自动驾驶公司（Aurora、May Mobility、Motional、Nuro、Tesla、Waymo、Zoox）提了一个很简单的问题： 你们的无人车到底多久需要一次远程人工干预？ 七家公司的回答高度一致——商业机密，拒绝回答。 这两件事凑在一起，指向了同一个问题：当无人车的 AI 搞不定的时候，行业有没有一套成体系的应急管理机制？ 答案是没有。更让人不安的是，连一个参考标准都没有。 一、Robotaxi 的三记重锤 把时间线拉长一点看，2025 年底到 2026 年初这几个月，行业连续挨了三记重锤。 2025 年 12 月 13 日，旧金山电网故障。 Waymo 的 20 多辆车失去通信，瘫在路上。应急服务拨打 Waymo 热线 31 次，累计等了 2 小时 36 分钟。Waymo 事后承认：断网的时候，他们没有办法把整个区域的车统一召回来。 2026 年 3 月 31 日，武汉萝卜快跑事件。 规模更大——近百辆车同时出问题，乘客被困在高架桥上。所有远程系统集体失效：SOS、客服、远程干预，全部瘫痪。 ...