无人机学会躲开会动的障碍，但“安全保证”有一张条件清单

一架无人机穿过倒塌的厂房。

它刚算出一条安全路线：左边是墙，右边是设备，中间还有一名救援人员。可就在螺旋桨转过几圈的时间里，那个人向前迈了一步。上一秒安全的空隙，下一秒可能已经不存在。

这就是动态未知环境里最麻烦的地方。

地图不完整，障碍物会移动，传感器有误差，计算还必须在飞行过程中完成。对这样的机器人来说，“会避障”远远不够。真正困难的问题是：在什么条件下，我们敢说一条轨迹被保证不会发生碰撞？

2026 年 10 月 7 日，MIT 介绍了一套名为 SANDO 的无人机轨迹规划方法。论文已经进入 IEEE Transactions on Robotics。研究团队说，它能在动态、未知、三维环境中，快速规划一条带有连续时间避碰保证的轨迹。

论文里的 12 次动态障碍硬件飞行都没有发生碰撞。

但这项工作的价值，恰恰不在一句“无人机不会撞”上。作者在论文末尾写得很清楚：真实硬件没有严格满足数学证明需要的全部假设。

一边给出安全定理，一边承认定理与机器之间还有缝隙。这张“条件清单”，比漂亮的演示视频更值得看。

会移动的障碍，改变了问题本身

传统无人机避障常常面对一个相对静态的世界。传感器看见墙、柱子和树，规划器就在空白区域里找路。只要这些物体不动，刚刚确认的安全空间，几秒后大致还在原处。

人、车辆、其他机器人加入后，问题发生了变化。

一条轨迹不仅要回答“从哪里经过”，还要回答“在什么时候经过”。同一块空间，现在是空的，一秒后可能正好被人穿过。障碍物未来往哪走通常不知道，机器人只能根据当前观测不断重算。

现有方法常在两类代价之间取舍。

一类方法把靠近障碍物写成“惩罚项”。轨迹越危险，代价越高，优化器通常会选择更安全的路线。这类软约束算得快，却无法从数学上排除一条轨迹穿过障碍物：如果其他收益足够大，或者模型遇到极端情况，惩罚仍可能被“付掉”。

另一类方法把避碰写成硬约束。危险区域不是贵，而是根本不允许进入。它更接近人们理解的保证，却往往需要更重的计算。对一架正在飞的无人机来说，安全答案如果来得太晚，也没有意义。

SANDO 要做的，就是在这两者之间找一条路。

给空间加上一层时间

SANDO 的核心不是单个神奇算法，而是一条连续的规划链。

第一步，系统根据激光雷达或深度相机的点云，识别静态区域和正在移动的障碍，并估计它们的位置、速度和尺寸。

第二步，一个带热力图的 A* 规划器先找全局方向。障碍物周围越危险，代价越高。它不直接给出最后轨迹，而是把无人机引向更可能生成宽阔安全走廊的区域。

第三步，系统建立“时空安全飞行走廊”。

可以把它想象成一串带时间戳的透明管道。无人机在第一个时间片只能待在第一层管道里，在第二个时间片进入下一层。移动障碍物也不再只是地图上的一个点，而是一个随时间长大的“最坏可能到达区域”。

关键区别在于，SANDO 不把障碍物在整个规划时域里可能到达的最大范围，一次性铺满所有时间层。

那样做虽然保守，却可能把所有通道都堵死。一个人三秒后可能走到很远，并不意味着他在半秒后也能瞬间出现在那里。

SANDO 按每一层的时间分别膨胀障碍：越靠近现在，障碍物来得及移动的距离越短；越往未来，不确定区域越大。这样既保留最坏情况的边界，又不至于过早牺牲所有可飞空间。

最后，系统用混合整数二次规划生成轨迹，把碰撞规避直接写成硬约束。团队又通过变量消元减少求解规模。论文的消融实验中，单次优化最高加速 7.4 倍。

这 7.4 倍不是任何场景都能复现的固定速度，也不是整套系统都快了 7.4 倍。它是特定实验设置中，变量消元相对基线的最高值。但它说明了一个真实的工程方向：形式化安全如果想走上机器人，必须把证明和计算成本一起设计。

“保证”其实是一份合同

SANDO 的论文给出了连续时间避碰证明。

“连续时间”很重要。有些规划器只在离散时刻检查安全，例如每隔几十毫秒看一次无人机和障碍物是否重叠。两个检查点都安全，不代表中间那段轨迹一定安全。SANDO 的走廊约束覆盖整段曲线，而不是只盯住若干采样点。

但定理从来不是无条件承诺。

它更像一份合同：只要现实世界遵守若干约定，结论才成立。

第一，障碍物的速度不能超过设定上界。系统根据这个上界计算“最坏能走多远”。如果一个物体突然比上界更快，它就可能冲出被膨胀的危险区。

第二，障碍物的尺寸不能被严重低估。传感器可能只看到物体的一面。一个细长物体如果正对镜头，真实深度可能远大于观测宽度。

第三，位置估计误差必须在缓冲范围内。论文的硬件实验把这个缓冲设为 0.3 米。误差超过缓冲，真实障碍物就可能不再被数学区域完全包住。

第四，无人机必须足够准确地跟随规划轨迹。定理证明的是那条被算出的曲线安全；如果真实机器偏离曲线，证明不会自动跟着它一起移动。

第五，保证只覆盖当前局部规划时域。无人机要长期安全，必须不断感知、重算和执行。论文明确说，SANDO 目前没有给出“递归可行性”保证——这次找到安全路线，不代表下一次重规划一定还能找到。

所谓“被证明安全”，不是把风险从世界上抹掉，而是把风险压进一组可以检查的前提里。

12 次没有碰撞，与“永远不会撞”之间

论文报告，SANDO 在论文设定的森林和动态障碍仿真基准中，各难度都达到 100% 成功率，没有发生约束违规。硬件平台把感知、定位、规划和控制都放在机载计算机上，完成了 6 次静态环境飞行和 12 次动态障碍飞行；后 12 次都没有碰撞。

这些结果很重要，因为它们说明系统不只存在于推导式里。

可作者随后测量了真实平台与理论假设的距离。

机载估计误差大约为 0.30 米；其中一次有人行走的实验达到 0.43 米，已经高于设定缓冲。无人机的轨迹跟踪也不完美，误差波动达到 0.21 到 0.57 米。论文因此直接写道：形式化保证在硬件上并不严格成立。

还有一次实验，障碍物直到最接近前 1.2 秒才被识别并跟踪。在之后 2.5 秒里，78% 的重规划周期没有找到新轨迹，远高于该次飞行其余阶段的 6.6%。无人机最后没有撞上，是因为它继续执行此前仍有效的轨迹，并依靠缓冲和持续重规划熬过了危险窗口。

这里最容易被误写。

78% 不是整次飞行失败率，也不代表发生了碰撞；12 次无碰撞也不代表系统已能在任何人群、风场和灾害现场运行。它们共同说明：真实安全不是一个“成功”按钮，而是感知、估计、规划、控制和失效策略共同维持的状态。

为什么这不只是无人机新闻

救灾无人机当然是最直观的应用想象。倒塌建筑、火场或工业事故里，机器人可能要穿过没有完整地图、有人移动、视野被遮挡的空间。

但 SANDO 提出的公共问题更大。

今天，越来越多系统被描述成“安全 AI”：自动驾驶会避人，仓储机器人会绕车，机械臂会在人附近工作。人们很容易把演示成功率当成安全，把一条证明当成绝对保证，或者把传感器读数当成现实本身。

真正负责任的安全声明，应当能回答几件具体的事：保证针对哪一段时间？障碍物最快能多快？允许多少感知误差？机器偏离轨迹怎么办？下一次规划失败时做什么？哪些条件已经在真实硬件上测量，哪些只是模型假设？

这些问题听起来不如“100% 成功率”有冲击力，却更接近一套技术能否被信任。

SANDO 的意义，不是宣布无人机终于不会撞。

它做了一件更诚实、也更困难的事：把“安全”从一种感觉，变成一份可以被写进数学、拿到硬件上测量、再逐条发现缺口的合同。

而一份真正有用的安全合同，最重要的部分往往不是最后那句“保证成立”。

是前面那张条件清单。

---

主要参考来源

• Kota Kondo 等，SANDO: Safe Autonomous Trajectory Planning for Dynamic Unknown Environments，arXiv:2604.07599v3 / IEEE Transactions on Robotics：https://arxiv.org/abs/2604.07599
• MIT News，Planning system ensures a robot’s flight path will remain collision-free，2026-10-07：https://news.mit.edu/2026/planning-system-ensures-robots-flight-path-will-remain-collision-free-1007
• SANDO 开源仓库：https://github.com/mit-acl/sando
• Shreyas Kousik 等，Safe Trajectory Synthesis for Autonomous Driving in Unforeseen Environments，2017：https://arxiv.org/abs/1705.00091

图片说明：拟用 MIT News 图片，署名 Melanie Gonick, MIT。页面标注 CC BY-NC-ND，只可按尺寸裁切；具体公众号/商业账号使用范围须由人工确认，未确认前不对外发布。

发布状态：待人工终审，不自动发布。