2016年5月7日，美国佛罗里达州威利斯顿，一辆特斯拉Model S以每小时119公里的速度撞上了一辆正在转弯的白色卡车。驾驶员Joshua Brown当场身亡，这是全球首例涉及辅助驾驶系统的致命事故。事后调查显示，车辆的摄像头未能将白色卡车车身与明亮的天空区分开来——在强光照射下，这辆价值数十万美元的汽车"看"不到一辆横在眼前的卡车。

这个案例揭示了摄像头作为自动驾驶传感器的根本弱点：它的工作原理决定了它本质上是在"猜测"世界。

从光子到数字：两种感知世界的根本分歧

摄像头的工作方式与人眼类似。光线进入镜头，投射到图像传感器上，每个像素记录下接收到的光强和颜色。这个过程产生的是一幅二维图像——一张照片。要从这张照片中"理解"三维世界，计算机必须依靠深度学习模型进行推断。模型会根据图像中的阴影、纹理、透视关系来"猜测"物体的距离和形状。

激光雷达（LiDAR，Light Detection and Ranging）走的是完全不同的路径。它不依赖环境光线，而是主动发射激光脉冲并测量光脉冲往返的时间。原理听起来简单到近乎简陋：距离等于光速乘以时间除以二。但正是这种直接的物理测量，赋予了LiDAR一种摄像头难以企及的可靠性。

$$d = \frac{c \cdot t}{2}$$

其中，$d$ 是距离，$c$ 是光速（约 $3 \times 10^8$ 米/秒），$t$ 是激光脉冲往返时间。

光速每秒约30万公里，这意味着激光在1纳秒内传播约30厘米。要实现厘米级的距离精度，LiDAR需要皮秒级（$10^{-12}$秒）的时间测量精度。这种测量不依赖光照条件，不依赖物体颜色，不依赖算法推断——它就是物理事实本身。

主动与被动：传感器架构的哲学差异

摄像头的被动特性决定了它永远受制于环境。白天和黑夜，它的表现天差地别；逆光和顺光，它的感知完全不同；晴天和阴天，它的动态范围捉襟见肘。一块廉价的反光板就能让它"失明"，一束强光就能让它"看不见"前方。

LiDAR的主动探测则完全不同。它发射的是波长通常为905纳米或1550纳米的红外激光——人眼不可见，但硅传感器可以探测。由于是自己发射光源，探测过程不受环境光照影响。无论是漆黑的夜晚还是刺眼的正午，LiDAR测量的距离精度都是一致的。

这种主动与被动的差异延伸到了对抗攻击领域，形成了两种传感器安全性的根本分野。

摄像头的阿喀琉斯之踵：对抗性攻击

深度学习模型有一个被广泛研究的弱点：对抗性样本。通过对输入数据添加人眼难以察觉的微小扰动，可以让模型产生完全错误的输出。在自动驾驶场景中，这种攻击有着令人不安的现实可行性。

2018年，研究人员证明了在真实交通标志上贴几张精心设计的贴纸，就能让目标检测系统将"停止"标志识别为"限速45"标志。这种攻击不需要破解车辆系统，不需要物理接触车辆——只需要几块钱的贴纸。

更令人担忧的是，这类攻击可以利用深度学习模型的固有特性进行"迁移攻击"。攻击者不需要知道目标系统的模型架构或参数，只需要在一个公开的模型上生成对抗样本，就有相当高的概率欺骗其他模型。2025年NDSS会议上发表的研究显示，尽管商业系统普遍采用了"空间记忆"机制来增强鲁棒性，但某些攻击策略仍能实现对特定商业车型的100%攻击成功率。

对抗性攻击之所以对摄像头特别有效，是因为摄像头的感知链路本质上是一系列概率推断的叠加：从像素值推断边缘，从边缘推断形状，从形状推断物体类别，从物体推断距离。每一个环节都是基于统计学习的"最佳猜测"，而对抗性攻击正是利用了这种概率推断的脆弱性。

LiDAR的攻击面：更窄，但并非不存在

LiDAR并非完全免疫于欺骗攻击。学术界已经展示了多种LiDAR攻击方式，但它们的实施难度和可行性都与对抗性攻击有着本质区别。

LiDAR欺骗攻击的核心原理是向目标LiDAR发射恶意激光信号，覆盖或干扰其接收到的合法信号。根据攻击效果，可以分为两类：

对象注入攻击：向LiDAR点云中注入不存在的物体。攻击者需要精确知道目标LiDAR的扫描时序，才能在正确的时间窗口发射激光。这需要"白盒"知识——即对目标LiDAR扫描模式的完整了解。

对象移除攻击：让真实物体从点云中消失。这是更危险也更具挑战性的攻击类型。

2025年NDSS会议上发表的研究首次在真实驾驶场景中验证了LiDAR欺骗攻击的可行性。研究人员构建了一套"移动车辆欺骗系统"（MVS），能够在目标车辆以60公里/小时速度行驶时，从110米距离发起攻击，移除目标对象的点云数据。在制动距离（20米）范围内，攻击成功率高达96%以上。

然而，这类攻击面临几个关键限制：

硬件门槛高：有效攻击需要精密的光学设备、高功率激光器、精确的跟踪系统。研究团队估计整套设备成本约2300美元，这还不包括信号发生器等昂贵测试设备。

技术复杂度：攻击者需要实时检测、跟踪并瞄准移动中的LiDAR传感器。这需要红外相机、高精度伺服电机和复杂的控制算法。

防御机制演进：新一代LiDAR普遍配备了"脉冲指纹"功能，通过验证激光脉冲的时间间隔模式来区分合法信号和恶意信号。研究者开发的"自适应高频移除攻击"（A-HFR）虽然能绕过这种防御，但需要更复杂的攻击设计。

物理条件限制：LiDAR攻击需要瞄准传感器的接收窗口。在复杂道路环境中持续保持精确瞄准极具挑战性。

相比之下，摄像头的对抗性攻击可以用打印机和胶带完成，成本几乎为零，不需要任何实时瞄准或跟踪。

光学的物理限制：为什么欺骗LiDAR更难

LiDAR的鲁棒性源于其工作原理的物理本质。要理解这一点，需要深入分析LiDAR如何处理返回的激光信号。

ToF LiDAR发射一个短激光脉冲，然后等待返回信号。距离计算完全依赖于时间测量：

$$t_{measured} = t_{travel} + t_{processing} + t_{noise}$$

攻击者想要欺骗这个测量，必须在正确的时间窗口内发射一个比合法反射更强的激光信号。这面临着几个物理约束：

时间窗口极窄：假设目标物体在50米外，激光往返时间约为333纳秒。攻击者发射的激光必须在这极短的时间窗口内到达LiDAR接收器。提前或延后都会被过滤掉或造成明显异常。

功率要求：恶意激光必须比合法反射更强才能覆盖后者。但这受限于人眼安全标准和攻击设备的物理限制。1550nm波长的LiDAR之所以能探测更远距离，就是因为这个波长不会到达视网膜，可以使用更高的激光功率。

角分辨率限制：LiDAR的角分辨率决定了其区分相邻物体的能力。典型的车用LiDAR角分辨率在0.1°到0.4°之间，意味着在100米距离处可以区分约0.17到0.7米的物体间隔。攻击者发射的激光必须精确命中这个范围。

天气的仲裁：两种传感器的共同困境

LiDAR比摄像头更难欺骗，并不意味着它在所有条件下都更可靠。恶劣天气是两种传感器的共同敌人，但其影响机制有所不同。

研究表明，雨、雪、雾会显著降低LiDAR的探测性能。水滴和雪花会散射激光束，产生噪声点云；雾中的水汽会吸收激光能量，缩短有效探测距离。2023年发表的一项实地研究测量了LiDAR在实际雨雾天气中的性能衰减，发现强降雨可使探测距离下降30%以上。

摄像头在恶劣天气下面临不同但同样严峻的挑战。雨水会在镜头上形成水珠，模糊图像；强光照射雨滴会产生眩光；雾气会降低对比度，使物体边界变得模糊。

有趣的是，两种传感器在恶劣天气下的失效模式互补性很强：LiDAR的几何测量受散射影响，但不受颜色和纹理变化影响；摄像头的图像质量受能见度影响，但其物体识别能力可以从颜色和纹理中获取额外信息。

成本的天平：技术路线的经济博弈

在讨论技术优劣时，成本是无法回避的因素。这也是特斯拉坚持纯视觉路线的核心论据之一：摄像头便宜，LiDAR昂贵。

2015年，一套车用LiDAR的价格约为75,000美元——比当时很多车本身还贵。但这个数字在过去十年间经历了断崖式下跌：2020年降至约1,000美元，2023年进一步降至约500美元，2024年已有厂商声称可以做到200美元以下。业内预计，到2028年固态LiDAR的价格可能降至300美元以下。

这种价格下降得益于两个技术趋势：

固态化：传统机械式LiDAR依靠旋转镜面扫描场景，结构复杂、成本高、可靠性差。固态LiDAR通过微机电系统（MEMS）、光学相控阵（OPA）或闪光式（Flash）技术实现扫描，没有移动部件，成本更低，可靠性更高。

芯片化：激光器和探测器的集成度不断提高，从分立元件向芯片级集成演进，大幅降低了制造成本。

即便如此，一套完整的多传感器融合方案（多个LiDAR + 多个摄像头 + 毫米波雷达）的成本仍显著高于纯视觉方案。问题在于：为了节省这部分成本而牺牲安全性，是否值得？

传感器融合：没有银弹的现实选择

当前业界的主流观点并非"LiDAR vs 摄像头"的二选一，而是如何有效融合多种传感器。Waymo、Cruise等L4级自动驾驶公司普遍采用LiDAR + 摄像头 + 毫米波雷达的多传感器融合架构。

传感器融合的核心思想是利用不同传感器的优势互补：

特性 LiDAR 摄像头 毫米波雷达
距离精度 高（厘米级） 低（推断） 中等
角分辨率 高 高 低
颜色/纹理 无 有 无
光照影响 无 大 无
天气影响 中等 大 小
成本 中等 低 低

融合策略大致分为三类：数据级融合在原始数据层面整合；特征级融合在中间表示层面整合；决策级融合在各传感器独立做出判断后整合。每种策略都有其权衡，没有一种被证明绝对优于其他。

历史的视角：从阿波罗到Waymo

LiDAR并非新技术。它的历史可以追溯到激光器的诞生。

1960年，西奥多·梅曼在休斯研究实验室制造了第一台可工作的激光器。仅仅一年后的1961年，同一家公司的马尔科姆·斯蒂奇团队就开发了第一个LiDAR原型系统，用于跟踪卫星。1962年，休斯公司推出了第一款商用LiDAR——Mark II Colidar。

1971年的阿波罗15号任务首次将激光高度计带上了月球，用于测量月球表面地形。此后几十年间，LiDAR主要应用于地形测绘、大气研究和军事领域。

转折点出现在2007年的DARPA城市挑战赛。卡内基梅隆大学的参赛车辆使用了LiDAR作为主要感知传感器，最终获得亚军。这标志着LiDAR在自动驾驶领域的潜力被业界认可。

2009年，谷歌启动了自动驾驶汽车项目（后独立为Waymo），LiDAR成为其感知系统的核心组件。此后十余年间，Waymo积累了超过2000万英里的真实道路测试数据，其安全记录显著优于人类驾驶员。

技术路线的选择：工程权衡而非科学之争

特斯拉与Waymo的技术路线分歧，本质上是两种工程哲学的碰撞。

特斯拉的纯视觉路线假设：既然人类驾驶员只依靠视觉就能安全驾驶，那么足够先进的视觉AI也应该能做到。这种假设的问题在于，人类驾驶员有70年的平均寿命来积累驾驶经验，有完整的常识推理能力来处理未知场景，有进化了数百万年的视觉系统作为硬件基础。这些都不是当前AI系统可以比拟的。

Waymo的多传感器融合路线则采取了不同的哲学：用冗余的传感器覆盖彼此的盲区，在感知层面尽可能消除不确定性。这种路线的成本更高，但其安全裕度也更大。

两种路线的竞争仍在继续。2025年初，YouTuber Mark Rober进行的对比测试显示，配备LiDAR的车辆在雾天、强光、假墙等多种测试场景中均通过了测试，而特斯拉的纯视觉系统则在多个测试中失败。当然，这类测试的科学严谨性有限，但它至少揭示了当前两种路线在实际性能上仍存在显著差距。

安全性的本质：攻击成本与防御收益

回到本文的核心问题：为什么LiDAR比摄像头更难欺骗？

答案可以归结为攻击者面临的成本收益曲线差异。

对摄像头的对抗性攻击：

  • 攻击成本：几乎为零（打印机和胶带）
  • 攻击门槛：普通消费者可实施
  • 防御难度：需要从根本上改变深度学习模型的脆弱性

对LiDAR的欺骗攻击：

  • 攻击成本：数千美元的专用设备
  • 攻击门槛：需要专业的光学和控制系统知识
  • 防御难度：可通过信号认证机制大幅提高攻击难度

这种差异源于两种传感器的工作原理本质：摄像头依赖概率推断，LiDAR依赖物理测量。概率推断的脆弱性是其固有属性，可以通过对抗训练等方式缓解，但难以从根本上消除。物理测量的可靠性则源于物理定律，欺骗它需要打破物理定律或制造极其精确的干扰。

未来的方向：走向真正可靠的自动驾驶

自动驾驶的安全性问题不会因为选择了某一种传感器而自动解决。无论是LiDAR还是摄像头，都只是感知系统的组成部分，而完整的自动驾驶系统还包括预测、规划、控制等多个环节。

但从感知安全的角度，几点趋势已经清晰：

LiDAR的成本将继续下降，使其与摄像头的成本差距进一步缩小。当两者的价格差距缩小到一定程度时，纯视觉路线的成本优势将不再显著。

LiDAR的防御机制将继续演进。脉冲指纹、随机化时序、多波长探测等技术将使欺骗攻击的难度进一步提高。同时，AI辅助的异常检测算法可以识别点云中的攻击特征。

摄像头的对抗鲁棒性研究也将继续深入。但深度学习的固有脆弱性意味着，完全解决对抗性攻击问题可能需要根本性的范式转变——例如，从端到端学习转向更具可解释性的模块化架构。

最终，可靠的自动驾驶系统可能需要超越单一的传感器选择，走向更深层次的系统安全设计。这包括预测模块的冗余、规划模块的保守性、控制模块的可审计性，以及贯穿整个系统的形式化验证。

在那个未来到来之前，记住2016年那起事故的教训仍然有意义：当我们谈论自动驾驶的安全性时，不能只看系统的平均表现，更要看它在极端情况下的最坏表现。摄像头的最坏情况是对抗性攻击下的一无所知；LiDAR的最坏情况是恶劣天气下的感知退化。在这两者之间，如何权衡，如何融合，如何冗余，才是真正需要解答的问题。

参考文献

  1. Sato, T., et al. (2025). “On the Realism of LiDAR Spoofing Attacks against Autonomous Driving Vehicle at High Speed and Long Distance.” NDSS Symposium 2025.

  2. Wang, N., et al. (2025). “Revisiting Physical-World Adversarial Attack on Traffic Sign Recognition: A Commercial Systems Perspective.” NDSS Symposium 2025.

  3. Eykholt, K., et al. (2018). “Robust Physical-World Attacks on Deep Learning Visual Classification.” CVPR 2018.

  4. National Highway Traffic Safety Administration. (2017). “ODI Resume: Fatal Crash Involving a Tesla Model S and a Tractor-Trailer.”

  5. Kim, J., et al. (2023). “Empirical Analysis of Autonomous Vehicle’s LiDAR Detection Performance Degradation for Actual Road Driving in Rain and Fog.” Sensors.

  6. Blickfeld. (2024). “Time-of-Flight vs. FMCW: Which LiDAR Measuring Principle Is Better?”

  7. Hesai Technology. (2024). “AT128 Auto-Grade Ultra-High Resolution Long Range LiDAR.”

  8. Innoviz Technologies. (2025). “FMCW vs. Time-of-Flight LiDAR: Why ToF Leads the Way in Automotive Applications.”

  9. CleanTechnica. (2025). “Lidar’s Wicked Cost Drop.”

  10. IEEE P2020. (2025). “Dynamic Range | High-Intensity Camera Testing.”