北京
登錄
“安全第一” 寶馬自動駕駛安全部署的十二原則
2020年1月9日，由網(wǎng)上車市主辦、聯(lián)合上海交通大學汽車工程研究院等國內知名院校、機構，并邀請國內一線車企開啟的“第二屆汽車技術品牌（中國）高峰論壇暨?？谛履茉醇爸悄芫W(wǎng)聯(lián)研討會”順利召開。現(xiàn)場，寶馬中國研發(fā)中心高級經(jīng)理張濤進行了主題演講。
以下為演講全文：
感謝網(wǎng)上車市的邀請，我今天介紹的重點是寶馬集團自動駕駛的安全部署。從2006年開始寶馬就著手進行自動駕駛技術的開發(fā)，是這個領域的先行者之一。目前，寶馬幾乎所有產(chǎn)品線都具備L2級駕駛輔助能力。其中寶馬率先引入的駕駛員監(jiān)測系統(tǒng)，在保證安全的前提下實現(xiàn)了“解放雙手”的功能。比如說我們開車時，在特定場景下可將手松開方向盤，使車輛在駕駛員監(jiān)控下實現(xiàn)自主運行。另外寶馬也創(chuàng)新引入了自動循跡倒車的功能。比如我們開進一個50米深的胡同，空間狹小不允許掉頭，此時這個功能可以實現(xiàn)車輛沿著駛入軌跡反向行駛出來。這些創(chuàng)新都極大地提升了用戶的體驗感，它們也裝備在全新3系、新7系、8系、新X5、創(chuàng)新X7等車型上。
自動駕駛技術的發(fā)展離不開與頂尖合作伙伴的強強聯(lián)手，寶馬搭建開放式的平臺，共同提升研發(fā)能力。比如在國內，我們與中國聯(lián)通就5G通信領域、與四維圖新在高精地圖方面、與騰訊在建立高性能數(shù)據(jù)驅動開發(fā)平臺方面進行了深入合作。
數(shù)據(jù)驅動開發(fā)是寶馬秉承的重要戰(zhàn)略，全面整合數(shù)據(jù)流，保證開發(fā)與驗證的安全性和可靠性。安全始終處于寶馬自動駕駛戰(zhàn)略的首要位置，通過超過2.4億公里的包含模擬仿真與道路測試的里程，實現(xiàn)整個系統(tǒng)的穩(wěn)定性和準確性。
安全第一的目標的實現(xiàn)需要對整個開發(fā)和驗證全流程進行一定程度的規(guī)范化，《自動駕駛安全第一白皮書》的提出朝這個方向跨出了非常重要的一步。它集合了主機廠、供應商以及互聯(lián)網(wǎng)IT企業(yè)現(xiàn)階段針對自動駕駛的前沿技術儲備?！蹲詣玉{駛安全第一白皮書》的基礎是寶馬提出的自動駕駛安全部署的十二原則。我這里著重就這十二原則進行簡要的介紹。
首先是功能安全（冗余）的話題。在現(xiàn)在的車輛工程領域應用已經(jīng)非常廣泛了，主要是針對與安全相關的組件可能發(fā)生的失效進行相應的冗余設計，使總體的安全風險降低到可接受的水平。對于自動駕駛車輛，相應組件的數(shù)量和復雜程度都會有本質的提升，當其發(fā)生失效時，系統(tǒng)顯然應該有相應的補償機制，或者將駕駛權在保證充足時間的情況下進行移交。
運行設計域和安全層這兩點強調自動駕駛系統(tǒng)在達到系統(tǒng)限制時的處理機制。我們都知道L3和L4的自動駕駛功能是基于場景的，比如某一個L3的功能要求車輛必須在城市快速路的主路或是高速公路上，駕駛員必須在駕駛座上作為系統(tǒng)的后備，要求路面上不能有行人和自行車，天氣要晴朗等等。如果天空開始下雨，顯然在天氣這個維度上就達到了系統(tǒng)限制，這時系統(tǒng)需要在保留足夠時間的情況下進行駕駛權的移交。如果駕駛員不以規(guī)定的方式接收移交，系統(tǒng)應該有相應的最小化風險的機制。安全層主要針對突發(fā)的情況，系統(tǒng)無法在保留充足時間的情況下移交，比如自動駕駛系統(tǒng)運行的過程中突然從中央隔離帶跳出一個行人，系統(tǒng)顯然需要有相應的應急機制，比如主動制動等。
交通中的行為這點非常好理解。首先自動駕駛車輛的交通行為應該非常容易被交通參與者理解和可預判。另外要遵守交通規(guī)則，尤其針對隱性的交通規(guī)則。這就需要開發(fā)與驗證的本土化，將當?shù)氐那闆r納入到自動駕駛系統(tǒng)中去。
針對駕駛員責任這一點做一個略深入的介紹。我們都知道L3/L4的自動駕駛是基于場景的，駕駛員責任在安全部署中是非常重要的一環(huán)。首先，系統(tǒng)應該識別駕駛員不可接受的駕駛狀態(tài)。比如剛才提到L3的場景，要求駕駛員坐在駕駛座位上充當一個系統(tǒng)后備的角色，當系統(tǒng)達到限制時，駕駛員應該在一定時間范圍內，通過系統(tǒng)發(fā)出的移交指令接收車輛的駕駛權。如果L3自動駕駛功能啟動后，駕駛員突然更換自己的座位到后排去，顯然這就是一個不可接受的駕駛狀態(tài)，系統(tǒng)應該有相應的機制予以識別與避免。另外系統(tǒng)應該使駕駛員明晰自己所處的駕駛模式，是輔助還是自動。最終目的是使駕駛員時刻了解自己與車輛之間的責任分配。
用L2和L3之間的區(qū)別比較容易闡述這一點。眾所周知L2是駕駛輔助系統(tǒng)，無論表面上看多么近似自動駕駛，駕駛員始終是對駕駛負責的。而L3在特定場景下，車輛對駕駛負責。顯然在這兩種模式下，人與車輛之間的責任分配是有很大的區(qū)別。
風險點產(chǎn)生于人類所認知的人與車輛的責任分配，與實際場景或實際駕駛模式中所需要的人與車輛的責任分配產(chǎn)生偏差。比如還用剛才那個L3的例子，駕駛員駛入城市快速路的主路是車輛可以實現(xiàn)L3，在輔路是L2，在不斷駛入和駛出過程中，很容易使駕駛員產(chǎn)生模式混亂。最差的情況是當前狀況是L2，而駕駛員誤認為是L3自動駕駛，此時就會產(chǎn)生安全風險。這時需要采取各種措施使認知達到一致。這里有若干的措施例子，重點介紹一下合作轉向。
在當前的技術水平下，使車輛在輔助模式下沿兩條車道線的中線循跡行駛技術上已經(jīng)完全可以實現(xiàn)了，但是寶馬認為這種控制邏輯在輔助模式下會使駕駛員產(chǎn)生誤判，誤認為車輛是自動駕駛。寶馬的控制邏輯會允許車輛在輔助模式下在車道線的內部有輕微的橫向的位移，以提醒駕駛員當前依舊是輔助模式，既實現(xiàn)了“解放雙手”的功能，又在最大程度上保證了安全水平。
接下來是接管與移交。一方面是車輛發(fā)起的，一方面是駕駛員發(fā)起的。首先車輛發(fā)起的指令應該是很容易被駕駛員理解的，另外如果駕駛員不以規(guī)定的方式接收這種移交，系統(tǒng)應該有最小化風險的機制。駕駛員發(fā)起的這方面，無論是輔助向自動還是自動向輔助，都需要所謂高置信度的明確意圖交互。
自動化的影響也非常關鍵，但是很容易被忽略。主要是強調駕駛員在輔助模式或手動模式下，受到之前自動駕駛經(jīng)歷的影響。比如L3普及之后，有一兩個小時的長途旅程，第一個小時在高速公路上，第二個小時在國道。在高速上是L3的自動駕駛，駕駛員在駕駛座上玩手機或看視頻等等；第二個小時在國道上是輔助模式，需要駕駛員執(zhí)行其駕駛責任。這時駕駛員很容易受到之前一個小時有點“放飛自我”狀態(tài)的影響，讓他在第二個小時注意力沒有那么集中或者潛意識里認為車輛可以做得更多等等。針對這方面也需要予以相應設計。
下面對安全評價這一點做略微深度的介紹。寶馬采用多支柱的方法，綜合隨機交通的模擬仿真測試、試驗場測試和開放道路測試，一方面關注因為引入自動駕駛和駕駛輔助系統(tǒng)所減少的安全風險，更重要的是關注因為引入它們額外增加的風險。比如剛才提到駕駛員在輔助模式下受到之前自動駕駛經(jīng)歷的影響，或者駕駛員不以規(guī)定的方式接收移交，或者駕駛員對自己和機器的責任分工認知不清晰等等。
開放道路測試其中一小部分是道路運行測試，這里舉一個例子。它針對的是已經(jīng)量產(chǎn)的車型，比如我們正在全球部署若干寶馬X5車型，上一批是7系這個車型。這些車會進行一定量的改裝，把它們交給普通的客戶進行日常的駕駛。在駕駛的過程中會收集超過一萬條的車輛信號，同時疊加車內和車外包括道路環(huán)境和駕駛員表情動作等的視頻信息，另外疊加駕駛員的體征信息和訪談信息。這些數(shù)據(jù)會結合之前提到的高性能數(shù)據(jù)驅動開發(fā)平臺，對自動駕駛和駕駛輔助系統(tǒng)進行優(yōu)化輸入，不斷擴充場景庫，另外也執(zhí)行自然駕駛學習的功能。
接下來是數(shù)據(jù)記錄與信息安全。自動駕駛系統(tǒng)應該記錄數(shù)據(jù)，當然在保證隱私條款的情況下，尤其是記錄新的場景或者是一些特殊事件，比如碰撞。信息安全顯然非常重要。自動駕駛系統(tǒng)無論是車輛端還是后臺端口的數(shù)量都會使惡意攻擊者產(chǎn)生濃厚的興趣，需要借鑒互聯(lián)網(wǎng)安全的機制，跨行業(yè)地共同保證安保性。
最后就是不可忽略的被動安全話題。在可預見的很長一段時間內，交通狀況會是一個混合交通的狀況，道路上會有自動駕駛車輛和非自動駕駛車輛共同參與，也就是說事故依然是不可完全避免的?，F(xiàn)階段針對車輛被動安全的設計是基于我們已知的碰撞場景，以及乘員對車內空間的使用情況，比如一般家用車乘員都是朝向車輛行駛的方向乘坐的。在L3和L4不斷部署的過程中，會出現(xiàn)一些我們現(xiàn)在未知的碰撞場景，比如自動駕駛車輛與非自動駕駛車輛的碰撞。另外尤其在L4以上的車輛中，乘員對車內空間的使用情況會發(fā)生很大的變化，比如自動駕駛系統(tǒng)啟動后駕駛員可能調轉座位，面對后排成員進行交流。顯然這些都對被動安全提出了新的要求，在車輛開發(fā)過程中肯定要予以關注。
以上就是我?guī)淼淖詣玉{駛安全部署的十二條原則。如何在開發(fā)和驗證中具體實施這些原則，《自動駕駛安全第一白皮書》有進一步描述，歡迎我們共同來探討。謝謝！
