北京
登錄
“安全第一” 寶馬自動(dòng)駕駛安全部署的十二原則
2020年1月9日，由網(wǎng)上車市主辦、聯(lián)合上海交通大學(xué)汽車工程研究院等國內(nèi)知名院校、機(jī)構(gòu)，并邀請國內(nèi)一線車企開啟的“第二屆汽車技術(shù)品牌（中國）高峰論壇暨?？谛履茉醇爸悄芫W(wǎng)聯(lián)研討會(huì)”順利召開。現(xiàn)場，寶馬中國研發(fā)中心高級(jí)經(jīng)理張濤進(jìn)行了主題演講。
以下為演講全文：
感謝網(wǎng)上車市的邀請，我今天介紹的重點(diǎn)是寶馬集團(tuán)自動(dòng)駕駛的安全部署。從2006年開始寶馬就著手進(jìn)行自動(dòng)駕駛技術(shù)的開發(fā)，是這個(gè)領(lǐng)域的先行者之一。目前，寶馬幾乎所有產(chǎn)品線都具備L2級(jí)駕駛輔助能力。其中寶馬率先引入的駕駛員監(jiān)測系統(tǒng)，在保證安全的前提下實(shí)現(xiàn)了“解放雙手”的功能。比如說我們開車時(shí)，在特定場景下可將手松開方向盤，使車輛在駕駛員監(jiān)控下實(shí)現(xiàn)自主運(yùn)行。另外寶馬也創(chuàng)新引入了自動(dòng)循跡倒車的功能。比如我們開進(jìn)一個(gè)50米深的胡同，空間狹小不允許掉頭，此時(shí)這個(gè)功能可以實(shí)現(xiàn)車輛沿著駛?cè)胲壽E反向行駛出來。這些創(chuàng)新都極大地提升了用戶的體驗(yàn)感，它們也裝備在全新3系、新7系、8系、新X5、創(chuàng)新X7等車型上。
自動(dòng)駕駛技術(shù)的發(fā)展離不開與頂尖合作伙伴的強(qiáng)強(qiáng)聯(lián)手，寶馬搭建開放式的平臺(tái)，共同提升研發(fā)能力。比如在國內(nèi)，我們與中國聯(lián)通就5G通信領(lǐng)域、與四維圖新在高精地圖方面、與騰訊在建立高性能數(shù)據(jù)驅(qū)動(dòng)開發(fā)平臺(tái)方面進(jìn)行了深入合作。
數(shù)據(jù)驅(qū)動(dòng)開發(fā)是寶馬秉承的重要戰(zhàn)略，全面整合數(shù)據(jù)流，保證開發(fā)與驗(yàn)證的安全性和可靠性。安全始終處于寶馬自動(dòng)駕駛戰(zhàn)略的首要位置，通過超過2.4億公里的包含模擬仿真與道路測試的里程，實(shí)現(xiàn)整個(gè)系統(tǒng)的穩(wěn)定性和準(zhǔn)確性。
安全第一的目標(biāo)的實(shí)現(xiàn)需要對整個(gè)開發(fā)和驗(yàn)證全流程進(jìn)行一定程度的規(guī)范化，《自動(dòng)駕駛安全第一白皮書》的提出朝這個(gè)方向跨出了非常重要的一步。它集合了主機(jī)廠、供應(yīng)商以及互聯(lián)網(wǎng)IT企業(yè)現(xiàn)階段針對自動(dòng)駕駛的前沿技術(shù)儲(chǔ)備?！蹲詣?dòng)駕駛安全第一白皮書》的基礎(chǔ)是寶馬提出的自動(dòng)駕駛安全部署的十二原則。我這里著重就這十二原則進(jìn)行簡要的介紹。
首先是功能安全（冗余）的話題。在現(xiàn)在的車輛工程領(lǐng)域應(yīng)用已經(jīng)非常廣泛了，主要是針對與安全相關(guān)的組件可能發(fā)生的失效進(jìn)行相應(yīng)的冗余設(shè)計(jì)，使總體的安全風(fēng)險(xiǎn)降低到可接受的水平。對于自動(dòng)駕駛車輛，相應(yīng)組件的數(shù)量和復(fù)雜程度都會(huì)有本質(zhì)的提升，當(dāng)其發(fā)生失效時(shí)，系統(tǒng)顯然應(yīng)該有相應(yīng)的補(bǔ)償機(jī)制，或者將駕駛權(quán)在保證充足時(shí)間的情況下進(jìn)行移交。
運(yùn)行設(shè)計(jì)域和安全層這兩點(diǎn)強(qiáng)調(diào)自動(dòng)駕駛系統(tǒng)在達(dá)到系統(tǒng)限制時(shí)的處理機(jī)制。我們都知道L3和L4的自動(dòng)駕駛功能是基于場景的，比如某一個(gè)L3的功能要求車輛必須在城市快速路的主路或是高速公路上，駕駛員必須在駕駛座上作為系統(tǒng)的后備，要求路面上不能有行人和自行車，天氣要晴朗等等。如果天空開始下雨，顯然在天氣這個(gè)維度上就達(dá)到了系統(tǒng)限制，這時(shí)系統(tǒng)需要在保留足夠時(shí)間的情況下進(jìn)行駕駛權(quán)的移交。如果駕駛員不以規(guī)定的方式接收移交，系統(tǒng)應(yīng)該有相應(yīng)的最小化風(fēng)險(xiǎn)的機(jī)制。安全層主要針對突發(fā)的情況，系統(tǒng)無法在保留充足時(shí)間的情況下移交，比如自動(dòng)駕駛系統(tǒng)運(yùn)行的過程中突然從中央隔離帶跳出一個(gè)行人，系統(tǒng)顯然需要有相應(yīng)的應(yīng)急機(jī)制，比如主動(dòng)制動(dòng)等。
交通中的行為這點(diǎn)非常好理解。首先自動(dòng)駕駛車輛的交通行為應(yīng)該非常容易被交通參與者理解和可預(yù)判。另外要遵守交通規(guī)則，尤其針對隱性的交通規(guī)則。這就需要開發(fā)與驗(yàn)證的本土化，將當(dāng)?shù)氐那闆r納入到自動(dòng)駕駛系統(tǒng)中去。
針對駕駛員責(zé)任這一點(diǎn)做一個(gè)略深入的介紹。我們都知道L3/L4的自動(dòng)駕駛是基于場景的，駕駛員責(zé)任在安全部署中是非常重要的一環(huán)。首先，系統(tǒng)應(yīng)該識(shí)別駕駛員不可接受的駕駛狀態(tài)。比如剛才提到L3的場景，要求駕駛員坐在駕駛座位上充當(dāng)一個(gè)系統(tǒng)后備的角色，當(dāng)系統(tǒng)達(dá)到限制時(shí)，駕駛員應(yīng)該在一定時(shí)間范圍內(nèi)，通過系統(tǒng)發(fā)出的移交指令接收車輛的駕駛權(quán)。如果L3自動(dòng)駕駛功能啟動(dòng)后，駕駛員突然更換自己的座位到后排去，顯然這就是一個(gè)不可接受的駕駛狀態(tài)，系統(tǒng)應(yīng)該有相應(yīng)的機(jī)制予以識(shí)別與避免。另外系統(tǒng)應(yīng)該使駕駛員明晰自己所處的駕駛模式，是輔助還是自動(dòng)。最終目的是使駕駛員時(shí)刻了解自己與車輛之間的責(zé)任分配。
用L2和L3之間的區(qū)別比較容易闡述這一點(diǎn)。眾所周知L2是駕駛輔助系統(tǒng)，無論表面上看多么近似自動(dòng)駕駛，駕駛員始終是對駕駛負(fù)責(zé)的。而L3在特定場景下，車輛對駕駛負(fù)責(zé)。顯然在這兩種模式下，人與車輛之間的責(zé)任分配是有很大的區(qū)別。
風(fēng)險(xiǎn)點(diǎn)產(chǎn)生于人類所認(rèn)知的人與車輛的責(zé)任分配，與實(shí)際場景或?qū)嶋H駕駛模式中所需要的人與車輛的責(zé)任分配產(chǎn)生偏差。比如還用剛才那個(gè)L3的例子，駕駛員駛?cè)氤鞘锌焖俾返闹髀肥擒囕v可以實(shí)現(xiàn)L3，在輔路是L2，在不斷駛?cè)牒婉偝鲞^程中，很容易使駕駛員產(chǎn)生模式混亂。最差的情況是當(dāng)前狀況是L2，而駕駛員誤認(rèn)為是L3自動(dòng)駕駛，此時(shí)就會(huì)產(chǎn)生安全風(fēng)險(xiǎn)。這時(shí)需要采取各種措施使認(rèn)知達(dá)到一致。這里有若干的措施例子，重點(diǎn)介紹一下合作轉(zhuǎn)向。
在當(dāng)前的技術(shù)水平下，使車輛在輔助模式下沿兩條車道線的中線循跡行駛技術(shù)上已經(jīng)完全可以實(shí)現(xiàn)了，但是寶馬認(rèn)為這種控制邏輯在輔助模式下會(huì)使駕駛員產(chǎn)生誤判，誤認(rèn)為車輛是自動(dòng)駕駛。寶馬的控制邏輯會(huì)允許車輛在輔助模式下在車道線的內(nèi)部有輕微的橫向的位移，以提醒駕駛員當(dāng)前依舊是輔助模式，既實(shí)現(xiàn)了“解放雙手”的功能，又在最大程度上保證了安全水平。
接下來是接管與移交。一方面是車輛發(fā)起的，一方面是駕駛員發(fā)起的。首先車輛發(fā)起的指令應(yīng)該是很容易被駕駛員理解的，另外如果駕駛員不以規(guī)定的方式接收這種移交，系統(tǒng)應(yīng)該有最小化風(fēng)險(xiǎn)的機(jī)制。駕駛員發(fā)起的這方面，無論是輔助向自動(dòng)還是自動(dòng)向輔助，都需要所謂高置信度的明確意圖交互。
自動(dòng)化的影響也非常關(guān)鍵，但是很容易被忽略。主要是強(qiáng)調(diào)駕駛員在輔助模式或手動(dòng)模式下，受到之前自動(dòng)駕駛經(jīng)歷的影響。比如L3普及之后，有一兩個(gè)小時(shí)的長途旅程，第一個(gè)小時(shí)在高速公路上，第二個(gè)小時(shí)在國道。在高速上是L3的自動(dòng)駕駛，駕駛員在駕駛座上玩手機(jī)或看視頻等等；第二個(gè)小時(shí)在國道上是輔助模式，需要駕駛員執(zhí)行其駕駛責(zé)任。這時(shí)駕駛員很容易受到之前一個(gè)小時(shí)有點(diǎn)“放飛自我”狀態(tài)的影響，讓他在第二個(gè)小時(shí)注意力沒有那么集中或者潛意識(shí)里認(rèn)為車輛可以做得更多等等。針對這方面也需要予以相應(yīng)設(shè)計(jì)。
下面對安全評價(jià)這一點(diǎn)做略微深度的介紹。寶馬采用多支柱的方法，綜合隨機(jī)交通的模擬仿真測試、試驗(yàn)場測試和開放道路測試，一方面關(guān)注因?yàn)橐胱詣?dòng)駕駛和駕駛輔助系統(tǒng)所減少的安全風(fēng)險(xiǎn)，更重要的是關(guān)注因?yàn)橐胨鼈冾~外增加的風(fēng)險(xiǎn)。比如剛才提到駕駛員在輔助模式下受到之前自動(dòng)駕駛經(jīng)歷的影響，或者駕駛員不以規(guī)定的方式接收移交，或者駕駛員對自己和機(jī)器的責(zé)任分工認(rèn)知不清晰等等。
開放道路測試其中一小部分是道路運(yùn)行測試，這里舉一個(gè)例子。它針對的是已經(jīng)量產(chǎn)的車型，比如我們正在全球部署若干寶馬X5車型，上一批是7系這個(gè)車型。這些車會(huì)進(jìn)行一定量的改裝，把它們交給普通的客戶進(jìn)行日常的駕駛。在駕駛的過程中會(huì)收集超過一萬條的車輛信號(hào)，同時(shí)疊加車內(nèi)和車外包括道路環(huán)境和駕駛員表情動(dòng)作等的視頻信息，另外疊加駕駛員的體征信息和訪談信息。這些數(shù)據(jù)會(huì)結(jié)合之前提到的高性能數(shù)據(jù)驅(qū)動(dòng)開發(fā)平臺(tái)，對自動(dòng)駕駛和駕駛輔助系統(tǒng)進(jìn)行優(yōu)化輸入，不斷擴(kuò)充場景庫，另外也執(zhí)行自然駕駛學(xué)習(xí)的功能。
接下來是數(shù)據(jù)記錄與信息安全。自動(dòng)駕駛系統(tǒng)應(yīng)該記錄數(shù)據(jù)，當(dāng)然在保證隱私條款的情況下，尤其是記錄新的場景或者是一些特殊事件，比如碰撞。信息安全顯然非常重要。自動(dòng)駕駛系統(tǒng)無論是車輛端還是后臺(tái)端口的數(shù)量都會(huì)使惡意攻擊者產(chǎn)生濃厚的興趣，需要借鑒互聯(lián)網(wǎng)安全的機(jī)制，跨行業(yè)地共同保證安保性。
最后就是不可忽略的被動(dòng)安全話題。在可預(yù)見的很長一段時(shí)間內(nèi)，交通狀況會(huì)是一個(gè)混合交通的狀況，道路上會(huì)有自動(dòng)駕駛車輛和非自動(dòng)駕駛車輛共同參與，也就是說事故依然是不可完全避免的?，F(xiàn)階段針對車輛被動(dòng)安全的設(shè)計(jì)是基于我們已知的碰撞場景，以及乘員對車內(nèi)空間的使用情況，比如一般家用車乘員都是朝向車輛行駛的方向乘坐的。在L3和L4不斷部署的過程中，會(huì)出現(xiàn)一些我們現(xiàn)在未知的碰撞場景，比如自動(dòng)駕駛車輛與非自動(dòng)駕駛車輛的碰撞。另外尤其在L4以上的車輛中，乘員對車內(nèi)空間的使用情況會(huì)發(fā)生很大的變化，比如自動(dòng)駕駛系統(tǒng)啟動(dòng)后駕駛員可能調(diào)轉(zhuǎn)座位，面對后排成員進(jìn)行交流。顯然這些都對被動(dòng)安全提出了新的要求，在車輛開發(fā)過程中肯定要予以關(guān)注。
以上就是我?guī)淼淖詣?dòng)駕駛安全部署的十二條原則。如何在開發(fā)和驗(yàn)證中具體實(shí)施這些原則，《自動(dòng)駕駛安全第一白皮書》有進(jìn)一步描述，歡迎我們共同來探討。謝謝！
