自动驾驶为什么总出事？机器不应该比人更可靠吗？

自动驾驶是未来的趋势，离我们越来越近。 想必大家也经常听说在一些封闭园区，比如码头、矿山，已经有无人驾驶卡车在工作，有时甚至在路上也能看到一些低速的无人配送车。

自动驾驶的等级分为L0-L5，是从人类完成驾驶任务逐渐到机器完成驾驶任务的过渡。

如果没有任何的主动辅助驾驶功能，就是我们所称的L0，这个时候需要人的手、眼、脑、脚综合地配合，来完成驾驶的任务。

到L1级别时，车辆可以完成一些自主的纵向控制，我们的脚可以暂时离开油门、刹车，进入定速巡航。

到L2级别时，我们可以暂时解放手和眼，可以喝个水什么的，车辆会自动进行车道保持和定速巡航，甚至进行简单的超车行为。

到L3级别时，智能就逐渐登上舞台。我们基本上可以不用关心驾驶任务，更加解放了手和眼。我们甚至可以看会儿手机，但是仍然不能解放脑。遇到紧急情况的时候，可能要求我们在几十秒甚至10秒内要完成接管。

到L4级别时，我们的手眼脑基本上都被解放了，可以“躺平”。

到L5级别时，甚至可以取消方向盘、刹车和油门，这个时候就称之为无条件的自动驾驶。

自动驾驶事故是如何发生的？

已完成：10% //////////

自动驾驶的技术日新月异，但是民众仍然有一些隐忧。

2021年的民意调查发现，中国和美国的消费者都对无人驾驶有诸多顾虑。尤其是安全相关的，比如技术故障、黑客，发生事故的时候如何保证乘客和行人的安全等等。

这些对安全的隐忧是有道理的，因为我们不时会听到这样一些事故：比如某厂的自动驾驶技术将白色卡车误认为天空，类似的事故发生了4起，导致2死2伤。这就超出了我们平常所持有的“机器计算和机械性能比较可靠”的认知。

其实，自动驾驶的安全问题是由多方面交织而成的。最主要是车辆智能技术的发展还不够，成本限制也导致我们不能采用足够昂贵的传感器，同时行业法规还不够完善，测试验证也颇为不足。

比如刚才提到的事故，通常发生在以摄像头和毫米波雷达为主传感器的L2级别自动驾驶方案中。摄像头和毫米波雷达都能够对目标进行一定程度的检测，任何一个检测到目标，都能进行避让、超车，或者是紧急制动等等操作。但是它们通常对静止的车辆都很头疼，为什么呢？

因为我们的摄像头、也就是视觉传感器，在行驶过程中会不停地对前方和周围进行各类的目标检测。一般来说，能够准确地检测到行人、道路、车道线、前车，甚至旁边的建筑物和树木等等。

但是它也有局限性，尤其会把一些静止的，比如说公交车、广告屏幕上面的行人照片或者标识误认为是真实的。我们可以想象一下，如果频繁地触发紧急制动，这样的驾乘体验恐怕不是那么良好。所以制造商也不会将视觉传感器发现的目标作为紧急制动的单一判别。

这个时候毫米波雷达就需要发挥作用了，毫米波雷达是用波的反射原理来检测目标的。按道理讲，这比刚才的视觉目标检测分辨不出静止或者运动要好很多，可是毫米波雷达也有自己的局限性。

毫米波雷达主要依赖多普勒效应感知移动的目标。当目标是移动中的，通常没有问题：检测到目标，执行相应的安全操作。可如果前方的目标是静止的，虽然有一定的反射波，但是这个反射波和地杂波是交织在一起的，所以通常会被过滤掉。

▲  目标信息的反射波缺乏径向多普勒分量，被过滤

我们刚才提到的事故，通常是在波的反射切线方向有这样的目标，但是在径向方向的反射量不多，甚至没有。所以这个时候毫米波雷达也将它作为一个不存在的目标，或者作为被地杂波掺杂的目标所过滤掉。这就是前面提到一些令人痛心的事故发生的原因。

所以如果我们多加上一些传感器，会不会好一点呢？会好一点。比如我们可以加激光雷达。如果对视觉不放心，可以在夜间情况有针对性地增加夜间的红外传感器，或者是事件相机传感器。

但是每多加一个传感器，带来的是成本上升，还有时间同步、空间同步，以及单一传感器失效之后的裁决等技术方面的问题。也就是说，要解决安全问题，首先我们的智能技术和传感器技术本身还有很长的路要走。

我们需要怎样的行业标准？

已完成：30%  // / ///////

其次，我们还有行业法规的不完善以及测试验证的不足。

▲ 国际汽车工程师学会(SAE）2021年更新的标准

《道路机动车辆驾驶自动化系统相关术语的分类和定义》

我解释一下行业法规。比如说这是国际汽车工程协会（SAE）2021年对自动驾驶的一些术语的定义，相比于2018年的版本，这一版本已经有了很大的进步，尤其是对我们开始提到的从L0-L5的分级更为准确。

但我们还是在其中发现了一些定义不够清晰的地方，比如在操作设计域中，关于道路的定义不够清晰。

▲  防水手表的操作设计域

这里要提到一个专有名词，叫“操作设计域”。打个不恰当的比方，它就是安全操作的边界。以防水手表为例，如果要应对水滴溅落，我们可能需要30米的防水等级；如果要应对日常的梳洗，可能需要50米的防水等级；如果在游泳的时候佩戴，可能需要100米的防水等级；如果去深潜，可能需要200米的防水等级。在原先预定好的操作设计域内运行，应该就是可靠的。而一旦超出这个安全边界，后果就不好说。

让我们回到自动驾驶。自动驾驶对操作设计域的定义，肯定要比防水手表宽泛一点。比如针对低速的无人驾驶，在国际标准ISO 22737中，关于操作设计域有如下的要求：在速度方面，低速一般都是指35公里/小时以下，或者40公里/小时以下。

再比如说，道路适用范围是专有的道路，还是公开的道路？还有天气、照明等条件，有没有行驶区域内的静态障碍物等等。

刚才提到的跟道路相关的安全边界定义有哪些不够清晰的地方呢？我用红线做了一些标注，大家可以看到：“一小段”距离、“一小段”时间、“更长时间”，这些显而易见是不够清晰的。

还有“短暂的丢失”或者“磨损”，这个也不够清晰，为什么呢？因为各类车道线检测方法可以得到不同的识别结果。

如上图所示的道路，我们可以看到一些车道线磨损，我们对其进行图像处理。

当然，此时磨损的车道线是看不到的，但由于车道线隐含了一些几何信息：比如它是直线或者曲线，就可以通过几何算法进行一些增强，甚至可以通过一些机器学习特征的方法进行补全，或者是语义分割等。

所以不同的检测方法将得到不同的识别结果，又怎么样能够一一对应到开始提到的车道线的“磨损”或者“丢失”呢？

其次，车道线不清晰的情况非常多见。比如在拥堵路段，不管是自动驾驶还是人类驾驶，可能都看不到车道线。但对人类驾驶而言，这似乎不是一个特别大的问题，我们只需要跟随前车就好。为什么呢？因为我们默认前车的行驶是符合道路几何信息的。

再比如说在一些极端天气情况下，我们也看不到车道线，但是人类驾驶可以通过跟前车保持一定的距离来实现安全驾驶。

或者在照明条件比较弱等情况下，我们只需要跟前车保持一定的距离和方位就可以。

所以，如果我们要对刚才提到的法规做更进一步的明晰，要做哪些工作呢？

 

对于人类驾驶，我们可能模模糊糊觉得，跟前车保持一定的距离和方位就行。但是对自动驾驶来讲，它需要一个相对准确的标的物。

车牌可能就是一个不错的标的物。因为各个国家的交通法规对车牌的大小、材质、尺寸要求都很明晰，如果自动驾驶车以车牌识别为其中一个中介的话，大概就能估算出与前车的距离和方位。

在这张图中，我们能看到一个夹角，只要调整本车和前车的夹角，使它们相对平行，而且保持一段安全距离，车辆应该就能够在安全边界内运行。

我们觉得应该从几个方面来进一步明晰法规。

首先明晰概念，不要“单用车道线”指代道路信息，而应该称之为“道路几何信息”。道路几何信息是由多方面交织而成的。

第二，就是要量化指标，像“一小段距离”“一小段时间”都不应该出现，而应该替代为以国际单位为基准的实际距离或者时间。

 

第三，还应该设立边界阈值，超出这样的安全边界阈值，车辆应该马上启用备用方案。

除了车道线，其他与自动驾驶相关的感知、决策、控制、执行都应该符合“明晰定义-量化指标-设立边界阈值”的流程，这样才能使得车辆在放心的情况下运行。

 

自动驾驶应该如何测试？

已完成：60%  ////// ////

接下来谈一下测试：我们应该做哪些改进？那首先，我们要回答这样的核心三问：为什么测？怎么测？测什么？

首先为什么要测试呢？因为我们的测试需求最开始可能只是几段文字，然后我们对它进行一系列的开发，如软件开发、硬件开发、模块开发到整车集成等等。

在每一个阶段，设计者对上一个阶段都做了很大的产品形态改变，每一次的改变我们都应该对其进行仔细的测试，看它是否与预期一致。这是为什么要测。

▲ 虚拟仿真测试：无法实现道路负载响应，决策与执行无法验证

那怎么测呢？有几种比较通用的方法。比如在研发迭代中，虚拟仿真测试是必不可少的。简单来说有点像游戏的引擎，我们在中间采用了简化的车辆模型、道路模型和传感器模型，来进行功能项目验证。

但由于没有真实的道路响应以及车辆动力响应，所以很多与车辆动力性能相关的部分，比如说决策和执行，是没有办法对其进行测试的。

▲ 试验场地测试：场地设置耗时耗力、费用高昂，场景和功能简单

当然，车辆制造出来之后，在路上测肯定是更好的办法。这是一个试验场地测试，可以看到在一个空旷的地方加上了交通标识，假人假车等，我们将真实的车辆放在路上进行测试。

但是这样的场地设置非常昂贵。各个国家，包括我国各个省市在建设这样的自动驾驶测试场地的时候，投资都是数以亿元计甚至是数十亿元计的。整个测试过程也特别耗时、耗力，而且场景、功能还相对简单。

▲ 公共道路测试：成本高昂，无法再现极端场景与构建特殊测试需求

如果我们在公开道路上进行测试，当然可以遇到更加开放、复杂的场景。如此一来，多样性是足够了，但是成本非常高。而且我们无法再现极端场景，以及构建特殊的测试需求。比如说我们不敢在道路上进行紧急制动的测试，一旦发生事故，后果不堪设想。

另外一个思路是，车辆是真实的，把它放到实验室里面；但道路是假的，车不怎么动，这样的话就比较安全。

事实上传统的整车也会做这样的台架试验，但是对传统的整车而言，智能的部分不需要测，因为是人在开嘛。只需要测车本身相关的机械性能、电子性能等等；不需要准确的道路模拟，包括转向模拟、惯量模拟等等；也不需要进行精准的车姿计算；还不需要关键场景——通常就是在一段循环工况上，通过统计数据来发现噪音性能、燃油经济性能等等。

针对这些问题，我们团队就做了针对自动驾驶的整车在环测试台架。

首先，我们进行了准确的道路转向阻力模拟以及转动惯量的模拟。这样我们可以加载各类的工况，道路的摩擦阻力、风阻、坡阻等都可以加载。

其次，虽然车辆静止在台架上，但因为它有真实的动力输入和刚才提到的道路负载，所以我们可以得到相对准确的车姿，然后再经过标定，我们就能够计算出准确的姿态。这样可以在整个运行过程中测试到，车辆是不是能够做到完美的避让、完美的超车等等。

第三就是关键场景。哪怕我们在长直的路面上测100亿公里，也没有太大的意义，因为我们暴露不出来那些真正的问题。这些真正的问题需要用到相对比较复杂的事故分布等，参数都要一致。

除此之外，我们还要进行测试加速，通过重要性采样、代理模型等方法，我们就能够对场景加速200倍左右。

接下来就是测什么。我们刚才提到为什么测和怎么测，“测什么”这个问题也很重要。

▲ 三部委关于印发《智能网联汽车道路测试与示范应用管理规范（试行）》

工信部联通装〔2021〕97号

这是一个三部委联合发布的中国智能网联汽车测试项目，大概14个大类，30多个小项。

我举几个例子，比如说在交通标识线的识别和响应中，我们可能要测限速标识、车道线标识、停止线标识以及斑马线标识。

在交通灯部分，我们大概需要测几十种，要求车辆做准确的识别和响应。

那么在行驶过程中，需要测试前方车辆行动过程中间突然静止，以及行人横穿马路时候的紧急制动。如果这一个项目能被很好测试的话，我们开始提到的事故也许就不会发生。这些功能测试是非常有用的。

事实上，我们团队研发的自动驾驶车在获得深圳市开放道路牌照之前，也经过了标准中的十几个大项，三十几个小项的测试。

从“出生证”到“shenfenzheng”

已完成：80% //////////

但是我们仍然认为，这样的测试还不够。因为这仅仅是获得了“出生证”，我们可能还需要它逐渐地成长，给它一个“ ”。这个“shenfenzheng”代表什么呢？shenfenzheng代表它能够处理安全边界上的问题。

▲  测试安全边界的风险缓解能力

 

在所有的功能都是完美的时候，即标称运行的情况下，完成这些功能当然是没有问题的。但如果在不可抗力下，发生了单一的传感器失效又会怎么办呢？这个时候我们应该做边界的预警以及风险的缓解，所以需要接着测试。

这是一个例子，是在我们研发的台架上进行自适应巡航的测试。

▲ ACC状态进入跟随→前车静止→视觉失效，

目标检测失败→碰撞事故发生

如果说在测试过程中，单一传感器失效了而没有准备后备方案，可能就会发生一起严重的车祸事故，也就是上图所示的情景。

▲ 前车静止→视觉失效→雷达目标检测成功→触发紧急制动

如果说虽然我们的视觉失效了，但是雷达仍然能够工作，那触发紧急制动，车辆就安全了。

除了二元的测试结果，即通过与否。所有的中间数据、统计数据对我们整体的风险评估也是非常有作用的。

我们都知道，雨天路面打滑对车辆安全行驶有很大的影响。那么我们首先可以通过气象数据得到某一个区域晴天和下雨的概率，然后继续得到路面湿滑的概率。当然，晴天也有可能有洒水车，造成路面湿滑。

在这个情况下，我们要做控制方面的一些测试，比如不同的厂家有不同的控制模块，甚至同一个厂家在应对不同的情况也有不同的控制算法。我们对车进行详细的测试之后，可以得到风险传递和整体风险的计算，以及风险关系的可视化和可追溯。

这个例子很简单，但实际整车的功能安全和预期功能安全测试以及可靠性测试是很复杂的。我们还可以推演到其他电子的老化实验、可靠性实验，以及不同温度、维度的影响。

前面提到了产品、法规、测试，还有全生命周期的运行，最后我们还要提到在运行过程中的风险转移和定价。也就是说我们在现实条件下，并不能无限地提高自动驾驶的智能技术本身，而应该综合考虑车、人、社会的因素，来不停地扩大我们的安全边界。在安全边界内，让我们的自动驾驶安全地运行，安全的商业化落地。