功能安全退到了一個(gè)既不影響智駕進(jìn)步、又不影響智駕傳播的角落。

文|曹琳

編輯|冒詩(shī)陽(yáng)

汽車(chē)像素(ID:autopix)原創(chuàng)

01.

體驗(yàn)的兩難

L2 級(jí)輔助駕駛在技術(shù)、營(yíng)銷(xiāo)兩條車(chē)道上狂飆了多年之后，終于撞到最嚴(yán)格的一次監(jiān)管。

4 月 16 日晚間，工業(yè)和信息化部裝備工業(yè)一司在工信部官網(wǎng)上發(fā)布了公告，其中明確提到 “汽車(chē)生產(chǎn)企業(yè)需要明確系統(tǒng)功能邊界和安全響應(yīng)措施，不得進(jìn)行夸大和虛假宣傳，嚴(yán)格履行告知義務(wù)，切實(shí)擔(dān)負(fù)起生產(chǎn)一致性和質(zhì)量安全主體責(zé)任，切實(shí)提升智能網(wǎng)聯(lián)汽車(chē)產(chǎn)品安全水平�！�

除了上述公告，一些具體的規(guī)定細(xì)則（附文末），開(kāi)始在行業(yè)內(nèi)流傳。這些內(nèi)容在三個(gè)方面嚴(yán)格限制了 L2 級(jí)輔助駕駛技術(shù)（下簡(jiǎn)稱(chēng)智駕），包括智駕技術(shù)的宣傳、使用規(guī)范，以及對(duì)車(chē)企進(jìn)行遠(yuǎn)程軟件升級(jí)，即 OTA 的監(jiān)管。

臨近上海車(chē)展前，這一突然到來(lái)的公告，打亂了很多車(chē)企已準(zhǔn)備好的營(yíng)銷(xiāo)節(jié)奏，有車(chē)企營(yíng)銷(xiāo)的負(fù)責(zé)人告訴我們，很多已經(jīng)確定好的宣傳文案，都得改。甚至還影響了他們的技術(shù)發(fā)布節(jié)奏，一些車(chē)企原定的 OTA 內(nèi)容，只能重新再討論。OTA 的頻次會(huì)降低，小范圍推送 “公測(cè)”、“嘗鮮” 版本的行為不再被允許。

究竟是什么導(dǎo)致了 L2 級(jí)輔助駕駛技術(shù)在 “系統(tǒng)功能邊界” 和 “安全響應(yīng)措施” 上的不明確？

L2 級(jí)輔助駕駛（以下簡(jiǎn)稱(chēng)智駕）進(jìn)步到現(xiàn)在，一項(xiàng)很關(guān)鍵的能力是 “擬人化”，這不僅是智駕研發(fā)人員在技術(shù)上的目標(biāo)，也是車(chē)評(píng)人在做相關(guān)測(cè)評(píng)、對(duì)比橫評(píng)時(shí)，著墨最多的一項(xiàng)體驗(yàn)。比如加減速時(shí)是否平穩(wěn)，處理緊急情況時(shí)是否從容果斷，跟車(chē)、超車(chē)時(shí)能否讓人有信心等主觀感受。這些人的主觀感受，往往因環(huán)境不同而變化，因此很難用一套規(guī)則來(lái)描述清楚，

擬人感是學(xué)習(xí)的結(jié)果。從兩年前開(kāi)始，端到端大模型成為智駕的主流方案，它用大量的案例來(lái)訓(xùn)練人工智能，讓 AI 自主學(xué)習(xí)人類(lèi)開(kāi)車(chē)的方式。于是智駕功能的進(jìn)步過(guò)程，變成了 AI 大模型能力的進(jìn)步過(guò)程，而不再是基于無(wú)窮盡的手寫(xiě)規(guī)則的功能開(kāi)發(fā)。

通過(guò)引入直接向人類(lèi)學(xué)習(xí)的人工智能，大部分車(chē)企的大模型都能做到擬人駕駛，整套智駕方案賦予大模型的權(quán)限越大，智駕系統(tǒng)的擬人能力往往也就越強(qiáng)。

但迄今為止，還沒(méi)有車(chē)企訓(xùn)練出完美的大模型。大模型可能會(huì)遇到處理不了的問(wèn)題，還可能會(huì)生成一個(gè)錯(cuò)誤而不自知的結(jié)果。為了避免后者，在 AI 的基礎(chǔ)上，大部分車(chē)企都會(huì)加入一套規(guī)則（Planner）來(lái) “兜底”，規(guī)則會(huì)在大模型所選擇的諸項(xiàng)方案中，規(guī)避掉一些危險(xiǎn)的方案。而為了避免前者，智駕系統(tǒng)可以做出對(duì) L2 級(jí)別輔助駕駛來(lái)說(shuō)正確事情——預(yù)警退出，交給人類(lèi)。

可究竟什么時(shí)間、什么情況下應(yīng)該退出并把車(chē)交給人類(lèi)，是模糊地帶，這就導(dǎo)致了 “系統(tǒng)功能邊界” 和 “安全響應(yīng)措施” 的問(wèn)題。是智駕系統(tǒng)把握不大時(shí)，還是全無(wú)把握時(shí)？亦或是只要稍有疑慮就應(yīng)該退出？

智駕系統(tǒng)的設(shè)計(jì)者傾向于晚一些，因?yàn)槟菢硬拍芴嵘�體驗(yàn)，同時(shí)提升一個(gè)關(guān)鍵指標(biāo)——百公里接管次數(shù)。這是一項(xiàng)智駕技術(shù)和車(chē)企營(yíng)銷(xiāo)團(tuán)隊(duì)都會(huì)關(guān)注的數(shù)值，比如小鵬今年的目標(biāo)是將百公里接管次數(shù)降到一次，以彰顯技術(shù)的領(lǐng)先程度。

最近頗受關(guān)注的高速路碰撞事故中，相關(guān)車(chē)企公布的時(shí)間線顯示，智駕系統(tǒng)在事故前 2 秒到 4 秒時(shí)才突然退出，將駕駛權(quán)交給人類(lèi)。當(dāng)時(shí)車(chē)輛的時(shí)速是 116kmh。

02.

功能安全難題

上述智駕系統(tǒng)的決策方式，并不是個(gè)例。當(dāng)有規(guī)則算法在端到端模型方案中作為最后一道防線時(shí)，智駕系統(tǒng)會(huì)在很多處理不了的問(wèn)題中選擇退出。更常見(jiàn)的退出情況發(fā)生在違反交規(guī)時(shí)，比如紅燈壓線或闖了紅燈，這種場(chǎng)景下，智駕系統(tǒng)違反了規(guī)則算法中清晰描述的邊界，因此經(jīng)常會(huì)選擇退出。

但除了闖紅燈等邊界清晰的錯(cuò)誤，擬人化的目標(biāo)下，很多規(guī)則未必有那么清晰。比如在限速 20kmh 但空無(wú)一人的湖濱道路上，智駕系統(tǒng)應(yīng)不應(yīng)該超速，又或者在限速?gòu)?120 突然降到 40 的高速公路匝道上，智駕系統(tǒng)是應(yīng)該在指示牌前通過(guò)急剎將車(chē)速降到規(guī)定值以下，還是應(yīng)該擬人化操作，緩慢減速，這些都是需要取舍，需要規(guī)范的問(wèn)題。

目前國(guó)內(nèi)汽車(chē)所要遵循的標(biāo)準(zhǔn)正在逐步豐富，比如關(guān)于汽車(chē)轉(zhuǎn)向的基本要求 GB 17675、關(guān)于乘用車(chē)制動(dòng)的技術(shù)要求 GB 21670。這些標(biāo)準(zhǔn)規(guī)范了相關(guān)領(lǐng)域的性能、安全冗余、報(bào)警信號(hào)等。除了強(qiáng)制標(biāo)準(zhǔn)外，還有一系列推薦標(biāo)準(zhǔn)。

雖然智駕決策主要包含的，就是轉(zhuǎn)向、制動(dòng)和加速幾個(gè)項(xiàng)目，但要依靠上述標(biāo)準(zhǔn)對(duì)功能安全的定義，來(lái)實(shí)現(xiàn)對(duì) L2 級(jí)輔助駕駛安全的監(jiān)管，目前還不能做到。特別是當(dāng)無(wú)法用功能來(lái)定義的端到端大模型，成為智駕技術(shù)方案之后。

端到端大模型，一端是感知信息的輸入，即車(chē)上所有攝像頭、雷達(dá)所搜集到與駕駛相關(guān)的信息，另一端是駕駛決策的輸出，中間不再有其他環(huán)節(jié)。

被減掉的環(huán)節(jié)包括感知、預(yù)測(cè)、規(guī)劃和控制，這是上一代智駕技術(shù)的四個(gè)基礎(chǔ)模塊。那時(shí)智駕的研發(fā)人員需要將開(kāi)車(chē)的規(guī)則整理成代碼，一行一行的寫(xiě)進(jìn)四個(gè)基礎(chǔ)模塊中�？勺詈笮袠I(yè)發(fā)現(xiàn)，道路上所能遇到的情況難以窮盡，一家車(chē)企負(fù)責(zé)整理 coner case（特殊案例）的工程師人數(shù)越多，他們所能發(fā)現(xiàn)的問(wèn)題、打上的補(bǔ)丁就越多。端到端大模型的引入，解決了這個(gè)問(wèn)題。

但對(duì)于功能安全工程師來(lái)說(shuō)，很難在端到端框架下，完整貫徹的功能安全的理念。

▍某車(chē)企的功能安全理念

比如，目前國(guó)內(nèi)在功能安全上做的較好的車(chē)企，會(huì)從新車(chē)前期的架構(gòu)設(shè)計(jì)、功能定義階段便開(kāi)始介入，到了車(chē)型的開(kāi)發(fā)階段，功能安全也會(huì)同步跟進(jìn)，有功能做變更時(shí)，功能安全部門(mén)需要給出自己的意見(jiàn)，判斷哪些變更會(huì)影響到后續(xù)結(jié)果，并對(duì)功能安全要求去做相應(yīng)的適配性變更，這些要求有時(shí)會(huì)具體到信號(hào)、交互方式和次序等。最后再參與產(chǎn)品開(kāi)發(fā)完成進(jìn)入評(píng)審階段，功能安全工程師會(huì)在各個(gè)子系統(tǒng)中找到與安全相關(guān)的相關(guān)項(xiàng)進(jìn)行檢查。

但端到端智駕大模型是一個(gè)難以檢查的 “黑盒”，車(chē)企的功能安全理念貫徹的再?gòu)氐�，也很難在前兩個(gè)階段中介入，無(wú)法在整個(gè)流程中，提出具體的要求。

另外，目前的法規(guī)，對(duì)智能駕駛技術(shù)的規(guī)定也較為模糊，這也使得車(chē)企的功能安全部門(mén)很難找到執(zhí)行的標(biāo)準(zhǔn)。去年 8 月 1 日，工信部聯(lián)合市場(chǎng)監(jiān)管總局質(zhì)量發(fā)展局發(fā)布了《關(guān)于進(jìn)一步加強(qiáng)智能網(wǎng)聯(lián)汽車(chē)準(zhǔn)入、召回及軟件在線升級(jí)管理的通知（征求意見(jiàn)稿）》，一定程度上對(duì)車(chē)企的 OTA 進(jìn)行了規(guī)范，一些車(chē)企通過(guò) OTA 來(lái)解決未備案的產(chǎn)品問(wèn)題，在相關(guān)規(guī)定完善后，這些漏洞會(huì)被補(bǔ)上。

但這些規(guī)定更多是從結(jié)果和影響來(lái)做規(guī)范，真正直指技術(shù)本身的標(biāo)準(zhǔn)，目前方向還很模糊。

相比之下，歐盟《通用產(chǎn)品安全法規(guī)》提供了另一種思路，它在技術(shù)標(biāo)準(zhǔn)上同樣未做細(xì)致的規(guī)定，可一旦產(chǎn)品出現(xiàn)安全事故，企業(yè)需要提供充足證據(jù)來(lái)證明自己做到了最優(yōu)，以撇清責(zé)任，否則會(huì)面臨巨額罰款。這就讓企業(yè)不得不在研發(fā)和生產(chǎn)過(guò)程中 “自我審查”，去盡量建立高標(biāo)準(zhǔn)。

端到端大模型除了能力上限更高，它還帶來(lái)了一個(gè)好處，端到端省掉了四個(gè)模塊之間傳遞的過(guò)程，避免傳感器搜集到的信息，在模塊間傳遞時(shí)的衰減。

這就讓減少昂貴傳感器的產(chǎn)品方案變得可行，比如減少或去掉激光雷達(dá)等傳感器，將智駕技術(shù)下放到更便宜的車(chē)型上，由此帶來(lái)智駕技術(shù)普及的關(guān)口上，規(guī)范技術(shù)的安全邊界，的確已經(jīng)勢(shì)在必行。

附：網(wǎng)傳智駕監(jiān)管內(nèi)容

大眾汽車(chē)以復(fù)雜的流程而著名，這些流程保證了產(chǎn)品的可靠，保證了技術(shù)的穩(wěn)健迭代，并確保大眾、奧迪、保時(shí)捷，甚至后來(lái)加入的賓利、布加迪等品牌，都能夠共享資源。如果沒(méi)有新能源、智能化驅(qū)動(dòng)的技術(shù)變革，大眾汽車(chē)有能力依靠這套體系，維持燃油車(chē)技術(shù)和銷(xiāo)量的領(lǐng)先。

一、規(guī)范車(chē)企 OTA——

（1）收緊企業(yè) OTA 的審查，要求企業(yè)降低 OTA 的頻次，單次 OTA 必須驗(yàn)證充分再上車(chē)。如果發(fā)生需要緊急 OTA 的情況，車(chē)企需要走召回和停產(chǎn)流程，新的 OTA 需求由市場(chǎng)監(jiān)督總局審批通過(guò)后才可以部署；

（2）不允許各種名義的 “公測(cè)”，無(wú)論是多少用戶參與，也需要和完整版本一樣公告流程。

二、規(guī)范技術(shù)宣傳——

（1）宣傳中禁用 “自動(dòng)駕駛”、“自主駕駛”、“智駕”、“智能駕駛”、“高階智駕” 等名詞，以 “智駕等級(jí) + 輔助駕駛” 進(jìn)行描述（例如 L2 級(jí)輔助駕駛）；

（2）禁止使用 “代客泊車(chē)”、“一鍵召喚”、“遠(yuǎn)程遙控” 等名詞；

（3）不允許在 L2 級(jí)宣傳中用 “接管” 進(jìn)行功能的傳播，也不允許使用 “脫手”、“脫眼” 的描述；

（4）盡量用中文全稱(chēng)，即便使用英文，在第一次時(shí)也必須進(jìn)行中文的全稱(chēng)說(shuō)明。

三、規(guī)范涉及使用方式的能力宣傳——

（1）敦促?gòu)S商從技術(shù)層面禁止駕駛員脫離，使用駕駛輔助必須對(duì)人臉 ID 進(jìn)行識(shí)別，在駕駛輔助狀態(tài)下，禁止座椅調(diào)節(jié)和平躺；

（2）廠商不可以用 “駕駛員視覺(jué)脫離” 抑制和關(guān)閉 “駕駛員運(yùn)動(dòng)脫離”，“運(yùn)動(dòng)脫離”60 秒，需要用戶給出合理性說(shuō)明；

（3）不再受理不能確保駕駛員完全控制的功能，例如 “代客泊車(chē)”、“一鍵召喚”、“遠(yuǎn)程遙控”；

（4）即便車(chē)輛的智駕能力在駕駛員無(wú)法響應(yīng)的情況下實(shí)現(xiàn)了規(guī)避事故，仍需要對(duì)用戶進(jìn)行懲罰；

（5）LCC、NOA 等 L2 級(jí)輔助駕駛能力需要有 “避碰測(cè)試”，測(cè)試報(bào)告需要有全方位詳細(xì)的信息；

（6）對(duì)于車(chē)企利用數(shù)字仿真對(duì)輔助駕駛的應(yīng)用場(chǎng)景進(jìn)行模擬，車(chē)企需要給出自己整套仿真系統(tǒng)的可行性評(píng)價(jià)。

本文為汽車(chē)像素（autopix）原創(chuàng)內(nèi)容

未經(jīng)授權(quán)，請(qǐng)勿轉(zhuǎn)載

       原文標(biāo)題 : 狂飆的智駕面前，車(chē)企的功能安全理念為何失靈？