無(wú)論是特斯拉的事故還是Uber的事故，都離不開(kāi)自動(dòng)駕駛的安全。

自動(dòng)駕駛應(yīng)該定義或者擴(kuò)張為一個(gè)廣義的、顛覆整個(gè)汽車(chē)行業(yè)，或者是顛覆所有行業(yè)的駕駛技術(shù)，因?yàn)槲锪?、農(nóng)業(yè)、工業(yè)、礦區(qū)等行業(yè)都可以用自動(dòng)駕駛解決。解決的前提是什么呢？要有足夠的安全。要有足夠安全性，保障系統(tǒng)是可靠的，系統(tǒng)決策是正確的，起碼要保證系統(tǒng)不會(huì)出致命的事故，所以任何自動(dòng)駕駛系統(tǒng)都離不開(kāi)安全。

2019第四屆ADAS與自動(dòng)駕駛論壇于3月21-22日在上海召開(kāi)，論壇由CCIA智能網(wǎng)聯(lián)專(zhuān)委會(huì)與佐思產(chǎn)研主辦，地平線(xiàn)、縱目科技、中科慧眼、中電昆辰、富蘭光學(xué)、創(chuàng)景科技等單位支持。

長(zhǎng)城哈弗技術(shù)中心主任工程師甄龍豹在論壇上發(fā)表了題為“長(zhǎng)城汽車(chē)自動(dòng)駕駛開(kāi)發(fā)的安全DNA”的演講，以下是演講全文。

首先看一下自動(dòng)駕駛汽車(chē)是由什么組成的？廣義上的自動(dòng)駕駛汽車(chē)分兩部分，第一部分是自動(dòng)駕駛系統(tǒng)ADS，第二部分是傳統(tǒng)的車(chē)輛平臺(tái)（AutonomousVehicle Platform，簡(jiǎn)稱(chēng)AVP）。車(chē)輛平臺(tái)由傳統(tǒng)執(zhí)行機(jī)構(gòu)ESP、EPS，交互系統(tǒng)HMI等組成。

自動(dòng)駕駛系統(tǒng)包含雷達(dá)、超聲波、環(huán)視、定位、控制器、數(shù)據(jù)記錄等。

其他還包括冗余架構(gòu)、冷卻系統(tǒng)、冗余電源、電源管理系統(tǒng)等。這兩個(gè)系統(tǒng)之間通過(guò)以太網(wǎng)或者其他車(chē)載網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)交換。

為了更好應(yīng)對(duì)ADS和AVP的開(kāi)發(fā)，長(zhǎng)城推出了智能領(lǐng)航平臺(tái)i-Pilot。i-Pilot是從L3開(kāi)始的。i-Pilot愿景是開(kāi)放、可擴(kuò)展的自動(dòng)駕駛平臺(tái)，目標(biāo)是優(yōu)化研發(fā)路線(xiàn)，集成業(yè)內(nèi)最新技術(shù)，開(kāi)發(fā)模塊化功能，兼容平臺(tái)拓展性，實(shí)現(xiàn)軟硬件的快速迭代。

I-Pilot智慧領(lǐng)航集成了長(zhǎng)城汽車(chē)自動(dòng)駕駛系統(tǒng)，采用了可擴(kuò)展結(jié)構(gòu)，符合車(chē)規(guī)級(jí)開(kāi)發(fā)流程，兼容車(chē)載傳感器系統(tǒng)的升級(jí)迭代，支持從L3自動(dòng)駕駛一直到L5完全自動(dòng)駕駛系統(tǒng)的開(kāi)發(fā)和量產(chǎn)。

上圖是長(zhǎng)城汽車(chē)的自動(dòng)駕駛開(kāi)發(fā)路線(xiàn)圖，目標(biāo)是2021年實(shí)現(xiàn)高速公路的自動(dòng)駕駛，里面包含上下匝道自動(dòng)處理。判斷高速公路自動(dòng)駕駛智能化程度，最簡(jiǎn)單的區(qū)分是是否支持上下匝道自動(dòng)處理。如果它不支持，那它是不完整的。

I-Pilot 2.0現(xiàn)在更多是作為研發(fā)性項(xiàng)目，實(shí)現(xiàn)城市自動(dòng)駕駛，服務(wù)于共享出行，無(wú)人送貨等。

I-Pilot 3.0將1.0和2.0進(jìn)行整合，形成服務(wù)于城市和高速公路自動(dòng)駕駛的I-Pilot3.0。

I-Pilot 4.0是利用更新的傳感器，更新一代的技術(shù)架構(gòu)，更新一代完整技術(shù)，升級(jí)迭代打造4.0。當(dāng)然現(xiàn)在只是一個(gè)概念，因?yàn)閷脮r(shí)有什么最新的技術(shù)，有什么最新的傳感器，誰(shuí)也無(wú)法確定。

現(xiàn)在已經(jīng)量產(chǎn)的車(chē)輛平臺(tái)里面，換擋、制動(dòng)、扭矩等各個(gè)方面都采用了線(xiàn)控。2.0會(huì)實(shí)現(xiàn)完整的車(chē)輛備份控制，包括所有的備份。3.0、4.0實(shí)現(xiàn)新架構(gòu)、新迭代的優(yōu)化，成本更低，更好為社會(huì)服務(wù)的平臺(tái)。

長(zhǎng)城汽車(chē)現(xiàn)在采取中、美、印三地協(xié)同研發(fā)。很多人不理解，開(kāi)發(fā)自動(dòng)駕駛系統(tǒng)，為什么要搞這么多研發(fā)機(jī)構(gòu)？舉一個(gè)最簡(jiǎn)單的例子，長(zhǎng)城的i-Pilot是首先立足服務(wù)于中國(guó)，最后服務(wù)于全球。著眼點(diǎn)不單單是中國(guó)。在中國(guó)上市以后，會(huì)逐步推到德國(guó)、美國(guó)，如果不了解當(dāng)?shù)厍闆r，自動(dòng)駕駛系統(tǒng)會(huì)滿(mǎn)足當(dāng)?shù)氐慕灰?guī)和駕駛習(xí)慣嗎？

美國(guó)高速具有中國(guó)高速所不具備的其他特征，如不同的紅綠燈，高速上有十字路口等。特斯拉致死事故就是在高速的十字路口導(dǎo)致的，這在中國(guó)高速里面是完全想象不到的。

高速公路的自動(dòng)駕駛系統(tǒng)有一系列的情況。拿換道來(lái)說(shuō)，是由于前車(chē)車(chē)速太慢，駕駛員要去快車(chē)道行駛，不想在慢車(chē)道上走，還是由于其他駕駛員的主觀意圖介入？這是換道意圖的產(chǎn)生；然后進(jìn)行換道可能性的判斷，有沒(méi)有別的車(chē)在搶相鄰車(chē)道？后車(chē)是不是不會(huì)突然加速？等等。換道就會(huì)有不下一百個(gè)工況的研究，因此不管仿真也好，還是實(shí)際上路測(cè)試也好，還是測(cè)試設(shè)備上測(cè)試也好，都要不斷發(fā)掘，打造系統(tǒng)可靠性和完整性。

長(zhǎng)城的AVP是車(chē)輛本身的執(zhí)行平臺(tái)。因?yàn)槲覀儼l(fā)現(xiàn)業(yè)內(nèi)企業(yè)將過(guò)多精力集中在自動(dòng)駕駛技術(shù)本身，技術(shù)再好，技術(shù)落地也需要車(chē)輛平臺(tái)的支撐，否則技術(shù)再好也是沒(méi)法落地的。所以AVP同樣重要。

2018年8月27日長(zhǎng)城VV6發(fā)布會(huì)上，長(zhǎng)城汽車(chē)正式加入了百度的Apollo開(kāi)放車(chē)輛認(rèn)證平臺(tái)。

10月24日，長(zhǎng)城與AtonomousStuff宣布為中國(guó)市場(chǎng)共同開(kāi)發(fā)和部署自動(dòng)駕駛車(chē)輛平臺(tái)。新推出的ORA電動(dòng)車(chē)R1，也完全支持線(xiàn)控處理，目前長(zhǎng)城已經(jīng)形成燃油與純電雙引擎自動(dòng)駕駛車(chē)輛開(kāi)發(fā)平臺(tái)，以更好的支持業(yè)內(nèi)自動(dòng)駕駛系統(tǒng)開(kāi)發(fā)及落地。

長(zhǎng)城自動(dòng)駕駛車(chē)輛開(kāi)發(fā)平臺(tái)具備線(xiàn)控驅(qū)動(dòng)、線(xiàn)控制動(dòng)、線(xiàn)控?fù)Q檔、線(xiàn)控大燈、線(xiàn)控雨刷等功能，為廣大開(kāi)發(fā)者提供方便、安全、更低成本的平臺(tái)，加速整個(gè)無(wú)人駕駛行業(yè)的部署和量產(chǎn)。同時(shí)VV6提供四驅(qū)駕駛，可滿(mǎn)足不同場(chǎng)景的自動(dòng)駕駛開(kāi)發(fā)測(cè)試。

下圖描述了ISO26262和SOTIF的應(yīng)用。

功能安全方面，有自動(dòng)駕駛系統(tǒng)安全分析的方法論。整體來(lái)說(shuō)，從用戶(hù)需求導(dǎo)出圖譜，整體形成邏輯架構(gòu)定義，從邏輯架構(gòu)定義本身進(jìn)行分析，最后執(zhí)行系統(tǒng)安全架構(gòu)。

使用安全方面從三大維度考慮，第一是傳統(tǒng)的ADAS需求是什么，第二擬人化的需求是什么，第三本身系統(tǒng)限制是什么。由這三點(diǎn)導(dǎo)出系統(tǒng)配置和系統(tǒng)架構(gòu)。

比如ADAS需求， ACC停車(chē)以后，一般都是三秒內(nèi)前車(chē)起步的話(huà)，系統(tǒng)可以自動(dòng)起步，三秒以后需要駕駛員確認(rèn)起步。經(jīng)過(guò)調(diào)查發(fā)現(xiàn)，停車(chē)三秒之內(nèi)，一是人對(duì)于周?chē)h(huán)境的記憶和感知是不會(huì)產(chǎn)生太大變化的，二是人的注意力會(huì)保持集中，這是三秒的來(lái)源。過(guò)了三秒以后，周?chē)沫h(huán)境會(huì)產(chǎn)生很大變化，很多信息會(huì)從人的記憶里面抹去；同時(shí)過(guò)了三秒以后，人的注意力會(huì)產(chǎn)生分散，有很多其他的額外動(dòng)作產(chǎn)生。

另外一個(gè)是擬人化的分析需求準(zhǔn)則。人類(lèi)的可視距離是非常遠(yuǎn)的，在條件空曠、周?chē)h(huán)境清晰的條件下，人的可視距離可達(dá)到一公里以上。所以人有更多時(shí)間來(lái)應(yīng)對(duì)道路維修和路面上的掉落物，可以及早進(jìn)行規(guī)避。這個(gè)決策動(dòng)作完全是人自身決定的?，F(xiàn)在任何的傳感器，都不具備遠(yuǎn)距離微小物體的探測(cè)能力，比如路面的凸起。這會(huì)導(dǎo)致什么情況？當(dāng)發(fā)現(xiàn)路面有掉落物的時(shí)候，如果在五六十米才感知它的話(huà)，自動(dòng)駕駛系統(tǒng)已經(jīng)不足以把車(chē)安全剎停了。哪怕剎停了，也不敢保證后車(chē)不追尾。

基于這個(gè)角度，長(zhǎng)城開(kāi)發(fā)了長(zhǎng)焦攝像頭，探測(cè)距離150米以外，可看到150米左右路面凸起的微小物體，只要高度大于20厘米左右（大于這個(gè)尺寸會(huì)對(duì)系統(tǒng)造成安全影響），可以感知出來(lái)，甚至可對(duì)它進(jìn)行完整的區(qū)域劃分。凸起物屬于哪一個(gè)區(qū)域，是壓過(guò)去還是騎著過(guò)去，針對(duì)不同區(qū)域劃分，進(jìn)行不同的系統(tǒng)操作。

長(zhǎng)城車(chē)輛平臺(tái)的安全系統(tǒng)ECU都有兩份，包括傳感器接入兩個(gè)不同的ECU，由不同的ECU處理不同數(shù)據(jù)，兩個(gè)ECU之間進(jìn)行數(shù)據(jù)通訊，兩個(gè)ECU之間進(jìn)行不同連接，傳感器進(jìn)行不同的電源連接，以此保證當(dāng)其中一套傳感器失效以后，有另一套傳感器可以繼續(xù)使用。保證車(chē)輛能在緊急情況下將人安全送到另一個(gè)區(qū)域。整個(gè)執(zhí)行平臺(tái)，都是雙份的，包括雙電源、雙電機(jī)、雙輪速、雙橫擺等。

從人機(jī)交互層面，采用了HUD多維信息感知，使得交互系統(tǒng)的一套失效以后，還有另外一套可以清晰告訴駕駛員系統(tǒng)信息。針對(duì)單點(diǎn)失效和多點(diǎn)失效都進(jìn)行完整的系統(tǒng)操作，包括安全駕駛員監(jiān)管、當(dāng)前車(chē)輛停車(chē)、應(yīng)急車(chē)道停車(chē)以及下個(gè)服務(wù)區(qū)停車(chē)，以保證駕駛?cè)藛T的安全。

一些研究表明，自動(dòng)駕駛汽車(chē)在沒(méi)有任何死亡事故情況下，安全行駛2.75億英里，才能證明它和人類(lèi)可以融合。這個(gè)準(zhǔn)則可以應(yīng)用于國(guó)內(nèi)的道路嗎？2.75億英里的道路組成應(yīng)該是什么樣的呢？高速占多少，市區(qū)占多少？還是全部是高速或全部是城郊？

Waymo實(shí)車(chē)測(cè)試超過(guò)1000萬(wàn)英里，仿真測(cè)試超過(guò)50億英里。仿真和實(shí)車(chē)測(cè)試是必須同時(shí)進(jìn)行的。

用仿真來(lái)驗(yàn)證決策是不是安全沒(méi)有問(wèn)題，可是用仿真驗(yàn)證感知的安全，并不是好方法。因?yàn)閭鞲衅鞯姆抡娴浆F(xiàn)在為止，沒(méi)有任何的仿真平臺(tái)能夠做到對(duì)傳感器真值的仿真相關(guān)性達(dá)到100%，或者99.99%。