“整個(gè)行業(yè)的自動(dòng)駕駛系統(tǒng)量產(chǎn)時(shí)間節(jié)點(diǎn)延遲了，因?yàn)樵谀莻€(gè)節(jié)點(diǎn)上要有一個(gè)車規(guī)級(jí)的域控制器。行業(yè)內(nèi)原定的是2021年的第一季度（實(shí)現(xiàn)自動(dòng)駕駛量產(chǎn)）。現(xiàn)在普遍都延后了一年或一年半。”比亞迪智能駕駛首席專家王歡近日接受雷鋒網(wǎng)新智駕專訪時(shí)表示。

域控制器是指自動(dòng)駕駛汽車的計(jì)算平臺(tái)，相當(dāng)于車載大腦。在王歡看來，近年來計(jì)算平臺(tái)相對(duì)系統(tǒng)的發(fā)展速度是落后的，由于缺少滿足車規(guī)級(jí)的自動(dòng)駕駛域控制器，導(dǎo)致大部分主機(jī)廠和供應(yīng)商在開發(fā)時(shí)只能暫時(shí)冷處理，將整個(gè)量產(chǎn)的時(shí)間節(jié)點(diǎn)向后推遲。

雷鋒網(wǎng)新智駕了解到，汽車產(chǎn)品標(biāo)準(zhǔn)分為消費(fèi)規(guī)、工規(guī)和車規(guī)。其中車規(guī)是級(jí)別最高的，需要通過抗沖擊性、振動(dòng)性、防火和高低溫等實(shí)驗(yàn)。同時(shí)作為智能駕駛功能安全，汽車產(chǎn)品必須滿足ISO26262標(biāo)準(zhǔn)。

誰能率先推出車規(guī)級(jí)自動(dòng)駕駛域控制器？關(guān)鍵或許在于客戶群體。

王歡認(rèn)為，由于大陸、博世擁有龐大客戶群體，所以向客戶推送時(shí)會(huì)更加方便。華為在做生態(tài)，由于體積大、聯(lián)盟伙伴多，推起來可能也會(huì)更加容易，但創(chuàng)業(yè)公司面臨的困難可能會(huì)比較多。

除了域控制器，實(shí)現(xiàn)自動(dòng)駕駛量產(chǎn)還涉及到一些研發(fā)模式等問題。比如，對(duì)于許多公司采取的在改裝量產(chǎn)車上進(jìn)行方案論證的模式，主機(jī)廠會(huì)認(rèn)為它并非量產(chǎn)的正確模式。

據(jù)王歡介紹，面對(duì)復(fù)雜的自動(dòng)駕駛，主機(jī)廠需要有正向的開發(fā)模式、驗(yàn)證體系、自動(dòng)駕駛系統(tǒng)架構(gòu)等。

他在一次名為《自動(dòng)駕駛開發(fā)升級(jí)》的主題演講中重點(diǎn)介紹了這些量產(chǎn)要求。以驗(yàn)證體系為例，自動(dòng)駕駛對(duì)于開放道路測(cè)試數(shù)據(jù)、人機(jī)交互、評(píng)價(jià)維度和系統(tǒng)架構(gòu)均有著迫切需求。而且，這些需求與傳統(tǒng)汽車有著根本區(qū)別。

附：

王歡的演講全文，雷鋒網(wǎng)新智駕進(jìn)行了不改變?cè)獾木庉嫞?/strong>

今天我站在主機(jī)廠的角度，分享一些自動(dòng)駕駛開發(fā)升級(jí)過程中面臨的問題。

眾所周知，自動(dòng)駕駛的開發(fā)模式主要分兩種，一種是以Waymo為代表的科技公司主導(dǎo)的跨越式開發(fā)模式，一種是以特斯拉以及其他主機(jī)廠主導(dǎo)的漸進(jìn)式開發(fā)模式?？缭绞介_發(fā)模式是指跨過L3，直接研究L4級(jí)自動(dòng)駕駛。漸進(jìn)式開發(fā)模式主要指以傳統(tǒng)的ADAS技術(shù)為基礎(chǔ)，慢慢過渡到L3、L4。這兩大陣營(yíng)在開發(fā)工作項(xiàng)目中也有緊密的合作，一些算法公司、傳感器巨頭都參與到了合作當(dāng)中。

無論是L3還是L4，行業(yè)內(nèi)都遵循著這樣的原則：首先要找出自動(dòng)駕駛的落地點(diǎn)，然后分析這些落地點(diǎn)的場(chǎng)景，基于場(chǎng)景開發(fā)功能?；蛘哐刂捶较?，從場(chǎng)景功能倒推落地點(diǎn)。

如果自動(dòng)駕駛適合的場(chǎng)景非常少，邊界非常窄，對(duì)汽車的安全貢獻(xiàn)就會(huì)非常小，甚至由于運(yùn)行過程中超出邊界而發(fā)生危險(xiǎn)，那么，它就是不安全的。同理，如果駕駛場(chǎng)景邊界特別寬，現(xiàn)在的技術(shù)又不能全面分析它的安全性，那么，這種場(chǎng)景也是比較危險(xiǎn)的。

總結(jié)看，自動(dòng)駕駛就是要確定合理的場(chǎng)景，并且設(shè)定科學(xué)的安全目標(biāo)來進(jìn)行開發(fā)，行業(yè)也都是按照這個(gè)流程來做的。大家會(huì)逐漸地把功能開發(fā)聚焦到幾個(gè)方面，以L3和L4舉例，它們包括HWP、TJP和AVP等，這個(gè)過程中有大量的方案論證，經(jīng)過大量的驗(yàn)證，然后展示，再示范運(yùn)營(yíng)，最后收集數(shù)據(jù)進(jìn)一步優(yōu)化算法。

其實(shí)在主機(jī)廠看來，這種模式基本上量產(chǎn)不了，原因很簡(jiǎn)單，量產(chǎn)的過程比這復(fù)雜得多。因?yàn)榱慨a(chǎn)自動(dòng)駕駛是一項(xiàng)很龐大的工作，投入會(huì)很大，時(shí)間也會(huì)很長(zhǎng)，車廠還要和一些公司建流程、出標(biāo)準(zhǔn)等等。所以說大家之前做的工作意義很大，但是還不夠。

對(duì)于這種復(fù)雜的開發(fā)，我們迫切地需要對(duì)原始的開發(fā)流程進(jìn)行升級(jí)，不僅要有一個(gè)正向的開發(fā)模式，還要有一個(gè)驗(yàn)證體系。此外，由于現(xiàn)在的開發(fā)都是類似于后裝的車改制的方式，所以還需要一個(gè)自動(dòng)駕駛系統(tǒng)架構(gòu)。最后，人機(jī)交互和車輛平臺(tái)也是非常重要的。

關(guān)注預(yù)期功能安全

自動(dòng)駕駛是以車為中心的車輛系統(tǒng)，所以還是要遵循V流程開發(fā)模式，在開發(fā)過程中要借鑒傳統(tǒng)的標(biāo)準(zhǔn)。一些標(biāo)準(zhǔn)比如說ISO21448，它只針對(duì)L1、L2而不針對(duì)L3，但是沒有關(guān)系，我們可以借鑒里面的思想，然后擴(kuò)展標(biāo)準(zhǔn)里的開發(fā)流程。

主機(jī)廠更注重什么？首先是預(yù)期功能安全，它關(guān)系到能否解決場(chǎng)景的問題。甚至可以說，產(chǎn)生自動(dòng)駕駛危險(xiǎn)更多的是因?yàn)閳?chǎng)景不足，而不是系統(tǒng)的不安全。預(yù)期功能安全這個(gè)標(biāo)準(zhǔn)主要關(guān)心四個(gè)范圍。范圍一是已知的安全場(chǎng)景。范圍二是已知的不安全場(chǎng)景，范圍三是未知的不安全場(chǎng)景，范圍四是未知的安全的場(chǎng)景。

很明顯，我們的重點(diǎn)是在范圍二和范圍三，怎么樣用一切辦法縮小它們的范圍很重要。

首先，必須要有一個(gè)場(chǎng)景庫(kù)，場(chǎng)景庫(kù)是任何一個(gè)開發(fā)團(tuán)隊(duì)的核心數(shù)據(jù)庫(kù)。通過場(chǎng)景庫(kù)，找到一些不合理或者是不安全的場(chǎng)景，針對(duì)這些場(chǎng)景提供安全措施，通過驗(yàn)證安全措施的方式，最終達(dá)到安全目的。當(dāng)安全目標(biāo)都能夠滿足范圍二的范圍標(biāo)準(zhǔn)的時(shí)候，主機(jī)廠就可以接受了。針對(duì)范圍三，對(duì)于未知的不安全的因素怎么考慮，其實(shí)對(duì)這個(gè)問題，可能到現(xiàn)在我們的行業(yè)都沒有一個(gè)有效的方法，都是按照完整分析測(cè)試來實(shí)現(xiàn)的。所謂的完整分析，其實(shí)是對(duì)于一個(gè)基礎(chǔ)場(chǎng)景進(jìn)行排列組合的分析，對(duì)它所有的可能出現(xiàn)的狀態(tài)進(jìn)行分析。

然后是功能安全標(biāo)準(zhǔn)ISO26262，這個(gè)標(biāo)準(zhǔn)已經(jīng)比較成熟，但在L3自動(dòng)駕駛上的分析還是比較新穎的，可能目前來看，還沒有更全面的分析經(jīng)驗(yàn)。

針對(duì)L3級(jí)別以上的自動(dòng)駕駛與傳統(tǒng)的ADAS等級(jí)的功能安全的區(qū)別在哪？在L3的開發(fā)過程中，我們進(jìn)行安全分析時(shí)目標(biāo)和對(duì)象會(huì)更龐大。比如，基于V2X的HWP功能進(jìn)行分析，當(dāng)我們進(jìn)行分析時(shí)，除了對(duì)車進(jìn)行分析，還要對(duì)通訊接口、路邊設(shè)備已經(jīng)云端服務(wù)器進(jìn)行分析，這是自動(dòng)駕駛功能安全需要額外考慮的問題。

信息安全方面，自動(dòng)駕駛要解決的問題是怎么抵抗黑客攻擊和網(wǎng)絡(luò)攻擊。在整個(gè)行業(yè)內(nèi)，信息安全幾乎沒有一家能夠獨(dú)自完成。為什么？因?yàn)橐坏┸嚶?lián)網(wǎng)以后，它能夠被攻擊的接口太多了，有網(wǎng)關(guān)、T-BOX、V2X、第三方的云、主機(jī)廠的云、手機(jī)APP、車機(jī)、充電樁等等，甚至包括自動(dòng)駕駛傳感器及系統(tǒng)本身，這些都會(huì)受到信息安全帶來的挑戰(zhàn)，所以需要各方合作。

針對(duì)車端，我們?cè)谛畔踩蠎?yīng)該關(guān)注以下幾點(diǎn)，一是怎么驗(yàn)證外來數(shù)據(jù)的完整性、真實(shí)性和信號(hào)來源的可靠性，一旦車輛有危險(xiǎn)，這個(gè)危險(xiǎn)不至于擴(kuò)張到其他車輛上，要在網(wǎng)絡(luò)安全上有一個(gè)縱深的防御，以及一旦有解決措施的時(shí)候怎么升級(jí)。

無論信息安全還是功能安全，最終的落腳點(diǎn)都是車，如果車不動(dòng)，發(fā)的信息車不執(zhí)行，那就是安全的，所以功能安全和信息安全之間有某種聯(lián)系。

在開發(fā)的過程中，怎么判斷這種關(guān)系，將他們聯(lián)系在一起？首先我們要定義一個(gè)安全指標(biāo)，并且對(duì)這種安全指標(biāo)進(jìn)行策略分析，分別執(zhí)行兩件事，一個(gè)是功能安全，一個(gè)是信息安全，這一流程應(yīng)該可以把功能安全和信息安全聯(lián)系在一起。

以上這幾個(gè)安全，包括V流程的一些開發(fā)，是主機(jī)廠面臨開發(fā)升級(jí)所面臨的挑戰(zhàn)。

如何驗(yàn)證

接下來談一下驗(yàn)證過程。傳統(tǒng)的ADAS開發(fā)有很多地方可供借鑒，但是它和自動(dòng)駕駛的深度和廣度完全不是一個(gè)數(shù)量級(jí)的。智能駕駛更關(guān)心的數(shù)據(jù)，或更難拿到的數(shù)據(jù)是開放道路測(cè)試數(shù)據(jù)，這是有實(shí)際意義的，而且是必須要有的。

然后是人機(jī)交互，這也是驗(yàn)證過程中的重頭戲。整個(gè)驗(yàn)證過程的工作量是非常大的，是每個(gè)主機(jī)廠的核心工作。問題的關(guān)鍵點(diǎn)不僅在于怎么測(cè)試，還在于怎么通過一個(gè)評(píng)價(jià)體系把這些東西串在一起。

要引入我們虛擬測(cè)試的自動(dòng)化，只有自動(dòng)化才能夠滿足我們對(duì)這種工況的分析的條件。

分析結(jié)果后怎么評(píng)價(jià)，我在這里給出幾個(gè)維度的建議，一是安全度，一是舒適度，車與車之間的交互等等一些因素。以安全度為例，主要是碰撞，碰撞的程度怎么樣，碰撞之后車輛的表現(xiàn)如何。我們會(huì)發(fā)現(xiàn)，每個(gè)主機(jī)廠對(duì)自動(dòng)駕駛的理解是不同的。

下面談一下主機(jī)廠更關(guān)心的系統(tǒng)架構(gòu)。

大家的前期開發(fā)都是基于量產(chǎn)車的改裝，屬于后裝形式，成本也很高，這時(shí)就急需一種正常的智能駕駛架構(gòu)。要搭建這種架構(gòu)的前提是針對(duì)什么樣的功能。基本上，功能可以分為兩大類，一個(gè)是Fail-safe，一個(gè)是Fail-degrade，這些功能分別包括定位、感知、警醒等。

針對(duì)這些功能的架構(gòu)，我們可以給出一個(gè)架構(gòu)體系，就是傳感器的輸出到主輔控制器的工作模式，主輔控制器的工作受到安全監(jiān)控這個(gè)模塊的宏觀調(diào)控，再?zèng)Q定是由主控制器來控制，還是輔控制器來控制，這是行業(yè)比較認(rèn)可的一種架構(gòu)。當(dāng)然這里面沒有提到通訊和電源的冗余，正常情況是要考慮到的。

其實(shí)在架構(gòu)方面，主機(jī)廠更關(guān)注的不是架構(gòu)怎么實(shí)施，而是更關(guān)心域的概念。為什么說域是未來趨勢(shì)？因?yàn)長(zhǎng)3的特點(diǎn)就是功能集成和信息共享。

這個(gè)功能集成是指控制器必須有L1和L2的功能，也包含L3的功能，現(xiàn)在的車上既然已經(jīng)有了L1和L2的功能了，如果控制器只有L3的功能，意味著車的成本是增加的。那么，為什么不能用強(qiáng)大的計(jì)算力，在L3的控制器把L1和L2一起都做了呢？在項(xiàng)目的開發(fā)過程中，其實(shí)能夠提供這種解決方案的人也比較少。

對(duì)于未來的OTA軟件升級(jí)，包括降低成本和輕量化，其實(shí)主機(jī)廠對(duì)于這種體系架構(gòu)有迫切的需求。

域的概念有一個(gè)好處就是功能集成。近年來行業(yè)里提出來一個(gè)架構(gòu)，就是以車輛的物理空間為基礎(chǔ)的域，比如它可以控制雷達(dá)、應(yīng)急車燈。像這種域很明顯，它的布線就比較簡(jiǎn)單，但是它對(duì)軟件架構(gòu)要求非常嚴(yán)，這種域在特斯拉的Motel3上已經(jīng)量產(chǎn)了。

然后是人機(jī)交互。在L3上，已經(jīng)不僅僅是人機(jī)交互那么簡(jiǎn)單的事情，而是和安全甚至控制有密切的關(guān)系。傳統(tǒng)汽車的人機(jī)交互大部分基于人對(duì)汽車信息的監(jiān)控，L3、L4之后，汽車要監(jiān)控人的信息，這是有著天壤之別的。

所以針對(duì)人機(jī)交互的開發(fā)是不容小覷的。駕駛員在接管了自動(dòng)駕駛之后的表現(xiàn)怎么樣，他慌不慌張，他迷不迷茫。另外一點(diǎn)就是車在接管之后，它的功能表現(xiàn)怎么樣，不同的車輛之間的替換，不同安全等級(jí)之間的切換，尤其是L2和L3，因?yàn)長(zhǎng)2也控制縱向橫向，L3也控制縱向橫向，駕駛員容易混淆，以上的這幾點(diǎn)加在一起，就需要有一個(gè)行業(yè)上統(tǒng)一的HMI標(biāo)準(zhǔn)，這正是我們需要的。

同時(shí)還有一些其他的標(biāo)準(zhǔn)，包括乘客上下車的交互和場(chǎng)景的交互等。場(chǎng)景的交互主要是指車和車，包括L4的遠(yuǎn)程控制等等。另外，人機(jī)交互還必須有關(guān)于漏報(bào)和誤報(bào)的指標(biāo)，不能總發(fā)生狼來了事件。

最后談一下車輛平臺(tái)，L3以上的自動(dòng)駕駛開放平臺(tái)和傳統(tǒng)的車輛平臺(tái)之間的差別在哪，我認(rèn)為主要體現(xiàn)在，傳統(tǒng)汽車上，駕駛員在駕駛的時(shí)候，要求舒適性、操控性和安全性，但是在自動(dòng)駕駛系統(tǒng)控制時(shí)，問題就來了，我們稱這個(gè)車是Fail-degrade的，是雙備份冗余的。

這個(gè)雙備份冗余指的是執(zhí)行層面，包括制動(dòng)、轉(zhuǎn)向和電源等等，以及自動(dòng)駕駛對(duì)車輛指令的響應(yīng)，對(duì)響應(yīng)性要求是很高的。另外就是車輛動(dòng)力學(xué)的性能，發(fā)出一條指令之后的運(yùn)動(dòng)應(yīng)該是線性的，不能是非線性的。

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。