加州機動車管理局（DMV，Department of Motor Vehicles）規(guī)定要求每一個在該州的公共道路上進行測試的汽車制造商車輛須提交一份年度報告，而這個報告的價值并不止體現(xiàn)在接管次數(shù)上。

近日，加州機動車管理局公布了今年提交了自動駕駛汽車退出報告的企業(yè)，有52家公司提交了該報告，其中國內(nèi)企業(yè)有百度、景馳等。對于這份報告，大部分人只注重接管次數(shù)，并沒有去深入的分析。而今天這篇文章，以2016年提交的報告為例，詳細分析和比較了不同原因誘發(fā)的自動駕駛退出案例，調(diào)研了這些事件中相應的人工接管機制與時間，并對OEM、制造商和政府組織提供了一些建議，其分析調(diào)研方法值得借鑒。

無人駕駛車輛測試過程中所發(fā)生自動駕駛功能退出案例的分析

呂辰1，曹東璞1，趙一帆1，DanielJ． Auger1，Mark Sullman1，王化吉1，Laura Millen Dutka2，Lee Skrypchuk2，Alexandros Mouzakitis2

1 ．英國克蘭菲爾德大學航空航天、運輸和制造學院
2 ．捷豹路虎，考文垂，英國

Analysis of Autopilot Disengagements Occurring during Autonomous Vehicle Testing

Chen Lv1， Dongpu Cao1，Yifan Zhao1， Daniel Auger1， Mark Sullman1，Huaji Wang1， Laura Millen Dutka2， Lee Skrypchuk2 and Alexandros Mouzakitis2

1． School of Aerospace， Transport and Manufacturing， Cranfield University， UK

2． Jaguar Land Rover， Coventry， UK

I  引言

近年來，自動駕駛技術受到了來自學術界和工業(yè)界的廣泛關注［1］－［5］。雖然純無人駕駛是技術發(fā)展的“終極目標”，然而在部分特定工況下能夠實現(xiàn)自主行駛功能的“高度自動化駕駛”車輛HAVs（highly automated vehicles）則可能在未來幾年更快到來。依據(jù)美國汽車工程師學會SAE對車輛自動化程度6級劃分的定義，2級（L2）和3級（L3）自動駕駛代表了駕駛員輔助與車輛高度自動化之間的過渡區(qū)域，而這也是當前企業(yè)和科研院所的研發(fā)重點之一。

在L2、L3自動駕駛中，當車輛的自動控制系統(tǒng)遇到故障或極端狀況無法自主處理駕駛任務時，自動控制功能將會“退出”（Disengagement）并將車輛控制權交還給駕駛員。因此，自動駕駛功能的退出機制以及人工接管控制品質(zhì)，對保證車輛安全性與舒適性至關重要的，這亦給自動駕駛人機交互系統(tǒng)的設計帶來了巨大挑戰(zhàn)。面對上述挑戰(zhàn)，研究人員已從不同角度探索了包括高級駕駛輔助系統(tǒng)（ADAS）以及人機界面（HMI）在內(nèi)的許多設計、控制方法［9］－［12］。然而，在真實公共交通測試場景中，自動駕駛功能的退出及人工接管控制的案例則鮮有報道與研究。

美國加州為以鼓勵自動駕駛技術發(fā)展，開放了汽車制造商在公共道路上進行自動駕駛測試的權限。對于自動駕駛測試，加州機動車管理局（DMV，Department of Motor Vehicles）規(guī)定要求每一個在該州的公共道路上進行測試的汽車制造商車輛須提交一份年度報告，總結測試過程中所經(jīng)歷的所有自動駕駛退出Disengagement事件，這些“自動駕駛退出報告”（下文簡稱“退出報告”）于每年1月1日公布。7家制造商，包括博世、德爾福、谷歌、日產(chǎn)、梅賽德斯－奔馳、大眾以及特斯拉等公司在2016年1月1日前分別提交了他們各自第一次的退出報告［13－19］。為了更好地了解現(xiàn)階段研發(fā)過程中自動駕駛功能退出的誘發(fā)原因，以及手動接管過程中人機交互機制，從而進一步完善自動駕駛系統(tǒng)的設計，本文綜述總結了上述7個制造商公開提交的自動駕駛退出報告。對不同原因誘發(fā)的自動駕駛退出案例進行了詳細的分析和比較，調(diào)研了這些事件中相應的人工接管機制與時間。

II． 自動駕駛退出報告概覽

2．1  自動駕駛退出的定義

加州機動車管理局DMV規(guī)定，需要報告的自動駕駛退出事件包括：由自動駕駛系統(tǒng)檢測到故障而觸發(fā)的自主模式失效，以及為保障車輛運行安全由測試駕駛員觸發(fā)的自主模式退出及其相應的人工接管操作［20］。

注：以上定義是為了確保制造商不報告任何常規(guī)或日常必要的自動駕駛退出事件。且由于被報告的自動駕駛退出事件均由人工立即接管，因此其應對的自動駕駛技術應歸于SAE分級中的L2自動化，而非L3 （車輛3級自動化須能夠提供給駕駛員足夠舒適的切換時間來實現(xiàn)人工接管）。

2．2  自動駕駛退出的分類

根據(jù)以上定義，自動駕駛退出事件可以分為以下兩種不同類型：

1）被動退出PDE （Passive Disengagement）

當自主駕駛相關技術檢測到故障無法繼續(xù)執(zhí)行時，自動駕駛模式被迫退出、斷開控制，且要求駕駛員立即人工接管。

2）主動退出 ADE （Active Disengagement）

自動駕駛控制系統(tǒng)未檢測到任何故障，但駕駛員監(jiān)控運行工況時為保證車輛安全行駛采取人工干預，主動觸發(fā)自動駕駛模式的退出，實現(xiàn)對車輛的手動接管控制。

2．3  自動駕駛測試及退出事件報告概覽

以下列出了7家制造商（以字母A－G表示）在加州公共道路上自動駕駛測試里程數(shù)。

1）制造商A報告自動駕駛里程數(shù)424，331英里，包含341次自動駕駛退出事件［15］；

2）制造商B報告自動駕駛里程數(shù)16662英里，包含405次自動駕駛退出事件 ［14］；

3）制造商C報告自動駕駛里程數(shù)14945英里，包含261次自動駕駛退出事件 ［18］；

4）制造商D報告自動駕駛里程數(shù)1739英里，包含1031次自動駕駛退出事件［17］；

5）制造商E報告自動駕駛里程數(shù)1485英里，包含106次自動駕駛退出事件［16］；

6）制造商F報告自動駕駛里程數(shù)935英里，包含625次自動駕駛退出事件［13］；

7）制造商G報告在公共街道上未進行自動駕駛，無自動駕駛退出事件［19］。

為了綜合全面評價自動駕駛測試里程及功能退出事件，采用“英里／ 每次退出”（miles per disengagement， MPD）作為自動駕駛技術成熟度的評價指標。MPD定義如下：

MPD ＝ S ／ n（1）

其中，S表示自動駕駛測試里程，n表示測試期間發(fā)生的自動駕駛退出次數(shù)。

根據(jù)圖3中的統(tǒng)計結果，2015年底，制造商A的MPD值穩(wěn)定保持在3000左右，表征自動駕駛車輛自主行駛3000英里（約4800公里）會出現(xiàn)1次功能退出事件，而其他公司的MPD值基本在100以內(nèi)。

圖3．  6個制造商MPD值的月度統(tǒng)計

基于上述統(tǒng)計的MPD值，我們定義了兩個階段來表示制造商自動駕駛技術的成熟度：

階段1：MPD值低于2000，表示自動駕駛研發(fā)處于初級階段，自動化系統(tǒng)的基本功能需要完善和改進。

階段2：MPD值高于2000，表示自動駕駛技術具備較高成熟度，接近高度自動駕駛。

據(jù)此，退出報告所涵蓋的六家廠商可以清楚地分為在自動駕駛技術開發(fā)中不同成熟度階段的兩類：

1）  I階段制造商： B、C、D、E、F；

2）  II階段制造商： A。

III自動駕駛功能退出的主要原因分析

諸多因素會影響自動駕駛控制，并導致功能退出。這些原因包括（但不限于）如下表三和圖4所列：

表I 不同類型自動駕駛退出的誘因

被動退出 PDE

主動退出ADE

·    硬件問題

·    軟件故障

·    天氣條件

·    路面狀況

·    軟件限制

·    硬件問題

·    緊急情況

·    預先干預

3．1 被動退出 PDE的典型原因

1）硬件問題

硬件元器件失效或未按預期執(zhí)行工作，一些典型的報告原因如下：車輛控制器發(fā)生故障；傳感器、導線、執(zhí)行機構和其他物理設備損壞［16］。

2）軟件問題

軟件故障涵蓋了環(huán)境感知、物體識別、車輛定位、決策、路徑規(guī)劃、軌跡生成、縱橫向控制等諸多方面的問題。報告的一些典型原因包括：錯誤識別了障礙障礙物［15］；另一輛車從側面接近但未被感知［16］；識別系統(tǒng)失去了前車軌跡［16］；目標路徑生成失�。�16］；定位故障 ［16］；等等。

3）  天氣條件

測試過程中出現(xiàn)的天氣條件因素導致自動駕駛功能退出，典型原因例如：照明條件差導致交通信號燈檢測故障［16］；陽光過強導致對象檢測失�。�17］；雨、雪、霧等導致能見度差；過熱或過冷的溫度，等等。

4）  路面條件

由于路面狀況不佳，導致自動駕駛功能關閉，典型原因例如：道路有洞或凸起［17］；褪色的路面標記、剛鋪好的路面，等等。

3．2 主動退出ADE的典型原因

主動退出的典型原因包括軟件限制、硬件問題、遇有緊急情況和預防性人工干預等。詳細描述和相關的示例案例如下。

1）軟件的局限性

雖然自動駕駛系統(tǒng)沒有檢測到故障，但由于其自身能力限制無法處理復雜情況下的高級駕駛任務，或由于軟件的限制而導致的物體感知、車輛的軌跡、行為等不理想，使得人工主動介入干預，導致自動駕駛功能退出。一些典型的案例如：在擁擠交通環(huán)境下?lián)Q道［14］；十字路口過多行人和車輛使得自主系統(tǒng)難以決策控制［16］；自動駕駛車輛過于靠近停著其他車輛［15］；未識別停止的前車，未能有效減速，于是司機主動接管，采取制動操作［16］，等等。

2）硬件問題

硬件故障使得司機感到需要立即人工干預控制車輛。

3）緊急情況

緊急情況下，駕駛員出于安全性的考量主動接管車輛的控制權限。典型案例包括：出現(xiàn)急救車輛［14］［15］（為了解決此問題，谷歌提出了一個檢測和應對緊急車輛的方法［23］）；道路出現(xiàn)交通事故［13］，等等。

4）預防性干預

為了避免由于路面狀況不佳等原因導致自動駕駛功能退出，駕駛員采取的預防性人工干預措施，例如：避開前方施工區(qū)域［13］－［17］；避讓自行車騎行者，為其提供足夠空間；為保障行人安全而采取的預防性措施［14］；確保車輛在惡劣天氣條件下的安全行駛［17］。

IV  制造商案例研究

4．1 成熟度II階段制造商退出案例分析

為更好的理解自動駕駛技術的發(fā)展歷程，我們首先分析成熟度領先、處于II階段的制造商A的相關自動駕駛退出案例。

1）概述

如圖5數(shù)據(jù)顯示，對制造商A而言被動退出PDE占所有退出事件的主導地位。2015年5月前，以每月近50起退出案例的比率增加，而隨后PDE數(shù)量開始大幅下降，穩(wěn)定的保持在每月20例以下，說明其自動控制技術逐漸完善。與之形成對比的是，其主動退出ADE的數(shù)量保持穩(wěn)定，每月不超過10例。

圖5  制造商A 被動與主動退出月度數(shù)量統(tǒng)計

圖6顯示，總體而言隨著時間的推移，每出現(xiàn)一次退出事件的自動駕駛里程數(shù)在穩(wěn)步增加。從2014年第四季度到2015年第四季度，自動駕駛退出頻次從744英里／次下降到2800英里／次。具體來說，被動退出PDE頻次和主動退出ADE頻次分別從2014年第四季度的1026英里／次和3398英里／次下降到2015年第四季度的5749英里／次和6878英里／次。這進一步印證了制造商A自動駕駛技術在這一時期所取得的顯著提升。

2）被動退出PDE案例詳細分析

仔細查看數(shù)據(jù)，導致被動退出PDE的主要原因可以分為四類：硬件問題、軟件故障、天氣狀況和路面情況。如圖7所示，軟件故障是PDE的主要誘因。軟件問題主要包括感知、決策和控制的故障，是自動駕駛技術發(fā)展初級階段的問題。然而PDE數(shù)量及其軟件故障在2015年4月以后顯著下降，表明相應技術在不斷完善和發(fā)展。

根據(jù)圖8可以進一步清楚地看出，在整個年度的測試過程中，軟件問題占據(jù)4個PDE主要誘因的80％以上。此外，硬件故障、惡劣天氣和路況因素的比例分別為13．97％、4．04％和0．37％。

圖8 制造商A被動退出PDEs不同誘因比例統(tǒng)計

3）主動退出ADE案例詳細分析

如圖9所示，每個月主動退出ADE案例主要的原因是軟件因素。在這一年度里軟件問題導致的ADE數(shù)量并沒有明顯減少，這是因為導致ADE的軟件問題通常對應于L3及以上的自動駕駛功能，短期內(nèi)難以迅速完善。除此之外，緊急事件和預防性干預所造成的自動駕駛退出的本質(zhì)也與軟件功能的局限性密切相關。由于目前的自動駕駛技術還不夠智能和魯棒，在復雜工況下，軟件缺乏處理緊急、高級駕駛任務的能力。因此，駕駛員在某些情況下須進行人工干預以保證行駛安全。

4．2  成熟度I階段制造商退出案例分析

為了在更大量數(shù)據(jù)集基礎上找到共性和特征，將成熟度為I階段的制造商出現(xiàn)的自動駕駛退出事件聯(lián)合起來共同分析。

1）概述

據(jù)圖11顯示，自動駕駛被動退出事件PDE自2014年四季度到2015年四季度的所有退出案例中占主導地位。然而自2015年1月以來，PDE的絕對數(shù)量穩(wěn)步下降到50次／月以內(nèi)。

圖11  I階段制造商被動與主動退出月度數(shù)量統(tǒng)計

然而如圖12所示，考慮到自動駕駛距離的因素，這5家I階段成熟度的制造商在公共道路上自動駕駛測試總里程還不及A公司的1／10。因此，自動駕駛退出事件的出現(xiàn)頻次高達10英里／次（制造商A： 約2800英里／次），這清楚地顯示了在自動駕駛技術成熟度上的差距，亦表明了高度自動駕駛技術開發(fā)過程中進行道路測試的重要性。

圖12  I階段制造商每出現(xiàn)一次退出事件的自動駕駛里程月度統(tǒng)計

2）被動退出PDE案例詳細分析

如圖13所示，在I階段制造商中，誘發(fā)PDEs的最主要原因是軟件故障，但其他三個因素在每個月均對PDEs事件的發(fā)生有貢獻。

圖13  I階段制造商被動退出事件PDE月度統(tǒng)計

根據(jù)圖14所示餅圖，天氣條件和路面狀況分別占PDE案例出現(xiàn)誘因的9％以上，說明這些制造商的L2、L3技術開發(fā)方面仍存不足。

圖14  I階段制造商被動退出PDEs不同誘因比例統(tǒng)計

3）主動退出ADE案例詳細分析

基于圖15所示的數(shù)據(jù)，與制造商A類似，軟件故障亦是I階段制造商自動駕駛主動退出事件ADE的最主要原因。正如前面提到的，緊急情況和預防性干預所引起的功能退出與軟件能力密切相關。

圖15  I階段制造商主動退出事件ADE月度統(tǒng)計

對于I階段制造商而言，這三個原因幾乎占據(jù)了ADEs事件誘因100％的比率（見圖16）。這一現(xiàn)象印證了發(fā)展高級自動駕駛技術的難度，亦說明了其現(xiàn)有技術水平與高級自動化目標之間存在著巨大的差距。

圖16  I階段制造商主動退出ADEs不同誘因比例統(tǒng)計