L3~L4自動(dòng)駕駛汽車(chē)怎樣才能量產(chǎn)上市？

2020-03-07 00:40:29· 來(lái)源：汽車(chē)電子CAN總線測(cè)試作者：弗卡斯數(shù)據(jù)

淺談實(shí)車(chē)開(kāi)放道路確認(rèn)測(cè)試自動(dòng)駕駛開(kāi)發(fā)之完美收官一、為什么需要實(shí)車(chē)開(kāi)放道路確認(rèn)測(cè)試？我們知道，自動(dòng)駕駛系統(tǒng)是以場(chǎng)景作為輸入，車(chē)輛的執(zhí)行結(jié)果作為輸出，自動(dòng)

淺談實(shí)車(chē)開(kāi)放道路確認(rèn)測(cè)試

——自動(dòng)駕駛開(kāi)發(fā)之完美收官

一、為什么需要“實(shí)車(chē)開(kāi)放道路確認(rèn)測(cè)試”？

我們知道，自動(dòng)駕駛系統(tǒng)是以場(chǎng)景作為輸入，車(chē)輛的執(zhí)行結(jié)果作為輸出，自動(dòng)駕駛的能力實(shí)現(xiàn)來(lái)源于在設(shè)計(jì)運(yùn)行區(qū)域（ODD）所有用例的正確處理。

由于場(chǎng)景的組成因素較多，包括天氣、光照、道路類(lèi)型、路面條件、自車(chē)動(dòng)態(tài)、周邊交通參與者或物體等，這些因素進(jìn)行隨機(jī)組合會(huì)形成無(wú)限多種場(chǎng)景。如何確保系統(tǒng)針對(duì)無(wú)限多個(gè)場(chǎng)景都能進(jìn)行完整的感知、合理的處理、正確的執(zhí)行？

自動(dòng)駕駛系統(tǒng)的開(kāi)發(fā)過(guò)程就需要經(jīng)過(guò)數(shù)以?xún)|計(jì)的公里數(shù)的測(cè)試和驗(yàn)證。

于開(kāi)發(fā)周期和成本的限制，大部分的測(cè)試工作都是在仿真環(huán)境中進(jìn)行，因此工程師們創(chuàng)造出一系列的仿真測(cè)試方法：模擬在環(huán)（SIL）、模型在環(huán)（MIL）、硬件在環(huán)（HIL）、車(chē)輛在環(huán)（VIL）等。

仿真測(cè)試因?yàn)槠錅y(cè)試用例獲取方便、并行開(kāi)展效率高等特點(diǎn)，被應(yīng)有于傳感器性能、決策算法等一些列有針對(duì)性的測(cè)試工作當(dāng)中，取得了很好的效果。

但人工模擬的場(chǎng)景和真實(shí)場(chǎng)景不可避免會(huì)有偏差，這些偏差來(lái)源于多個(gè)方面：

1.虛擬場(chǎng)景是使用仿真軟件對(duì)場(chǎng)景因素進(jìn)行人工組合設(shè)計(jì)而成，場(chǎng)景的真實(shí)性有偏差，比如：仿真環(huán)境中的其它車(chē)輛行為只能根據(jù)有限的數(shù)學(xué)模型運(yùn)行。（這一點(diǎn)目前通過(guò)采集真實(shí)場(chǎng)景數(shù)據(jù)，仿真軟件復(fù)現(xiàn)的方式，可以改善測(cè)試效果）

2.虛擬場(chǎng)景不能包含真實(shí)場(chǎng)景中的所有因素，場(chǎng)景完整性有偏差。比如：仿真軟件不能模擬路面上的立體圖畫(huà)，如下圖；又如，雷達(dá)模擬器仿真的目標(biāo)物信號(hào)，排除了真實(shí)世界中的干擾因素。

3.仿真系統(tǒng)傳感器模擬器、信號(hào)傳輸?shù)仍O(shè)備產(chǎn)生的精度有偏差。比如：攝像頭信息和毫米波雷達(dá)信息都通過(guò)不同模擬器的運(yùn)行產(chǎn)生，同步效果和真實(shí)場(chǎng)景存在偏差。

4.以上3點(diǎn)的組合又會(huì)造成系統(tǒng)層面更大的偏差。

所以，自動(dòng)駕駛系統(tǒng)集成后需要實(shí)車(chē)在開(kāi)放道路進(jìn)行測(cè)試。

類(lèi)似于傳統(tǒng)汽車(chē)，自動(dòng)駕駛汽車(chē)在完成整車(chē)集成之后會(huì)開(kāi)展大量的路試，但路試的主要目的是從開(kāi)放道路中獲取足夠的真實(shí)場(chǎng)景，來(lái)驗(yàn)證和確認(rèn)系統(tǒng)是否達(dá)到預(yù)期的安全性，從而確保量產(chǎn)和上市。

在這里補(bǔ)充一點(diǎn)，自動(dòng)駕駛系統(tǒng)的量產(chǎn)，是基于合理的成本控制實(shí)現(xiàn)的，個(gè)人認(rèn)為當(dāng)前安裝足夠線數(shù)的激光雷達(dá)不具備量產(chǎn)的屬性，除非激光雷達(dá)的價(jià)格降到足夠低（這點(diǎn)也是激光雷達(dá)廠商正在努力的方向，而且很多都在犧牲性能來(lái)?yè)Q取價(jià)格）。即便是裝備足夠線數(shù)的激光雷達(dá)，上市的自動(dòng)駕駛量產(chǎn)車(chē)也一定是存在“缺陷”的，正如人的水平視角范圍只有188°，并不能阻擋人的行走一樣。區(qū)別在于，所存在的缺陷能否被定義合理并且可接受。

怎樣才能被接受，就需要充足的證據(jù)來(lái)說(shuō)服別人。

二、如何做好“實(shí)車(chē)開(kāi)放道路確認(rèn)測(cè)試”？

為了推動(dòng)自動(dòng)駕駛汽車(chē)發(fā)展，人們通常標(biāo)榜自動(dòng)駕駛系統(tǒng)對(duì)于公路安全的積極意義。根據(jù)德國(guó)聯(lián)邦統(tǒng)計(jì)局公布的德國(guó)交通事故統(tǒng)計(jì)數(shù)據(jù)，98%以上的交通事故至少部分是由人引起的（Destatis, 2018，p146）。美國(guó)國(guó)家公路交通安全管理局(NHTSA)報(bào)告說(shuō)，94%美國(guó)嚴(yán)重的交通事故是由人為錯(cuò)誤造成的（NCSA, 2015，P142）。由此說(shuō)明自動(dòng)駕駛在交通安全上存在比人類(lèi)更大優(yōu)勢(shì)的可能。

英特爾聯(lián)合戴姆勒、寶馬、奧迪、大眾、FCA、大陸、百度等公司，發(fā)布了世界上首個(gè)成文的L3/L4級(jí)別自動(dòng)駕駛規(guī)范命名“SAFETY FIRST FOR AUTOMATEDDRIVING”（自動(dòng)駕駛安全第一）。

所以對(duì)于自動(dòng)駕駛系統(tǒng)來(lái)說(shuō)，安全是首要目標(biāo)。

自動(dòng)駕駛系統(tǒng)安全，除了和傳統(tǒng)汽車(chē)一樣要考慮可能的系統(tǒng)故障導(dǎo)致不安全事故（這部分風(fēng)險(xiǎn)通過(guò)功能安全相關(guān)工作來(lái)解決）之外，更多的是在考慮面對(duì)海量的復(fù)雜場(chǎng)景，自動(dòng)駕駛功能是否考慮充分。為此，行業(yè)中專(zhuān)門(mén)針對(duì)自動(dòng)駕駛系統(tǒng)，提出了預(yù)期功能安全（SOTIF）的概念。

預(yù)期功能安全是指不存在因預(yù)期功能不足或由于合理預(yù)見(jiàn)的人員誤操作而造成的風(fēng)險(xiǎn)。預(yù)期功能安全從場(chǎng)景的角度來(lái)描述自動(dòng)駕駛系統(tǒng)，把場(chǎng)景分為4類(lèi)。預(yù)期功能安全工作的目標(biāo)是：盡可能減小區(qū)域2和區(qū)域3。

注：這個(gè)區(qū)域模型中，面積大小代表的是占比關(guān)系。

在規(guī)范預(yù)期功能安全的標(biāo)準(zhǔn)ISO/PAS 21448-2019中制定了預(yù)期功能安全工作的流程：

為了實(shí)現(xiàn)安全目標(biāo)，前面提到，在整車(chē)開(kāi)發(fā)周期中會(huì)執(zhí)行大量的驗(yàn)證測(cè)試（包括實(shí)驗(yàn)室的仿真測(cè)試和實(shí)車(chē)模擬測(cè)試）。這里重點(diǎn)要說(shuō)的是最后一步：在完成了風(fēng)險(xiǎn)分析，功能完善，軟硬件的驗(yàn)證測(cè)試之后，如何通過(guò)開(kāi)放道路的確認(rèn)，證明未知的危險(xiǎn)場(chǎng)景概率足夠低（見(jiàn)安全區(qū)域模型），從而有充足的證據(jù)推動(dòng)車(chē)輛實(shí)現(xiàn)量產(chǎn)？

以預(yù)期功能安全作為方法論，考慮該項(xiàng)工作的目標(biāo)、策略和執(zhí)行，工作流程如下：

2.1 確定目標(biāo)

確認(rèn)測(cè)試的工作目標(biāo)是對(duì)系統(tǒng)和組件（傳感器、決策算法和執(zhí)行器）的功能經(jīng)過(guò)確認(rèn)，以證明他們不會(huì)在真實(shí)用例中造成不合理的風(fēng)險(xiǎn)（見(jiàn)安全區(qū)域模型中區(qū)域3），通?？紤]政府和行業(yè)的法律法規(guī)及確保安全所需的當(dāng)前功能和性能水平。

確認(rèn)工作最終能夠形成統(tǒng)計(jì)上的可信度，即通過(guò)大數(shù)據(jù)分析證明不合理風(fēng)險(xiǎn)發(fā)生的概率足夠小。

確定目標(biāo)的依據(jù)：

功能規(guī)范，包括傳感器、執(zhí)行器和算法規(guī)范；
系統(tǒng)設(shè)計(jì)規(guī)范；
整車(chē)架構(gòu)；
危害分析和風(fēng)險(xiǎn)評(píng)估結(jié)果；
前期測(cè)試結(jié)果；
以往開(kāi)發(fā)經(jīng)驗(yàn)。

確定目標(biāo)的方法：

目標(biāo)市場(chǎng)的現(xiàn)有交通數(shù)據(jù)（例如：意外統(tǒng)計(jì)、交通分析）；
該領(lǐng)域運(yùn)行的類(lèi)似功能中已有的目標(biāo)。

例如：自動(dòng)駕駛系統(tǒng)會(huì)由于目標(biāo)物的誤報(bào)率產(chǎn)生非預(yù)期的制動(dòng)，可能會(huì)造成后車(chē)追尾的事故。我們制定50萬(wàn)公里的測(cè)試目標(biāo)，確認(rèn)該系統(tǒng)發(fā)生目標(biāo)物誤報(bào)后造成后車(chē)追尾的可能性足夠低（低于國(guó)家交通事故統(tǒng)計(jì)中追尾事故發(fā)生的概率）。

2.2 制定策略

根據(jù)目標(biāo)，定義測(cè)試場(chǎng)景并提取場(chǎng)景參數(shù)。

通過(guò)路徑規(guī)劃，確保測(cè)試場(chǎng)景可以充分形成統(tǒng)計(jì)上的證據(jù)。例如，為了驗(yàn)證TJP功能在Cut-In場(chǎng)景中可能遇到的風(fēng)險(xiǎn)，規(guī)劃路徑使得大量的Cut-In場(chǎng)景發(fā)生，最終形成大數(shù)據(jù)統(tǒng)計(jì)，以證明風(fēng)險(xiǎn)發(fā)生的概率可接受。路徑規(guī)劃最重要的是規(guī)劃測(cè)試距離，測(cè)試距離可根據(jù)的目標(biāo)場(chǎng)景發(fā)生概率計(jì)算出來(lái)。

例如：計(jì)算測(cè)試距離

N-乘用車(chē)數(shù)量
K-每輛乘用車(chē)每年行駛的平均距離
Av-在規(guī)定的行駛速度v范圍內(nèi)，每年發(fā)生的追尾事故數(shù)
Ca-保證系數(shù)，以避免對(duì)目標(biāo)驗(yàn)證里程距離的低估

通過(guò)場(chǎng)景參數(shù)的提取，可以使得測(cè)試結(jié)果以數(shù)據(jù)的形式體現(xiàn)，例如，發(fā)生碰撞的風(fēng)險(xiǎn)可用TTC衡量，通過(guò)TTC的分布統(tǒng)計(jì)來(lái)展示測(cè)試結(jié)果。

為了實(shí)現(xiàn)場(chǎng)景參數(shù)的測(cè)量，需要使用真值傳感器采集數(shù)據(jù)，例如，使用激光雷達(dá)可以讓距離參數(shù)精度達(dá)到2CM。所以，針對(duì)參數(shù)需求，可配備有針對(duì)性的真值傳感器。

總體來(lái)說(shuō)，制定策略包括：路徑規(guī)劃，數(shù)據(jù)采集方案制定。

2.3 執(zhí)行測(cè)試

執(zhí)行測(cè)試是為了完成前面制定的策略，以獲取所需的數(shù)據(jù)統(tǒng)計(jì)。執(zhí)行過(guò)程重點(diǎn)是管理工作，包括車(chē)隊(duì)管理、設(shè)備管理、數(shù)據(jù)管理等，一方面保證能夠按計(jì)劃要求完成數(shù)據(jù)采集；另一方面要確保數(shù)據(jù)有效性，完全達(dá)到規(guī)劃的目標(biāo)；同時(shí)還要考慮人員、數(shù)據(jù)、車(chē)輛和設(shè)備的安全。

2.4 分析數(shù)據(jù)

采集回來(lái)的數(shù)據(jù)需要經(jīng)過(guò)篩選，場(chǎng)景提取，數(shù)據(jù)統(tǒng)計(jì)等方法進(jìn)行分析。

由于采集到的數(shù)據(jù)量一般都比較大，普通計(jì)算機(jī)處理已經(jīng)不能滿(mǎn)足要求，通常使用分布式計(jì)算方法進(jìn)行處理，如：Spark、Hadoop等。

場(chǎng)景提取需要通過(guò)特定的軟件功能，自動(dòng)化提取所需的場(chǎng)景，也可以結(jié)合數(shù)據(jù)采集過(guò)程中的人工標(biāo)記等方式，保證能夠快速獲取有效信息。

數(shù)據(jù)統(tǒng)計(jì)可采用柱狀圖、點(diǎn)云、餅狀圖、箱型圖等統(tǒng)計(jì)方法，來(lái)表達(dá)參數(shù)之間的2維或3維關(guān)系。

2.5 發(fā)布結(jié)果

通過(guò)前面步驟得到的測(cè)試結(jié)果，和測(cè)試目標(biāo)進(jìn)行對(duì)比，以發(fā)布最終結(jié)果。

發(fā)布結(jié)果有三種：“接受”、“有條件接受”、“不接受”，評(píng)判依據(jù)如下。

接受：滿(mǎn)足1、2、3；

有條件接受：滿(mǎn)足1、2、4，當(dāng)風(fēng)險(xiǎn)在規(guī)定日期前被證明合理，則條件滿(mǎn)足；

不接受：剩余情況。

1.確認(rèn)策略是否考慮了預(yù)期功能范圍內(nèi)的所有指定用例？

a. 測(cè)試是否涵蓋已確定的觸發(fā)事件?

例如：窄金屬結(jié)構(gòu)使得雷達(dá)錯(cuò)誤地觸發(fā)制動(dòng)

b. 它是否不同于之前的確認(rèn)工作而單獨(dú)定制的?

2.預(yù)期的功能是否達(dá)到了最低的退而求其次的風(fēng)險(xiǎn)條件，必要時(shí)，為消費(fèi)者或其他道路使用者提供了一個(gè)較安全的狀態(tài)？

a. 只使用指定的駕駛員干預(yù)

b. 考慮到合理預(yù)見(jiàn)的誤操作

c. 警告故障車(chē)輛的使用者及/或其他道路使用者

3.是否完成了充分的驗(yàn)證和確認(rèn)并滿(mǎn)足了驗(yàn)收標(biāo)準(zhǔn)，以確信風(fēng)險(xiǎn)不是不合理的?

a. 預(yù)期功能是否已充分測(cè)試，以評(píng)估形同虛設(shè)的行為和潛在的非預(yù)期行為?

b. 是否真的沒(méi)有觀察到可能導(dǎo)致危險(xiǎn)事件的非預(yù)期行為?

4.在發(fā)生可能導(dǎo)致危險(xiǎn)事件的非預(yù)期行為時(shí)，所提供的證據(jù)證明不存在不合理的風(fēng)險(xiǎn)?

三、“實(shí)車(chē)開(kāi)放道路確認(rèn)測(cè)試”工作的難點(diǎn)

通過(guò)上面的描述，實(shí)車(chē)開(kāi)放道路確認(rèn)工作是自動(dòng)駕駛汽車(chē)開(kāi)發(fā)過(guò)程中最后一關(guān)，也是確保車(chē)輛能夠量產(chǎn)的必要環(huán)節(jié)。面對(duì)這項(xiàng)復(fù)雜工作任務(wù)，主要有以下三個(gè)難點(diǎn)：

1.對(duì)于場(chǎng)景需求的分析，場(chǎng)景參數(shù)的提取。通過(guò)對(duì)功能規(guī)范、邏輯算法、風(fēng)險(xiǎn)評(píng)估的完整分析，提取測(cè)試場(chǎng)景和參數(shù)的需求，才能保證后面大量測(cè)試工作的有效閉環(huán)。需求分析一方面需要關(guān)注自動(dòng)駕駛系統(tǒng)能力和缺陷，另一方面又要清楚現(xiàn)實(shí)的場(chǎng)景狀況，需要積累場(chǎng)景分析的方法，對(duì)場(chǎng)景歸類(lèi)，并能合理參數(shù)化；

2.由于所采集的數(shù)據(jù)包含激光雷達(dá)和高清攝像頭等傳感器的原始數(shù)據(jù)，每天每輛車(chē)采集的數(shù)據(jù)量在1TB左右，如何能快速?gòu)拇罅繑?shù)據(jù)中提取有效信息，生成針對(duì)測(cè)試目標(biāo)的報(bào)告，需要開(kāi)發(fā)一套專(zhuān)門(mén)的軟硬件系統(tǒng)，來(lái)做數(shù)據(jù)處理；

3.開(kāi)放道路測(cè)試的結(jié)果要形成充足證據(jù)，就需要足夠的測(cè)試?yán)锍?，根?jù)2.2策略的規(guī)劃，通常會(huì)有數(shù)十或數(shù)百萬(wàn)公里。如果項(xiàng)目周期緊，就需要多輛車(chē)同時(shí)并行測(cè)試，多套設(shè)備購(gòu)買(mǎi)成本高、車(chē)隊(duì)管理麻煩也是這項(xiàng)工作的一大難點(diǎn)。