2021年1月17日，智能汽車論壇的活動(dòng)現(xiàn)場(chǎng)，博世底盤控制系統(tǒng)中國(guó)區(qū)總裁陳黎明發(fā)表題為《安全是汽車成為智能終端的基石》的講話，以下為講話摘要：

　　自動(dòng)駕駛要解決兩大問(wèn)題：

　　第一，改進(jìn)交通安全;

　　第二，解放我們的雙手和時(shí)間。

　　所以安全是自動(dòng)駕駛的基石之本。接下來(lái)我們來(lái)看一下自動(dòng)駕駛的安全問(wèn)題。

　　根據(jù)研究表明，人類目前的安全記錄是每?jī)砂偃f(wàn)公里有一起受傷事故，1.47億公里有一起死亡事故。也就是說(shuō)要證明自動(dòng)駕駛比人類駕駛更安全，那么我們要駕駛超過(guò)1.47億公里沒(méi)有死亡事故。但是這需要兩百年的時(shí)間，我們知道這是不可能的。所以我們?cè)谘邪l(fā)和設(shè)計(jì)過(guò)程當(dāng)中就要解決安全問(wèn)題，保證我們自動(dòng)駕駛在量產(chǎn)的時(shí)候就是安全的。

　　那么首先我們要滿足車輛安全的基本要求，同時(shí)要進(jìn)一步滿足功能安全、預(yù)期功能安全和網(wǎng)絡(luò)安全的要求。功能安全是要求避免電子電氣系統(tǒng)異常造成的危害。預(yù)期功能安全，要求系統(tǒng)能夠正常的運(yùn)行，在不該工作的時(shí)候不能工作，也就是不能有誤操作。網(wǎng)絡(luò)安全需要防止黑客的入侵，由于入侵可能造成功能的誤觸發(fā)。

　　那么在功能安全和預(yù)期功能安全這個(gè)方面，實(shí)際上不是新的話題，在汽車過(guò)去幾十年研發(fā)過(guò)程當(dāng)中，這些方法都在支持汽車技術(shù)的發(fā)展。

　　在過(guò)去我們積累了豐富的經(jīng)驗(yàn)，也開(kāi)發(fā)了非常成熟的工具和方法。比如說(shuō)故障樹(shù)分析、失效模式和影響模式分析，基于失效模式的設(shè)計(jì)評(píng)審等等，通過(guò)我們的V-model，把我們的設(shè)計(jì)和最終的結(jié)果通過(guò)大量的臺(tái)架實(shí)驗(yàn)、仿真實(shí)驗(yàn)和道路實(shí)驗(yàn)來(lái)驗(yàn)證功能，來(lái)驗(yàn)證系統(tǒng)的正確性，來(lái)保證我們的安全。

　　但是我們同時(shí)也知道沒(méi)有辦法百分之百覆蓋掉所有可能的場(chǎng)景，所有問(wèn)題都得到解決，這就出現(xiàn)我們目前談的比較多的長(zhǎng)尾問(wèn)題。為什么在自動(dòng)駕駛的時(shí)候功能安全和預(yù)期功能安全得到更多的關(guān)注?最主要就是自動(dòng)駕駛的復(fù)雜性不斷提高，給我們帶來(lái)新的挑戰(zhàn)。下面我們一起來(lái)看一下。

　　在這里我們可以看到隨著自動(dòng)駕駛級(jí)別提高，場(chǎng)景更加復(fù)雜，更多的功能和責(zé)任由人轉(zhuǎn)向系統(tǒng)，這就對(duì)系統(tǒng)失效時(shí)候失效安全提出更高的要求，也就是說(shuō)從失效安全提升到失效可操控，這是什么意思?我們可以通過(guò)右邊這個(gè)圖來(lái)進(jìn)行一個(gè)解釋。

　　大家可以看到，右邊這張圖里邊的最左邊是在緊急情況下一個(gè)剎車的最基本的要求，也就是說(shuō)在緊急情況下最起碼我要能夠安全停車。但是我們知道如果我們停在最左邊道路上有可能會(huì)被追尾，所以我們更希望能夠把車停在最右邊的緊急停車道上，這樣會(huì)更安全。當(dāng)然最理想的狀態(tài)就是右邊這張圖，我能夠開(kāi)到一個(gè)非常安全的停車場(chǎng)，甚至一個(gè)修理廠，這樣的話更能提高我們自動(dòng)駕駛的安全。但是我們知道，要做到這一點(diǎn)，我們必須要在系統(tǒng)失效的時(shí)候有另一套系統(tǒng)來(lái)執(zhí)行所需要的功能，這就提出了冗余設(shè)計(jì)的概念。

　　下面我想給大家分享一下博世在方面的思考和施加。

　　這里展示博世關(guān)于自動(dòng)駕駛?cè)哂嘣O(shè)計(jì)方案的系統(tǒng)架構(gòu)，覆蓋了主要的功能和主要的子系統(tǒng)。它包含環(huán)境感知、定位、環(huán)境分析、路徑規(guī)劃、轉(zhuǎn)向、制動(dòng)，除此之外還包含了通訊和電源，我們認(rèn)為以這樣的架構(gòu)可以覆蓋我們可能想象到的所有安全的問(wèn)題。

　　這里展示的博世關(guān)于環(huán)境感知的解決方案。我們的方法是首先對(duì)所有可能的運(yùn)行場(chǎng)景進(jìn)行收集，建立了一個(gè)非常大的場(chǎng)景庫(kù)。根據(jù)所有的場(chǎng)景我們對(duì)將來(lái)自動(dòng)駕駛需要的傳感器提出新的設(shè)計(jì)要求，包括它的探測(cè)距離、精度、分辨率等等提出了更高的要求，通過(guò)這樣我們能夠更好感知我們周邊的環(huán)境。

　　第二步，我們對(duì)傳感的系統(tǒng)進(jìn)行了一個(gè)設(shè)置，通過(guò)不同傳感器的配置和搭配來(lái)進(jìn)行互補(bǔ)，這樣能夠很好的來(lái)保證我們感知是精確和可靠的。

　　這里是博世的定位解決方案，我們有兩套解決方案。 第一，絕對(duì)定位;第二，特征定位。

　　在絕對(duì)定位當(dāng)中我們開(kāi)發(fā)了一個(gè)智能的高精度定位傳感器，通過(guò)GPS信號(hào)和路邊糾偏，給汽車提供準(zhǔn)確的定位信號(hào)。我們知道在城市里邊GPS信號(hào)不是很穩(wěn)定，由于建筑物的原因，那么這樣我們就開(kāi)發(fā)了基于道路特征的一個(gè)解決方案，它是通過(guò)雷達(dá)和攝像頭，對(duì)道路特征進(jìn)行采集，生成一個(gè)我們講的特征層來(lái)進(jìn)行精確的定位。

　　我們知道在開(kāi)闊的地方?jīng)]有參照物，沒(méi)有建筑物，這樣特征定位可能就變得很弱，那這個(gè)時(shí)候絕對(duì)定位就可以發(fā)揮很好的作用。所以兩個(gè)方案的組合能夠相互互補(bǔ)，同時(shí)又產(chǎn)生冗余，這樣我們就實(shí)現(xiàn)了互補(bǔ)和冗余的功能。

　　下面我們?cè)賮?lái)看一下轉(zhuǎn)向。

　　轉(zhuǎn)向系統(tǒng)里面我們正在開(kāi)發(fā)一個(gè)冗余的轉(zhuǎn)向，它是由兩路控制系統(tǒng)組成。我們看到它的執(zhí)行機(jī)構(gòu)是一鍵，但是控制是兩個(gè)軌路，有單獨(dú)的電源、單獨(dú)的通信、單獨(dú)的ECU，驅(qū)動(dòng)電機(jī)的不同模塊，在一路系統(tǒng)失效的時(shí)候，另一路系統(tǒng)還可以降級(jí)操作，把車開(kāi)到安全的地方。

　　接下來(lái)我們可以著重看一下制動(dòng)系統(tǒng)。博世的系統(tǒng)是兩套獨(dú)立的機(jī)構(gòu)，我們的iBooster和ESP。除此之外我們還有兩套通信系統(tǒng)、兩套傳感系統(tǒng)，這樣在一個(gè)元件，或者一套系統(tǒng)失效的情況下，另一套系統(tǒng)還能進(jìn)行互補(bǔ)，能夠安全地把車停下來(lái)。

　　右邊是我們應(yīng)用場(chǎng)景的分享，制動(dòng)系統(tǒng)里面我們有兩個(gè)系統(tǒng)，一個(gè)是正常駕駛，一個(gè)是車子失穩(wěn)情況下的控制。在正常的工作情況下，iBooster可以正常工作，車子失穩(wěn)時(shí)候ESP可以進(jìn)行ABS和防糾偏的情況。第二是iBooster失效的情況，這種情況下正常駕駛就需要由ESP執(zhí)行制動(dòng)需求。在雨雪天氣車輛失控時(shí)候保證汽車正常運(yùn)作。第三的情況是ESP失效的情況下，這時(shí)候正常駕駛制動(dòng)還是iBooster來(lái)執(zhí)行，在雨雪天，當(dāng)車子失控的時(shí)候，由于ESP的失效，我們就需要用iBooster補(bǔ)充執(zhí)行ABS相關(guān)的功能，希望這里給了大家一個(gè)關(guān)于冗余系統(tǒng)怎么工作的好的解釋。

　　接下來(lái)我們?cè)賮?lái)看一下，關(guān)于開(kāi)發(fā)、量產(chǎn)和我們解決長(zhǎng)尾問(wèn)題的一個(gè)分享。

　　左邊我們看到用我們傳統(tǒng)的V字開(kāi)發(fā)模型，通過(guò)系統(tǒng)的要求到元件的要求，然后到我們的開(kāi)發(fā)，最后通過(guò)大量的臺(tái)架實(shí)驗(yàn)，大量的仿真和大量的道路實(shí)驗(yàn)，來(lái)一步步驗(yàn)證所有開(kāi)發(fā)功能的正確性、準(zhǔn)確性，同時(shí)去發(fā)現(xiàn)潛在的危險(xiǎn)，并開(kāi)發(fā)出相應(yīng)的解決方案。這樣我們可以保證在量產(chǎn)的時(shí)候所有知道的危險(xiǎn)情況都能力得到及時(shí)的解決，系統(tǒng)能夠正常的工作，避免我們知道情況的誤觸發(fā)。但如前面所說(shuō)，在汽車控制系統(tǒng)里面最棘手的問(wèn)題就是誤觸發(fā)，怎么能夠找到誤觸發(fā)、避免誤觸發(fā)，也是在我們開(kāi)發(fā)過(guò)程中的一個(gè)長(zhǎng)尾問(wèn)題。這個(gè)就需要我們利用一套新的開(kāi)發(fā)工具和方法，也就是數(shù)據(jù)驅(qū)動(dòng)的迭代模型，在汽車量產(chǎn)之后，道路運(yùn)行過(guò)程當(dāng)中不斷搜集相應(yīng)的危險(xiǎn)場(chǎng)景和失效模式，最后進(jìn)行不斷的迭代開(kāi)發(fā)，進(jìn)一步改進(jìn)自動(dòng)駕駛系統(tǒng)的性能和它的安全。

　　最后把今天的分享做一個(gè)總結(jié)。

　　自動(dòng)駕駛的安全是我們享受汽車作為智能終端所有福利的一個(gè)基礎(chǔ)。如何保證自動(dòng)駕駛的安全是自動(dòng)駕駛落地面臨的又一個(gè)新的挑戰(zhàn)。零部件的可靠性是我們自動(dòng)駕駛的一個(gè)基礎(chǔ)，但是在失效的情況下冗余設(shè)計(jì)方案為智能駕駛提供了安全的保障。傳統(tǒng)汽車安全開(kāi)發(fā)與基于數(shù)據(jù)驅(qū)動(dòng)迭代相結(jié)合的驗(yàn)證方案，可以加速自動(dòng)駕駛的落地，同時(shí)不斷改進(jìn)安全和性能。