奔驰L3，想说“安全”不简单

2020年6月25日，联合国欧洲经济委员会世界车辆法规协调论坛通过了有关自动车道保持系统（Automated Lane Keeping System，以下简称“ALKS”）的车型型式批准统一规定（以下简称“UN-R157法规”）。

这是全球范围内首个针对SAE L3级别自动驾驶功能决议的具有约束力的国际法规，于2021年1月22日起正式生效。这是一种由驾驶员激活并无需其进一步干预，通过控制车辆的横向和纵向运动，即可令车辆保持在车道内的系统。

其中，日本是全球首个落地实施UN-R157法规的国家，此前，本田限量版L3新车已经在日本上市。而随着德国联邦汽车运输管理局（KBA）通过上述法规落地，奔驰成为欧洲首个真正被允许量产上市L3级自动驾驶新车的车企。

按照计划，2022年上半年购买搭载DRIVE PILOT系统的奔驰S级、EQS两款新车，将被允许能够在德国高速公路（在交通拥堵的情况下），以最高60公里/小时的速度实现有条件自动驾驶，同时，驾驶员可以“脱手脱眼”。

同时，在超过限速的情况下，系统将自动降维至L2级辅助驾驶。同时，L3级自动驾驶不能处理所有的场景和路况。一旦无法继续行驶，车辆会提前发出警告，提示司机接管。目前，奔驰在美国和中国的大规模测试也已经开始。

此前公布的信息显示，DRIVE PILOT系统可以给驾驶员10秒的时间接管车辆。如果驾驶员无法接管，车辆会逐渐减速，直至停止。停车后，车辆会自动发出紧急呼叫，并打开门窗方便救援。

最最重要的是，车主在启动DRIVE PILOT期间，如果发生车祸等安全事故，车主原则上不用负责，而由汽车制造商承担全部责任。而从奔驰给出的广告宣传来看，也是相当谨慎：“可脱手”，但没有说明“可脱眼”。

一、UN-R157法规

首先，我们看下UN-R157法规中的ALKS是如何定义？

ALKS是在不需要驾驶员控制的情况下，系统可以长时间自动控制车辆的横向和纵向移动，可以在某些条件下在禁止行人和骑自行车的道路上激活，并有双向通行的物理（隔离墩）分隔，同时第一阶段限制在运行速度为60公里/小时和乘用车（M1车辆）。

所以，ALKS只是交通拥堵自动驾驶（TJP，Traffic Jam Pilot）的一种功能，后者还涉及到比如自动车道变换（ALC，Automotive Lane Change）等在内的其他功能。

ALKS系统应使车辆保持在当前行驶车道内，并确保车辆不越过任何车道标志（前轮胎外侧到车道标志外侧），保持车辆在行驶车道内稳定的横向位置，以避免对其他道路使用者造成影响。

而类似TJP、HWP等功能，都是限定到一定运行环境（ODD，Operation design domain）中的有限自动驾驶以及适应于部分环境中的自动驾驶功能，同时需要驾驶员做好接管准备。

UN-R157法规包括关于系统安全性和故障保护响应的一般要求。ALKS启动时，代替驾驶员执行驾驶任务，即管理包括故障在内的所有情况，不得危及车辆乘员或其他道路使用者的安全。

同时，驾驶任务从ALKS系统安全移交给驾驶员，需要在驾驶员没有作出适当回应的情况下，系统能够停止工作的能力。此外，规定还包括对人机界面（HMI）的要求，以防止驾驶员误用。

例如，法规要求，当ALKS被激活时，驾驶员用于驾驶以外的其他活动的车载显示器，应在系统发出接管请求时自动暂停。

对于相对前车的跟车距离，法规也做了严格的要求。如因其他道路使用者（例如，超车或者前方车辆正在减速等）而暂时不能遵守最短时间/距离间隔，系统应在下一个时间周期重新调整最小跟随距离，但不得急刹车，除非有必要采取紧急措施。

此外，针对系统退出时的其他功能是否激活，法规要求，在系统停用时，不应自动过渡到提供车辆连续纵向和/或横向移动的任何功能。但是，可激活校正转向功能（CSF），目的是通过逐渐减少侧向支撑，使驾驶员习惯于执行侧向控制任务。

尽管有上述规定，在即将发生碰撞的情况下，任何其他提供纵向或横向支撑的安全系统（如高级紧急制动系统(AEBS)、电子稳定控制系统(ESC)、制动辅助系统(BAS)或紧急转向功能(ESF)）不得在ALKS失效的情况下停用。

二、从感知到交互要求

除了系统的功能逻辑设定，UN-R157法规还对关键的感知环节提出了基本要求。比如，向前探测范围，汽车制造商应申报从车辆最前端测量的正向检测范围，至少为46米。同时，横向检测范围应足以覆盖紧靠车辆左侧的车道和紧靠车辆右侧的车道的全部宽度。

同时，汽车制造商需要做出针对传感器老化、性能下降的评估。比如，在能见度过低时降低速度。在系统/车辆的生命周期内，硬件磨损和老化的影响不会使性能降至最低要求值以下。

此外，法规要求单一感知故障不应引起危险事件。这意味着，摄像头+雷达+激光雷达的组合，将是满足UN-R157法规ALKS功能要求的基本要求。

考虑到系统的迭代更新，UN-R157与UN-R156法规（涉及在线软件更新）几乎同时生效，同时，计划实施的时间节点、影响车型及强制方式与UN-R155网络安全法规完全一致。

比如，2022年7月前，若汽车制造商需要获取UN-R157 ALKS（自动车道保持系统）或其它与UN-R156相关的认证证书，则必须获取UN-R156认证；UN-R157也强调系统的有效性不应受到网络攻击、网络威胁和漏洞的不利影响。

其中，UN-R156要求针对软件标识码（RxSWIN）的管理，指记录某法规对应系统的软件版本信息，包括软件版本、软件更新点、软件更新影响等，其需要与法规相关系统对应的组件软件版本相关联。

最后，在测试验证环节，除了台架和实际道路测试，规范允许汽车制造商可以使用仿真工具和数学模型来验证安全，特别是在台架或实际驾驶条件下无法达成的场景。不过，汽车制造商应证明仿真工具在相关场景中的有效性，以及对仿真工具链进行的验证。

其中，在测试环节，将ALKS的关键场景分为可预防场景和不可预防场景。可预防/不可预防的阈值是基于熟练的人类驾驶员的模拟表现。按照人类驾驶员标准，一些“不可预防”的情况实际上可以通过ALKS系统加以预防。

其中，在低速ALKS场景下，假设驾驶员模型的规避能力仅为制动。驾驶员模型分为以下三个部分：“感知”、“决定”、“反应”，分别对应不同的阀值边界。

为了确定ALKS系统避免碰撞的条件，需要使用三个部分的性能模型因子作为考虑人类驾驶员注意行为的ALKS性能模型。比如，车辆在车道内正常横向移动距离为0.375米，当超过阀值就会出现可感知的插入（Cut-in）边界。

而关于责任认定，根据规定的要求，在ALKS（自动车道保持系统）系统启用的生命周期内，车辆的整体安全仍由请求类型批准的汽车制造商负责。

三、业内质疑

不过，即便是UN-R157已经是相对严谨的规范，在很多业内人士及保险公司看来，现阶段的ALKS（自动车道保持系统）仍然只是一个升级版的IACC单车道自动辅助驾驶辅助驾驶功能。

原因是，ALKS无法改变车道，无法将风险降至最低。而大家担心的是，“如果系统被错误地宣传为自动驾驶，驾驶员的滥用（类似特斯拉），那么我们将会看到一些严重的交通事故，这是最大的担忧。”

有消息称，欧洲有可能正在起草新的规范，将目前的60KM/h的限速提升至更高水平，来满足HWP的要求。“这意味着，系统可能会遇到更为复杂的情况，尤其是驾驶员在不关注前方道路的情况下，恢复接管本身就是一个具有极大挑战性的难题。”

而针对目前的ALKS系统的单车道限制问题，有质疑者提出，如果当前车道的前方标识显示为不可通行（并且没有防止三角锥的情况下），系统无法识别，即便识别了，也无法自行变道。

智能辅助驾驶在完成从0到1之后，功能的有无已经不再是评价指标，整个行业的关注焦点已经转移到能否给用户带来更好的体验，还有安全保障。

这其中，既包括系统的误报、漏报（感知的准确性是主要因素），也包括不同汽车制造商对于功能的个性化定义，包括跟车距离、系统决策逻辑和规划等等因素。

过去几年针对特斯拉的调查多达30起，涉及辅助驾驶和其他安全问题。法律专家表示，如果调查最终结论是Autopilot或FSD存在危及公共安全的缺陷，搭载这些功能的车辆可能会被召回，甚至是销售禁令。

考虑到监管机构的多次批评，今年特斯拉在此前小范围测试的基础上，增加了“准入门槛”，也就是通过“安全评分”来对参与测试的用户进行分层，并优先挑选分数高的用户参与测试。

根据特斯拉第三季度财报电话会议上披露的数据，近15万位特斯拉车主已经使用了该公司推出的“安全评分”工具，以确定自己是否可以激活使用FSD软件的测试版。

另外，就是对于安全风险较高的因素，需要进行更全面的考量。

四年前，Waymo正式终止了L3级自动驾驶系统的开发，原因是测试人员（司机）在测试过程中睡着了。而按照系统的要求，司机需要随时保持对车辆的控制接管。“这样的系统太危险，会涉及太多责任。”

此后，Waymo宣布只专注于不需要人工干预的L4/5级自动驾驶技术，并极力反对允许自动驾驶系统和人之间的“控制权交互”。

“automation bias，”这是Waymo给L3级系统下的定义，原因是驾驶员一旦认为技术是有效的，就会很快产生信任依赖。尤其是当他们被“鼓励”可以放松的情况下，很难反复尝试接管。