做不到零事故，但更像“老司机”。
作者 | 乔七
编辑 | 赵健
今年年初，特斯拉和Waymo曾发生过一次口水战。
时任Waymo CEO的John Krafik在接受德国《经理人》杂志专访时表示：“特斯拉还算不上Waymo的竞争对手，因为特斯拉做的是辅助驾驶系统，而非无人驾驶系统。”Waymo认为，辅助驾驶系统的能力与无人驾驶系统相差甚远。
特斯拉CEO马斯克当然不甘屈居人下，随即回应道：“震惊，特斯拉的AI硬件和软件比Waymo的都要好”。
这在当时引发了一些自动驾驶的路线之争，不过人们更倾向于争论的焦点是技术。
7个月后，中国造车新势力的代表企业蔚来汽车，在沈海高速涵江段发生交通事故导致车主死亡。蔚来汽车品牌部人士在事故后强调：“领航辅助”（NOP，蔚来汽车的辅助驾驶功能）不是“自动驾驶”。
无独有偶，就在蔚来事故发生后的第4天（8月16日），美国国家公路交通安全管理局开始对特斯拉的辅助驾驶功能展开调查。
至此，人们逐渐意识到辅助驾驶和自动驾驶不仅仅是一场关乎技术的较量，更是一场关乎安全的讨论。
我们一边听着科技公司对于自动驾驶的宣扬，一边为层出不穷的自动驾驶事故而惊恐。自动驾驶的初心是要用科技改变出行，如今我们不禁要问一句：“和人类司机相比，自动驾驶真的更安全吗？”
本文，「甲子光年」采访了国汽智控CEO兼CTO、国家智能网联汽车创新中心首席技术专家、中国智能网联汽车产业创新联盟基础软件工作组组长尚进博士，同济大学汽车学院朱西产教授，中国电动汽车百人会副理事长董扬等专家，以及元璟资本、轻舟智航、元戎启行、领骏科技、斯年智驾等数位从业者，来探讨自动驾驶安全问题。
1.最危险的场景是未知的场景
“道路千万条，安全第一条。”
看似一句稀松平常的话，对自动驾驶来说却是最核心、也是最难的工作。很多自动驾驶公司都会把安全作为第一位。据「甲子光年」了解，百度Apollo部门的每个周报、月报、季报、年度述职第一条就是跟安全相关。
在传统汽车领域中，车辆驾驶的安全风险往往来自于整车电子电器的硬件故障或失效。对此，国际标准组织提出了以“功能安全”为中心的车辆安全体系，在百年历史和经验沉淀中，这套标准已经相对成熟。
但是自动驾驶的出现，给汽车安全带来了新的挑战。迈入自动驾驶时代之后，车辆感知、决策和执行的任务都交给了自动驾驶系统，即使整车硬件没有发生故障，自动驾驶车辆依旧可能会因为软件的不确定因素导致车辆系统失效、功能偏离等。
以这次蔚来汽车事故为例，蔚来官方在NIO Pilot（NOP）的用户手册里明确强调，车辆与前车相对速度大于50公里/小时时，如前车静止或缓行，Pilot存在无法刹车的风险。
这是一个行业的普遍现象，包括特斯拉在内的所有车企，目前的高阶驾驶辅助系统对于相对静态的障碍物、雪糕筒在内的物体，识别起来都是一个难题。
类似这样的安全风险，传统的“功能安全”已经无法满足车辆的安全保障要求，“预期功能安全（SOTIF）”的概念应运而生。
简单来说，“功能安全”解决系统故障原因带来的安全隐患，“预期功能安全”解决系统非故障原因带来的安全隐患。在预期功能安全的定义中，不存在因设计不足或性能局限引起的危害而导致不合理的风险，也就是将设计不足、性能局限导致的风险控制在合理可接受的范围内。
图片来自《预期功能安全国际标准ISO 21448及中国实践白皮书》
从安全性和已知性角度，预期功能安全将车辆运行场景分为“已知安全场景、已知不安全场景、未知不安全场景和未知安全场景”4个区域。预期功能安全的工作，就是将已知不安全场景和未知不安全场景转化为安全场景。
如果问题是已知的，无论它是否安全，最终都能被解决掉，所以最大的挑战在于未知且不安全的场景。
同济大学汽车学院朱西产教授告诉「甲子光年」：“未知不安全场景的存在，使得自动驾驶出现了一个非常难的一个问题，怎么把Unsafe、UnKown识别出来？这是非常难的。因为对其无法定义需求，也难以量化评价，这成为了全球自动驾驶安全开发领域的痛点。”
不过，很多自动驾驶安全事故的原因并非归因于单一的技术问题。朱西产教授告诉「甲子光年」：“自动驾驶汽车，技术还不成熟，法律法规、标准都还跟不上技术的发展。用户已经能够体会到自动驾驶带来的体验，但是在一些边缘场景下仍然存在事故风险。”
事故风险的发生往往不是单一的技术原因，而是用户预期与技术能力之间产生了偏差。
轻舟智航创始人于骞告诉「甲子光年」：“机器和人的安全是不同的，从理论上讲，即便机器和人达到同样的安全程度都不够。因为人犯一个错误，可以被理解，可以被宽恕，但是如果机器和人一样犯错误，机器很难被宽恕。只有自动驾驶系统比人的安全高一个数量级，大家才可能真正接受它。”
一个明显的例证就是，蔚来汽车事故之后很多人才第一次知道，原来“辅助驾驶”并不是“自动驾驶”。「甲子光年」在上一篇讨论自动驾驶文章的末尾设计了一个投票，结果显示有48%的读者不知道两者的区别与权责划分。
虽只有两字之差，但含义却大不相同，而这往往是自动驾驶悲剧产生的起点。
2.辅助驾驶和自动驾驶，傻傻分不清？
提到辅助驾驶和自动驾驶，就不得不提SAE（Society of Automotive Engineers，国际汽车工程师学会）的技术分级。
2014年SAE发布了《SAE驾驶自动化分级》，将自动驾驶分为L0~L5六个分级；2020年3月，工信部发布中国本土的《汽车驾驶自动化分级》文件，基本沿用了美国SAE的标准。
根据《汽车驾驶自动化分级》的标准，我们可以将L0-L2级系统称为“辅助驾驶系统”，这三个级别的系统主要提供安全警告、车道居中、自适应巡航控制等功能，仍需要驾驶员不断监控行车状态，驾驶的责任由驾驶员承担。
而L3-L5级才被称为“自动驾驶系统”，根据系统开启的条件、是否需要驾驶员临时接管进行了等级划分，在系统开启后，车辆的操控工作将由自动驾驶系统完成。
简单来说就是，L0-L2级责任在人，L4级-L5级责任在车。L3稍微复杂一点，虽然是“自动驾驶”，但是前面加上了“有条件”的前缀，系统正常的时候系统接管，系统异常的时候依然需要人来接管。
但L3带来了一个悖论：在一些紧急情况下，如果系统交出了指挥权，但人类司机没有来得及接管，这种情况下发生的事故责任在哪一方？
实际上，L3就是一个“硬憋”出来的分级。同济大学汽车学院教授朱西产告诉「甲子光年」：“早期制定智能汽车自动化程度分级标准的时候没有L3——人类驾驶员负责的辅助驾驶就是L2，机器负责驾驶的无人驾驶就是L4。但是大家担心从‘有人驾驶’一下子到‘无人驾驶’，是不是跨度太大了？所以按照驾驶任务的分配，从辅助驾驶到无人驾驶中间增加了一个L3的级别出来，需要时自动驾驶系统可以将驾驶任务回退给人类驾驶员的‘人机共驾’状态。”
由于L3法律责任的模糊性，沃尔沃是第一个宣布放弃L3而直接开发L4的车企。无论是L3还是L4，目前由于环境感知系统还存在感知能力的不足，各国政府都还没有批准L3/L4等级的自动驾驶汽车上市销售，所有汽车企业都不能直接宣传L3/L4自动驾驶功能，而是将采用自动驾驶硬件系统配置开发出来的车型称为L2+。L2+在智能汽车自动化程度分级标准里并没有定义，有些汽车企业把L2+称为“自动驾驶辅助”系统。
朱西产教授表示，L2+是指硬件已经达到L3、L4的级别，比如包含高算力的域控制器、人工智能算法、高清摄像头、激光雷达、高清地图等等，但软件能力还是L2的水平，车企希望未来通过OTA的方式逐渐更新来实现L3、L4。
这些技术名词无形中给消费者提高了理解门槛。当车企铺天盖地对自动驾驶展开营销攻势，部分消费者很容易误把“辅助驾驶”当作“自动驾驶”。
比如，今年1月特斯拉CEO马斯克在财报电话会议上表示：“非常有信心在年底前，让特斯拉有超过人类的可靠自动驾驶能力。”而在今年5月，特斯拉的法律顾问就被“打脸”了，他表示特斯拉的自动驾驶仍然处于L2级别，需要人类驾驶员的监督。
这种概念混淆会带来安全隐患，朱西产教授称之为“恐怖谷效应”。朱西产认为，如今所处的“L2+”时代，是最不让人放心的阶段。“L2+”具备了部分“L3、L4”的功能，但系统能力又达不到“L3、L4”的水平，如果用户使用过程中不能及时地消除用户误用，就有可能带来安全问题，出现用户信任危机。
这种潜在的危险很早就有企业意识到了。根据Business Insider的报道，2013年，在谷歌的自动驾驶部门被分拆成Waymo之前，该部门正在研发一种驾驶系统“Auto Pilot”，并征集了一部分员工进行内部测试。谷歌告诉参与测试的员工，在车上不能分神，注意力必须放在驾驶上————也就是现在的辅助驾驶系统。如果车内的摄像头发现他们没有严格遵守这个规定，就会收回车辆。
但谷歌发现一些员工并没有遵循这些指示，并且有一位员工直接在车上睡着了——他睡着的时候，车辆正以每小时55英里的速度在路上飞奔。在这件事发生以后，谷歌就彻底关闭了Auto Pilot这个项目，并开始专心研发不需要人类司机的无人驾驶技术。
谷歌的这一选择也让自动驾驶分化出了两种不同的演进路线，一派是以特斯拉为代表的车企，选择从L2做起，并逐渐升级为L4，也被称为“渐进式”路线；另一派以谷歌旗下的Waymo、百度的Apollo为代表，选择直接做L4，也被称为“跨越式”路线。
两种路线谁才是通往未来自动驾驶的康庄大道？
- L2与L4谁才是未来？
L2和L4的路线之争由来已久，其中一个争议就是，L2是否可以通过升级迭代到L4？
特斯拉确实是这么计划的。按照SAE或工信部的标准，特斯拉的NOA（Navigate on Autopilot）依然处在L2辅助驾驶的范畴，但特斯拉也曾宣布要在2020年推出Robotaxi计划，该计划将改进特斯拉自2016年以来生产的所有车辆的自动驾驶功能，使其具备完全自动驾驶能力。未来特斯拉的车主可以将闲置时间的车辆加入到共享汽车Tesla Network车队中。
国内尚未有明确表态未来要做“完全自动驾驶”的车企，不过理想汽车CEO李想也曾在汽车之家的一场直播中表示，理想卖车的目的是为了在2025年拿到自动驾驶企业的入场门票。
不过，对于渐进式路线能否做到L4，业内多有质疑。除了上文提到的潜在安全隐患之外，技术上能否实现也要打上一个问号。
领骏科技CEO杨文利博士告诉「甲子光年」：“主机厂L2级别做自动驾驶，这个跨度往上升几乎是不可能的，L2属于分类型架构，无论是从传感器感知层到决策层或到它的算力，整体架构是不支持上升的。”
斯年智驾的CEO何贝也告诉「甲子光年」：“当你辛辛苦苦地把某个问题解决了，过段时间后，算法升级了或者传感器改变了，曾经辛苦积累的数据就没用了，数据也需要有意义。”
当然也有谨慎看好的一方。元戎启行合伙人兼副总裁刘轩告诉「甲子光年」：“渐进式路线理论上是有可能达到L4的，但其周期可能比直接做L4更长，因为采集数据的传感器不够强大，算法也不成熟，需要解决的Corner Case会更多，难度更大。”
国汽智控CEO兼CTO、国家智能网联汽车创新中心首席技术专家、中国智能网联汽车产业创新联盟基础软件工作组组长尚进博士告诉「甲子光年」：“这其实是一个较老的话题，今天大家讨论的已经比较少了，因为特斯拉的成功表明了前装量产、车辆设计创新落地是最有力的证明。”的确，特斯拉在今年第二季度的销量就超过了20万辆，而L4自动驾驶的大规模商业化还遥遥无期，两者不同的商业模式决定了商业化进程的不一。
“渐进式”的路线主要面向to C的私家车市场，而跨越式路线主要是to B的智慧出行服务，比如我们经常听到的无人出租Robotaxi，以及无人巴士RoboBus等等。从这个角度来说，L2和L4就是两个不同的产品。
轻舟智航创始人于骞告诉「甲子光年」，L2、L3辅助驾驶的目标是体验好，是不是“无人化”不重要，车卖的好，体验好，这件事就够了，但它还没有触碰到无人驾驶最核心最难的部分；但是L4自动驾驶的最终目的是要实现无人化，是要把司机从驾驶员的位置去掉。
元璟资本投资副总裁刘昕告诉「甲子光年」：“L2是一个功能，L4是一个服务。L2是一项基于车的硬件和软件升级而来的功能，来让驾驶员有更便利、更安全的体验。未来，L2有望成为智能汽车的标配功能。”
值得一提的是，9月4日，在第十七届中国汽车产业发展（泰达）国际论坛开幕大会上，工业和信息化部副部长辛国斌表示，今年1-8月L2级智能网联乘用车市场占比已经达到20%。市场分析机构IHS Markit曾预测搭载L2+和L3级自动驾驶功能的新车销量在2025年将达到50%以上，2030年将达到70%以上。
刘昕认为，L4其实是一个“智能司机”，未来可以在你不想开车的时候帮你开车，可能会按驾驶里程或时间收费。因此，L4更像一个增值服务，可能只会在一些商业运营车辆或者中高端私家车型配备。
如果说过去5年自动驾驶的争议之一是“L2能否做到L4”，现在市场上也出现了一种相反的打法：L4降维做L2。
尚进博士告诉「甲子光年」：“智能汽车就是四个轮子上的‘数据中心’，现在的行业趋势是聚焦以L3-L4级别和‘软件定义’为目标的数据中心基础软硬件架构或中央域控制器，基于此集中实现L0-L4以及扩展功能。当然今天量产功能以车规级保障高安全等级的L2或更多自动驾驶场景为主。”
百度、Momenta、轻舟智航就是这种“高配低打”路线的尝试者。百度除了L4级别的Robotaxi业务之外，也为车企提供自动驾驶解决方案，比如威马汽车就采用百度Apollo的方案实现部分场景下的自主泊车AVP（Apollo Valet Parking）。
放眼未来，L2成为基础功能，L4成为选配功能，会是一个长期共存的局面。
4.做不到零事故，但比人类更安全
蔚来事件给L2辅助驾驶安全敲响了警钟，也为尚未大规模落地的L4自动驾驶提了一个醒。
中国电动汽车百人会副理事长董扬告诉「甲子光年」，对于高等级智能驾驶技术，各国政府采取的办法是，在“豁免”条件下，或“沙盒”管理下，允许有条件使用。之所以采用这样的管理方法，原因有三：一是高等级智能驾驶技术，在多数情况下是可用的、有效的、安全的；二是该技术成熟需要很长的时间和很长的实验里程；三是为了加快技术进步，允许一部分用户在有条件的情况下使用，并且通过这类用户的使用积累经验和数据，最终完善技术。
因此，仿真测试和真实道路测试就必不可少。以百度为例，百度Apollo拥有国内最丰富的自动驾驶测试经验，已获得336张自动驾驶测试牌照，路测里程超过1400万公里，截止2021年上半年，已累计接待乘客40万+人次，尚未出现一例事故。
为了防止意外发生，自动驾驶车辆需要很多的冗余设计：底层的车辆控制冗余、硬件的传感器冗余、计算的冗余设计、整个算法冗余的设计，以及整个系统的稳定性。
这需要对自动驾驶进行长期投入。百度2013年无人车项目起步，2015年底宣布正式成立自动驾驶事业部，如今已入局自动驾驶八年。
除了单车智能技术的成熟，车路协同系统的成熟也为自动驾驶安全保驾护航。
清华大学车辆与运载学院创院院长、中国汽车工程学会会士杨殿阁教授认为，智能汽车发展道路上，中国采用跟美国不太一样的技术路线，美国更强调的是单车智能，而中国更侧重智能网联汽车。除车之外，借助路测的计算能力来提升感知和决策，这样即便不是高级别的车也能够实现高级别自动驾驶，这就为整个量产汽车的智能化，包括高级别自动驾驶的落地找到了一个新的方案。
比如，百度已经在保定84个路口部署了AI智能信控系统，形成了一条条“绿波带”，这是专门为了解决拥堵的典型案例，原理是由“人看灯”转化为“灯看人”，能有效控制车流量，将车辆行程时间平均缩短约20%。
除此之外，百度、元戎启行等公司都提出在5G网络下远程接管的方式来面对临时道路变更或交通管制的情况，元戎启行称为“远程监管”，百度称为“5G云代驾”。百度5G云代驾的云端驾驶员训练均超过1000小时且无事故发生，可以确保非自动驾驶状态车内乘客和车外行人的绝对安全。
在商业化落地上，自动驾驶也在慢慢走上正轨，百度、文远知行、元戎启行、AutoX等公司纷纷开展运营服务。在前不久的百度世界大会上，百度推出自动驾出行服务平台萝卜快跑，已经正式落地北京通州。
除了技术上的挑战，人的观念对于自动驾驶的接受程度，也需要时间。元戎启行合伙人兼副总裁刘轩告诉「甲子光年」：“用户心理对自动驾驶的接受过程肯定也是渐进式的。如果一个人没体验过自适应巡航、车道保持、自动泊车、自动变道等功能，让他一下子去接受无人驾驶，我相信他其实也比较难去接受。”
2018年，Waymo在凤凰城等地路测、试运营时，一些担心车祸和失业的居民朝Waymo路测车辆扔石头、割车辆轮胎，甚至端起枪口对准车上的安全员。
不过，一些数据可以给自动驾驶行业带来积极的信号。
特斯拉在4月发布了《2021年第一季度汽车安全报告》，数据显示第一季度那些使用了AutoPilot功能的特斯拉，平均每行驶419万英里会发生一次事故，比普通车的事故概率低了10倍。
Waymo也曾公开从2019年1月至2020年9月的数据，在凤凰城累积了610万英里（约980万公里）自动驾驶里程，一共发生了18次真实事故，还有29次潜在事故，总计47起事故中，都没有危及到生命，只有8起略微严重，而这8起严重事故中，责任都不在Waymo，而是其他人类司机。
同济大学朱西产教授告诉「甲子光年」：“100年前汽车代替了马车，死于交通事故的人数肯定是大大上升的。但是，交通事故没有成为汽车普及化的障碍，在汽车安全标准不断推动安全能力提升的背景下，全社会接纳了存在交通事故风险的汽车。”
自动驾驶虽然不能做到零事故，但它依然会成为比人类驾驶更安全的出行方式。
