自动驾驶方案的安全风险及化解之道

自动驾驶（AD）技术是要改变世界，还是要拯救生命？整个行业开始意识到，实现AV将会比预期的复杂得多，且需要数十年才能达到真正的自动驾驶。

总是拿来说事儿的一个案例：2018年，一辆“武装到牙齿”的Uber自动驾驶测试车（AV）在自动驾驶模式（L4以上）撞倒一个横穿马路的行人Elaine Herzberg至死，给白热化的自动驾驶竞逐结结实实泼了一盆冷水，也确实打开了OEM、Tier1和Tier2的视野。人们不禁要问，自动驾驶（AD）技术是要改变世界，还是要拯救生命？整个行业开始意识到，实现AV将会比预期的复杂得多，且需要数十年才能达到真正的自动驾驶。

目标是安全而非自主

过去五年里，关于自动驾驶和移动性未来发展的种种炒作使我们一开始就没有意识到自主性是以安全性为基础。新冠的大流行为汽车行业创造了充满挑战的环境，也帮助我们重新关注了最重要的问题。

Sense Media Group董事总经理Rob Stead认为，自主本来是安全的副产品，目的是制造出最安全的汽车，而在默认情况下它将是完全自主的，因为计算机比人更擅长驾驶。

Rob Stead

他相信，安全性始终是一个巨大的挑战，即使在预算似乎有限的繁荣时期也是如此。在工程界，最近人们越来越清楚，无人驾驶确实非常非常困难，今后解决最后5%的技术挑战可能比以前想象的要慢。

的确，汽车OEM、监管机构和消费者都希望道路变得更安全，尽管在汽车制造业的某些领域存在压力，但令人鼓舞的是，安全计划仍然是重中之重。他一直在说，关键是要集中精力逐步改进高级驾驶辅助系统（ADAS），这与我前不久发表的文章不谋而合。

关于ADAS的话题

Robert Stead认为，安全性有很多方面，但是如果我们专注于ADAS，则主要涉及感知的三个方面：一是改善传感器功能并优化图像质量；二是实现稳健性，建立系统冗余、SOTIF（预期功能安全性）和持续开发方法；三是监控和实时评估系统性能，了解退化途径和影响。

他现身说法地说，路上已经有了一些惊人的技术，去年他的汽车进行了更新，有了自动紧急制动（AEB）的体验，“可以自信地说它远远胜过人类可以避免的任何事故。”

有研究表明，系统有时可能无法达到预期性能，因此，ADAS显然仍在开发中。而且，仍有许多ADAS元素仍处于研发阶段，尚未部署在路上。

ADAS的作用是积极挽救生命，通过其性能，我们可以改善客户就绪的ADAS，并在今天产生真正的影响，而这要早于各级别自动驾驶车辆的部署。

其实，即使ADAS也是计算机视觉的最前沿。高速、高风险、多种传感器模式——需要考虑许多组件和许多外部因素。它非常复杂，因此开发强大的ADAS功能实际上是对资源的更有效利用。

但是，这是一个很大的目标，必须在未来需求和安全策略的背景下完成。无论是特斯拉这样的老牌厂商还是Zoox（亿欧）这样的试商期品牌，传统OEM与新型汽车OEM之间最大的分歧在于，新厂商不受传统电子和软件平台的限制。随着ADAS越来越多地连接在一起提供完整的安全画面，越来越需要通过使用通用软件平台和持续开发方法来进行这项工作。这是特斯拉运作方式的核心，但对许多OEM而言，这是一种范式转变。

好消息是，这种情况正在发生，主要OEM已在这方面进行投入。一旦这种方法成为主流，我们将看到安全功能以更高的速度发展。

无论是避免碰撞、确保交通顺畅，还是Roborace（机器人赛车）之类的赛车运动环境中，都有许多有趣的研究正在优化数字驾驶员的行为。也许不久这些进展就会集成到ADAS安全功能中。

Robert Stead指出，从市场角度看，推动这些技术需求的关键之一就是将安全性作为一项理想功能。如果市场需要，行业将紧随其后。即使是美国的肌肉车（美制双门大马力高性能跑车）买家，正面的雷达面板也会给他们留下深刻的印象，这将有助于他们避免撞车，沃尔沃等品牌已经在安全方面树立了多年的声誉。“我相信，进入L5的选手会有所作为，但现在一切都与ADAS有关。”

□

减少人机界面认知负担

你知道什么车致死事故最高发？是重型车辆。在伦敦，尽管重型车辆不到总交通量的4%，但却造成了50%以上的弱势道路使用者（行人和骑自行车的人）死亡。其主要原因有两个：缺乏直接可见性和认知超负荷。

通过参与新兴电动汽车OEM Volta Trucks的Volta Zero货车设计，让Astheimer Design意识到了提高驾驶员警觉性的重要性。该公司一直致力于汽车、船舶、家具和消费电子等多个领域的设计咨询。

16吨全电动卡车Volta Zero

人机界面（HMI）不仅连接了驾驶员和汽车，而且将驾驶员与外界联系起来。风险在于驾驶员会因功能而分散注意力，而错过重要的驾驶信息。

Astheimer Design创始人和Volta Zero首席设计师Carsten Astheimer认为，“认知超载是一个大问题。我们需要确保ECU（电子控制单元）和CAN（控制器局域网）系统能够以最清晰、最简单的方式读取正确的信号并显示信息，无论是触觉、音频还是视觉。”

Carsten Astheimer

Volta Zero专为市区内配送而设计，采用以驾驶员为中心（驾驶员在中央位置）的设计，降低的驾驶室可以优化视线高度并最大化直接视野，使驾驶员、弱势行人和骑自行车的人都能从该车辆的安全性获益。

Carsten Astheimer说，还有另一个方面要考虑，即使用者需要了解自己汽车的智能水平，以保持对道路使用者及其周围环境的警觉性。他说：“通过使产品越来越安全，可以使驾驶员远离正在做的事情。在车辆上增加自主性，可以通过简单的事情来帮助驾驶员，但是这可能使困难的事情变得更加困难。随着车辆越来越多，驾驶员不再专心。”他强调：“至关重要的是，传感器及其反馈信息能够帮助驾驶员保持对正在发生事情的意识，而不是仅仅从外界吸引他。”

沃尔沃汽车公司技术主管Paul-Henri Matha说，“我们以安全为目的开展业务。我们的客户需要安全，而我们只能使用传感器来确保安全。因此，我们需要用传感器制造出漂亮的汽车。”这就是人们说的“使安全变酷”。

Paul-Henri Matha

□

回到开头的案例

虽然Elaine Herzberg之死不会阻挡世界继续向自动驾驶未来进发，但它确实给了我们一个重要机会，让我们能停下来想想这起悲剧为何会发生，又能从中学到什么以防止悲剧重演？

除了Uber软件、不专心的安全驾驶员，不能不说夜间微弱的光线是使传感器难以尽早发现行人并让系统做出反应的重要因素。所以，传感器仍有待改进。

事故瞬间的画面

尽管来自美国国家公路交通安全协会（NHTSA）的数据表明，在没有路灯的黑暗条件下发生的行人死亡人数要多于白天，作为标准或可选功能，2018年前售出的大多数新车（56％）也装备了有行人PAEB（行人自动紧急制动）和ADAS，但是，目前由安全组织和计划实施的测试协议（如Euro NCAP、NCAP和IIHS等）在很大程度上都没有评估在没有路灯的黑暗条件下PAEB的性能。此外，由NHTSA和美国汽车协会（AAA）进行的独立测试表明，在所考虑的每种情况下，PAEB系统通常都无法在黑暗条件下保护行人。不过，最新行人碰撞统计数据也表明，通过改善黑暗条件下的性能，PAEB系统有机会每年挽救数千人的生命。

改善PAEB黑暗条件下性能有机会每年挽救数千人生命

□

增强黑暗测试保证人身安全

为了证明可以通过实施随时可用的技术来提高夜间PAEB性能，强大的智能激光雷达解决方案提供商Velodyne Lidar将基于LiDAR的PAEB系统与围绕摄像头和雷达构建的PAEB系统进行了测试。测试是在日落后一小时内，在不到1 lx的环境光照下，以驾驶员控制的速度在直线轨道上以30 mph的速度进行的。在试验过程中，两辆测试车均打开近光大灯。测试中使用的固定儿童和成人行人虚拟目标与IIHS和Euro NCAP等组织规定的当前测试协议兼容。

在每种情况下都对这两辆车进行了五次测试，或者直到车辆与目标相撞三次为止，以最大程度地减少对目标和车辆的损害。

其夜间测试的结果支持AAA和NHTSA的发现，即基于摄像头和雷达的PAEB系统在黑暗条件下经常发生事故。在涉及儿童、多于一个行人、车辆拐角处的成年人，或倒在车辆前方的成年人的情况下，事故率尤为明显。相比之下，基于LiDAR的PAEB系统配备了一个Velarray LiDAR传感器，能够及时成功停止车辆运行，从而避免每种测试场景发生撞车事故。

Euro NCAP的VRU AEB测试协议的环境光条件光谱，框内显示了其当前的日光和路灯测试条件，以及Velodyne建议的1 lux以下夜间测试条件。

基于LiDAR的PAEB的车辆在成年人目标重叠50％之前停止（上方）；有摄像头和雷达的PAEB车辆撞向成人目标（下）

在夜间测试中，Velodyne的PAEB系统使用Velarray传感器和Vella™软件，避免了在每种测试情况下的崩溃。

在黑暗条件下有路灯和近光头灯时，汽车2D摄像头和3D LiDAR产生图像的比较。

□

改善弱光性能提高驾驶安全性

现在的车辆包含大量电子内容，已成为与外界连接的娱乐和信息中心。结果呢，ADAS成为主流，驾驶员的注意力却越来越分散。视觉系统是ADAS的核心，CMOS图像传感器的重大技术进步为其提供了支持。其中包括的摄像头系统可用于自动紧急制动、自动驾驶、视频镜、后视镜、360°环视和驾驶员监控。

对于每个终端市场来说，都有其特定于应用的需求，而单一解决方案往往不能满足所有需求。随着豪华和主流车辆继续添加更多的成像系统，如环绕视野系统（SVS）、摄像头监控系统和电子镜，图像传感器的需求不仅在增长，而且对其要求也在提升。其中包括更高的分辨率、更大的动态范围（HDR）、减轻LED闪烁（LFM），在某些情况下还需要更好的弱光性能。

OmniVision Technologies产品营销经理Thilo Rausch说：“对客舱和乘客监控的需求正在加速全球汽车图像传感器市场的增长。汽车OEM不仅需要在各种光照条件下都能达到高灵敏度，而且要满足高性价比要求，才能让主流车辆加载这些应用。”这些要求包括：将HDR提升至140 dB；在整个温度范围内运行的LFM，以及更好的弱光性能。不过，在分辨率和弱光性能以及成本和像素大小等要求之间总是要权衡取舍。

去年，OmniVision推出针对驾驶舱和乘客监控的200万像素RGB-IR汽车图像传感器OV2778。该传感器适用于汽车舱内监控成像应用，如监控车内包裹、无人看管的儿童及视频会议等。OV2778采用6.5 x 5.7mm车内隐蔽摄像头的最小可行封装，最大程度减少外观视觉影响。此外，它还提供先进的ASIL功能安全性，可作为ADAS系统的一个重要部分。

OmniVision开发的诸如拆分像素LFM、Deep Well™双转换增益和Nyxel® 近红外（NIR）等新技术，能够解决这些挑战中的一些问题，从而满足汽车OEM不断增长的需求。Nyxel® NIR技术可将光子吸收效率提高多达3倍，改善夜视能力，使图像传感器在弱光下看得更远、更清晰，提供最佳的图像数据，同时消耗更少的功率。这有助于在驾驶员监视系统中检测驾驶员注意力不集中或困倦。

夜视条件下检测驾驶员注意力

今年5月，汽车行业首款搭载Nyxel® NIR技术的图像传感器OX03A2S面世。250万像素的ASIL-B等级传感器为外置近距机器视觉应用——车身周围2米内的弱光甚至无光环境提供了优质的图像质量、小体积、最高的940nm近红外灵敏度和更低的功耗。

Nyxel技术采用了全新的硅半导体架构和工艺，在940nm NIR波长下的光子效率高达40%，位居全球汽车行业前列。因此，OX03A2S能够在弱光环境下检测和识别其它图像传感器无法捕捉的物体，从而提高安全系统的性能。

OX03A2S的夜视效果

OmniVision产品市场经理Mathew Arcoleo表示：“集Nyxel技术和3.2微米像素于一体的OX03A2S提供了其他汽车图像传感器难以企及的业内优质弱光性能。作为汽车成像应用领域的新标杆，该传感器为需要在弱光甚至无光环境下运行的外置近距摄像头开启了全新的可能。”

Nyxel技术还可通过提高灵敏度提高明亮环境下的RGB图像捕捉性能。这为汽车设计师提供了很大的灵活性，使其得以在白天呈现高质量的NIR增强RGB可视图像，同时全天候提供高质量的机器视觉图像。

充满挑战的照明条件下Nyxel技术的弱光性能

□

车载连接的四大障碍

汽车OEM在车载连接方面有四个主要障碍：带宽受限、电缆过多、距离限制和恶劣的环境。

现在，车辆中连接的摄像头、雷达、传感器及模块越来越多，连接显示器和ECU需要更多电缆和线束。目前，典型线束组件重约60千克，是仅次于发动机和底盘的重量第三的部件。为了实现新的安全性和信息娱乐功能，汽车OEM正在寻求更安全、更具弹性的高速车载连接。

不过，由于带宽有限，电缆太多，以及需要使用更重屏蔽的布线来满足EMC要求，加上布线长度限制和恶劣的环境，实现上述目标并不容易。此外，不同用例（信息娱乐、计算和自动驾驶）更需要不同的连接技术。

以卓越PHY闻名，通过简单和低成本基础架构实现弹性高速连接的半导体产品提供商Valens的技术预售总监Daniel Shwartzberg表示，随着越来越多的设备装入车辆，提供更多安全功能和对自动驾驶的支持，将需要数千兆位的带宽、长距离连接和安全而有弹性的数据链路。

Daniel Shwartzberg

他说：“当今解决方案的第一个挑战是带宽壁垒，不仅在传输数据量方面，在用于ADAS或自主应用，也必须考虑时间极为敏感这一事实。这也意味着等待时间要低，因为信号延迟对于安全应用至关重要。

“第二个挑战在线束本身。今天进入汽车的电线、电缆太多了。我们正在尝试从车辆周围的各个点连接越来越多的ECU，这当然极其困难。

“第三个挑战是现有解决方案在信号与车辆的传播距离方面存在局限性，这直接影响了物理拓扑结构——车内ECU传感器的物理布局。

“第四个挑战是恶劣的汽车环境，包括EMI、EMC和温度。车辆的温度波动非常严重，电缆在制造过程中会经老化和粗暴处理。在车辆的整个使用寿命中，电缆都会受到振动、热循环等影响。”

9月，移动产业处理器接口（MIPI）联盟发布了适用于汽车的MIPI A-PHY v1.0 SerDes规范，将有助于解决这些问题。

汽车的MIPI A-PHY v1.0 SerDes规范

MIPI市场和会员总监Sharmion Kerley指出，汽车安全，自动化和连接性方面的创新，包括ADAS、全面的车载信息娱乐（IVI）和自动驾驶系统，正在改变车辆的设计。未来几年内将推出的新车型将配备更多高分辨率摄像头、更先进的雷达和LiDAR及更多高清显示器。所有这些将取决于传感器和显示器与车载计算机之间可靠的高性能连接，以保证内置功能安全性。

Sharmion Kerley

MIPI A-PHY v1.0是长距离串行器-解串器（SerDes）物理层接口的第一个行业标准。MIPI成员可以使用新规范提供的点对点拓扑中的非对称数据链路，通过单根电缆提供高速单向数据、嵌入式双向控制数据和可选的功率传输。

MIPI给出的各种汽车系统中的对称和非对称数据流

□

传感器退化怎么办？

传感器性能下降与汽车设计领域最关键的问题——安全性——也有着内在的联系。现在，将ADAS和自动驾驶汽车设计添加到方程式中，传感器退化的重要性变得不言而喻。

这不过是个运行10年的倒车摄像头，要是ADAS呢？

汽车环境中传感器退化的主要原因是什么呢？根据Robert Stead的说法，传感器系统性能下降的潜在原因有很多。首先，在挡风玻璃、照明装置或其他保护层后面的传感器外部安装位置周围会出现磨损。

其次，虽然传感器是根据汽车规格设计的，但由于恶劣的工作环境，它们可能会随时间推移出现一定程度的退化。除了ADAS和自动驾驶汽车中使用的传感器和软件外，其他性能下降的潜在原因还可能来自其他电子系统元件。

恶劣汽车环境中的温度和振动会导致传感器随时间推移而退化

传感器退化可能导致潜在的错误学习，并引起性能下降。因此，下一个逻辑问题是汽车工程师如何才能及时有效地测量传感器的退化。但是迄今为止，还没有大规模研究来确定系统退化的程度和速度。

人们普遍认为，退化会发生，不是突然而灾难性的，而更像是ADAS性能的缓慢下降。尽管如此，它确实需要量化。

虽然现代汽车配备了最先进的安全装置，但带有固有风险。一些功能在车辆的使用寿命期间并不稳定。它们会变，会退化和变异。这会影响安全性能，并可能造成和扩大内外人员的事故。AI和深度学习的破坏更严重，因为它们特别容易接受这些影响——人工智能的邪恶一面。风险是真实的，疯狂的交通工具就在路上。

一些学术机构正在将其作为研究计划的一部分。以防患于未然发现弱传感器车辆为使命的新兴公司Obsurver已开始进行试验，并正在寻求扩大汽车传感器退化测量的范围。该公司认为，所有传感器系统都会受到影响，包括摄像头、雷达、LiDAR、热和超声波传感器，所有ADAS和AD系统都会受到影响，包括经典主动安全系统、AI和基于深度学习的AD系统、L1至L5自主性等。

有助于实时预防和检测安全性降低的情况

Robert Stead补充说：“国际自动机工程师学会（SAE International）的标准制定工作组也正在研究这个问题。”