加州机动车管理局（DMV，Department of Motor Vehicles）规定要求每一个在该州的公共道路上进行测试的汽车制造商车辆须提交一份年度报告，而这个报告的价值并不止体现在接管次数上。

近日，加州机动车管理局公布了今年提交了自动驾驶汽车退出报告的企业，有52家公司提交了该报告，其中国内企业有百度、景驰等。对于这份报告，大部分人只注重接管次数，并没有去深入的分析。而今天这篇文章，以2016年提交的报告为例，详细分析和比较了不同原因诱发的自动驾驶退出案例，调研了这些事件中相应的人工接管机制与时间，并对OEM、制造商和政府组织提供了一些建议，其分析调研方法值得借鉴。

无人驾驶车辆测试过程中所发生自动驾驶功能退出案例的分析

吕辰1，曹东璞1，赵一帆1，DanielJ． Auger1，Mark Sullman1，王化吉1，Laura Millen Dutka2，Lee Skrypchuk2，Alexandros Mouzakitis2

1 ．英国克兰菲尔德大学航空航天、运输和制造学院
2 ．捷豹路虎，考文垂，英国

Analysis of Autopilot Disengagements Occurring during Autonomous Vehicle Testing

Chen Lv1， Dongpu Cao1，Yifan Zhao1， Daniel Auger1， Mark Sullman1，Huaji Wang1， Laura Millen Dutka2， Lee Skrypchuk2 and Alexandros Mouzakitis2

1． School of Aerospace， Transport and Manufacturing， Cranfield University， UK

2． Jaguar Land Rover， Coventry， UK

I  引言

近年来，自动驾驶技术受到了来自学术界和工业界的广泛关注［1］－［5］。虽然纯无人驾驶是技术发展的“终极目标”，然而在部分特定工况下能够实现自主行驶功能的“高度自动化驾驶”车辆HAVs（highly automated vehicles）则可能在未来几年更快到来。依据美国汽车工程师学会SAE对车辆自动化程度6级划分的定义，2级（L2）和3级（L3）自动驾驶代表了驾驶员辅助与车辆高度自动化之间的过渡区域，而这也是当前企业和科研院所的研发重点之一。

在L2、L3自动驾驶中，当车辆的自动控制系统遇到故障或极端状况无法自主处理驾驶任务时，自动控制功能将会“退出”（Disengagement）并将车辆控制权交还给驾驶员。因此，自动驾驶功能的退出机制以及人工接管控制品质，对保证车辆安全性与舒适性至关重要的，这亦给自动驾驶人机交互系统的设计带来了巨大挑战。面对上述挑战，研究人员已从不同角度探索了包括高级驾驶辅助系统（ADAS）以及人机界面（HMI）在内的许多设计、控制方法［9］－［12］。然而，在真实公共交通测试场景中，自动驾驶功能的退出及人工接管控制的案例则鲜有报道与研究。

美国加州为以鼓励自动驾驶技术发展，开放了汽车制造商在公共道路上进行自动驾驶测试的权限。对于自动驾驶测试，加州机动车管理局（DMV，Department of Motor Vehicles）规定要求每一个在该州的公共道路上进行测试的汽车制造商车辆须提交一份年度报告，总结测试过程中所经历的所有自动驾驶退出Disengagement事件，这些“自动驾驶退出报告”（下文简称“退出报告”）于每年1月1日公布。7家制造商，包括博世、德尔福、谷歌、日产、梅赛德斯－奔驰、大众以及特斯拉等公司在2016年1月1日前分别提交了他们各自第一次的退出报告［13－19］。为了更好地了解现阶段研发过程中自动驾驶功能退出的诱发原因，以及手动接管过程中人机交互机制，从而进一步完善自动驾驶系统的设计，本文综述总结了上述7个制造商公开提交的自动驾驶退出报告。对不同原因诱发的自动驾驶退出案例进行了详细的分析和比较，调研了这些事件中相应的人工接管机制与时间。

II． 自动驾驶退出报告概览

2．1  自动驾驶退出的定义

加州机动车管理局DMV规定，需要报告的自动驾驶退出事件包括：由自动驾驶系统检测到故障而触发的自主模式失效，以及为保障车辆运行安全由测试驾驶员触发的自主模式退出及其相应的人工接管操作［20］。

注：以上定义是为了确保制造商不报告任何常规或日常必要的自动驾驶退出事件。且由于被报告的自动驾驶退出事件均由人工立即接管，因此其应对的自动驾驶技术应归于SAE分级中的L2自动化，而非L3 （车辆3级自动化须能够提供给驾驶员足够舒适的切换时间来实现人工接管）。

2．2  自动驾驶退出的分类

根据以上定义，自动驾驶退出事件可以分为以下两种不同类型：

1）被动退出PDE （Passive Disengagement）

当自主驾驶相关技术检测到故障无法继续执行时，自动驾驶模式被迫退出、断开控制，且要求驾驶员立即人工接管。

2）主动退出 ADE （Active Disengagement）

自动驾驶控制系统未检测到任何故障，但驾驶员监控运行工况时为保证车辆安全行驶采取人工干预，主动触发自动驾驶模式的退出，实现对车辆的手动接管控制。

2．3  自动驾驶测试及退出事件报告概览

以下列出了7家制造商（以字母A－G表示）在加州公共道路上自动驾驶测试里程数。

1）制造商A报告自动驾驶里程数424，331英里，包含341次自动驾驶退出事件［15］；

2）制造商B报告自动驾驶里程数16662英里，包含405次自动驾驶退出事件 ［14］；

3）制造商C报告自动驾驶里程数14945英里，包含261次自动驾驶退出事件 ［18］；

4）制造商D报告自动驾驶里程数1739英里，包含1031次自动驾驶退出事件［17］；

5）制造商E报告自动驾驶里程数1485英里，包含106次自动驾驶退出事件［16］；

6）制造商F报告自动驾驶里程数935英里，包含625次自动驾驶退出事件［13］；

7）制造商G报告在公共街道上未进行自动驾驶，无自动驾驶退出事件［19］。

为了综合全面评价自动驾驶测试里程及功能退出事件，采用“英里／ 每次退出”（miles per disengagement， MPD）作为自动驾驶技术成熟度的评价指标。MPD定义如下：

MPD ＝ S ／ n（1）

其中，S表示自动驾驶测试里程，n表示测试期间发生的自动驾驶退出次数。

根据图3中的统计结果，2015年底，制造商A的MPD值稳定保持在3000左右，表征自动驾驶车辆自主行驶3000英里（约4800公里）会出现1次功能退出事件，而其他公司的MPD值基本在100以内。

图3．  6个制造商MPD值的月度统计

基于上述统计的MPD值，我们定义了两个阶段来表示制造商自动驾驶技术的成熟度：

阶段1：MPD值低于2000，表示自动驾驶研发处于初级阶段，自动化系统的基本功能需要完善和改进。

阶段2：MPD值高于2000，表示自动驾驶技术具备较高成熟度，接近高度自动驾驶。

据此，退出报告所涵盖的六家厂商可以清楚地分为在自动驾驶技术开发中不同成熟度阶段的两类：

1）  I阶段制造商： B、C、D、E、F；

2）  II阶段制造商： A。

III自动驾驶功能退出的主要原因分析

诸多因素会影响自动驾驶控制，并导致功能退出。这些原因包括（但不限于）如下表三和图4所列：

表I 不同类型自动驾驶退出的诱因

被动退出 PDE

主动退出ADE

·    硬件问题

·    软件故障

·    天气条件

·    路面状况

·    软件限制

·    硬件问题

·    紧急情况

·    预先干预

3．1 被动退出 PDE的典型原因

1）硬件问题

硬件元器件失效或未按预期执行工作，一些典型的报告原因如下：车辆控制器发生故障；传感器、导线、执行机构和其他物理设备损坏［16］。

2）软件问题

软件故障涵盖了环境感知、物体识别、车辆定位、决策、路径规划、轨迹生成、纵横向控制等诸多方面的问题。报告的一些典型原因包括：错误识别了障碍障碍物［15］；另一辆车从侧面接近但未被感知［16］；识别系统失去了前车轨迹［16］；目标路径生成失败［16］；定位故障 ［16］；等等。

3）  天气条件

测试过程中出现的天气条件因素导致自动驾驶功能退出，典型原因例如：照明条件差导致交通信号灯检测故障［16］；阳光过强导致对象检测失败［17］；雨、雪、雾等导致能见度差；过热或过冷的温度，等等。

4）  路面条件

由于路面状况不佳，导致自动驾驶功能关闭，典型原因例如：道路有洞或凸起［17］；褪色的路面标记、刚铺好的路面，等等。

3．2 主动退出ADE的典型原因

主动退出的典型原因包括软件限制、硬件问题、遇有紧急情况和预防性人工干预等。详细描述和相关的示例案例如下。

1）软件的局限性

虽然自动驾驶系统没有检测到故障，但由于其自身能力限制无法处理复杂情况下的高级驾驶任务，或由于软件的限制而导致的物体感知、车辆的轨迹、行为等不理想，使得人工主动介入干预，导致自动驾驶功能退出。一些典型的案例如：在拥挤交通环境下换道［14］；十字路口过多行人和车辆使得自主系统难以决策控制［16］；自动驾驶车辆过于靠近停着其他车辆［15］；未识别停止的前车，未能有效减速，于是司机主动接管，采取制动操作［16］，等等。

2）硬件问题

硬件故障使得司机感到需要立即人工干预控制车辆。

3）紧急情况

紧急情况下，驾驶员出于安全性的考量主动接管车辆的控制权限。典型案例包括：出现急救车辆［14］［15］（为了解决此问题，谷歌提出了一个检测和应对紧急车辆的方法［23］）；道路出现交通事故［13］，等等。

4）预防性干预

为了避免由于路面状况不佳等原因导致自动驾驶功能退出，驾驶员采取的预防性人工干预措施，例如：避开前方施工区域［13］－［17］；避让自行车骑行者，为其提供足够空间；为保障行人安全而采取的预防性措施［14］；确保车辆在恶劣天气条件下的安全行驶［17］。

IV  制造商案例研究

4．1 成熟度II阶段制造商退出案例分析

为更好的理解自动驾驶技术的发展历程，我们首先分析成熟度领先、处于II阶段的制造商A的相关自动驾驶退出案例。

1）概述

如图5数据显示，对制造商A而言被动退出PDE占所有退出事件的主导地位。2015年5月前，以每月近50起退出案例的比率增加，而随后PDE数量开始大幅下降，稳定的保持在每月20例以下，说明其自动控制技术逐渐完善。与之形成对比的是，其主动退出ADE的数量保持稳定，每月不超过10例。

图5  制造商A 被动与主动退出月度数量统计

图6显示，总体而言随着时间的推移，每出现一次退出事件的自动驾驶里程数在稳步增加。从2014年第四季度到2015年第四季度，自动驾驶退出频次从744英里／次下降到2800英里／次。具体来说，被动退出PDE频次和主动退出ADE频次分别从2014年第四季度的1026英里／次和3398英里／次下降到2015年第四季度的5749英里／次和6878英里／次。这进一步印证了制造商A自动驾驶技术在这一时期所取得的显著提升。

2）被动退出PDE案例详细分析

仔细查看数据，导致被动退出PDE的主要原因可以分为四类：硬件问题、软件故障、天气状况和路面情况。如图7所示，软件故障是PDE的主要诱因。软件问题主要包括感知、决策和控制的故障，是自动驾驶技术发展初级阶段的问题。然而PDE数量及其软件故障在2015年4月以后显著下降，表明相应技术在不断完善和发展。

根据图8可以进一步清楚地看出，在整个年度的测试过程中，软件问题占据4个PDE主要诱因的80％以上。此外，硬件故障、恶劣天气和路况因素的比例分别为13．97％、4．04％和0．37％。

图8 制造商A被动退出PDEs不同诱因比例统计

3）主动退出ADE案例详细分析

如图9所示，每个月主动退出ADE案例主要的原因是软件因素。在这一年度里软件问题导致的ADE数量并没有明显减少，这是因为导致ADE的软件问题通常对应于L3及以上的自动驾驶功能，短期内难以迅速完善。除此之外，紧急事件和预防性干预所造成的自动驾驶退出的本质也与软件功能的局限性密切相关。由于目前的自动驾驶技术还不够智能和鲁棒，在复杂工况下，软件缺乏处理紧急、高级驾驶任务的能力。因此，驾驶员在某些情况下须进行人工干预以保证行驶安全。

4．2  成熟度I阶段制造商退出案例分析

为了在更大量数据集基础上找到共性和特征，将成熟度为I阶段的制造商出现的自动驾驶退出事件联合起来共同分析。

1）概述

据图11显示，自动驾驶被动退出事件PDE自2014年四季度到2015年四季度的所有退出案例中占主导地位。然而自2015年1月以来，PDE的绝对数量稳步下降到50次／月以内。

图11  I阶段制造商被动与主动退出月度数量统计

然而如图12所示，考虑到自动驾驶距离的因素，这5家I阶段成熟度的制造商在公共道路上自动驾驶测试总里程还不及A公司的1／10。因此，自动驾驶退出事件的出现频次高达10英里／次（制造商A： 约2800英里／次），这清楚地显示了在自动驾驶技术成熟度上的差距，亦表明了高度自动驾驶技术开发过程中进行道路测试的重要性。

图12  I阶段制造商每出现一次退出事件的自动驾驶里程月度统计

2）被动退出PDE案例详细分析

如图13所示，在I阶段制造商中，诱发PDEs的最主要原因是软件故障，但其他三个因素在每个月均对PDEs事件的发生有贡献。

图13  I阶段制造商被动退出事件PDE月度统计

根据图14所示饼图，天气条件和路面状况分别占PDE案例出现诱因的9％以上，说明这些制造商的L2、L3技术开发方面仍存不足。

图14  I阶段制造商被动退出PDEs不同诱因比例统计

3）主动退出ADE案例详细分析

基于图15所示的数据，与制造商A类似，软件故障亦是I阶段制造商自动驾驶主动退出事件ADE的最主要原因。正如前面提到的，紧急情况和预防性干预所引起的功能退出与软件能力密切相关。

图15  I阶段制造商主动退出事件ADE月度统计

对于I阶段制造商而言，这三个原因几乎占据了ADEs事件诱因100％的比率（见图16）。这一现象印证了发展高级自动驾驶技术的难度，亦说明了其现有技术水平与高级自动化目标之间存在着巨大的差距。

图16  I阶段制造商主动退出ADEs不同诱因比例统计