康謀分享 | 特斯拉AD/ADAS緊急制動(dòng)安全分析案例

隨著(zhù)自動(dòng)駕駛（AD）/高級駕駛輔助系統（ADAS）在車(chē)輛中的應用日益廣泛，其引發(fā)的各類(lèi)事件分析成為關(guān)鍵問(wèn)題。本文聚焦特斯拉Autopilot的緊急制動(dòng)情況，借助IVEX打造的數據采集平臺（Carvex）及安全分析平臺（Safety Analytics platform）展開(kāi)研究。

通過(guò)對超過(guò)15000公里行程、40TB數據中緊急制動(dòng)事件的剖析，發(fā)現Autopilot在面對超出操作設計域的場(chǎng)景時(shí)會(huì )解除自動(dòng)駕駛，導致駕駛員緊急制動(dòng)；同時(shí)還存在將正常情況誤判為風(fēng)險而緊急制動(dòng)的現象，這些分析為深入了解AD/ADAS系統行為提供了參考。 

一、引言

在過(guò)去幾年里，AD/ ADAS組件在商用車(chē)和零售車(chē)輛中越來(lái)越受歡迎。這也帶來(lái)了一系列亟待解決的復雜問(wèn)題。比如一個(gè)備受關(guān)注的問(wèn)題：如何從數千小時(shí)的駕駛數據（包括開(kāi)發(fā)階段和實(shí)際路測）中識別并理解由 AD/ADAS 行為觸發(fā)的各類(lèi)事件，如緊急制動(dòng)、急加速、低碰撞時(shí)間等。

數據采集平臺Carvex集成了一套尖端傳感器陣列，搭載于特斯拉Model 3車(chē)型，主要用于采集駕駛數據以驅動(dòng)產(chǎn)品開(kāi)發(fā)。大部分數據是在A(yíng)utopilot（特斯拉的L2 ADAS系統）被激活時(shí)收集的。由于 Autopilot 是先進(jìn)的 ADAS 系統之一，我們特別關(guān)注其性能表現，尤其是誤觸發(fā)緊急制動(dòng)（false positive braking）這一ADAS領(lǐng)域長(cháng)期存在的技術(shù)痛點(diǎn)。

起初，我們在檢查數據中的緊急制動(dòng)事件時(shí)也遇到了困難。Carvex 已經(jīng)收集了 15000 公里的駕駛數據。雖然與正常 ADAS 系統在部署前所需的測試里程相比，這個(gè)數字還很小，但我們發(fā)現，如果沒(méi)有良好的輔助工具，識別和檢查緊急制動(dòng)事件并非易事。

本文將解析特斯拉的緊急制動(dòng)事件。

圖1：Carvex數據收集平臺

二、研究背景

Carvex以Model 3為載體，集成包含RTK GNSS、激光雷達、毫米波雷達和多路相機的傳感器套件（其中艙內相機用于監測Autopilot狀態(tài)），所有數據由車(chē)載計算機實(shí)時(shí)記錄。系統采用全天候設計，確保惡劣天氣下的數據采集完整性。

在數據收集過(guò)程中，Autopilot 大部分時(shí)間處于開(kāi)啟狀態(tài)。Autopilot 主要由兩個(gè)部分組成：自適應巡航控制和車(chē)道保持輔助。Autopilot 需要駕駛員主動(dòng)監督，一旦遇到超出其操作設計域（ODD）的情況，系統會(huì )發(fā)出警報并解除自動(dòng)駕駛。

目前Carvex累計行駛15,000公里，生成超過(guò)40TB數據，其中包含大量與Autopilot行為相關(guān)的關(guān)鍵事件。通過(guò)IVEX安全分析平臺，我們實(shí)現了：

（1）自動(dòng)識別駕駛日志中的異常事件

（2）關(guān)聯(lián)事件潛在誘因

（3）監測Autopilot行為模式變化

本次研究聚焦減速度超過(guò)4.0 m/s2（13.12 ft/s2）的緊急制動(dòng)事件，包括Autopilot主動(dòng)觸發(fā)或系統退出后駕駛員介入兩種情況。這類(lèi)事件的研究?jì)r(jià)值在于：

（1）可能反映Autopilot超出ODD時(shí)的處置失效

（2）假陽(yáng)性緊急制動(dòng)可能導致追尾事故，存在安全隱患

三、Autopilot緊急制動(dòng)解析

Carvex 的傳感器數據會(huì )通過(guò)開(kāi)源自動(dòng)駕駛軟件阿波羅（Apollo）的感知模塊進(jìn)行離線(xiàn)處理。處理后的圖像等傳感器數據以及物體列表格式的感知輸出，隨后會(huì )被導入到IVEX安全分析平臺。

平臺能夠展示 AD/ADAS 車(chē)輛的所有相機視頻流。在這種情況下，我們選擇重點(diǎn)關(guān)注前置相機和艙內相機的視頻流，以便能夠觀(guān)察到其他車(chē)輛與Autopilot的行為。

平臺支持多駕駛日志聯(lián)合檢索，并按參數分類(lèi)關(guān)鍵場(chǎng)景，可以通過(guò)"聚合視圖"功能篩選特定車(chē)速區間內觸發(fā)的緊急制動(dòng)事件。

圖2：安全分析平臺緊緊急制動(dòng)聚合視圖

1、右側車(chē)輛引發(fā)的緊急制動(dòng)

圖3：右側車(chē)輛引發(fā)的緊急制動(dòng)

圖4：IVEX中的緊急制動(dòng)

從圖3和圖4中可以看出，盡管右側卡車(chē)未實(shí)際侵入車(chē)道，自車(chē)仍以28 m/s（100.8 km/h）時(shí)速突發(fā)制動(dòng)（右側卡車(chē)時(shí)速75.6 km/h）。同時(shí)數據分析顯示：當卡車(chē)短暫壓線(xiàn)1秒時(shí)，Autopilot判定其可能低速切入（此時(shí)車(chē)距僅1.59米），遂觸發(fā)持續1秒的緊急制動(dòng)，導致車(chē)速驟降7 m/s（根據RTK GNSS估算），這對兩輛車(chē)來(lái)說(shuō)都是一個(gè)危險的情況。

圖5：儀表盤(pán)Autopilot行為記錄

我們可以看到，車(chē)輛的 Autopilot 將卡車(chē)標記為可能駛入本車(chē)車(chē)道的潛在安全風(fēng)險，這就是車(chē)輛決定緊急制動(dòng)的原因。

2、交通信號燈前的緊急制動(dòng)

圖6：遇到交通信號時(shí)的緊急制動(dòng)

圖7：IVEX中的緊急制動(dòng)

從圖6和圖7，分析可得車(chē)輛以20 m/s（72 km/h）接近路口時(shí)，駕駛員在黃燈亮起1.8秒后接管并急剎，3.7秒內完成靜止（減速度5.4 m/s2）。值得注意的是，該版本的Autopilot雖能識別信號燈（如下圖示），但無(wú)響應功能，緊急制動(dòng)純屬駕駛員行為。

圖8：儀表盤(pán)Autopilot行為記錄

3、環(huán)島入口的緊急制動(dòng)

圖9：在進(jìn)入環(huán)形交叉路口之前進(jìn)行的緊急制動(dòng)

圖10：IVEX中的緊急制動(dòng)

在緊急制動(dòng)發(fā)生前約 3 秒，車(chē)輛以18 m/s（64.8 km/h）接近環(huán)島時(shí)突發(fā)制動(dòng)。實(shí)測表明，Autopilot因環(huán)島超出其ODD而靜默退出，駕駛員接管時(shí)剩余反應時(shí)間不足，導致制動(dòng)過(guò)急。所幸后方無(wú)車(chē)，未造成風(fēng)險。

四、技術(shù)結論

基于上述分析，我們對Autopilot 的行為得出一些結論：

（1）ODD邊界行為：當場(chǎng)景超出Autopilot設計域時(shí)，系統會(huì )無(wú)預警退出，迫使駕駛員緊急干預；

（2）風(fēng)險預判機制：對潛在切入障礙物存在過(guò)度敏感現象，可能觸發(fā)非必要制動(dòng)。