李骏：发展自动驾驶安全第一，必须加快推进“China SOTIF”建设

李骏：发展自动驾驶安全第一，必须加快推进“China SOTIF”建设原纱央莉电影全集 作者 鲁楠 ：寻求智能安全解决方案是实现自动驾驶产业化的关键。为此，FISITA和China SAE为行业共同搭建了ISC（Intelligent Safety Conference ）——关于智能安全的新国际交流平台。IS

作者 鲁楠

：寻求智能安全解决方案是实现自动驾驶产业化的关键。为此，FISITA和China SAE为行业共同搭建了ISC（Intelligent Safety Conference ）——关于智能安全的新国际交流平台。ISC 2020作为SAECCE期间重要的活动，于2020年10月29日在上海举办。会议围绕智能驾驶安全的技术路线、电子电气架构、人工智能技术、相关标准等热点主题展开，邀请了众多国际一流大学和研究机构的知名学者、企业的资深技术专家做报告分享，同时对业界关心的SOTIF（预期功能安全）组织互动讨论。

大会上，中国工程院院士、中国汽车工程学会理事长、清华大学教授 李骏做了关于预期功能安全SOTIF在中国的特性以及中国的技术与主旨思想的主题演讲。会后，我们有幸对李骏院士进行了采访，针对发展预期功能安全SOTIF的必要性与挑战，以及未来“China SOTIF”的解决路径，李骏院士提出了诸多重要观点，以为下为访谈实录：

记者：刚刚会议上（FISITA ISC 2020）您有讲到中国特殊的情况，比如说城市布局、驾驶行为、交通场景的一些复杂情况，请您详细为大家讲一下预期功能安全SOTIF在中外的一些差异，在中国限制其发展的一些因素，以及怎么面对这些挑战？

李骏：‍‍首先‍‍要说明的是自动驾驶汽车的初衷，它‍‍是要解决人类驾驶不安全的问题。‍‍2016年，DOT‍‍（美国交通部）公布‍‍L1-L5级自动驾驶，NHTSA（美国‍‍交通部‍‍高速公路安全管理局）的局长介绍说为什么美国交通部‍‍要‍‍‍‍驱动、确立未来‍‍将进入到‍‍AutoDriving？‍‍当时说的是‍‍AD，‍‍就是我们现在所说的自动驾驶。‍其原因就是，‍‍NHTSA长期的统计显示，‍‍美国高速公路上每年死亡约2.5万人，‍‍持续不降。‍NHTSA‍‍找了很多的技术方案来解决这个问题，包括‍‍最早的安全带、‍‍儿童座椅、‍‍ABS、ESP等等，但是发现‍‍这个问题依然不能解决。‍‍什么原因呢？‍‍因为在这个2.5万个事故中，‍‍94%是由驾驶员导致的驾驶功能不能奏效造成的。

‍‍那怎么能够解决这个问题呢？唯一办法的就是要进行“‍‍方向盘革命”，‍‍自动驾驶是方向盘革命，‍‍新能源汽车是动力汽车动力革命。‍‍“方向盘革命‍‍”的‍‍目标是什么呢？是Safety，‍‍首先要明确‍‍这件事‍‍‍。“新能源革命”的目标‍‍是“绿色”，‍‍现在“‍‍绿色”的内涵更大了，过去这个“绿色”只是说污染‍‍‍。现在总书记说了，到2030年我们的‍‍碳排放达到峰值，2060年‍‍中国要实现“碳中和”。‍‍新能源的问题‍‍不光是污染的问题，‍它还是‍‍二氧化碳减排的问题，要把二氧化碳排放将下来。

二氧化碳排放解决的同时，汽车总死人是不行的，我们国家交通事故死亡人数更多。今天我们讨论的SOTIF，‍‍它是一个汽车安全问题。‍‍那‍‍是不是‍‍自动驾驶一来，汽车安全问题就解决了呢？‍‍通过这段时间的研究发现并不是这一个问题‍‍。‍‍自动驾驶它又产生了新的‍‍人类‍‍驾驶员所没有的安全问题，‍‍这个安全问题是什么？‍‍说的非常清楚就是“Unknown Unsafety”。‍‍人开车的时候，‍‍他也有“Unknown Unsafety”的问题，‍‍比如说在高速公路上连环相撞，‍‍就是不知道前面已经撞了，所以才撞上去。但是，自动驾驶汽车的这种“Unknown”不多。‍

人类驾驶的最大的优势就在于它‍‍在感知方面比较强大，‍‍但是在操控方面比较虚弱，‍‍或者是不规则的驾驶，比如不规则的超车‍。机器驾驶它最大的长处是什么？‍‍是规则，城市规划好了，你说怎么开，它就怎么开。这个机器人不会打折扣，‍‍但是它的问题是什么呢？感知比较弱。‍‍不管是图像感知还是雷达感知，‍‍总的来说AI的计算还达不到人类驾驶感知的水平，所以现在产生了预期功能安全。什么叫预期功能安全呢？预期功能安全就是在预期上不安全。目前在世界上专门有一个ISO/PAS 21448标准，专门有一个ISO组织专业化得定义‍‍“数字化的车”。汽车在所有功能‍‍都没有失效的情况下，‍‍依然发生了‍‍驾驶安全问题，‍‍所有这些‍‍都归类于SOTIF。‍‍这个SOTIF不是原来我们所说的那个电子电气安全问题——ISO 26262。ISO 26262在整个自动驾驶安全中占的比例只有0.69%，不到0.7%。一个自动驾驶汽车发生的安全问题中99%是预期功能安全，这就是预期功能安全的重要性。

人类对于预期功能安全还没有找到一个完整的解决方案，甚至还没有一个完整的解决这个问题的基础理论。因为人类总是要有一个知识、理论，再才能到解决方案，然后才能到技术路线，它是必须建立在一起的。特别是像你问的这个问题，SOTIF是跟各国的场景相关的。自动驾驶汽车和传统汽车最大的区别是什么？传统汽车是基于载荷谱和道路谱的输入来设计的机械和电子的性能。这个道路谱和载荷谱可以在全世界统一。但是自动驾驶汽车是基于场景的，场景在‍‍各个‍‍国家不一样，‍‍所以‍‍就有我今天说的‍‍“China SOTIF”。

在中国，现在总结起来笼统得说就是存在一些特殊特性。一方面来自于我们的城市，我们的城市和国外的城市不一样。大致可以和东京、纽约有一比，但是东京纽约也没有这么复杂，‍‍也没有我们的城市这么高度集中。‍‍特别是我们的城市在哪里放超市？‍‍在哪里放小区？在哪里放医院？在哪里‍‍放办公？‍‍都是没有预先规划‍‍，所以会有潮汐现象。当然还有‍‍‍‍交通规则问题，中国的交通规则和国外也不一样。特别让人烦恼的就是驾驶习惯问题，‍‍中国轿车突然爆发了，‍‍并不是像国外‍‍的轿车它经过了几十年、近百年的发展，所以驾驶习惯都非常规则。原来在后风挡玻璃上贴一个“新手”，就说什么意思呢？‍‍还没学会就上路了，‍‍他们还没有养成良好的交通驾驶习惯，现在看见得少了。所以说，通过自动驾驶来规范中国人的驾驶习惯，‍‍这个在国际上‍‍就叫”RSS”（‍Role ‍‍System‍‍ Safety），‍‍就是要有一个假设规则‍‍。像中国右转弯不让直行就是一个非常大的问题‍‍，‍‍国外右转弯人的路权‍‍相较直行的路权是要低一级的，‍‍你必须等直行都没了，‍‍你才能右转弯。

‍‍‍‍所以应该对外‍‍宣传‍‍‍‍自动驾驶‍‍安全第一，‍‍中国‍‍自动驾驶‍‍安全第一，要有这个理念。自动驾驶安全第一就‍‍是建立在中国必须‍‍把驾驶安全看作是第一位上，‍‍我们现在很多驾驶者并不是把安全放在第一位，特别是不尊重别人的安全，‍‍这些都是中国的一些特殊情况。

记者：现在发展预期功能安全面临的限制因素和挑战是什么呢？还没有很好的解决方案？还是什么原因？

李骏：这个挑战有很多，我们可以把它归结为车内的挑战和车外的挑战。‍车内的现在是自动驾驶车辆自己的感知、定位、规划这些技术还不足以克服刚才说的“Unknown Unsafety”的预期功能安全，就是单车智能从目前的情况来看还不能说克服了所有的SOTIF和挑战。‍‍我们好多在单车智能上做的非常前卫的供应商、OEM反映说，越是做得前卫‍‍，下一步的开发最大的制约就是预期功能安全的问题。‍‍因为越智能就想快走，越想在所有环境下都走。

自动驾驶汽车有四个基本的概念。第一个基本的概念是“DDT”，叫‍‍动态驾驶任务。比如转向和加速都是动态驾驶任务。越是自动驾驶水平高，DDT就要越多；第二个概念就是“ODD”，就是自动驾驶范围。自动驾驶范围有个说法叫“From limited to everywhere”，现在的自动驾驶的范围都是很窄的。你像‍‍百度这些自动驾驶，需要扫描地图，只有扫描了地图的地方才能走，没有扫描地图的地方不能走。这就是ODD还不全，你如果想实现“everywhere”，这个风险就很高了；第三个很重要的概念就是“OEDR”，就是说你这个车的系统对自动驾驶的过程要进行监控，要有自我监控的能力，这个也是非常大的一个没达到SOTIF的地方，它还没有这个能力；第四个就是“DDT fall back”，就是说车走不了了就不要逞能，不要像变形金刚似的到处乱窜，把人压死了，你得敬畏生命，敬畏他人。

在什么情况下，你要这么做？‍‍从这个技术角度来讲，‍‍还没有一套‍‍基本的理论，‍‍所以我们这次提出来要用“熵”。因为世界上所有的系统，热力学有三大定律，第三大定律就是“熵增”。一个车的自动驾驶系统就是一个“熵”，如果是单车智能的话，在整个ODD的情况下就是一个熵增的过程。也就是人们常说的，常在河边走，哪能不湿鞋。它是个熵增的过程，增到一定程度就撞上了。‍‍比如前面有一个‍‍白色卡车，系统认为就不是卡车，就撞上去了。这就是自动驾驶系统在‍‍熵增的过程上，‍‍达到了一个极限了，‍‍就‍‍犯了“Unknown Unsafety”的问题了。那系统怎么样才能熵减呢？‍‍按照这个‍‍耗散结构的理论，就是要对这个熵增系统进行“做功”，那就是我们现在说的“Out-vehicle enablers”。单车智能是”In -vehicle enablers”‍‍，‍‍单车智能会熵增，要怎么熵减？外界要对它做功，就是我们现在说的利用路侧设施。解释为什么需要“人车路”融合，这个东西得有理论在里面。‍

‍车外一侧它要起的作用是什么呢？‍‍它就要车的系统是一个熵减的过程或者是熵平衡的过程。有人说我就是单车智能，但我们看到单车智能解决不了熵减。你说我非要聪明的路，傻瓜的车，那这车也开不了。所以我们就需要一个平衡，我们‍‍会上最后提的”In -vehicle enablers”‍‍，叫做使能。“Out-vehicle enablers”叫做赋能，它们两要融合一体化。所以我们现在推动智慧城市、‍‍智能交通、‍‍智能汽车融合一体化，‍‍自动驾驶必须是在这种生态环境下才能实现。我们国家汽车是怎么发展起来的？是修了3万多公里的‍‍高速路，所以汽车就起来了。现在智能汽车、自动驾驶要怎么发展起来？必须要有数字化的高速公路、数字化的城市设施，这就是‍‍智慧城市。必须要有‍‍数字化的交通，现在这个交通当中，‍‍红绿灯‍‍是给人看的，‍‍它不是给机器看的。如果非要用拿雷达、相机去识别红绿灯，那就太落后了。‍‍需要用信息，那就是5G-V2X，‍‍它的作用不在于信息娱乐，‍‍而要回归方向盘，所以现在的5G-V2X如果不能作用于方向盘‍‍，那就都是空话。

智慧城市、智能交通最后都要落到智能汽车上，智能汽车诞生才能解决我们刚刚说的交通堵塞、安全的问题、共享出行的问题，才能产生新的产业。‍‍就说你现在这个汽车‍‍，‍‍比如说摄像头、毫米波雷达，这是过去传统汽车中没有的产业，高TOPS高算力的计算平台，‍‍过去也没有这个产业。假如说这个自动驾驶汽车不能搞上去，‍‍不能出现在这个市场上，这些产业都不能形成。现在自动驾驶产业投入这么大，这么多大的基金公司进入，产业形不成，时间长了谁也挺不住。‍‍

所以现在的问题‍‍最重要的‍‍就是‍‍我正在抓的这个——预期功能安全。保证预期功能安全就像电动汽车必须保证电池不能着火一样。未来自动驾驶汽车，这个公司说我是L3的，那个公司说我是L4的，需要统一认证，就像现在汽车的碰撞测试，能得5星这个车就是安全的，‍‍老百姓愿意买这个车，未来L3、L4级自动驾驶‍‍汽车就要拿到SOTIF 验证。这个SOTIF要建立一套场景库，仿真方法，试验，最后认证。认证是5星的L3，那可以投放市场，认证只有1颗星，肯定就没有人愿意这样买惹祸的车。

‍‍所以说，国际上说自动驾驶安全第一，‍‍围绕着安全才能引领自动驾驶的技术。技术盲目的走到哪不是自动驾驶技术的初心，自动驾驶的初心是DOT公布的要把那94%的‍‍驾驶安全‍‍风险降下来。‍‍所以‍‍自动驾驶的初衷，‍‍就要回归‍‍解决人类驾驶或人类出行安全这个大问题上，技术开发的主线是安全‍‍。

记者：请问现在国内的车企对预期功能安全的重视程度和探索情况是什么样的？

‍‍李骏：远远不够，好多企业、车企还没有把预期功能安全认识上去，从产品定义到CAE（计算机辅助工程）分析，到仿真，到系统测试，到整个车辆产品的布局，都没有形成足够的认识。所以我在中国汽车工程学会、智能网联创新联盟里主动提出来，我们要建一个SOTIF工作组，‍‍现在只有30个会员，‍‍好多大的OEM还没有加入‍。可以看到‍‍国外几乎所有大的公司，像刚才宝马已经公布了它的‍‍安全白皮书‍。我们好多企业现在没有自己的自动驾驶汽车安全白皮书，也就是说这个企业的安全的策略，安全的技术，安全的保障，整个体系还没有建立起来，甚至安全文化也还没有形成，所以新闻界应该大声疾呼。

在我们中国汽车工程学会的中国智能网联汽车产业创新联盟中有那么多的专业，这次又成立了一个线控底盘专业，但我认为SOTIF这个是最重要的。此前我已经是联盟的理事长，现在成立了SOTIF工作组，由我亲自当SOTIF工作组的组长，理事长落地了，落地承担了一个责任。

今天这个会叫做“Intelligent Safety ‍‍Conference”，我是2012-2014年的会议主席，那个时候我就动员FISITA（世界汽车工程学会联合会），一定要办一个中国的会，或者有一个中国办的会。前年我和赵福全、现在的CEO Chris Mason在印度决策办一个会，会当时讨论认为最前卫、最有意义、现在是空白的就是“Intelligent Safety”，过去的车有主动安全和被动安全，现在是叫智能安全。

记者：解决预期功能安全的问题，现在比较迫切的是需要做什么？是提高认识、建立标准，还是什么？

李骏：第一个是要解决“Unknown”的问题，解决“不知道”。“不知道”就是你已经在这种不知道的场景下驾驶，如果随后跟着的是“Unsafety”，马上来的场景是不安全的，比如说行驶在斑马线上，马上窜出来一个人，这是没预知到的，马上就不安全了。所以非常重大的问题就是把中国的“Unknown”场景库，特别是最关键的、能够发生重大安全隐患的场景库建立起来。第二，把中国的“Unsafety”，不安全的、特别是重大交通事故、能引起多车不安全的因素解决掉。比如美国高速公路安全管理局NHTSA，做过一个统计，一个车发生不安全占整个交通不安全的概率是36%，两个车就占40%多。中国可能这个比例更大。‍‍在一个城市里头怎么堵的？‍‍就是前面有个车刮了、碰了，整个路就堵了。过去可能是‍‍煤矿死亡比较多，现在交通死亡是国内死亡最多的。所以‍‍很重要的问题就是要把‍‍中国这个“Unsafety”场景案例建立起来，这些要加入自动驾驶的开发流程中，要加入到国家标准中去，要加入到国家汽车质量认证里去。‍‍像天津中汽中心搞五星碰撞，‍‍现在有好多检测中心，‍但在中国还没有一家检测中心能做SOTIF‍‍认证。“有人驾驶”的驾照是怎么发的？是公安部通过驾校发的。未来是机器驾驶车，机器驾照谁来发？机器驾照怎么考？这些都需要SOTIF来解决。‍‍不是说看起来很美好，自动驾驶车能拐几个圈我就给它驾照，‍‍并不是这样，必须按照‍‍SOTIF的临界情况，多少个KPI？多少个‍‍关键指标能通过‍‍？那才能给你自动驾驶驾照。

而且未来还有一个很大的问题，就是自动驾驶汽车撞车了交警怎么裁判？撞了以后保险公司怎么保？这都是很大的社会问题，这些都需要在SOTIF的领域里面去研究。因为它是“Unknown”的，不可预期的。

记者：所以咱们今后在执行的过程中，也会对预期功能安全做一个定性的划分，像ISO 26262一样设定ASIL 等级，颁发相应的资质，是吗？

李骏：那是肯定的，任何一个事物，基本上符合一个正态分布。在（自动驾驶安全）正态分布中，最顶尖的叫做”质量”(质量问题），车厂必须把这个消除掉。‍‍然后第二块是“社会”，‍‍就是社会必须认证你，比如大的市场监测中心，通过了认证，这个产品才能投放市场。‍‍最后一小块，‍‍那是“6σ”（出错率不能超过百万分之3.4）的，很小的一小块。因为人吃饭还得掉饭粒吧，‍‍这个很小的一小块让给保险公司，‍‍保险公司要保。

到底中国有多少预期功能安全场景呢？地域这么大，所以必须组成一个联盟。众人拾柴才能够把这个弄出来，然后全行业要统一。这一块的责任给企业，企业必须在自动驾驶汽车的质保体系里。另一块企业也需要试验认证，但是不能只听你企业的，这个必须是发驾照的部门，公安部交通管理局认可的，这是强制的。企业说自己没问题是不行的，这是严肃的问题，这一块要切割出来。现在还没有到保险公司这一块，撞到什么程度进行赔偿？自动驾驶车辆一年得赔多少？也得是获得社会认可了才行。所以SOTIF的工作是非常重要的。

这个事情应该在新闻界好好宣传，现在看的都是一面之词，都说自动驾驶好。‍‍任何事物都是要一分为二地看，‍‍自动驾驶好的背后，‍‍它的‍‍这个弱点是什么？我们不能说它不好，‍‍但是它的弱点是什么？要把这个弱点解决了。这个弱点怎么解决？谁去解决？大家不能都一蒙头的让自动驾驶汽车来回转圈，显示得多高科技，事实上‍‍高科技在于安全。像现在电动汽车高科技在哪？长续航不是重点问题，高科技就在于这个电池不能着火。

记者：预期功能安全要建立广泛的场景库，下一步的工作，场景库的建立会推到全国五十多个测试区、示范区去吗？我们也很期待。

李骏：还没有进展到这种情况，五十多个示范区严格来说还没有一个真的聚焦 SOTIF，大家都聚焦Demo。自动驾驶车怎么能转？怎么能开？几乎还没有一个把这个预期功能安全作为自己的职责，这个就是新闻界应该大力宣传的。自动驾驶车辆从不能动到能动的过程已经过了，现在不是自动驾驶能不能动的问题，是安不安全的问题，再往下是稳不稳定的问题，再往下是不是便宜，是否负担得起的问题。和电动车的发展是一样的，电动汽车好不好？当然好，但买不起是没有用的。自动驾驶好不好？当然也好，64线的激光雷达，一个价格二三十万，那谁买得起？买不起，即便买得起也不行，成本太高。把它变成一个商品，就必须要按照商品的规律去做。所以新闻界应该去宣传，从演示示范阶段向研究示范区深入，然后向工业产品示范去深入，这样这个国家的自动驾驶汽车才有前途。