2025年9月10日，在第五屆未來汽車AI計(jì)算大會上，TTTech Auto中國區(qū)總經(jīng)理夏青青指出故障可運(yùn)行是實(shí)現(xiàn)L3/L4安全智能輔助駕駛的關(guān)鍵。自L3級別起，智能輔助駕駛系統(tǒng)開始承擔(dān)安全兜底功能，系統(tǒng)出現(xiàn)故障時(shí)不得立即失效，而是要維持安全運(yùn)行直至抵達(dá)最小風(fēng)險(xiǎn)狀態(tài)。L2系統(tǒng)的單通道架構(gòu)缺乏冗余機(jī)制，無法滿足L3、L4級別的安全要求，其難以通過持續(xù)優(yōu)化來達(dá)到更高階智能輔助駕駛的安全標(biāo)準(zhǔn)，存在技術(shù)瓶頸。
為此，多通道系統(tǒng)架構(gòu)成為研究重點(diǎn)，其中三通道系統(tǒng)架構(gòu)既能達(dá)成安全目標(biāo)，又具備工程化落地條件且成本可控。該架構(gòu)包含備用智能輔助駕駛系統(tǒng)、安全監(jiān)控單元和安全決策邏輯單元等核心模塊。TTTech Auto正通過形式化驗(yàn)證等方法保障系統(tǒng)安全，助力軟件定義汽車未來發(fā)展。
夏青青｜TTech Auto中國區(qū)總經(jīng)理
如何從L2級別平穩(wěn)過渡至L3、L4級別，并確保此過程的安全性-這是近兩至三年來備受行業(yè)關(guān)注的議題。對于L3、L4級別的智能輔助駕駛系統(tǒng)而言，“故障可運(yùn)行”是保障其安全性的關(guān)鍵系統(tǒng)需求。首先，我們需思考：L3、L4級別的智能輔助駕駛系統(tǒng)，其安全性應(yīng)達(dá)到何種標(biāo)準(zhǔn)？這既是主觀判斷的問題，也是客觀評估的范疇，但無疑是我們必須直面并解決的。
其次，針對L2級別系統(tǒng)，我們已積累了豐富的ISO26262工程實(shí)踐經(jīng)驗(yàn)，大家對此均較為熟悉。然而，這些經(jīng)驗(yàn)?zāi)芊裰苯討?yīng)用于L3、L4級別系統(tǒng)，以確保其安全性？這值得我們深入探究。
再者，有人認(rèn)為，對現(xiàn)有L2系統(tǒng)進(jìn)行充分測試，即可確保升級至L3、L4級別的安全性。但事實(shí)是否如此？L3、L4級別智能輔助駕駛系統(tǒng)所面臨的復(fù)雜性與不確定性，遠(yuǎn)超L2級別，因此，僅憑測試恐難以全面保障其安全性。
SAE定義的智能輔助駕駛級別，從L1至L5。其中，L3級別開始，人類駕駛員的角色逐漸弱化，此乃L3、L4級別與L2級別的顯著差異。
圖源：演講嘉賓素材
在L1、L2級別的智能輔助駕駛場景中，人類駕駛員需持續(xù)關(guān)注路況信息。即當(dāng)輔助駕駛系統(tǒng)發(fā)生故障時(shí)，人類駕駛員必須即時(shí)接管車輛控制權(quán)，以履行整車安全兜底的職責(zé)。自L3級別起，智能輔助駕駛系統(tǒng)本身開始承擔(dān)安全兜底功能。
在車輛正常行駛過程中，若L3及以上級別智能輔助駕駛系統(tǒng)出現(xiàn)故障，系統(tǒng)不得立即失效。根據(jù)L3級別定義，此時(shí)存在兩種處理路徑：一是由人類駕駛員接管車輛；二是由智能輔助駕駛系統(tǒng)將車輛引導(dǎo)至最小風(fēng)險(xiǎn)的安全狀態(tài)。這一特性被定義為"故障可運(yùn)行"，即系統(tǒng)在正常行駛期間發(fā)生故障時(shí)，仍需維持安全運(yùn)行狀態(tài)，直至車輛抵達(dá)最小風(fēng)險(xiǎn)的安全狀態(tài)。
上述概念可能稍顯抽象，現(xiàn)結(jié)合正在實(shí)施的L3級別項(xiàng)目進(jìn)行說明。該項(xiàng)目采用狀態(tài)流設(shè)計(jì)機(jī)制：當(dāng)車輛在設(shè)計(jì)運(yùn)行域（ODD）內(nèi)正常行駛且系統(tǒng)無故障時(shí)，維持常規(guī)運(yùn)行狀態(tài)；一旦系統(tǒng)檢測到故障，將啟動(dòng)Fallback備用安全機(jī)制，此時(shí)可由人類駕駛員接管車輛控制。
然而，自L3級別起，人類駕駛員可于駕駛過程中從事非駕駛相關(guān)事務(wù)，其注意力可能處于分散狀態(tài)。故而，當(dāng)要求駕駛員重新進(jìn)入駕駛狀態(tài)并接管車輛時(shí)，必然需要一定的響應(yīng)時(shí)間。在此情形下，系統(tǒng)需在客戶所規(guī)定的10秒時(shí)限內(nèi)持續(xù)保持安全運(yùn)行，直至駕駛員完成接管。
當(dāng)然，在某些特殊情況下，駕駛員可能因各種原因無法執(zhí)行接管操作。此時(shí)，系統(tǒng)需承擔(dān)最終安全保障責(zé)任，通過執(zhí)行最小風(fēng)險(xiǎn)策略（MRM），將車輛平穩(wěn)停駐于本車道或相鄰車道，以確保整體系統(tǒng)的相對安全性。
上述內(nèi)容構(gòu)成了智能輔助駕駛系統(tǒng)安全性的高層級要求。那么在實(shí)際工程實(shí)踐中，我們面臨哪些具體安全挑戰(zhàn)呢？首先需審視現(xiàn)有L2系統(tǒng)的架構(gòu)特性：其采用單通道（Single Channel）設(shè)計(jì)，即從環(huán)境感知、決策規(guī)劃至執(zhí)行控制的完整鏈路均為單一通道，缺乏冗余或備份機(jī)制。對于L2系統(tǒng)而言，此架構(gòu)設(shè)計(jì)具有可行性，因?yàn)楫?dāng)系統(tǒng)出現(xiàn)異常時(shí)，人類駕駛員能夠及時(shí)介入并接管車輛控制。
對于L3、L4級別的智能輔助駕駛系統(tǒng)，單通道架構(gòu)顯然無法滿足其安全要求。以下列舉若干典型情形予以說明：
若采用單通道系統(tǒng)，當(dāng)硬件出現(xiàn)比特率翻轉(zhuǎn)等故障時(shí)，將導(dǎo)致整個(gè)硬件系統(tǒng)失效，進(jìn)而造成系統(tǒng)全面癱瘓。在此情況下，系統(tǒng)缺乏冗余設(shè)計(jì)以維持基本運(yùn)行，無法實(shí)現(xiàn)故障可運(yùn)行的安全特性。
就軟件系統(tǒng)而言，鑒于其復(fù)雜度日益提升，完全消除軟件缺陷在技術(shù)上不可實(shí)現(xiàn)。當(dāng)此類缺陷在實(shí)車運(yùn)行中引發(fā)嚴(yán)重故障時(shí)，單通道架構(gòu)同樣不具備故障容錯(cuò)能力。此外，盡管業(yè)界通過多種技術(shù)手段緩解長尾效應(yīng)，但極端場景仍難以避免。單通道系統(tǒng)在應(yīng)對此類非預(yù)期場景時(shí)，存在顯著的功能局限。
首先，需明確L3、L4級別智能輔助駕駛系統(tǒng)應(yīng)達(dá)到的安全標(biāo)準(zhǔn)。相關(guān)心理學(xué)研究指出，人類對自身失誤的容忍度高于對機(jī)器失誤的容忍度。因此，智能輔助駕駛系統(tǒng)若要獲得社會認(rèn)可，其安全性能必須顯著優(yōu)于人類駕駛員。
現(xiàn)以人類駕駛員的安全表現(xiàn)為基準(zhǔn)進(jìn)行量化分析。以公司總部所在的奧地利的官方數(shù)據(jù)為例：該國現(xiàn)有機(jī)動(dòng)車500萬輛，某年度共發(fā)生交通事故35,000起，造成人員傷亡500例。若設(shè)定智能輔助駕駛系統(tǒng)的安全指標(biāo)為人類駕駛員的三倍，該倍數(shù)并非隨意選取——盡管具體數(shù)值并非核心要素，但三倍標(biāo)準(zhǔn)可作為具有合理性的中間參考值。
基于上述安全目標(biāo)，要驗(yàn)證智能輔助駕駛系統(tǒng)的安全性達(dá)到人類駕駛員三倍水平，需通過600萬公里的實(shí)車測試，確保在該測試?yán)锍虄?nèi)未發(fā)生任何交通事故。這一測試?yán)锍痰脑O(shè)定，與三倍安全系數(shù)的目標(biāo)構(gòu)成量化對應(yīng)關(guān)系。
此外，若需證明智能輔助駕駛系統(tǒng)達(dá)到零人員傷亡的安全標(biāo)準(zhǔn)，所需驗(yàn)證的測試?yán)锍虒⒏哌_(dá)4.2億公里。這表明，單純依靠實(shí)車測試來驗(yàn)證系統(tǒng)安全性，其工作量極為繁重，在工程實(shí)施層面幾乎不具備可行性。
從現(xiàn)有技術(shù)架構(gòu)的局限性來看，以單通道L2系統(tǒng)為例：根據(jù)特斯拉用戶社區(qū)網(wǎng)站披露的數(shù)據(jù)（雖具體數(shù)值可能存在偏差，但數(shù)量級具有參考價(jià)值），在最佳運(yùn)行工況下，駕駛員平均每644英里（約1,032公里）需進(jìn)行一次人工接管；而在城市道路等復(fù)雜場景中，接管頻率顯著上升。與前述600萬公里的測試驗(yàn)證要求相比，現(xiàn)有L2系統(tǒng)的性能表現(xiàn)存在三個(gè)數(shù)量級的差距。
由此可見，若僅通過持續(xù)優(yōu)化單通道L2系統(tǒng)來滿足L3/L4級別的安全標(biāo)準(zhǔn)，將面臨難以克服的技術(shù)瓶頸，其實(shí)現(xiàn)路徑存在重大挑戰(zhàn)。
鑒于單通道系統(tǒng)難以滿足安全需求，自然會引發(fā)對其他技術(shù)路徑的探討：是否存在更具可行性的替代方案？在此背景下，多通道系統(tǒng)架構(gòu)成為研究重點(diǎn)。具體而言，在L2級智能輔助駕駛中，人類駕駛員作為最終安全冗余；而針對L3/L4級系統(tǒng)，則需構(gòu)建專門的安全保證子系統(tǒng)以承擔(dān)系統(tǒng)托底功能。
關(guān)于安全保證子系統(tǒng)及多通道架構(gòu)的研究，主流整車制造商（OEM）與學(xué)術(shù)機(jī)構(gòu)已開展廣泛實(shí)踐。TTTech Auto聯(lián)合行業(yè)專家經(jīng)過長期技術(shù)攻關(guān)，在專項(xiàng)研究報(bào)告中（全文近百頁）系統(tǒng)論證了：單通道系統(tǒng)的技術(shù)局限性及其不可行性，同時(shí)對比分析了多通道系統(tǒng)各技術(shù)變種的實(shí)施路徑。研究結(jié)論明確指出，三通道系統(tǒng)架構(gòu)既能達(dá)成既定安全目標(biāo)，又具備工程化落地條件，且商業(yè)化成本可控。該架構(gòu)的核心優(yōu)勢之一在于可實(shí)現(xiàn)現(xiàn)有L2系統(tǒng)組件的大規(guī)模復(fù)用，從而優(yōu)化技術(shù)遷移效率。
圖源：演講嘉賓素材
關(guān)于圖中紅色標(biāo)注的三個(gè)核心模塊，其功能定位與運(yùn)行機(jī)制可規(guī)范表述如下：
右側(cè)模塊為備用智能輔助駕駛系統(tǒng)（Fallback AD），承擔(dān)系統(tǒng)級安全冗余功能。當(dāng)主系統(tǒng)發(fā)生功能性失效時(shí)，該系統(tǒng)將依據(jù)最小風(fēng)險(xiǎn)策略（MRM）接管車輛控制，確保系統(tǒng)進(jìn)入可控安全狀態(tài)。
中央模塊為安全監(jiān)控單元（Safety Monitor），負(fù)責(zé)對主、備系統(tǒng)進(jìn)行實(shí)時(shí)狀態(tài)監(jiān)測與異常檢測。技術(shù)實(shí)現(xiàn)層面，行業(yè)推薦采用軌跡合規(guī)性校驗(yàn)作為核心監(jiān)控指標(biāo)——通過持續(xù)評估系統(tǒng)輸出的規(guī)劃軌跡是否滿足安全約束條件（如碰撞避免、道路邊界保持等），實(shí)現(xiàn)系統(tǒng)運(yùn)行狀態(tài)的量化判斷。當(dāng)檢測到軌跡輸出異常時(shí)，監(jiān)控單元將向安全決策模塊發(fā)送切換請求。
上方模塊為安全決策邏輯單元（Safety Decision Logic），負(fù)責(zé)執(zhí)行系統(tǒng)切換裁決。當(dāng)接收到監(jiān)控單元的異常告警后，該模塊將依據(jù)預(yù)設(shè)的仲裁規(guī)則（如故障嚴(yán)重等級、系統(tǒng)置信度評估等）啟動(dòng)主備切換流程，完成控制權(quán)移交。該架構(gòu)的有效性依賴于兩個(gè)關(guān)鍵設(shè)計(jì)原則：其一，主備系統(tǒng)需保持物理與邏輯層面的獨(dú)立性，避免共因失效；其二，系統(tǒng)設(shè)計(jì)應(yīng)體現(xiàn)功能多樣性，例如主系統(tǒng)采用數(shù)據(jù)驅(qū)動(dòng)型AI架構(gòu)時(shí)，備用系統(tǒng)可選用基于規(guī)則的確定性模型，通過異構(gòu)設(shè)計(jì)提升整體容錯(cuò)能力。
基于上述架構(gòu)特性，當(dāng)主系統(tǒng)遭遇超出其處理能力的異常工況時(shí)，備用系統(tǒng)可憑借其獨(dú)立性及多樣性設(shè)計(jì)，仍具備較高的故障處置成功率，從而滿足L3/L4級智能輔助駕駛系統(tǒng)的功能安全要求。
關(guān)于多通道系統(tǒng)對測試?yán)锍桃蟮牧炕绊懀蓮墓δ馨踩纸獾募夹g(shù)維度進(jìn)行規(guī)范闡述：在單通道系統(tǒng)架構(gòu)中，為滿足三倍于人類駕駛員的安全性能驗(yàn)證需求，需完成600萬公里的實(shí)車測試。而三通道冗余系統(tǒng)通過功能安全任務(wù)的模塊化分解與系統(tǒng)級容錯(cuò)機(jī)制設(shè)計(jì)，可將測試?yán)锍绦枨蠼档蛢蓚€(gè)數(shù)量級至6萬公里。該優(yōu)化效果源于多通道架構(gòu)的異構(gòu)冗余特性——當(dāng)主系統(tǒng)發(fā)生功能性失效時(shí)，備用系統(tǒng)可獨(dú)立維持基礎(chǔ)安全功能，從而將系統(tǒng)級失效概率從單點(diǎn)故障模式轉(zhuǎn)化為多通道協(xié)同容錯(cuò)模式。
從實(shí)證數(shù)據(jù)支撐角度，基于美國加州部分智能輔助駕駛企業(yè)公開的接管里程統(tǒng)計(jì)數(shù)據(jù)（經(jīng)標(biāo)準(zhǔn)單位換算），其最優(yōu)測試場景下已實(shí)現(xiàn)43,000公里無人工接管記錄。盡管該數(shù)據(jù)反映的是特定工況下的系統(tǒng)表現(xiàn)，但結(jié)合6萬公里的工程驗(yàn)證目標(biāo)分析，三通道架構(gòu)在技術(shù)可行性與商業(yè)化落地周期之間形成了有效平衡。該測試?yán)锍讨笜?biāo)既符合功能安全國際標(biāo)準(zhǔn)（ISO 26262）對冗余系統(tǒng)驗(yàn)證的量化要求，又處于當(dāng)前智能輔助駕駛技術(shù)發(fā)展水平的可達(dá)范圍，具備工程化實(shí)施的現(xiàn)實(shí)基礎(chǔ)與短期落地可行性。
關(guān)于L3/L4冗余架構(gòu)的工程落地，需從硬件-軟件協(xié)同設(shè)計(jì)層面構(gòu)建系統(tǒng)級安全實(shí)現(xiàn)路徑。針對冗余系統(tǒng)的核心安全目標(biāo)，需重點(diǎn)滿足這三項(xiàng)工程要求：其一，消除單點(diǎn)故障風(fēng)險(xiǎn)。其二，保障子系統(tǒng)的獨(dú)立性。其三，滿足系統(tǒng)級別的ASIL D功能安全等級，保證系統(tǒng)可用性。針對上述工程目標(biāo)，需采用區(qū)別于傳統(tǒng)ISO 26262方法的創(chuàng)新實(shí)現(xiàn)路徑。值得補(bǔ)充的是，今年6月TTTech Auto正式完成與恩智浦半導(dǎo)體的戰(zhàn)略整合——作為全球汽車半導(dǎo)體領(lǐng)域的技術(shù)領(lǐng)導(dǎo)者，恩智浦在車載計(jì)算、網(wǎng)絡(luò)通信等硬件領(lǐng)域具有深厚積累，我們也希望結(jié)合之后可以更好的助力軟件定義汽車未來的進(jìn)程。
圖源：演講嘉賓素材
就TTTech Auto而言，我們的方案和服務(wù)保持不變。我們擁有軟件產(chǎn)品MotionWise，今日主要介紹的是名為“safety service”的服務(wù)，即安全服務(wù)部分。今日的主題聚焦于L3、L4級別智能輔助駕駛，左側(cè)內(nèi)容為前文提及的三點(diǎn)極為重要的功能，即安全方面需要滿足的要求。右側(cè)則是我們提出的safety toolbox，包含供各方使用的工程落地方法及工具。
首先，針對單點(diǎn)故障，我們引入了形式化驗(yàn)證方法。實(shí)際上，ISO 26262標(biāo)準(zhǔn)中也提及了形式化驗(yàn)證，但在L2級別智能輔助駕駛中，該方法鮮少被提及與應(yīng)用，因?yàn)楸藭r(shí)系統(tǒng)復(fù)雜度尚未達(dá)到需要采用形式化驗(yàn)證的程度。然而，在L3、L4級別智能輔助駕駛中，我們認(rèn)為單點(diǎn)故障極為關(guān)鍵，必須予以避免。因此，形式化驗(yàn)證這種基于量化數(shù)學(xué)模型的方法，能夠提供強(qiáng)有力的保障。
其次，關(guān)于DFA，有人可能會說在L2級別也進(jìn)行DFA分析。但在L2級別中，DFA分析可能更多側(cè)重于定性分析。而我們則引入了自身的方法，以實(shí)現(xiàn)定量分析。此外，定量分析中一個(gè)至關(guān)重要的問題是，如何判定系統(tǒng)間的獨(dú)立性和多樣性已達(dá)到足夠水平。許多客戶會詢問，是否必須確保系統(tǒng)中的某個(gè)組件（如芯片）與其他組件完全不同。
其實(shí)，上述方法均非決定性或絕對的，因?yàn)槿糇非蠼^對冗余，成本將過高。因此，這些方法旨在提供一種分析途徑，幫助大家明確哪些部分可做冗余設(shè)計(jì)，哪些部分無需冗余，從而降低整個(gè)系統(tǒng)的成本。此外，我們還引入了可用性分析，針對ASIL D等級，我們不僅考慮了硬件的故障率，還納入了軟件的故障率，以綜合計(jì)算系統(tǒng)的整體故障率。
目前，我們國內(nèi)有一個(gè)正在進(jìn)行的L3級別智能輔助駕駛項(xiàng)目，該項(xiàng)目采用兩個(gè)ECU，并且是MotionWise Schedule首次應(yīng)用于L3級別系統(tǒng)，過去該方案多應(yīng)用于L2級別，L3級別的應(yīng)用確實(shí)較為少見。
總體而言，這些方法是在工程實(shí)踐中能夠快速落地、達(dá)成安全目標(biāo)且成本可控的重要實(shí)踐手段。