文|車市物語 張桐
編輯|張凌霄
【編者按】
前不久，潮州特斯拉失控撞人，致兩死三傷，在網(wǎng)上已經(jīng)連續(xù)發(fā)酵多日。整個過程中，涉事家屬與特斯拉各執(zhí)一詞，讓事件陷入了各說各話的“羅生門”。而這已經(jīng)不是特斯拉第一次因為“剎車失靈”陷入輿論漩渦。
在智能電動車時代，汽車的操作越來越簡單，甚至人的駕駛習(xí)慣也在被改變。與此同時，車內(nèi)系統(tǒng)卻越來越復(fù)雜，軟件應(yīng)用和電子架構(gòu)故障的風(fēng)險也更高。
汽車作為一個復(fù)雜而又精密的機(jī)械產(chǎn)品，從技術(shù)的角度看，所謂“剎車失靈”與“突然加速”的可能性有多大？在什么樣的情況下會出現(xiàn)？在整個事件蓋棺定論之前，各種分析與猜測眾說紛紜，有哪些信息是值得被格外關(guān)注的……車市物語特邀汽車制動領(lǐng)域的資深工程師執(zhí)筆，以從業(yè)者的角度，剖析潮州特斯拉失控事件中，技術(shù)上原理上存在的疑點。
本期作者：張桐（化名）， 985車輛工程專業(yè)碩士畢業(yè)，目前就職于國際一線供應(yīng)商企業(yè)，高級工程師，在汽車制動與軟件領(lǐng)域有著多年工作經(jīng)驗。
首先，我們還原下事情的經(jīng)過。駕駛員稱：事發(fā)當(dāng)天早上，像往常一樣，他試圖靠邊停車，但發(fā)現(xiàn)剎車踏板很硬無法踩下去，因此順勢左打方向盤回到了主馬路上。但詭異的是車輛開始瘋狂加速，隨后Model Y速度急速提升，最高達(dá)到了198km/h。
從事發(fā)視頻也可以看到，駕駛員一路躲避電動車和行人，并在撞擊三輪車后安全氣囊被彈出，隨后汽車?yán)^續(xù)行駛，一直到撞向路邊的店鋪。駕駛員的家屬回應(yīng)說，在這個過程中駕駛員一直在踩剎車，但是剎車很硬踩不下去，而且試圖按下P檔來減速，但是也沒用。
緊接著，特斯拉方面回應(yīng)稱，車輛高速行駛一度保持油門100%，并且剎車踏板全程沒有被踩下；行駛期間駕駛員四次按下P檔按鈕又快速松開，同時制動燈快速點亮并熄滅。
整個事情有視頻記錄，大家都很清楚，但是特斯拉和車主的回應(yīng)雙方有點矛盾，而且整個事件存在很多讓人匪夷所思的疑點，這些疑點也在網(wǎng)上引起了廣泛的討論。事件真相還在調(diào)查當(dāng)中，下面我們從技術(shù)角度來探討一下雙方回應(yīng)的疑點。
事故現(xiàn)場 圖源：網(wǎng)絡(luò)
#疑點一、剎車失靈的概率有多大？
依據(jù)車主的說法，剎車變得很硬且踩不下去，他懷疑剎車失靈了。
根據(jù)特斯拉方面的信息，特斯拉Model Y使用的剎車系統(tǒng)是博世的iBooster制動產(chǎn)品，這款產(chǎn)品目前來到了2.0版本，目前在售的很多新能源車型都搭載了博世的ibooster。
iBooster是一項相對傳統(tǒng)剎車革命性變更的技術(shù)，相比傳統(tǒng)剎車，它取消了真空泵設(shè)計。當(dāng)駕駛員踩下剎車踏板時，剎車位置傳感器將信號告訴給整車控制器，整車控制器經(jīng)過計算后，會進(jìn)行制動力分配，一部分制動力由電機(jī)再生制動提供，另一部分制動力由制動缸產(chǎn)生，兩者一起幫助制動。下圖是iBooster的工作原理圖。
iBooster工作原理
再來看看整個剎車系統(tǒng)的工作原理圖，當(dāng)人以200N（大概20公斤）的力氣踩剎車踏板時，這個力會被一點點放大，最終達(dá)到剎車盤上的力達(dá)到了18500N。另外，上圖中的真空泵（Vacuum Brake Booster）現(xiàn)在被iBooster代替。
這時有人提出了質(zhì)疑，他們認(rèn)為iBooster是電子件，電子件沒有機(jī)械件穩(wěn)定，所以iBooster也有失效的時候，因此博世的iBooster為了應(yīng)對可能的失效，有兩種備份措施來應(yīng)對。
備份措施一：
如果上圖中電子件iBooster失效，那么將沒有制動助力，剎車變硬，有點難踩下。此時ESP會意識到iBooster壞了失去了助力，于是便會接管并提供制動助力（主動增壓），ESP的主動增壓會伴隨著比較強(qiáng)烈的震動和噪音。
這個時候?qū)τ隈{駛員來說，體驗就是踩剎車需要更多的力氣，但是不會踩不下，比如200N的力氣踩下去能提供至少0.4g的減速度。
備份措施二：
如果一不小心iBooster和ESP都壞了（實際發(fā)生的概率很?。藭r整個剎車系統(tǒng)進(jìn)入了機(jī)械模式，沒有任何助力，能夠有多大的減速度就看駕駛員用多大的力氣去踩剎車踏板。
此時的表象就是剎車變得很硬，難踩動，但是法規(guī)強(qiáng)制規(guī)定，此時的剎車踏板要在成年人（包括成年女性）用500N的力氣下能夠至少產(chǎn)生0.25g的減速度。
因此，從上面的分析可以看出，“剎車失靈”本身是一個不嚴(yán)謹(jǐn)?shù)恼f法，剎車只有可能會失去助力，但是剎車幾乎沒有可能失靈，因為最終他有機(jī)械制動來兜底。如果遇到剎車變硬，此時不要懷疑你的腳，要毫不猶豫的加大力氣踩下去。
#疑點二、單踏板要不要背鍋？
剎不住車只是一方面，潮州事故的另一大疑點在于，車輛為什么會 “突然加速”？是駕駛員踩錯了還是汽車自身程序錯誤失控了。
首先，輿論認(rèn)為駕駛員踩錯了原因是特斯拉的單踏板模式，單踏板要背這個鍋嗎？
從技術(shù)的角度來說，單踏板確實是一個有爭議的東西，首先這個名字就很有迷惑性，讓很多人以為這種車就只有一個油門踏板，沒有剎車。
單踏板模式對人最大的是改變是影響了人的駕駛習(xí)慣，以前踩油門車就加速，踩剎車車就減速，而單踏板模式踩油門車加速，松油門車減速，并且是類似于踩剎車的那種減速感，時間久了以后就會造成駕駛員把油門和剎車兩個完全不應(yīng)該產(chǎn)生聯(lián)系的動作綁在一起，當(dāng)有緊急情況發(fā)生，要緊急剎車時，很容易一腳踩油門上，所以智能電動車現(xiàn)在的把油門當(dāng)剎車事故很多。
但是，經(jīng)過培訓(xùn)的駕駛員，或者能夠?qū)翁ぐ迥Ｊ接猩钊肓私獾鸟{駛員應(yīng)該隨時把腳放在剎車上，保持冷靜，需要快速減速時應(yīng)該及時踩剎車。
對于這個問題，單踏板要不要為這個事情背鍋，我認(rèn)為單踏板確實帶來了油門當(dāng)剎車誤操作的比例上升，但是大部分誤操作都是一瞬間的事，大部分駕駛員會在瞬間失誤后反應(yīng)過來及時糾正。而本次事件中的奇怪之處在于，整個過程持續(xù)了一分鐘左右，車前進(jìn)了2.6公里，真的會有人誤踩油門會持續(xù)如此之久嗎？
#疑點三、汽車非預(yù)期加速的概率？
汽車非預(yù)期加速是汽車行業(yè)內(nèi)非常專業(yè)的說法，也是功能安全領(lǐng)域內(nèi)著名的失效模式。
非預(yù)期加速：即汽車的加速是違背駕駛員意志的，駕駛員并沒有踩下油門但是車一直往前加速。
汽車突然加速在行業(yè)內(nèi)部并不是新鮮事，早在2000-2010年間，豐田汽車在美國就因為“剎不住”而造成了89人的喪生，這也就是豐田的“剎車門”事件。
為了調(diào)查這些剎不住的豐田汽車，NHTSA和NASA對豐田汽車展開了調(diào)查，包括查看豐田汽車的源代碼。2011-2013年間，嵌入式軟件專家Michael barr和Philip Koopman從軟件入手，在18個月的時間內(nèi)查看了豐田汽車將近30萬行的代碼，發(fā)現(xiàn)了軟件中存在的一些bug，會導(dǎo)致汽車“非預(yù)期加速”，導(dǎo)致汽車失控。
因此，豐田的剎車門也就導(dǎo)致了后來的汽車嵌入式軟件規(guī)范的發(fā)展，也帶動了汽車電子電氣功能安全的發(fā)展，而功能安全就是為了防止汽車有任何違背駕駛員意志的行為發(fā)生，以影響到人生命安全，特別是危害性極大的突然加速。
回到這次事件上，特斯拉的軟件架構(gòu)和功能安全的設(shè)計一直都是業(yè)內(nèi)比較神秘的所在，沒有人知道他的汽車軟件架構(gòu)是怎樣的，包括使用什么操作系統(tǒng)，以及有沒有做功能安全的設(shè)計。
因此回答這個疑問：汽車的突然加速在新時代已經(jīng)幾乎沒有了，但是特斯拉究竟是怎樣，還需要更多數(shù)據(jù)的說明。
說到數(shù)據(jù)，其實就是特斯拉車內(nèi)的EDR數(shù)據(jù)，它能夠記錄事件發(fā)生前后車輛的運行信息。
#疑點四、EDR能還原真相嗎？
國家對于汽車數(shù)據(jù)記錄系統(tǒng)有強(qiáng)制法規(guī)要求，根據(jù)國家標(biāo)準(zhǔn)GB39732：
“乘用車應(yīng)配備符合 GB 39732 規(guī)定的事件數(shù)據(jù)記錄系統(tǒng)（EDR）；若配備了符合 GB/T 38892 規(guī)定的車載視頻行駛記錄系統(tǒng)，應(yīng)視為滿足要求”，本標(biāo)準(zhǔn)自2022 年1月1日起對新生產(chǎn)的車輛實施。
EDR又稱為汽車事件數(shù)據(jù)記錄系統(tǒng)，是國家對于新能源汽車的一項強(qiáng)制性要求。這個EDR系統(tǒng)記錄了一些車輛的關(guān)鍵信息，包括油門位置，剎車踏板位置，車速…，并且還規(guī)定了這些數(shù)據(jù)記錄的格式，記錄的頻率，以及讀取的方式等。
舉個例子，對于大家關(guān)心的油門踏板和剎車位置的信息，法規(guī)中就有規(guī)定：
可以看出，剎車和油門踏板數(shù)據(jù)，都是具體的位置信息（百分比），在一般情況下，能夠反應(yīng)油門和剎車真實位置。
并且，EDR系統(tǒng)在沒電的時候也能夠存儲，數(shù)據(jù)存儲在保護(hù)區(qū)內(nèi)，無法被篡改，也不應(yīng)該被刪除，第三方機(jī)構(gòu)如果有能力讀取EDR數(shù)據(jù)，是能夠讀到真實數(shù)據(jù)的。
一般情況下，EDR能夠記錄真實的油門踏板值（即駕駛員踩下的百分比，是50%還是100%踩下）。但這還不是最原始的值，最原始的值應(yīng)該是油門和剎車的電信號，即一個0-5V的電壓信號，這個電壓信號經(jīng)過轉(zhuǎn)換才會得到百分比。
舉個例子，剎車或者油門位置會被傳感器進(jìn)行采樣，以測量他們的真實位置；傳感器采樣后的原始值是一個范圍在0-5V的電信號，這個原始電信號如果一開始就錯了，那在這之后的所有數(shù)據(jù)都是錯誤的；
同時原始電信號經(jīng)過一系列轉(zhuǎn)換才成為油門和剎車的百分比位置信息，也就是我們EDR所能讀取到的信息，這個轉(zhuǎn)換過程會不會出現(xiàn)故障，也無法知道。
因此，回答疑問四，EDR能夠告知真相嗎？99%的時候是能夠的，但是不排除一開始系統(tǒng)就是錯誤的，因此記錄的數(shù)值也都是錯誤的，用一個錯誤的數(shù)據(jù)去解釋一個錯誤的現(xiàn)象，當(dāng)然能夠解釋的通，但是顯然，這種“解釋已經(jīng)偏離了真相。
不管怎樣，先讓子彈飛一會吧。