文|車(chē)市物語(yǔ) 張桐
編輯|張凌霄
【編者按】
前不久，潮州特斯拉失控撞人，致兩死三傷，在網(wǎng)上已經(jīng)連續(xù)發(fā)酵多日。整個(gè)過(guò)程中，涉事家屬與特斯拉各執(zhí)一詞，讓事件陷入了各說(shuō)各話(huà)的“羅生門(mén)”。而這已經(jīng)不是特斯拉第一次因?yàn)椤皠x車(chē)失靈”陷入輿論漩渦。
在智能電動(dòng)車(chē)時(shí)代，汽車(chē)的操作越來(lái)越簡(jiǎn)單，甚至人的駕駛習(xí)慣也在被改變。與此同時(shí)，車(chē)內(nèi)系統(tǒng)卻越來(lái)越復(fù)雜，軟件應(yīng)用和電子架構(gòu)故障的風(fēng)險(xiǎn)也更高。
汽車(chē)作為一個(gè)復(fù)雜而又精密的機(jī)械產(chǎn)品，從技術(shù)的角度看，所謂“剎車(chē)失靈”與“突然加速”的可能性有多大？在什么樣的情況下會(huì)出現(xiàn)？在整個(gè)事件蓋棺定論之前，各種分析與猜測(cè)眾說(shuō)紛紜，有哪些信息是值得被格外關(guān)注的……車(chē)市物語(yǔ)特邀汽車(chē)制動(dòng)領(lǐng)域的資深工程師執(zhí)筆，以從業(yè)者的角度，剖析潮州特斯拉失控事件中，技術(shù)上原理上存在的疑點(diǎn)。
本期作者：張桐（化名）， 985車(chē)輛工程專(zhuān)業(yè)碩士畢業(yè)，目前就職于國(guó)際一線(xiàn)供應(yīng)商企業(yè)，高級(jí)工程師，在汽車(chē)制動(dòng)與軟件領(lǐng)域有著多年工作經(jīng)驗(yàn)。
首先，我們還原下事情的經(jīng)過(guò)。駕駛員稱(chēng)：事發(fā)當(dāng)天早上，像往常一樣，他試圖靠邊停車(chē)，但發(fā)現(xiàn)剎車(chē)踏板很硬無(wú)法踩下去，因此順勢(shì)左打方向盤(pán)回到了主馬路上。但詭異的是車(chē)輛開(kāi)始瘋狂加速，隨后Model Y速度急速提升，最高達(dá)到了198km/h。
從事發(fā)視頻也可以看到，駕駛員一路躲避電動(dòng)車(chē)和行人，并在撞擊三輪車(chē)后安全氣囊被彈出，隨后汽車(chē)?yán)^續(xù)行駛，一直到撞向路邊的店鋪。駕駛員的家屬回應(yīng)說(shuō)，在這個(gè)過(guò)程中駕駛員一直在踩剎車(chē)，但是剎車(chē)很硬踩不下去，而且試圖按下P檔來(lái)減速，但是也沒(méi)用。
緊接著，特斯拉方面回應(yīng)稱(chēng)，車(chē)輛高速行駛一度保持油門(mén)100%，并且剎車(chē)踏板全程沒(méi)有被踩下；行駛期間駕駛員四次按下P檔按鈕又快速松開(kāi)，同時(shí)制動(dòng)燈快速點(diǎn)亮并熄滅。
整個(gè)事情有視頻記錄，大家都很清楚，但是特斯拉和車(chē)主的回應(yīng)雙方有點(diǎn)矛盾，而且整個(gè)事件存在很多讓人匪夷所思的疑點(diǎn)，這些疑點(diǎn)也在網(wǎng)上引起了廣泛的討論。事件真相還在調(diào)查當(dāng)中，下面我們從技術(shù)角度來(lái)探討一下雙方回應(yīng)的疑點(diǎn)。
事故現(xiàn)場(chǎng) 圖源：網(wǎng)絡(luò)
#疑點(diǎn)一、剎車(chē)失靈的概率有多大？
依據(jù)車(chē)主的說(shuō)法，剎車(chē)變得很硬且踩不下去，他懷疑剎車(chē)失靈了。
根據(jù)特斯拉方面的信息，特斯拉Model Y使用的剎車(chē)系統(tǒng)是博世的iBooster制動(dòng)產(chǎn)品，這款產(chǎn)品目前來(lái)到了2.0版本，目前在售的很多新能源車(chē)型都搭載了博世的ibooster。
iBooster是一項(xiàng)相對(duì)傳統(tǒng)剎車(chē)革命性變更的技術(shù)，相比傳統(tǒng)剎車(chē)，它取消了真空泵設(shè)計(jì)。當(dāng)駕駛員踩下剎車(chē)踏板時(shí)，剎車(chē)位置傳感器將信號(hào)告訴給整車(chē)控制器，整車(chē)控制器經(jīng)過(guò)計(jì)算后，會(huì)進(jìn)行制動(dòng)力分配，一部分制動(dòng)力由電機(jī)再生制動(dòng)提供，另一部分制動(dòng)力由制動(dòng)缸產(chǎn)生，兩者一起幫助制動(dòng)。下圖是iBooster的工作原理圖。
iBooster工作原理
再來(lái)看看整個(gè)剎車(chē)系統(tǒng)的工作原理圖，當(dāng)人以200N（大概20公斤）的力氣踩剎車(chē)踏板時(shí)，這個(gè)力會(huì)被一點(diǎn)點(diǎn)放大，最終達(dá)到剎車(chē)盤(pán)上的力達(dá)到了18500N。另外，上圖中的真空泵（Vacuum Brake Booster）現(xiàn)在被iBooster代替。
這時(shí)有人提出了質(zhì)疑，他們認(rèn)為iBooster是電子件，電子件沒(méi)有機(jī)械件穩(wěn)定，所以iBooster也有失效的時(shí)候，因此博世的iBooster為了應(yīng)對(duì)可能的失效，有兩種備份措施來(lái)應(yīng)對(duì)。
備份措施一：
如果上圖中電子件iBooster失效，那么將沒(méi)有制動(dòng)助力，剎車(chē)變硬，有點(diǎn)難踩下。此時(shí)ESP會(huì)意識(shí)到iBooster壞了失去了助力，于是便會(huì)接管并提供制動(dòng)助力（主動(dòng)增壓），ESP的主動(dòng)增壓會(huì)伴隨著比較強(qiáng)烈的震動(dòng)和噪音。
這個(gè)時(shí)候?qū)τ隈{駛員來(lái)說(shuō)，體驗(yàn)就是踩剎車(chē)需要更多的力氣，但是不會(huì)踩不下，比如200N的力氣踩下去能提供至少0.4g的減速度。
備份措施二：
如果一不小心iBooster和ESP都?jí)牧耍▽?shí)際發(fā)生的概率很?。?，此時(shí)整個(gè)剎車(chē)系統(tǒng)進(jìn)入了機(jī)械模式，沒(méi)有任何助力，能夠有多大的減速度就看駕駛員用多大的力氣去踩剎車(chē)踏板。
此時(shí)的表象就是剎車(chē)變得很硬，難踩動(dòng)，但是法規(guī)強(qiáng)制規(guī)定，此時(shí)的剎車(chē)踏板要在成年人（包括成年女性）用500N的力氣下能夠至少產(chǎn)生0.25g的減速度。
因此，從上面的分析可以看出，“剎車(chē)失靈”本身是一個(gè)不嚴(yán)謹(jǐn)?shù)恼f(shuō)法，剎車(chē)只有可能會(huì)失去助力，但是剎車(chē)幾乎沒(méi)有可能失靈，因?yàn)樽罱K他有機(jī)械制動(dòng)來(lái)兜底。如果遇到剎車(chē)變硬，此時(shí)不要懷疑你的腳，要毫不猶豫的加大力氣踩下去。
#疑點(diǎn)二、單踏板要不要背鍋？
剎不住車(chē)只是一方面，潮州事故的另一大疑點(diǎn)在于，車(chē)輛為什么會(huì) “突然加速”？是駕駛員踩錯(cuò)了還是汽車(chē)自身程序錯(cuò)誤失控了。
首先，輿論認(rèn)為駕駛員踩錯(cuò)了原因是特斯拉的單踏板模式，單踏板要背這個(gè)鍋嗎？
從技術(shù)的角度來(lái)說(shuō)，單踏板確實(shí)是一個(gè)有爭(zhēng)議的東西，首先這個(gè)名字就很有迷惑性，讓很多人以為這種車(chē)就只有一個(gè)油門(mén)踏板，沒(méi)有剎車(chē)。
單踏板模式對(duì)人最大的是改變是影響了人的駕駛習(xí)慣，以前踩油門(mén)車(chē)就加速，踩剎車(chē)車(chē)就減速，而單踏板模式踩油門(mén)車(chē)加速，松油門(mén)車(chē)減速，并且是類(lèi)似于踩剎車(chē)的那種減速感，時(shí)間久了以后就會(huì)造成駕駛員把油門(mén)和剎車(chē)兩個(gè)完全不應(yīng)該產(chǎn)生聯(lián)系的動(dòng)作綁在一起，當(dāng)有緊急情況發(fā)生，要緊急剎車(chē)時(shí)，很容易一腳踩油門(mén)上，所以智能電動(dòng)車(chē)現(xiàn)在的把油門(mén)當(dāng)剎車(chē)事故很多。
但是，經(jīng)過(guò)培訓(xùn)的駕駛員，或者能夠?qū)翁ぐ迥Ｊ接猩钊肓私獾鸟{駛員應(yīng)該隨時(shí)把腳放在剎車(chē)上，保持冷靜，需要快速減速時(shí)應(yīng)該及時(shí)踩剎車(chē)。
對(duì)于這個(gè)問(wèn)題，單踏板要不要為這個(gè)事情背鍋，我認(rèn)為單踏板確實(shí)帶來(lái)了油門(mén)當(dāng)剎車(chē)誤操作的比例上升，但是大部分誤操作都是一瞬間的事，大部分駕駛員會(huì)在瞬間失誤后反應(yīng)過(guò)來(lái)及時(shí)糾正。而本次事件中的奇怪之處在于，整個(gè)過(guò)程持續(xù)了一分鐘左右，車(chē)前進(jìn)了2.6公里，真的會(huì)有人誤踩油門(mén)會(huì)持續(xù)如此之久嗎？
#疑點(diǎn)三、汽車(chē)非預(yù)期加速的概率？
汽車(chē)非預(yù)期加速是汽車(chē)行業(yè)內(nèi)非常專(zhuān)業(yè)的說(shuō)法，也是功能安全領(lǐng)域內(nèi)著名的失效模式。
非預(yù)期加速：即汽車(chē)的加速是違背駕駛員意志的，駕駛員并沒(méi)有踩下油門(mén)但是車(chē)一直往前加速。
汽車(chē)突然加速在行業(yè)內(nèi)部并不是新鮮事，早在2000-2010年間，豐田汽車(chē)在美國(guó)就因?yàn)椤皠x不住”而造成了89人的喪生，這也就是豐田的“剎車(chē)門(mén)”事件。
為了調(diào)查這些剎不住的豐田汽車(chē)，NHTSA和NASA對(duì)豐田汽車(chē)展開(kāi)了調(diào)查，包括查看豐田汽車(chē)的源代碼。2011-2013年間，嵌入式軟件專(zhuān)家Michael barr和Philip Koopman從軟件入手，在18個(gè)月的時(shí)間內(nèi)查看了豐田汽車(chē)將近30萬(wàn)行的代碼，發(fā)現(xiàn)了軟件中存在的一些bug，會(huì)導(dǎo)致汽車(chē)“非預(yù)期加速”，導(dǎo)致汽車(chē)失控。
因此，豐田的剎車(chē)門(mén)也就導(dǎo)致了后來(lái)的汽車(chē)嵌入式軟件規(guī)范的發(fā)展，也帶動(dòng)了汽車(chē)電子電氣功能安全的發(fā)展，而功能安全就是為了防止汽車(chē)有任何違背駕駛員意志的行為發(fā)生，以影響到人生命安全，特別是危害性極大的突然加速。
回到這次事件上，特斯拉的軟件架構(gòu)和功能安全的設(shè)計(jì)一直都是業(yè)內(nèi)比較神秘的所在，沒(méi)有人知道他的汽車(chē)軟件架構(gòu)是怎樣的，包括使用什么操作系統(tǒng)，以及有沒(méi)有做功能安全的設(shè)計(jì)。
因此回答這個(gè)疑問(wèn)：汽車(chē)的突然加速在新時(shí)代已經(jīng)幾乎沒(méi)有了，但是特斯拉究竟是怎樣，還需要更多數(shù)據(jù)的說(shuō)明。
說(shuō)到數(shù)據(jù)，其實(shí)就是特斯拉車(chē)內(nèi)的EDR數(shù)據(jù)，它能夠記錄事件發(fā)生前后車(chē)輛的運(yùn)行信息。
#疑點(diǎn)四、EDR能還原真相嗎？
國(guó)家對(duì)于汽車(chē)數(shù)據(jù)記錄系統(tǒng)有強(qiáng)制法規(guī)要求，根據(jù)國(guó)家標(biāo)準(zhǔn)GB39732：
“乘用車(chē)應(yīng)配備符合 GB 39732 規(guī)定的事件數(shù)據(jù)記錄系統(tǒng)（EDR）；若配備了符合 GB/T 38892 規(guī)定的車(chē)載視頻行駛記錄系統(tǒng)，應(yīng)視為滿(mǎn)足要求”，本標(biāo)準(zhǔn)自2022 年1月1日起對(duì)新生產(chǎn)的車(chē)輛實(shí)施。
EDR又稱(chēng)為汽車(chē)事件數(shù)據(jù)記錄系統(tǒng)，是國(guó)家對(duì)于新能源汽車(chē)的一項(xiàng)強(qiáng)制性要求。這個(gè)EDR系統(tǒng)記錄了一些車(chē)輛的關(guān)鍵信息，包括油門(mén)位置，剎車(chē)踏板位置，車(chē)速…，并且還規(guī)定了這些數(shù)據(jù)記錄的格式，記錄的頻率，以及讀取的方式等。
舉個(gè)例子，對(duì)于大家關(guān)心的油門(mén)踏板和剎車(chē)位置的信息，法規(guī)中就有規(guī)定：
可以看出，剎車(chē)和油門(mén)踏板數(shù)據(jù)，都是具體的位置信息（百分比），在一般情況下，能夠反應(yīng)油門(mén)和剎車(chē)真實(shí)位置。
并且，EDR系統(tǒng)在沒(méi)電的時(shí)候也能夠存儲(chǔ)，數(shù)據(jù)存儲(chǔ)在保護(hù)區(qū)內(nèi)，無(wú)法被篡改，也不應(yīng)該被刪除，第三方機(jī)構(gòu)如果有能力讀取EDR數(shù)據(jù)，是能夠讀到真實(shí)數(shù)據(jù)的。
一般情況下，EDR能夠記錄真實(shí)的油門(mén)踏板值（即駕駛員踩下的百分比，是50%還是100%踩下）。但這還不是最原始的值，最原始的值應(yīng)該是油門(mén)和剎車(chē)的電信號(hào)，即一個(gè)0-5V的電壓信號(hào)，這個(gè)電壓信號(hào)經(jīng)過(guò)轉(zhuǎn)換才會(huì)得到百分比。
舉個(gè)例子，剎車(chē)或者油門(mén)位置會(huì)被傳感器進(jìn)行采樣，以測(cè)量他們的真實(shí)位置；傳感器采樣后的原始值是一個(gè)范圍在0-5V的電信號(hào)，這個(gè)原始電信號(hào)如果一開(kāi)始就錯(cuò)了，那在這之后的所有數(shù)據(jù)都是錯(cuò)誤的；
同時(shí)原始電信號(hào)經(jīng)過(guò)一系列轉(zhuǎn)換才成為油門(mén)和剎車(chē)的百分比位置信息，也就是我們EDR所能讀取到的信息，這個(gè)轉(zhuǎn)換過(guò)程會(huì)不會(huì)出現(xiàn)故障，也無(wú)法知道。
因此，回答疑問(wèn)四，EDR能夠告知真相嗎？99%的時(shí)候是能夠的，但是不排除一開(kāi)始系統(tǒng)就是錯(cuò)誤的，因此記錄的數(shù)值也都是錯(cuò)誤的，用一個(gè)錯(cuò)誤的數(shù)據(jù)去解釋一個(gè)錯(cuò)誤的現(xiàn)象，當(dāng)然能夠解釋的通，但是顯然，這種“解釋已經(jīng)偏離了真相。
不管怎樣，先讓子彈飛一會(huì)吧。