蔚来事故背后真相：Pilot只是舒适性功能，NOP仅是公开测试版本

智能化，尤其是智能驾驶正在成为造车新势力与传统势力比拼能力差异化的关键卖点。但从特斯拉开始，屡次因为车主对自动辅助驾驶系统的“滥用”，造成一系列悲剧事故的发生。

8月12日，美一好品牌管理公司披露，公司创始人林文钦在驾驶蔚来ES8启用自动辅助驾驶功能（NOP领航）后，在沈海高速涵江段发生交通事故不幸逝世，终年31岁。

而就在几天前，一段理想ONE车主的视频刷屏网络。在高速行驶时，驾驶员打开了理想ONE的辅助驾驶功能，然后双手离开方向盘，将座椅放平。

随后，理想汽车官方声明，对于视频中的行为“坚决反对”，同时驾驶员使用了安全带卡扣等危险装置欺骗了系统。声明要求：所有车主必须按照正确的方式使用辅助驾驶系统。

显然，在原本为了提升驾驶安全性的自动辅助驾驶功能、车主滥用、官方车主手册之间，存在巨大的信息不对称。核心问题出在：系统失效以及是否持续满足设计运行条件。

而就在本周，8月12日，工信部正式发布《关于加强智能网联汽车生产企业及产品准入管理的意见》，明确压实企业主体责任，加强自动驾驶功能产品安全管理。

一、

2019年8月22日，时任蔚来汽车某高管在微博上发布了一段短视频，示范如何在开启NIO Pilot功能的前提下，双手脱离方向盘驾驶。并配上文字：“NIO Pilot越来越上瘾，1点半会议结束出发，在自动辅助驾驶帮助下，放心地边吃东西边开车”。

而在上述视频发布两个月前，NIO Pilot系统（具备横向和纵向控制能力的L2级别自动辅助驾驶系统）功能刚刚完成释放，并进行了OTA。这是一套典型的放开双脚，但不能放开双手的辅助驾驶系统。

2020年10月，NIO Pilot迎来了一次重要的升级，正式为用户推送了自动导航辅助驾驶NOP（navigate on pilot）功能，在原有功能基础上，可以依据导航自动切换高速车道并且自动进出匝道，并智能调节系统巡航速度。

高工智能汽车研究院从蔚来ES8车主手册中看到这样一段话：“领航辅助”Beta 版本为公开测试版本，功能尚处于持续优化阶段：驾驶员双手不能离开方向盘、视线不能离开行驶道路。

而目前可知的现场事故状态是，当时蔚来ES8在行驶到涵江段时，车辆未能识别到前方有施工车辆，因此没有自动制动，导致事故发生。

按照蔚来ES8车主手册的说明，与Pilot和其他辅助驾驶功能一样， “领航辅助”是一个舒适性功能，而非防碰撞功能。“领航辅助”最大减速度有限，小于自动紧急制动和驾驶时所能请求的最大减速度，因此切勿依赖“领航辅助”对爱车进行充分减速从而避免碰撞。

当本车与前车相对车速大于50公里/小时时，如前车静止或缓行，“领航辅助”存在无法刹停的风险。为保证安全，出现上述情况时，需要立即退出“领航辅助”，切勿在上述情况尝试“领航辅助”对静止车辆刹停或跟停前车。

同时，车主手册明确表示，切勿依赖“领航辅助”来控制车速，车主必须时刻关注交通状况、道路环境、以及限速标识，在安全且符合交规的速度范围内行驶。

此外，“领航辅助”参考的道路限速并非始终准确，可能与实际路况不符合，导致系统非预期的加速或减速，请时刻关注实际路况，必要时手动调整设定的巡航车速或者直接接管车辆。

那么，可以起到一定提示作用的驾驶员疲劳监测，是否同样存在失效？

蔚来ES8车主手册注明，驾驶员疲劳监测会在行驶过程中，通过智能视觉系统，感知驾驶员的注意力状态，满足功能激活条件下，驾驶员一旦分神或疲劳，NOMI会根据不同等级，通过表情和声音进行提醒。

当然，限制条件也非常多，包括夜晚及光线较暗的情况下；阳光、对面车灯等直射光线干扰情况下；眼睛有遮挡的情况下，包括但不限于各类墨镜、偏光镜、太阳镜，以及眼镜边框遮挡等，戴帽子、围巾、头巾等可能会改变头部形状的配饰以及戴口罩。

不过，手册同样明确：驾驶员疲劳监测系统无法在所有条件下工作，仅用作辅助设备。驾驶员应始终对确保车辆安全驾驶承担最终责任。

而在今年6月的最近一次OTA更新中，2.10.1版本的NIO OS系统优化了辅助驾驶注意力监测（AMP），其中包括减少驾驶员注意力集中时的误报警。而对于目前的感知系统来说，有误报就会有相应的漏报，这也是难以实现100%的有效感知。

而按照工信部新规，对于车企，接下来必须严格履行告知义务，包括车辆设计运行条件（ODD）、人机交互设备指示信息、驾驶员职责、驾驶自动化功能激活及退出方法等信息。

同时，企业实施在线升级活动前，应当确保汽车产品符合法律法规、技术标准及技术规范等相关要求，并向工业和信息化部备案。升级涉及技术参数变更的，要求企业应提前按照《道路机动车辆生产企业及产品准入管理办法》办理变更手续。

一旦发现产品存在数据安全、网络安全、在线升级安全、驾驶辅助和自动驾驶安全等严重问题，应当立即停止相关产品的生产、销售，采取措施进行整改。

二、

事实上，智能驾驶最大难题还是技术成熟度（能否保证足够安全，涉及基本的功能安全、预期功能安全以及更多的安全措施）、政策法规的允许以及责任归属问题。

同时，在“解放”双脚、双手乃至双眼的过程中，都是一系列基础功能的叠加，但并非级别越高，基础功能的能力会不一样。比如，车道保持功能，如果没有明显的车道标记，褪色或模糊等等情况下，功能就不起作用。但往往，驾驶员容易疏忽功能的局限性。

一直以来，测试及监管机构认为，对自动化功能的过度依赖，造成驾驶员不理解或不采取必要的纠正措施，系统基本上是无效的。这将取决于汽车制造商能否将人机交互系统的能力提升到一个新的水平。

在业内人士看来，考虑到汽车行业对责任的担忧，大部分车企更愿意提高驾驶辅助系统的能力，但在功能宣传和法律风险上却一直是模凌两可。即便是沃尔沃汽车宣布对L4级自动驾驶负全责，如果发生人员安全事故，这个责任也不只是赔偿问题，毕竟这是涉及到生命安全。

“只有在100%安全的情况下，才会推出这一功能。”这是宝马自动驾驶发展高级副总裁Nicolai Martin的表态，直到绝对安全并提供附加价值，同时系统必须在极端情况下做出安全的反应。

原本在今年量产搭载L3级自动驾驶的宝马纯电动车iX，预计也将推迟至2022年。“L3级系统还没有在更大范围内提供的可行性，目前还不完全合法或100%安全。”

目前，在欧洲，政府已经允许以低于60公里/小时的速度启用L3级自动驾驶，但只能在高速公路上启动，并且满足同向双车道的要求，中间必须有隔离墩。

此外，在路况更为复杂的城区道路，宝马公司研发部主管Frank Weber认为，“即便是低速行驶，但车辆必须在更多的车辆、行人、自行车以及摩托车等复杂人车混流之间安全行驶。我从来没有说过我们可以这么做。”

另一个关键角色，就是驾驶员的培训。比如，在任何特定的情况下，系统和驾驶员都知道当前处于哪种操作模式下，这样驾驶员的责任就会清楚。

SAE的相关负责人强调，接下来的重点将放在驾驶员在整个车辆行驶过程中的角色和责任上。“重点应该围绕用户，而不是围绕技术问题进行设计定义。”

比如，一辆自动驾驶电动汽车的电池着火，驾驶员和乘客应该如何应对？车辆系统能否开启一系列的自助救生系统？“这些是经常被忽视的情况，但它们确实已经发生。”

“汽车制造商可以在拥有L4、L5系统，让驾驶员坐在方向盘后面。这样的话，车就不是L4或L5了，它本质上还是一款L2车型。”Mobileye首席执行官Amnon Shashua表示。

有证据表明，由于系统接管了部分驾驶任务，驾驶员容易将注意力从驾驶转移到次要任务，从而导致突发状态下，刹车反应时间减少并产生更大风险。

2015年，马斯克预测，特斯拉将在2018年实现完全自动驾驶。然而，到了2020年，特斯拉的网站页面上仍然写着:“你有责任保持警惕，始终把双手放在方向盘上。”

同样让人惊讶的是，以特斯拉Model3的车主手册为例，Autopilot的主动巡航控制功能被注明也是一项测试功能（和蔚来一样），并且存在很多限制性条件。

按照大众集团旗下软件公司CARIAD的说法，SOTIF标准（预期功能的安全性）对自动驾驶非常重要，尤其是涉及到复杂算法和人工智能的决策。而上述车主手册的大量限制性条件，恰恰就是车企主体逃避责任的做法。

“我们必须涵盖所有的情况，即使是最好的司机也可能会发生事故，但系统必须解决这些问题。能够预测和解释其他道路使用者的行为尤其重要。”在上述负责人看来，软件并不是什么大问题，确保系统安全才是最复杂的。