工程师解析潮州特斯拉失控事件四大疑点EDR能一锤定音吗？

　　​​​​​​
　　头图来源：IC Photo
　　【编者按】前不久，潮州特斯拉失控撞人，致两死三伤，在网上已经连续发酵多日。整个过程中，涉事家属与特斯拉各执一词，让事件陷入了各说各话的＂罗生门＂。而这已经不是特斯拉第一次因为＂刹车失灵＂陷入舆论漩涡。
　　在智能电动车时代，汽车的操作越来越简单，甚至人的驾驶习惯也在被改变。与此同时，车内系统却越来越复杂，软件应用和电子架构故障的风险也更高。
　　汽车作为一个复杂而又精密的机械产品，从技术的角度看，所谓＂刹车失灵＂与＂突然加速＂的可能性有多大？在什么样的情况下会出现？在整个事件盖棺定论之前，各种分析与猜测众说纷纭，有哪些信息是值得被格外关注的……车市物语特邀汽车制动领域的资深工程师执笔，以从业者的角度，剖析潮州特斯拉失控事件中，技术上原理上存在的疑点。
　　本期作者：张桐（化名）， 985车辆工程专业硕士毕业，目前就职于国际一线供应商企业，高级工程师，在汽车制动与软件领域有着多年工作经验。
　　正文
　　首先，我们还原下事情的经过。驾驶员称：事发当天早上，像往常一样，他试图靠边停车，但发现刹车踏板很硬无法踩下去，因此顺势左打方向盘回到了主马路上。但诡异的是车辆开始疯狂加速，随后Model Y速度急速提升，最高达到了198km/h。
　　从事发视频也可以看到，驾驶员一路躲避电动车和行人，并在撞击三轮车后安全气囊被弹出，随后汽车继续行驶，一直到撞向路边的店铺。驾驶员的家属回应说，在这个过程中驾驶员一直在踩刹车，但是刹车很硬踩不下去，而且试图按下P档来减速，但是也没用。
　　紧接着，特斯拉方面回应称，车辆高速行驶一度保持油门100%，并且刹车踏板全程没有被踩下；行驶期间驾驶员四次按下P档按钮又快速松开，同时制动灯快速点亮并熄灭。
　　整个事情有视频记录，大家都很清楚，但是特斯拉和车主的回应双方有点矛盾，而且整个事件存在很多让人匪夷所思的疑点，这些疑点也在网上引起了广泛的讨论。事件真相还在调查当中，下面我们从技术角度来探讨一下双方回应的疑点。
　　事故现场 图源：网络
　　#疑点一
　　刹车失灵的概率有多大？
　　依据车主的说法，刹车变得很硬且踩不下去，他怀疑刹车失灵了。
　　根据特斯拉方面的信息，特斯拉Model Y使用的刹车系统是博世的iBooster制动产品，这款产品目前来到了2.0版本，目前在售的很多新能源车型都搭载了博世的ibooster。
　　iBooster是一项相对传统刹车革命性变更的技术，相比传统刹车，它取消了真空泵设计。当驾驶员踩下刹车踏板时，刹车位置传感器将信号告诉给整车控制器，整车控制器经过计算后，会进行制动力分配，一部分制动力由电机再生制动提供，另一部分制动力由制动缸产生，两者一起帮助制动。下图是iBooster的工作原理图。
　　iBooster工作原理
　　再来看看整个刹车系统的工作原理图，当人以200N（大概20公斤）的力气踩刹车踏板时，这个力会被一点点放大，最终达到刹车盘上的力达到了18500N。另外，上图中的真空泵（Vacuum Brake Booster）现在被iBooster代替。
　　这时有人提出了质疑，他们认为iBooster是电子件，电子件没有机械件稳定，所以iBooster也有失效的时候，因此博世的iBooster为了应对可能的失效，有两种备份措施来应对。
　　备份措施一：
　　如果上图中电子件iBooster失效，那么将没有制动助力，刹车变硬，有点难踩下。此时ESP会意识到iBooster坏了失去了助力，于是便会接管并提供制动助力（主动增压），ESP的主动增压会伴随着比较强烈的震动和噪音。
　　这个时候对于驾驶员来说，体验就是踩刹车需要更多的力气，但是不会踩不下，比如200N的力气踩下去能提供至少0.4g的减速度。
　　备份措施二：
　　如果一不小心iBooster和ESP都坏了（实际发生的概率很小），此时整个刹车系统进入了机械模式，没有任何助力，能够有多大的减速度就看驾驶员用多大的力气去踩刹车踏板。
　　此时的表象就是刹车变得很硬，难踩动，但是法规强制规定，此时的刹车踏板要在成年人（包括成年女性）用500N的力气下能够至少产生0.25g的减速度。
　　因此，从上面的分析可以看出，＂刹车失灵＂本身是一个不严谨的说法，刹车只有可能会失去助力，但是刹车几乎没有可能失灵，因为最终他有机械制动来兜底。如果遇到刹车变硬，此时不要怀疑你的脚，要毫不犹豫的加大力气踩下去。
　　#疑点二
　　单踏板要不要背锅？
　　刹不住车只是一方面，潮州事故的另一大疑点在于，车辆为什么会 ＂突然加速＂？是驾驶员踩错了还是汽车自身程序错误失控了。
　　首先，舆论认为驾驶员踩错了原因是特斯拉的单踏板模式，单踏板要背这个锅吗？
　　从技术的角度来说，单踏板确实是一个有争议的东西，首先这个名字就很有迷惑性，让很多人以为这种车就只有一个油门踏板，没有刹车。
　　单踏板模式对人最大的是改变是影响了人的驾驶习惯，以前踩油门车就加速，踩刹车车就减速，而单踏板模式踩油门车加速，松油门车减速，并且是类似于踩刹车的那种减速感，时间久了以后就会造成驾驶员把油门和刹车两个完全不应该产生联系的动作绑在一起，当有紧急情况发生，要紧急刹车时，很容易一脚踩油门上，所以智能电动车现在的把油门当刹车事故很多。
　　但是，经过培训的驾驶员，或者能够对单踏板模式有深入了解的驾驶员应该随时把脚放在刹车上，保持冷静，需要快速减速时应该及时踩刹车。
　　对于这个问题，单踏板要不要为这个事情背锅，我认为单踏板确实带来了油门当刹车误操作的比例上升，但是大部分误操作都是一瞬间的事，大部分驾驶员会在瞬间失误后反应过来及时纠正。而本次事件中的奇怪之处在于，整个过程持续了一分钟左右，车前进了2.6公里，真的会有人误踩油门会持续如此之久吗？
　　#疑点三
　　汽车非预期加速的概率？
　　汽车非预期加速是汽车行业内非常专业的说法，也是功能安全领域内著名的失效模式。
　　非预期加速：即汽车的加速是违背驾驶员意志的，驾驶员并没有踩下油门但是车一直往前加速。
　　汽车突然加速在行业内部并不是新鲜事，早在2000-2010年间，丰田汽车在美国就因为＂刹不住＂而造成了89人的丧生，这也就是丰田的＂刹车门＂事件。
　　为了调查这些刹不住的丰田汽车，NHTSA和NASA对丰田汽车展开了调查，包括查看丰田汽车的源代码。2011-2013年间，嵌入式软件专家Michael barr和Philip Koopman从软件入手，在18个月的时间内查看了丰田汽车将近30万行的代码，发现了软件中存在的一些bug，会导致汽车＂非预期加速＂，导致汽车失控。
　　因此，丰田的刹车门也就导致了后来的汽车嵌入式软件规范的发展，也带动了汽车电子电气功能安全的发展，而功能安全就是为了防止汽车有任何违背驾驶员意志的行为发生，以影响到人生命安全，特别是危害性极大的突然加速。
　　回到这次事件上，特斯拉的软件架构和功能安全的设计一直都是业内比较神秘的所在，没有人知道他的汽车软件架构是怎样的，包括使用什么操作系统，以及有没有做功能安全的设计。
　　因此回答这个疑问：汽车的突然加速在新时代已经几乎没有了，但是特斯拉究竟是怎样，还需要更多数据的说明。
　　说到数据，其实就是特斯拉车内的EDR数据，它能够记录事件发生前后车辆的运行信息。
　　#疑点四
　　EDR能还原真相吗？
　　国家对于汽车数据记录系统有强制法规要求，根据国家标准GB39732：
　　＂乘用车应配备符合 GB 39732 规定的事件数据记录系统（EDR）；若配备了符合 GB/T 38892 规定的车载视频行驶记录系统，应视为满足要求＂，本标准自2022 年1月1日起对新生产的车辆实施。
　　EDR又称为汽车事件数据记录系统，是国家对于新能源汽车的一项强制性要求。这个EDR系统记录了一些车辆的关键信息，包括油门位置，刹车踏板位置，车速…，并且还规定了这些数据记录的格式，记录的频率，以及读取的方式等。
　　举个例子，对于大家关心的油门踏板和刹车位置的信息，法规中就有规定：
　　可以看出，刹车和油门踏板数据，都是具体的位置信息（百分比），在一般情况下，能够反应油门和刹车真实位置。
　　并且，EDR系统在没电的时候也能够存储，数据存储在保护区内，无法被篡改，也不应该被删除，第三方机构如果有能力读取EDR数据，是能够读到真实数据的。
　　一般情况下，EDR能够记录真实的油门踏板值（即驾驶员踩下的百分比，是50%还是100%踩下）。但这还不是最原始的值，最原始的值应该是油门和刹车的电信号，即一个0-5V的电压信号，这个电压信号经过转换才会得到百分比。
　　举个例子，刹车或者油门位置会被传感器进行采样，以测量他们的真实位置；传感器采样后的原始值是一个范围在0-5V的电信号，这个原始电信号如果一开始就错了，那在这之后的所有数据都是错误的；
　　同时原始电信号经过一系列转换才成为油门和刹车的百分比位置信息，也就是我们EDR所能读取到的信息，这个转换过程会不会出现故障，也无法知道。
　　因此，回答疑问四，EDR能够告知真相吗？99%的时候是能够的，但是不排除一开始系统就是错误的，因此记录的数值也都是错误的，用一个错误的数据去解释一个错误的现象，当然能够解释的通，但是显然，这种＂解释已经偏离了真相。
　　不管怎样，先让子弹飞一会吧。