特斯拉“刹车门”疑云

　　

　　保留节目一直在上演。五一节前夕，成都某大厦路透社大屏惊现大幅维权广告，原来是神马专车的30余辆特斯拉运营车辆已在某物流园成为了“僵尸车”，正与厂家相持不下。

　　更早些，一对宁波夫妻的同一辆特斯拉因刹车“确实踩不下去”，先后在自家车库撞车、撞墙，第一次女士相信了特斯拉说法：操作不当；两个月内男士如法炮制，特斯拉回应相同。两人驾龄分别为17年和35年。

　　

　　左图：撞车瞬间，特斯拉还在走；右图：撞墙后刹车灯才亮

　　尽管有监控录像记录了撞车、撞墙全过程，但没有驾驶者脚下操作的画面，所以车辆制造方嘴硬是必然的。

　　最近的事件主要集中于刹车失灵，肯定真相只有一个，但真相是啥呢？

　　汽车智能化的挑战

　　汽车，特别是新能源车（现阶段主要是电动汽车），电控系统越来越多，各种传感器、电子控制器（ECU）、驱动器和控制程序软件不断增加，操作越来越复杂，在给我们带来全新驾乘体验的同时，也加大了车辆安全挑战。同时，传统取证方法已无法满足车辆事故认定的需要。

　　

　　汽车电子系统类似一堆电脑组成的局域网

　　归纳起来，汽车智能化带来了三类安全问题：一是车辆本身电子电气系统故障、系统功能局限、功能安全性的问题；二是驾驶员不熟悉车辆功能，误操作导致的安全风险；三是环境干扰、网络攻击、信息安全等因素导致的安全隐患。

　　所有分析都只是猜测

　　像上面的情况无独有偶，海南的一起事故中，“刹车刹不住”已经在一位售后人员的测试中复现了，而测试中的别克却刹住了，结果怎么样？没有确实证据。

　　话题太敏感，所有涉及的问题均为“可能”，都是分析猜测，许多质疑并非针对特斯拉，而是整个电动汽车行业，包括提供零部件的供应商。质疑的目的也是为了分析根源，最终解决问题。

　　

　　开发平台是否合适

　　现在已是软件定义汽车的时代，现阶段，大部分自动驾驶从业者习惯基于Linux开发系统，特斯拉的中控系统也是Linux。有人质疑，Linux真的适合自动驾驶吗？这个产业要想完善，需要思考适用于汽车电气架构特性的系统，而不是借Linux开放性、易于移植性玩一玩。

　　黑莓技术解决方案部高级副总裁兼联席主管Kaivan Karimi认为，如果安全不重要，非安全件用Linux和Android就好。如果安全重要，尤其是关乎人们生命的设施和设备，就必须要选择保证安全的解决方案——Unix操作系统。

　　

　　汽车一亿行代码漏洞上千

　　卡耐基梅隆的统计表明，在代码基础上平均每个功能点有0.75个缺陷（bug），基于Linux平台的Android操作系统每百万行代码6000个缺陷；非常好的水平每百万行代码也有600到1000个缺陷；如果特别好，每百万行代码的缺陷小于600个。如果是汽车的一亿行代码，意味着可能有1000到5000个漏洞、10万个缺陷，即使其中一个发生问题，就足以让车辆陷入困境。

　　

　　车载电脑的问题

　　电子系统越复杂，软件bug也越多，这是定理。

　　有人指出，特斯拉的控制系统底层架构和电脑差不多，运行时速度可能快于一些车辆的专用系统架构，但在遇到特殊情况时，它就会死机，无法执行某些命令。这或许是为什么特斯拉2020年10月通过OTA推送底层代码推倒重建的全新FSD的原因。整个改掉底层架构，说明之前的设计有重大缺陷。他指出，电子系统操控权高于人为刹车权就很离谱，一个内存错误，1变成0了，可能真刹不住。

　　

　　图源 | The Motley Fool

　　另有网友说，电动汽车是电子系统刹车，由电脑控制刹车，踩下刹车经系统传输处理后判断刹车需求，若车机（车载电脑）短时死机或系统短时未响应，就是事故。电脑再流畅还是会有短暂未响应（算力问题）或丢包现象（数据传送通信带宽问题），人相信了机器，把安全卖给了智能。

　　有人认为，一些新车企明显低估了汽车行业的安全标准，这个行业软件的安全及鲁棒性与普通行业要求有很大不同。汽车故障的后果是全电子控制车辆必须考虑的问题。全软件控制的汽车，一个bug可能就是一次重大事故，必须做好足够的测试。电脑bug可以重启，刹车出了bug，可没机会重启。

　　更专业的人士分析了公布的后台数据、监控画面尾灯不亮等现象指出，特斯拉过于自信，优先逻辑有问题。其自动驾驶优先级大于动能回收及刹车。遇到紧急情况，逻辑出现混乱，自动驾驶功能跟人踩踏板制动力抗衡。动能回收受限时，刹车助力泵失效，也是bug。而像本文开头所述刹车硬到尾灯开关都无法正常工作，应该是软件问题，即其他安全等级高于刹车等级。

　　

　　产品质量控制

　　汽车行业对产品品控的要求非常严格，比如线控底盘故障率要降低到0.0000001%。一家科技公司，也是资本产物，可能缺乏传统车企成熟的路测和品控。传统车企哪怕使用一款没有用过（特别是国产）的小小的传感器调理芯片，也要经过两三年装车测试，即使认识Tier 1的老总也不会高抬贵手。这也是国产芯片难以打入汽车供应链的难点所在。如果零部件有问题，车辆安全性当然无法跟传统车企相比。

　　不管是摄像头技术还是雷达技术，一定要经历过无数次试验和实验，不单是人少的乡村道路，更应该到复杂的环境中测试检验，包括雨雪道路、沙漠道路、城市复杂道路、城乡结合部复杂路况、高速公路、隧道桥梁道路、超高温或超低温环境路况等等，不断修正调校系统。

　　近年来，仓促推向市场的车辆都会有类似问题，最核心的就是测试样本和数据不够多，路测公里数不够。当然，2016年12月，特斯拉称分布全球各地的汽车驾驶里程已经达到35亿英里，不过大多数应该是车主“众筹”出来的，从这些里程数据中又发现了什么呢？

　　

　　刹车相关问题

　　刹车是一个系统，会受多方面因素的影响。有人提出，制动液（刹车油）性能与制动力大小有一定关系。在GB12981中，根据性能指标的高低，HZY3、HZY4、HYZ5制动液分别对应国际（美标）DOT3、DOT4、DOT5三大类。数字越大级别越高，性能越好。

　　

　　不同制动液特性

　　奔驰、宝马等豪车都是使用DOT4制动液，小鹏等也是。特斯拉使用的是DOT3制动液。DOT3为醇醚型，目前大部分车型出厂时已不使用。

　　DOT4一般为酯型，是DOT3的升级版，拥有更高的干沸点（230度），抗水能力更强。价格不贵，目前作为主流市场使用量最多的制动液。博世DOT4制动液干沸点和湿沸点甚至高达265℃和165℃，看来温度很重要。

　　

　　上图：特斯拉；下图：小鹏

　　据介绍，DOT3是长效制动液，一般不用于民用车而用于商用车（特指卡车），特点是稠度高、流动性低，需要140bar才能推到刹车分泵中。140bar是3个普通女生的重量。也就是说如果没有助力，刹车变硬，普通人想刹停很难。

　　还有人分析，是博世线控制动系统iBooster的问题。官方信息是：紧急情况下，iBooster可在约120毫秒内自动建立全制动压力，不仅有助于缩短制动距离，还能在碰撞无法避免时降低撞击速度和对当事人的伤害风险。这恰恰与事故情况相反。

　　此前，东风本田2018款CR-V发生“刹车门”事件被迫召回，官方解释由于供应商设计原因，电子制动助力器控制软件存在问题，在车辆行驶过程中可能产生误判，从而启动制动后备模式，导致制动故障灯点亮及制动踏力增大，存在安全隐患。此后，宝马发布召回，称iBooster马达焊接出现问题导致系统报错进入故障模式失去助力。

　　因此，特斯拉事故不能完全排除iBooster系统的问题。另一种观点认为，iBooster没毛病，应该是软件算法问题，因为不是脚力决定刹车力度，而是电脑分析后决定。的确，iBooster是可以通过软件定义的，虽然没有证据不能随便下结论，但基本能确定是控制软件的问题。退一步讲，知道iBooster曾经召回，为什么用呢？

　　写在最后

　　召回问题车型是万全之策

　　如果特斯拉确定车没有问题，可以像2017年9月埃隆·马斯克回应Twitter网友“特斯拉装了这么多摄像头，我们还要单独购买行车记录仪！希望马斯克能增加这个功能”时说的那样：“该功能将很快推出。”

　　所有新车加装脚下监控系统，所有存量车采用后装。特斯拉车内摄像头（监测车主）本来就有，只是换个位置，没有什么难度，还避免了隐私问题。大家不就都放心继续购买特斯拉，也省得为了事故证据劳民伤财了！

　　- END -