无人驾驶车辆测试过程中所发生自动驾驶功能退出案例的分析

近日，加州机动车管理局公布了今年提交了自动驾驶汽车退出报告的企业，有52家公司提交了该报告，其中国内企业有百度、景驰等。对于这份报告，大部分人只注重接管次数，并没有去深入的分析。而今天这篇文章，以2016年提交的报告为例,详细分析和比较了不同原因诱发的自动驾驶退出案例，调研了这些事件中相应的人工接管机制与时间，并对OEM、制造商和政府组织提供了一些建议，其分析调研方法值得借鉴。

无人驾驶车辆测试过程中所发生自动驾驶功能退出案例的分析

吕辰1，曹东璞1，赵一帆1，DanielJ. Auger1，Mark Sullman1，王化吉1，Laura Millen Dutka2，Lee Skrypchuk2，Alexandros Mouzakitis2

1 .英国克兰菲尔德大学航空航天、运输和制造学院
2 .捷豹路虎，考文垂，英国

Analysis of Autopilot Disengagements Occurring during Autonomous Vehicle Testing

Chen Lv1, Dongpu Cao1,Yifan Zhao1, Daniel Auger1, Mark Sullman1,Huaji Wang1, Laura Millen Dutka2, Lee Skrypchuk2 and Alexandros Mouzakitis2

1. School of Aerospace, Transport and Manufacturing, Cranfield University, UK
2. Jaguar Land Rover, Coventry, UK

I 引言

近年来，自动驾驶技术受到了来自学术界和工业界的广泛关注[1]-[5]。虽然纯无人驾驶是技术发展的“终极目标”，然而在部分特定工况下能够实现自主行驶功能的“高度自动化驾驶”车辆HAVs（highly automated vehicles）则可能在未来几年更快到来。依据美国汽车工程师学会SAE对车辆自动化程度6级划分的定义，2级（L2）和3级（L3）自动驾驶代表了驾驶员辅助与车辆高度自动化之间的过渡区域，而这也是当前企业和科研院所的研发重点之一。

在L2、L3自动驾驶中，当车辆的自动控制系统遇到故障或极端状况无法自主处理驾驶任务时，自动控制功能将会“退出”（Disengagement）并将车辆控制权交还给驾驶员。因此，自动驾驶功能的退出机制以及人工接管控制品质，对保证车辆安全性与舒适性至关重要的，这亦给自动驾驶人机交互系统的设计带来了巨大挑战。面对上述挑战，研究人员已从不同角度探索了包括高级驾驶辅助系统(ADAS)以及人机界面(HMI)在内的许多设计、控制方法[9]-[12]。然而，在真实公共交通测试场景中，自动驾驶功能的退出及人工接管控制的案例则鲜有报道与研究。

美国加州为以鼓励自动驾驶技术发展，开放了汽车制造商在公共道路上进行自动驾驶测试的权限。对于自动驾驶测试，加州机动车管理局（DMV，Department of Motor Vehicles）规定要求每一个在该州的公共道路上进行测试的汽车制造商车辆须提交一份年度报告，总结测试过程中所经历的所有自动驾驶退出Disengagement事件，这些“自动驾驶退出报告”（下文简称“退出报告”）于每年1月1日公布。7家制造商，包括博世、德尔福、谷歌、日产、梅赛德斯-奔驰、大众以及特斯拉等公司在2016年1月1日前分别提交了他们各自第一次的退出报告[13-19]。为了更好地了解现阶段研发过程中自动驾驶功能退出的诱发原因，以及手动接管过程中人机交互机制，从而进一步完善自动驾驶系统的设计，本文综述总结了上述7个制造商公开提交的自动驾驶退出报告。对不同原因诱发的自动驾驶退出案例进行了详细的分析和比较，调研了这些事件中相应的人工接管机制与时间。

II. 自动驾驶退出报告概览

2.1 自动驾驶退出的定义
加州机动车管理局DMV规定，需要报告的自动驾驶退出事件包括：由自动驾驶系统检测到故障而触发的自主模式失效，以及为保障车辆运行安全由测试驾驶员触发的自主模式退出及其相应的人工接管操作[20]。

注：以上定义是为了确保制造商不报告任何常规或日常必要的自动驾驶退出事件。且由于被报告的自动驾驶退出事件均由人工立即接管，因此其应对的自动驾驶技术应归于SAE分级中的L2自动化，而非L3 (车辆3级自动化须能够提供给驾驶员足够舒适的切换时间来实现人工接管)。

2.2 自动驾驶退出的分类
根据以上定义，自动驾驶退出事件可以分为以下两种不同类型：

1)被动退出PDE (Passive Disengagement)
当自主驾驶相关技术检测到故障无法继续执行时，自动驾驶模式被迫退出、断开控制，且要求驾驶员立即人工接管。

2)主动退出 ADE (Active Disengagement)
自动驾驶控制系统未检测到任何故障，但驾驶员监控运行工况时为保证车辆安全行驶采取人工干预，主动触发自动驾驶模式的退出，实现对车辆的手动接管控制。

2.3 自动驾驶测试及退出事件报告概览
以下列出了7家制造商(以字母A-G表示)在加州公共道路上自动驾驶测试里程数。
1)制造商A报告自动驾驶里程数424,331英里，包含341次自动驾驶退出事件[15];
2)制造商B报告自动驾驶里程数16662英里，包含405次自动驾驶退出事件 [14];
3)制造商C报告自动驾驶里程数14945英里，包含261次自动驾驶退出事件 [18];
4)制造商D报告自动驾驶里程数1739英里，包含1031次自动驾驶退出事件[17];
5)制造商E报告自动驾驶里程数1485英里，包含106次自动驾驶退出事件[16];
6)制造商F报告自动驾驶里程数935英里，包含625次自动驾驶退出事件[13];
7)制造商G报告在公共街道上未进行自动驾驶，无自动驾驶退出事件[19]。



图1. 6个制造商在加州公共道路测试里程统计

基于图1的统计结果，A公司在公共道路上的自主车辆测试里程遥遥领先。随着自动驾驶技术的不断发展和完善，对于大多数的制造商来说，每个月发生的自动驾驶退出事件数量随着时间的推移逐渐减少，如图2所示。



图2. 6个制造商发生自动驾驶退出事件的月度统计

环境因素对自动驾驶车辆运行至关重要。在不同环境条件下（包括不同的地点、天气、路面类型等因素）实现全自主驾驶，要求自动驾驶技术足够的智能与鲁棒，以处理所有可能遇到的运行工况 [21,22]。退出报告中所涉及的道路环境状况综述如下：

1)地点：街道、州际公路、高速公路、乡村道路、停车场。
2)天气：晴朗、多云、雨天、晴朗夜晚 [16]。
3)路面状况：干燥、潮湿、有洞或凸起等不佳状况路面[17]，车道线不清晰，路面交通标记褪色不清，以及新铺路面[14]。

为了综合全面评价自动驾驶测试里程及功能退出事件，采用“英里/ 每次退出”（miles per disengagement, MPD）作为自动驾驶技术成熟度的评价指标。MPD定义如下：
MPD = S / n（1）

其中，S表示自动驾驶测试里程，n表示测试期间发生的自动驾驶退出次数。

根据图3中的统计结果，2015年底，制造商A的MPD值稳定保持在3000左右，表征自动驾驶车辆自主行驶3000英里（约4800公里）会出现1次功能退出事件，而其他公司的MPD值基本在100以内。



图3. 6个制造商MPD值的月度统计

基于上述统计的MPD值，我们定义了两个阶段来表示制造商自动驾驶技术的成熟度：

阶段1：MPD值低于2000，表示自动驾驶研发处于初级阶段，自动化系统的基本功能需要完善和改进。

阶段2：MPD值高于2000，表示自动驾驶技术具备较高成熟度，接近高度自动驾驶。

据此，退出报告所涵盖的六家厂商可以清楚地分为在自动驾驶技术开发中不同成熟度阶段的两类：
1) I阶段制造商: B、C、D、E、F;
2) II阶段制造商: A。

III自动驾驶功能退出的主要原因分析

诸多因素会影响自动驾驶控制，并导致功能退出。这些原因包括(但不限于)如下表三和图4所列：

表I 不同类型自动驾驶退出的诱因





图4 被动退出 PDEs和主动退出ADEs的主要诱因

3.1 被动退出 PDE的典型原因

1)硬件问题
硬件元器件失效或未按预期执行工作，一些典型的报告原因如下：车辆控制器发生故障；传感器、导线、执行机构和其他物理设备损坏[16]。

2)软件问题
软件故障涵盖了环境感知、物体识别、车辆定位、决策、路径规划、轨迹生成、纵横向控制等诸多方面的问题。报告的一些典型原因包括：错误识别了障碍障碍物[15]；另一辆车从侧面接近但未被感知[16]；识别系统失去了前车轨迹[16]；目标路径生成失败[16]；定位故障 [16]；等等。

3) 天气条件
测试过程中出现的天气条件因素导致自动驾驶功能退出，典型原因例如：照明条件差导致交通信号灯检测故障[16]；阳光过强导致对象检测失败[17]；雨、雪、雾等导致能见度差；过热或过冷的温度，等等。

4) 路面条件
由于路面状况不佳，导致自动驾驶功能关闭，典型原因例如：道路有洞或凸起[17]；褪色的路面标记、刚铺好的路面，等等。

3.2 主动退出ADE的典型原因
主动退出的典型原因包括软件限制、硬件问题、遇有紧急情况和预防性人工干预等。详细描述和相关的示例案例如下。

1)软件的局限性
虽然自动驾驶系统没有检测到故障，但由于其自身能力限制无法处理复杂情况下的高级驾驶任务，或由于软件的限制而导致的物体感知、车辆的轨迹、行为等不理想，使得人工主动介入干预，导致自动驾驶功能退出。一些典型的案例如：在拥挤交通环境下换道[14]；十字路口过多行人和车辆使得自主系统难以决策控制[16]；自动驾驶车辆过于靠近停着其他车辆[15]；未识别停止的前车，未能有效减速，于是司机主动接管，采取制动操作[16]，等等。

2)硬件问题
硬件故障使得司机感到需要立即人工干预控制车辆。

3)紧急情况
紧急情况下，驾驶员出于安全性的考量主动接管车辆的控制权限。典型案例包括：出现急救车辆[14][15](为了解决此问题，谷歌提出了一个检测和应对紧急车辆的方法[23])；道路出现交通事故[13]，等等。

4)预防性干预
为了避免由于路面状况不佳等原因导致自动驾驶功能退出，驾驶员采取的预防性人工干预措施，例如：避开前方施工区域[13]-[17]；避让自行车骑行者，为其提供足够空间；为保障行人安全而采取的预防性措施[14]；确保车辆在恶劣天气条件下的安全行驶[17]。

IV 制造商案例研究

4.1 成熟度II阶段制造商退出案例分析
为更好的理解自动驾驶技术的发展历程，我们首先分析成熟度领先、处于II阶段的制造商A的相关自动驾驶退出案例。

1)概述
如图5数据显示，对制造商A而言被动退出PDE占所有退出事件的主导地位。2015年5月前，以每月近50起退出案例的比率增加，而随后PDE数量开始大幅下降，稳定的保持在每月20例以下，说明其自动控制技术逐渐完善。与之形成对比的是，其主动退出ADE的数量保持稳定，每月不超过10例。



图5 制造商A 被动与主动退出月度数量统计

图6显示，总体而言随着时间的推移，每出现一次退出事件的自动驾驶里程数在稳步增加。从2014年第四季度到2015年第四季度，自动驾驶退出频次从744英里/次下降到2800英里/次。具体来说，被动退出PDE频次和主动退出ADE频次分别从2014年第四季度的1026英里/次和3398英里/次下降到2015年第四季度的5749英里/次和6878英里/次。这进一步印证了制造商A自动驾驶技术在这一时期所取得的显著提升。



图6 制造商A 每出现一次退出事件的自动驾驶里程月度统计

2)被动退出PDE案例详细分析

仔细查看数据，导致被动退出PDE的主要原因可以分为四类：硬件问题、软件故障、天气状况和路面情况。如图7所示，软件故障是PDE的主要诱因。软件问题主要包括感知、决策和控制的故障，是自动驾驶技术发展初级阶段的问题。然而PDE数量及其软件故障在2015年4月以后显著下降，表明相应技术在不断完善和发展。



图7 制造商A 被动退出事件PDE月度统计

根据图8可以进一步清楚地看出，在整个年度的测试过程中，软件问题占据4个PDE主要诱因的80%以上。此外，硬件故障、恶劣天气和路况因素的比例分别为13.97%、4.04%和0.37%。



图8 制造商A被动退出PDEs不同诱因比例统计

3)主动退出ADE案例详细分析

如图9所示，每个月主动退出ADE案例主要的原因是软件因素。在这一年度里软件问题导致的ADE数量并没有明显减少，这是因为导致ADE的软件问题通常对应于L3及以上的自动驾驶功能，短期内难以迅速完善。除此之外，紧急事件和预防性干预所造成的自动驾驶退出的本质也与软件功能的局限性密切相关。由于目前的自动驾驶技术还不够智能和鲁棒，在复杂工况下，软件缺乏处理紧急、高级驾驶任务的能力。因此，驾驶员在某些情况下须进行人工干预以保证行驶安全。



图9 制造商A 被动主动退出事件ADE月度统计

图10显示软件问题占ADEs事件诱因超过75%的比例，连同紧急情况和预防性干预措施一起占了ADEs事件诱因的98%以上。



图10 制造商A主动退出ADEs不同诱因比例统计。

4.2 成熟度I阶段制造商退出案例分析

为了在更大量数据集基础上找到共性和特征，将成熟度为I阶段的制造商出现的自动驾驶退出事件联合起来共同分析。

1)概述
据图11显示，自动驾驶被动退出事件PDE自2014年四季度到2015年四季度的所有退出案例中占主导地位。然而自2015年1月以来，PDE的绝对数量稳步下降到50次/月以内。



图11 I阶段制造商被动与主动退出月度数量统计

然而如图12所示，考虑到自动驾驶距离的因素，这5家I阶段成熟度的制造商在公共道路上自动驾驶测试总里程还不及A公司的1/10。因此，自动驾驶退出事件的出现频次高达10英里/次(制造商A: 约2800英里/次)，这清楚地显示了在自动驾驶技术成熟度上的差距，亦表明了高度自动驾驶技术开发过程中进行道路测试的重要性。



图12 I阶段制造商每出现一次退出事件的自动驾驶里程月度统计

2)被动退出PDE案例详细分析
如图13所示，在I阶段制造商中，诱发PDEs的最主要原因是软件故障，但其他三个因素在每个月均对PDEs事件的发生有贡献。



图13 I阶段制造商被动退出事件PDE月度统计

根据图14所示饼图，天气条件和路面状况分别占PDE案例出现诱因的9%以上，说明这些制造商的L2、L3技术开发方面仍存不足。



图14 I阶段制造商被动退出PDEs不同诱因比例统计

3)主动退出ADE案例详细分析
基于图15所示的数据，与制造商A类似，软件故障亦是I阶段制造商自动驾驶主动退出事件ADE的最主要原因。正如前面提到的，紧急情况和预防性干预所引起的功能退出与软件能力密切相关。



图15 I阶段制造商主动退出事件ADE月度统计

对于I阶段制造商而言，这三个原因几乎占据了ADEs事件诱因100%的比率(见图16)。这一现象印证了发展高级自动驾驶技术的难度，亦说明了其现有技术水平与高级自动化目标之间存在着巨大的差距。



图16 I阶段制造商主动退出ADEs不同诱因比例统计

V 人工接管机制与时间

依据加州DMV的测试要求，只要出现自动驾驶系统无法处理的情况，测试车驾驶员必须以安全的方式立即接管驾驶任务。对各个制造商所设置的人工干预机制以及接管控制时间进行研究，可以帮助我们更好地理解对驾驶员注意力回归驾驶任务时间点所应有的要求，并据此去设计合理的切换控制系统及算法。

5.1人工接管机制
人工接管操作可以由自动控制系统请求、驾驶员响应，也可以由驾驶员人工控制输入直接触发。

1)接管请求信号
接管请求通常是在系统检测到故障无法处置之后，通过听觉、视觉反馈信号来提示驾驶员立即介入操作、接管车辆控制。

2)接管操作
在收到自动控制系统的接管请求，或当驾驶员想主动干预车辆控制时，车辆驾驶权限的交接可以由驾驶员通过动作触发，包括按下自动/手动控制切换开关、操纵方向盘、刹车或油门踏板等。各制造商测试车辆接管控制机制概述如下。

制造商A：发出一个独特的音频和视觉信号，表明需要驾驶员立即接管[15]。
制造商B：任何硬件故障会触发蜂鸣信号，提醒驾驶员需要手动接管。测试过程中，车辆驾驶员必须一直将一只手放在方向盘上，另一只手放在中控台自动/手动切换开关上。按下该开关将切断自动驾驶系统的电源及自动执行机构(油门、转向、刹车及档位)，并允许操作员立即接管[14]。
制造商E：驾驶员接受到技术故障提醒，或驾驶员主动通过对刹车、油门、转向的输入触发自动驾驶退出，实现人工接管[16]。
制造商F：当发生自动驾驶退出时，驾驶员会立即收到声音和视觉上的提示信号，须立即采取接管措施。然而，重新介入的人工控制并不一定意味着驾驶员必须在方向盘、刹车或油门踏板上立即可测量的输入[13]。
制造商G：接管警告是基于视觉和听觉信号设计的。自动驾驶系统不会试图对车辆采取减速操作，当看到或听到警告信号时，驾驶员有责任立即采取措施，通过踩下刹车或将自适应巡航控制杆回位[25]，触发自动驾驶模式的退出，进而实现人工接管。

5.2 接管时间
总体而言，接管时间可以定义为自驾驶员收到技术故障、人工干预请求信号起，至其对车辆进行手动控制为止，所花费的时间[15]。目前没有一种统一的技术标准与方法来测量这一接管过程时间。此外，制造商提高的报告亦没有充分描述他们记录接管时间数据的方法。在表IV中展示了每个制造商自动驾驶退出事件所报告相关接管时间的统计结果。

表II自动驾驶退出事件所报告相关接管时间的统计结果


制造商A：测试驾驶员针对人工接管接受了专门的训练与准备，平均响应时间为0.84秒[15]。
制造商B：在报告中部分有记录的接管时间均小于 1s (无具体时间)，剩余被记为N/A[14]。
制造商C：平均接管时间为3.06s[18]。
制造商D：平均接管时间为0.875s[18]。
制造商E：大部分记录值平均不到1 s。在所有驾驶者主动干预的情况下中，时间被记录为0；在几乎所有的自动控制系统故障情形下，时间被记录为<1。
制造商F：无法测量每一个自动驾驶退出时间，因为并不是所有的接管情况下需要施加可测输入。因此，采取的安全方法为，模拟在一个特定的自动驾驶测试场景，让驾驶员不断训练人工接管过程，只有通过训练的驾驶员才能驾驶测试车辆，他们会不断地监控车辆的运行情况。这种安全方法已由独立的第三方安全组织进行审查[13]。

注：虽然报告的大部分接管时间的平均值在1秒内，但自动驾驶权限的交接及其切换控制绝非一件容易完成的简单任务。在所有报告的自动驾驶车辆测试中，驾驶员均训练有素、经验丰富，且集中注意力、随时准备接管车辆控制。然而，在日常生活中，我们不能保证所有的司机都经过良好的训练、以及保有足够的注意力来立即恢复人工控制。此外，驾驶场景、驾驶员认知负荷、注意力、疲劳状况、对周围状况的感知等，均对其接管控制有很大的影响。因此，如何准确的在线实时监测驾驶员状态、评估其接管能力，及HMI的设计，仍然是需要不断探索的重要挑战[17]。

VI 讨论与建议

6.1 讨论

自动驾驶功能退出是反映自动驾驶技术成熟度的一个关键指标。在上述分析的基础上，我们认为不同类型的自动驾驶退出事件与高级自动驾驶技术的成熟度可以相对应。如图17所示，PDE和ADE可嵌入到L2和L3自动驾驶的技术特点与要求中去。具体来说，PDE对应于L2自动驾驶研发的初级阶段。充分解决PDE故障可使制造商技术水平达到成熟的L2自动驾驶阶段。而在PDE之外，ADE的案例则可以映射到L2自动驾驶技术发展的高级阶段。ADE的主要诱因表明，解决面向高度自动驾驶的技术问题是更加困难的。如果这些问题能够得意妥善解决，那么自动驾驶技术应接近或达到了L3自动化的程度。



图17 自动驾驶退出事件与自动驾驶技术水平之间的映射关系

6.2 建议
在上述分析的基础上，为了帮助进一步完善自动驾驶技术，尤其是L2和L3车辆自动化，以下为OEM、制造商和政府组织提供了一些建议。

1)针对OEM的建议
根据分析，PDE和ADE的主要原因是软件问题，其涵盖了感知、决策、路径规划和车辆控制的诸多方面的问题。随着车辆自动化程度的提高，软件的功能、性能和鲁棒亟待提升。OEMs应该遵循系统工程方法的软件设计和验证过程，目标是设计出不存在不合理安全风险的HAV系统。同时，如NHTSA建议，OEMs应关注人工智能、机器学习等相关软件技术和算法的演变、实施和安全评估，以提高HAVs的有效性和安全性[6]。

此外，了解人机之间的交互作用是非常重要的。尤其是L2和L3系统中，驾驶员必要时需返回驾驶任务，但是其接管能力可能受到主客观多重因素的影响，OEMs应该考虑如何将对驾驶员注意力、意图和任务参与度的监控纳入软件系统。此外，HAVs将如何向周围环境、及交通参与者发出信号，这些因素也应该被OEMs考虑。

2)针对制造商的建议
制造商应该根据SAE发布的自动驾驶分级定义，适当地确定其系统的自动化级别。对于所有的HAV系统，制造商应确保其HMI设计的合理性、适当的碰撞/乘员保护已被考虑、消费者的教育和培训已经得到解决[6]。

尤其是在处理人工接管是，制造商应该有能保证自动驾驶车辆在遇到问题时能够过渡到最小风险条件下运行。在道路上运行的HAV应该能够及时准确的检测到系统的故障，并告知人类驾驶员，使驾驶员能够尽可能快速、安全的接管车辆控制。相应控制策略亦应该考虑到驾驶员可能存在分心、受酒精或其他物质影响的情形。应以有利于车辆安全操作和尽量减少不稳定驾驶行为的方式来管理驾驶权，同时也应尽量减少驾驶员在接管过渡过程、决策过程中出现错误的影响。除此之外，自动驾驶退出事件及相应的人工接管控制也应该在出现后进行充分的分析和利用[15]。

3)针对政府组织的建议
政府组织在促进车辆自动化方面发挥着重要作用，例如确保安全部署，并促进相应的安全保证机制。为了帮助发展和完善自动驾驶技术，各国政府应对自动驾驶车辆保留其对车辆登记许可、交通法规和执法、以及机动车保险、责任制等传统职责。此外，应该建立、升级更多的测试区域和设施，以支持自动驾驶技术的发展[6]。须开展充分的教育和培训活动，以确保自动车辆的安全部署。除了制造商和其他实体，政府机构也应开发和组织相关活动，如教育和培训、研讨会、及自动驾驶车辆示范运行，以帮助公民了解自动驾驶车辆的基本原理、与传统汽车使用和操作方面存在的差异等。

【参考文献】
[1] F.Y. Wang. “Control 5.0: from Newton to Merton in popper's cyber-social-physical spaces”. IEEE/CAA Journal ofAutomatica Sinica, 3(3), 233-234, 2016.
[2] M. Da Lio, F. Biral, E.Bertolazzi, M. Galvani, P. Bosetti, D. Windridge, and F. Tango, “Artificialco-drivers as a universal enabling technology for future intelligent vehicles and transportation systems”, IEEE Transactions on intelligent transportationsystems, 16(1), 244-263, 2015.
[3] L. Li, Y. Lv, and F. Y. Wang,"Traffic signal timing via deep reinforcement learning," IEEE/CAAJournal of Automatica Sinica, 3(3), 247-254, 2016.
[4] T. Qu, H. Chen, D. Cao, H. Guo,and B. Gao, "Switching-based Stochastic Model Predictive Control Approach for Modeling Driver Steering Skill," IEEE Transactions on Intelligent Transportation Systems, 16(1), 365-375, 2015.
[5] G. Xiong, F. Zhu, X. Liu, X.Dong, W. Huang, S. Chen, et al., "Cyber-physical-social system in intelligent transportation," IEEE/CAA Journal of Automatica Sinica, 2(3),320-333, 2015.
[6] National Highway Traffic Safety Administration, “Federal Automated Vehicles Policy, Department of Transportation”,pp. 1-112, 21 Sep., 2016.
[7] SAE On-Road Automated Vehicle Standards Committee, “Taxonomy and definitions for terms related to on-roadmotor vehicle automated driving systems”, 2014.
[8] National Highway Traffic Safety Administration,"Human factors evaluation of level 2 and level 3 automated driving concepts," pp. 1-300, 2015.
[9] M. Johns, B. Mok, D. Sirkin, N.Gowda, C. Smith, W. Talamonti, W. Ju, “Exploring shared control in automateddriving”. 11th ACM/IEEE International Conference on Human-Robot Interaction,IEEE, 2016.
[10] L. Lorenz, P. Kerschbaum, J. Schumann,"Designing take over scenarios for automated driving: How does augmented reality support the driver to get back into the loop?." Proceedings of the Human Factors and Ergonomics Society Annual Meeting, 2014.
[11] B. Mok, et al. "Emergency,Automation Off: Unstructured Transition Timing for Distracted Drivers ofAutomated Vehicles." International Conference on Intelligent Transportation Systems. IEEE, 2015.
[12] C. Lv, Y. Liu, X. Hu, H. Guo,D. Cao, F.-Y. Wang, "Simultaneous Observation of Hybrid States for Cyber-Physical Systems: A Case Study of Electric Vehicle Powertrain," IEEETransactions on Cybernetics, 2017.
[13] Robert Bosch, LLC, "Annualreport of autonomous mode disengagements", 18 Dec., 2015. https://www.dmv.ca.gov/portal/wcm/connect/e1e48704-583e-4cfd-aa9a-fa464cb6903d/bosch_disengagement_report.pdf?MOD=AJPERES(Accessed: 21 Sep. 2016)
[14] Delphi Automotive Systems, LLC,"Summary of Autonomous Vehicle Disengagements", 1 Jan., 2016. https://www.dmv.ca.gov/portal/wcm/connect/851838fb-da8b-45da-bd95-ae0451de988/delphi_disengagement_report.pdf?MOD=AJPERES(Accessed: 21 Sep. 2016)
[15] Google Auto, "Googleself-Driving car testing report on disengagements of autonomous mode",Dec., 2015. https://www.dmv.ca.gov/portal/wcm/connect/dff67186-70dd-4042-bc8c-d7b2a9904665/google_disengagement_report.pdf?MOD=AJPERES(Accessed: 21 Sep. 2016)
[16] Nissan North America, Inc,"Nissan Autonomous Vehicle Disengagement Report 2015", 23 Dec., 2015.https://www.dmv.ca.gov/portal/wcm/connect/0170b0e7-7992-45f6-918d-8d3cc5bce9ee/nissan_disengagement_report.pdf?MOD=AJPERES
[17] Mercedes-Benz R&D North America,"Disengagements of autonomous vehicle system", 17 Dec., 2015. https://www.dmv.ca.gov/portal/wcm/connect/3e78951e-5501-412b-ada96ad7fdcb9b82/mercedesbenz_disengagement_report.pdf?MOD=AJPERES(Accessed: 21 Sep. 2016)
[18] Volkswagen Group of America, "Volkswagen Group ofAmerica, Inc.’s Disengagement Reports", 31 Dec., 2015. https://www.dmv.ca.gov/portal/wcm/connect/2ce9a481-e91c-408c-98069df33c3a65de/volkswagen_disengagement_report.pdf?MOD=AJPERES(Accessed: 21 Sep. 2016)
[19] Tesla Motors Inc, "Reporting Disengagement ofAutonomous Mode", 1 Jan., 2016. https://www.dmv.ca.gov/portal/wcm/connect/d4114e78-4c45-4328-a6b9-428e400bf067/tesla_disengagement_report.pdf?MOD=AJPERES(Accessed: 21 Sep. 2016)
[20] California DMV, "Final Statement of Reasons",2016. https://www.dmv.ca.gov/portal/wcm/connect/70791ede-d798-4628-b3a964acebcb881/final_sor.pdf?MOD=AJPERES&amp;CONVERT_TO=url&amp;CACHEID=70791ede-d798-4628-b3a9-764acebcb881(Accessed: 21 Sep. 2016)
[21] K. Kritayakirana, J. C. Gerdes,"Autonomous vehicle control at the limits of handling," International Journal of Vehicle Autonomous Systems, 10, 271-296, 2012.
[22] C. Urmson, J. Anhalt, D. Bagnell,C. Baker, R. Bittner, M. N. Clark, et al., "Autonomous driving in urban environments: Boss and the Urban Challenge," Journal of Field Robotics,25, 425-466, 2008.
[23] Y. Tian, W.Y. Lo, and D.Ferguson. "Real-time active emergency vehicle detection." U.S. Patent Application No. 14/471,640, 2014.
[24] Iso, I. S. O. "26262: Roadvehicles-Functional safety." International Standard ISO/FDIS 26262, 2011.
Tesla Motors Inc, "Tesla Model S - Owner's Manual". https://carmanuals2.com/tesla/model-s-2016-owner-s-manual-89478(Accessed: 21 Sep. 2016)

作者简介
吕辰：现任英国克兰菲尔德大学先进车辆工程中心博士后研究员。2016年1月博士毕业于清华大学汽车工程系，加州大学伯克利分校联合培养博士。研究方向包括自动驾驶、人车协同、智能电动汽车协同优化、电驱动车辆设计与控制。

曹东璞：现任加拿大滑铁卢大学副教授、博导，曾任英国克兰菲尔德大学讲师、驾驶员认知与自动驾驶实验室主任。在汽车动力学与控制，自动驾驶与平行驾驶领域发表论文120余篇、合编1本英文专著及1项美国专利，获2010 ASME AVTT国际会议最佳论文奖和2012 国际汽车工程师学会SAE Arch T. Colwell Merit Award。近5年作为项目总负责人，在研智能车项目从英国自然基金和欧盟地平线2020等获超过300万英镑资助。目前担任 IEEE Trans on Vehicular Technology，IEEE Trans on Intelligent Transportation Systems，IEEE/ASME Trans on Mechatronics，IEEE Trans on Industrial Electronics，ASME Journal of Dynamic Systems, Measurement, and Control，IEEE/CAA Journal of Automatica Sinica，Intl J of Vehicle Design 等国际期刊副主编，国际汽车工程师学会（SAE）汽车动力学国际标准委员会投票委员，第29届国际智能车大会（IEEE IV 2018）程序共同主席。

赵一帆：现任英国克兰菲尔德大学制造系讲师。2007年博士毕业于英国谢菲尔德大学自动控制与系统工程专业。研究方向包括计算机视觉、非线性系统识别、驾驶员行为监测。

Daniel J. Auger：现任英国克兰菲尔德大学先进车辆工程中心讲师。博士毕业于英国剑桥大学。研究方向包括先进控制方法及其应用、电池系统建模、系统状态估计、鲁棒控制。

Mark Sullman ：现任塞浦路斯中东技术大学教授，曾任英国克兰菲尔德大学高级讲师。博士毕业于新西兰梅西大学。研究方向包括先进控制方法及其应用、电池系统建模、系统状态估计、鲁棒控制。研究方向包括驾驶员行为、人因工程、及认知心理学。

王化吉：现任英国克兰菲尔德大学先进车辆工程中心博士后研究员。2016年博士毕业于英国剑桥大学工程系。研究方向包括自动驾驶、人车协同。

Laura Millen Dutka ：现任英国捷豹路虎公司人机界面技术工程师。

Lee Skrypchuk：现任英国捷豹路虎公司人机界面技术工程师。

Alexandros Mouzakitis ：现任英国捷豹路虎公司电力电子与软件工程研发部主任。