BMW下一代L3级自动驾驶车辆HMI设计方法
BWM下一代L3级自动驾驶电动车
BMW Vision iNEXT提供了对未来个人交通的洞察力。作为宝马集团最新的愿景汽车之一，iNEXT象征着驾驶乐趣新时代的到来，并在2018年洛杉矶车展上进行了全球首演。
BMW Vision iNEXT将突破性的设计与公司战略NUMBER ONE > NEXT中定义的未来活动领域--自动驾驶、互联互通、电气化和服务（统称为 "ACES"）相结合，并回答了这个问题。"当汽车不再需要由人驾驶，但仍然可以由人驾驶时，汽车将是什么样子？"
汽车是我们生活和经验的一个内在组成部分。简而言之，它是人类的一个基本需要。因此，关于未来交通的讨论比以往任何时候都更多地围绕着人、我们的情感以及我们的交通需求和偏好展开。自动驾驶、电气化和越来越大的连接性所提供的可能性，将在未来为全新的体验和汽车旅行方式打开大门。同时，它们也有望改变我们的愿望和生活习惯。
BMW Vision iNEXT的驾驶者可以选择自己驾驶（在 "Boost"模式下）或被驾驶（在 "Ease "模式下）。"Boost "模式使用电力驱动系统，提供高度动态和几乎无声的驾驶体验，并实现零排放。在 "轻松 "模式下，车辆为驾驶者和乘客提供了一个空间，无论是车辆行驶还是停车情景下，使他们能够从事有兴趣活动。
在未来，智能技术将以越来越微妙和不显眼的方式帮助人们。在BMW Vision iNEXT中，这些技术保持在背景和视线之外--因此被称为 " ShyTech"--只有在需要时或在驾驶员或乘客的要求下才会在车辆上应用。
系列化生产的车辆：BMW iNEXT
基于BMW Vision iNEXT（该品牌的新技术旗舰）的量产车型将在未来几年内投入生产。
BMW iNEXT的生产车型将在德国丁格芬工厂下线。随着全电动BMW iNEXT的推出，宝马集团将在自动驾驶（AD）的开发和商业化方面迈出下一步。
该车将提供一些高级驾驶辅助系统（ADAS，见图2）和SAE L3级BMW ADS作为可选设备。这些ADAS功能可以分为以下几个子类别。安全辅助功能、驾驶员舒适功能和驾驶员信息。
|
SAE 级别 |
名字 |
定义描述 |
持续的横向和纵向的车辆运动控制 |
物体和事件检测和响应(OEDR) |
动态驾驶任务接管(DDT接管) |
操作设计域 (ODD) |
|
驾驶员观察监视环境 |
||||||
|
0 |
无自动化 |
驾驶者全时执行动态驾驶任务的所有方面，即使在警告或干预系统的帮助下也是如此。 |
驾驶员 |
驾驶员 |
驾驶员 |
n/a |
|
1 |
驾驶员辅助 |
驾驶员辅助系统利用有关驾驶环境的信息，在特定的驾驶模式下执行转向或加速/减速，并期望人类驾驶员执行动态驾驶任务的所有其余方面。 |
驾驶员和系统 |
驾驶员 |
驾驶员 |
限制的 |
|
2 |
部分自动化 |
一个或多个驾驶辅助系统利用有关驾驶环境的信息，在特定的驾驶模式下执行转向和加速/减速，并期望人类驾驶者执行动态驾驶任务的所有剩余方面。 |
系统 |
驾驶员 |
驾驶员 |
限制的 |
|
自动驾驶系统（系统）监测驾驶环境 |
||||||
|
3 |
有条件自动化驾驶 |
自动驾驶系统在动态驾驶任务的所有方面的具体驾驶模式表现，预期驾驶员将对干预请求做出适当的反应 |
系统 |
系统 |
用户准备接管 (在接管的过程中成为驾驶者) |
限制的 |
|
4 |
高度自动化驾驶 |
自动驾驶系统在动态驾驶任务所有方面的特定驾驶模式表现，即使驾驶员没有对请求干预，系统应做出适当的反应 |
系统 |
系统 |
系统 |
限制的 |
|
5 |
全自动化驾驶 |
自动驾驶系统在人类驾驶者可以管理的所有道路和环境条件下，对动态驾驶任务的所有方面的全时表现。 |
系统 |
系统 |
系统 |
限制的 |
SAE 3级BMW ADS可以识别其性能极限（见第3章。操作设计域（ODD）），并向驾驶员发出接管请求（TOR），有足够的准备时间让驾驶员在达到系统极限之前执行接管（TO）。在不太可能的情况下，如果驾驶员没有在这段时间内接管驾驶任务，SAE L3级BMW ADS会执行风险缓解操作，即尽可能安全地使车辆完全停止（见第5章。回落（最小风险条件））。
然而，有一些驾驶任务不属于SAE L3级系统的义务，因此仍将是驾驶员的责任的一部分。驾驶员将接受有关这些责任的教育：
这些责任包括，但不限于，以下义务：
- 牌照和驾驶证。
- 确保没有对车辆进行改装（如改装）。
- 确保车辆有适合当时驾驶条件的正确轮胎（冬季、夏季），并且这些轮胎处于良好状态。
- 确保车辆总体上处于良好的驾驶状态（例如，雨刷片/挡风玻璃没有裂痕）。
- 驾驶员适合操作车辆（没有药物/酒精损害，没有瞌睡驾驶的风险）。
- 驾驶员有足够的警惕性，在SAE L3级BMW ADS的提示下，能够接管驾驶任务。
人机交互
"人机界面 "可以定义为互动系统（软件或硬件）的所有部分，它们为用户使用互动系统完成某项任务提供必要的信息和控制。应用于ADS，至少人机界面应该能够通过各种指示器告知用户ADS：运行正常，目前正处于ADS模式，目前 "不可用"，遇到故障，和/或要求从ADS向用户进行控制转换。SAE L3级BMW ADS是根据行业最佳实践和标准设计的。总之，人机界面允许用户安全、舒适地使用SAE L3级BMW ADS。
以下部分的范围是描述BMW如何设计、开发、评估、测试和验证我们SAE L3级BMW ADS的人机界面（HMI）。
几十年来，BMW一直在设计车辆的人机界面，以同时提供以客户为导向和无干扰的驾驶体验。随着SAE L3级BMW ADS的推出，用户的驾驶体验将得到进一步加强，当在SAE L3级BMW ADS的运行设计域（ODD）内操作时，他们有机会暂时将动态驾驶任务（DDT）移交给ADS。通过始终让用户了解SAE L3级BMWADS的状态以及他/她作为驾驶员和用户准备接管的责任，车辆的人机界面是实现SAE L3级BMW ADS安全和舒适使用的关键部件。在整个设计和开发过程中，BMW使用最先进的方法来确保实现这一愿景，从驾驶模拟器到试车场的驾驶测试和道路交通的研究。
自愿指导、最佳实践、行业标准、设计原则、内部流程和公司政策
除了相关的标准化文件和美国交通部的联邦自动驾驶汽车政策指导中给出的标准开发活动的综合清单外，在BMW的人机界面开发过程中，BMW考虑并应用了一些相关的指导、最佳实践、行业标准和设计原则。这个内部清单不断更新，以考虑到最先进的科学见解。
同时，BMW依靠自己的内部流程，基于手头预定的自动化水平和预期的驾驶员参与程度。根据SAEJ3016，BMW期望为DDT接管准备的用户能够接受任何L3级BMW ADS发出的干预请求，并作出适当的回应。当驾驶员接管驾驶任务时，SAE L3级BMW ADS应该传达所有必要的交通和环境信息，以确保安全驾驶。因此，BMW为L3级BMW ADS系统的HMI开发和测试实施了一个量身定做的过程。
为了开发一个可理解的、容易使用的、安全的SAE L3级 ADS人机界面，BMW依靠基于ISO 9241 "人机交互的人机工程学 "的反复以人为本的设计过程，这也指导BMW的评估、测试和验证。这个过程的核心是四个相互依赖的以人为本的设计活动。
1. 理解并指定使用的环境
2. 指定用户需求
3. 提出满足这些要求的设计方案
4. 根据这些要求对设计进行评估
BMW还试图通过积极促进自动驾驶的人因研究方法的发展，并参与科学和公共讨论，来扩展现有的知识基础。
人机界面设计
BMW认识到，对于任何仍然依赖人类操作者作为后备用户的系统（见SAE L3级定义），可能存在与驾驶员意识和参与有关的人为因素挑战。因此，BMW的人机界面的可理解性是以安全为主要设计目标对所有操作状态进行评估的。这是在整个设计和开发过程中，通过大量的人机界面评估、经验性和非经验性数据来完成的。同样地，在必要的时候，与其他道路使用者的沟通也被研究。
为了支持用户的准备接管，BMW的系统包括一个驾驶员监测系统，以观察准备接管的用户是否清醒，是否坐在驾驶座上，是否系了安全带。
为了检测司机是否在TOR后接管了驾驶任务，司机监控系统还包括方向盘上的双手检测传感器、转向扭矩传感器和踏板位置传感器。如果驾驶员操作用户界面元素，打开车门，或试图换挡，这也将被传统汽车中使用的标准传感器检测到。
BMW非常注意确保人机界面能够传达每一种操作状态，以及所有与驾驶员相关的额外信息。在这种情况下，如果信息能满足以下一个或多个目标，就被定义为相关信息。
- 旨在改变用户行为的信息（例如，当前的系统状态，如 "L3级BMW ADS激活"，用户不再负责执行动态驾驶任务）。在iNEXT中，SAE L3级BMWADS的激活将通过不同的渠道进行沟通。一旦SAE L3级BMWADS被激活，仪表盘上将出现相应的状态信息（见图4）。当SAE3级BMW ADS被激活时，方向盘将被点亮为蓝色。(请注意：所有显示的图像、符号、图形、HMI元素和文本驾驶员通知都是概念性的，在此仅作说明。)
- 显示系统状态和可能的限制（例如，系统不可用和系统故障）或不同的可能操作模式（例如，SAE一级驾驶辅助或SAE二级ADAS）的信息，用户可能会选择。表2中总结了SAE L3级BMW ADS的一些重要状态。
- 使用户互动更直观的信息（例如，通过方向盘上的按钮图5(b)激活SAE L3级BMW ADS的说明，图5（a），以及确认按下的按钮被接受，系统将被激活，图5（c））。
正如BMW集成到系统中的其他功能一样，其的开发目标是一个易于使用、直观的人机界面，并特别强调驾驶员的安全。
与现有的系统（SAE L0级到SAEL2级）相比，驾驶员必须不断地监视这些功能，SAE L3级BMW ADS可能--暂时--允许驾驶员从驾驶任务中转移注意力，同时仍然要求他/她作为一个可接管的用户。这意味着必须避免出现这样的情况，即驾驶员认为SAE L3级BMW ADS是激活的，而事实上它并没有。因此，实施了以下的设计方案。
- 在L3级激活时，方向盘的颜色编码照明被使用（见图6），以使驾驶员在任何时候都能第一时间意识到他们在驾驶任务中的责任。当SAE L3级BMW ADS处于激活状态并以全部能力运行时，方向盘会被照亮为蓝色。当SAE L3级BMW ADS向准备接管的用户发出TOR时，方向盘的照明在首先显示预警告后变为黄色。如果驾驶员没有及时响应这个TOR，下一个警告阶段将被触发，方向盘将被照亮为红色。
- 用户成功的TO也会通过不同的渠道进行沟通：方向盘的蓝色照明被关闭，并显示一条确认停用的信息，提醒司机他/她的责任，见图7。
- 结合听觉和视觉元素（仪表盘上的图形动画，以及方向盘上强烈明显的照明模式），以确保主动的SAE L3级BMW ADS和所有其他级别的自动化之间的过渡尽可能直观。
- 针对用户所面临的特定场景，优化人机界面的感官部分。
与相关利益方的沟通和合作
BMW致力于不断优化测试和验证方法，并与该领域世界领先的专家进行透明的讨论。因此，与独立的大学和研究机构合作，并在会议和同行评议的科学杂志上发表的方法。还积极参与国家和国际资助的联合研究计划，以推进和支持共同认可的ADS HMI测试和评估方法，如欧盟资助的L3 Pilot项目。
总之，这种方法和BMW的基本流程使其能够开发出L3级BMW ADS，能够在相关操作条件下保持安全，同时提供优质的用户体验。
L3级的使用安全
关于不同级别的自动化程度的车辆（SAE L0-5级），用户的驾驶任务和责任随着自动化程度的提高而改变，也就是说，每个级别对用户提出了不同的要求（比较SAE J3016中按驾驶自动化级别划分的人类驾驶员和自动驾驶系统的角色，如图8所示）。随着SAE L3级自动驾驶系统的引入，模式发生了转变，因为这是第一次车辆操作者在自动驾驶系统启动时不需要监督它。因此，出现了责任分散的情况，这就带来了模式混乱的可能性。最重要的是，L2和L3很有可能被驾驶员混淆，因为两者都影响纵向和横向控制--虽然一个需要持续监督，另一个则不需要（见图9）。在具有不同自动化水平的车辆中（SAE L1、L2和L3或更高），安全功能的一个非常重要和具有挑战性的目标是用户对实际驾驶模式及其附属责任和（驾驶）任务的正确解释。
○ 在模式转换的时刻。
○在一定时间内以相同的自动化模式驾驶。
图8. 白皮书"自动驾驶安全第一 "中描述的用户和ADS在不同驾驶自动化级别中的角色
为了促进第三级功能的安全使用，应该满足以下人机互动的关键要求。
○ 在激活，尤其是停用某种驾驶模式期间，以及在（由驾驶员发起的）从L3级到较低的自动化水平的过渡期间，可靠地检测驾驶员的预期行为（尽量减少假阳性和假阴性）。这一要求是指所有类型的HMI操作，包括远程控制。
○ 以毫不含糊和可理解的方式表明实际的驾驶模式和驾驶员的责任。
○ 促进对实际驾驶模式的自动化的适当信任。
发出醒目且易于理解的接管请求（例如，结合声音和视觉信号），使车辆操作者有足够的时间接管人工控制并重新获得对形势的认识。
监视驾驶员的疲劳状况，并在接管不受驾驶员状况影响的情况下尽早发出接管请求。
这些要求在功能开发和验证阶段被考虑在内。为了确保该功能符合安全的人机互动要求，对不熟悉自动驾驶的对象进行了大量研究，以测试、评估和验证该概念。这意味着受试者对测试中的系统没有经验或事先了解。每个要求都是通过适当的使用来实现的。
每个需求都通过合适的用例和测量标准来实现，这些用例和标准展示了用户如何在驾驶环境中处理任务。根据研究问题和相关用例，研究在驾驶模拟器或真实的汽车环境中进行。
这些实证研究与经验丰富的人因研究人员的持续专家评估一起，有助于在开发阶段对概念进行稳步改进和优化，并为客户提供安全使用的功能。