[首發(fā)于智駕最前沿微信公眾號(hào)]在傳統(tǒng)燃油車(chē)時(shí)代，汽車(chē)召回大多數(shù)圍繞著如剎車(chē)、氣囊、燃油系統(tǒng)這些直接關(guān)系到車(chē)輛機(jī)械性能和碰撞安全等物理零部件。車(chē)子出問(wèn)題了，換個(gè)零件或修一修，很多情況就能解決。到了自動(dòng)駕駛時(shí)代，車(chē)不僅僅是機(jī)械設(shè)備，更像一臺(tái)裝了大量傳感器、復(fù)雜軟件和網(wǎng)絡(luò)連接的移動(dòng)計(jì)算平臺(tái)。這個(gè)轉(zhuǎn)變讓“車(chē)輛出問(wèn)題”的類(lèi)型和傳播方式發(fā)生了根本變化，也把召回的范疇從“硬件更換”擴(kuò)展到“軟件修補(bǔ)、策略調(diào)整、數(shù)據(jù)更新與網(wǎng)絡(luò)安全”等多個(gè)層面。正因?yàn)檫@樣的變化，召回在自動(dòng)駕駛時(shí)代比以往任何時(shí)候都更重要，需要被更嚴(yán)肅地對(duì)待。

自動(dòng)駕駛汽車(chē)故障有何特點(diǎn)？

自動(dòng)駕駛系統(tǒng)工作的核心依賴是感知、定位、決策與執(zhí)行四個(gè)環(huán)節(jié)。感知依靠攝像頭、激光雷達(dá)、毫米波雷達(dá)等多種傳感器把外界轉(zhuǎn)化為數(shù)字信號(hào)；定位依靠高精度GNSS、慣導(dǎo)、實(shí)時(shí)差分或高精地圖把車(chē)輛精確放到世界坐標(biāo)系中；決策層把感知和定位信息變成可執(zhí)行的軌跡或控制指令；執(zhí)行則是車(chē)身控制器、制動(dòng)與轉(zhuǎn)向系統(tǒng)把指令變?yōu)閯?dòng)作。任何一個(gè)環(huán)節(jié)出問(wèn)題，都可能導(dǎo)致車(chē)輛表現(xiàn)異常，嚴(yán)重時(shí)甚至?xí)斐砂踩L(fēng)險(xiǎn)。不同于傳統(tǒng)零部件問(wèn)題，軟件與數(shù)據(jù)問(wèn)題常常與場(chǎng)景依賴、概率事件和時(shí)序相關(guān)，難以通過(guò)簡(jiǎn)單的靜態(tài)檢驗(yàn)發(fā)現(xiàn)和復(fù)現(xiàn)。這就要求我們?cè)谡倩貢r(shí)，不僅要告知“哪里壞了”，還要說(shuō)明“在什么條件下會(huì)壞、壞的概率多高、怎么修復(fù)才穩(wěn)定”。

自動(dòng)駕駛系統(tǒng)特別依賴海量數(shù)據(jù)與在線更新機(jī)制。很多廠商會(huì)通過(guò)OTA（空中下載）來(lái)推送算法改進(jìn)、地圖更新或安全補(bǔ)丁，這本來(lái)是提升系統(tǒng)能力和修復(fù)問(wèn)題的便利手段。但OTA也可能會(huì)帶來(lái)了新的風(fēng)險(xiǎn)，一次不充分測(cè)試的更新可能在特定環(huán)境中引入新的故障；一次地圖數(shù)據(jù)更新可能忽略局部施工信息導(dǎo)致導(dǎo)航在該區(qū)域異常；算法調(diào)整在某些邊緣場(chǎng)景下可能放大誤判概率。這些風(fēng)險(xiǎn)不像傳統(tǒng)零部件故障那樣可見(jiàn)和穩(wěn)定，不少問(wèn)題需要依賴車(chē)輛運(yùn)行日志、傳感器原始數(shù)據(jù)和仿真復(fù)現(xiàn)來(lái)定位原因。因此，自動(dòng)駕駛時(shí)代的召回不僅是把車(chē)召回去修，更是把一套復(fù)雜的軟硬件與數(shù)據(jù)閉環(huán)拉回來(lái)做技術(shù)驗(yàn)證與根因分析。

軟件缺陷的根源可能在整車(chē)廠，也可能在供應(yīng)鏈的某個(gè)軟件模塊、第三方地圖服務(wù)或云端平臺(tái)。自動(dòng)駕駛功能往往是多個(gè)公司合作的結(jié)果，這讓“哪個(gè)環(huán)節(jié)出問(wèn)題”變得不那么清晰。傳統(tǒng)的零部件召回通常會(huì)有明確的責(zé)任主體，而自動(dòng)駕駛相關(guān)的問(wèn)題需要更細(xì)致的調(diào)查和更明確的數(shù)據(jù)共享規(guī)則，才能判斷是廠家、供應(yīng)商還是服務(wù)商負(fù)責(zé)修復(fù)與后續(xù)補(bǔ)償。對(duì)于自動(dòng)駕駛的召回，應(yīng)更加透明和精確，一定要明確是什么場(chǎng)景觸發(fā)問(wèn)題？多大概率會(huì)發(fā)生？是否存在數(shù)據(jù)可供第三方審查？這些都會(huì)直接影響公眾對(duì)自動(dòng)駕駛的信任。

召回標(biāo)準(zhǔn)與如何辨別召回性質(zhì)

召回通常會(huì)基于對(duì)產(chǎn)品安全與合規(guī)風(fēng)險(xiǎn)的評(píng)估，當(dāng)缺陷可能導(dǎo)致安全風(fēng)險(xiǎn)，或者對(duì)環(huán)境造成危害時(shí)，就會(huì)觸發(fā)召回程序?！镀?chē)產(chǎn)品召回編號(hào)規(guī)則與編號(hào)應(yīng)用》（GB/T 39061-2020）就對(duì)汽車(chē)召回提出了明確要求，并于2021年4月1日起正式實(shí)施。

汽車(chē)召回一定要明確召回編號(hào)、信息公開(kāi)和檔案留存，以便監(jiān)督與查詢。辨別一次召回是企業(yè)主動(dòng)還是被動(dòng)（監(jiān)管介入或外部調(diào)查觸發(fā)），可以從幾個(gè)方面著手核查。規(guī)范且完整的召回公告一般會(huì)說(shuō)明召回類(lèi)型、缺陷類(lèi)別、受影響產(chǎn)品范圍、缺陷成因和擬采取的整改措施。如果公告中明確寫(xiě)到是經(jīng)企業(yè)自查并主動(dòng)備案，這通常屬于主動(dòng)召回；如果公告中有“責(zé)令召回”“經(jīng)調(diào)查認(rèn)定”等字樣，或是在媒體報(bào)道、第三方檢測(cè)后才發(fā)布召回通知，則更可能屬于被動(dòng)召回。

統(tǒng)一的召回編號(hào)體系可以幫助追溯，一目了然地顯示召回發(fā)布年份、產(chǎn)品類(lèi)型和召回類(lèi)別等信息。《汽車(chē)產(chǎn)品召回編號(hào)規(guī)則與編號(hào)應(yīng)用》（GB/T 39061-2020）規(guī)定，汽車(chē)產(chǎn)品召回編號(hào)結(jié)構(gòu)由缺陷類(lèi)別（S/E）、年代標(biāo)識(shí)（4位年份）、產(chǎn)品類(lèi)型（M/T/C/E）、順序號(hào)（4位流水號(hào)）和召回類(lèi)型（V/I/O）五部分組成，適用于召回活動(dòng)的標(biāo)識(shí)與數(shù)據(jù)追溯。其中缺陷類(lèi)別為S（安全缺陷）、E（環(huán)保缺陷）；召回類(lèi)型則為V（主動(dòng)召回）、I（受調(diào)查影響召回）、O（責(zé)令召回）。消費(fèi)者可以通過(guò)車(chē)輛識(shí)別代號(hào)（VIN）在主管部門(mén)或廠商的召回平臺(tái)上核實(shí)是否在受影響范圍內(nèi)，并查看公告中對(duì)風(fēng)險(xiǎn)場(chǎng)景的技術(shù)說(shuō)明。

召回編號(hào)結(jié)構(gòu)說(shuō)明

針對(duì)自動(dòng)駕駛，召回公告的技術(shù)細(xì)節(jié)尤為關(guān)鍵。召回公告應(yīng)該明確指出到底是軟件算法問(wèn)題、傳感器硬件故障、系統(tǒng)集成失誤還是地圖與定位數(shù)據(jù)錯(cuò)誤，并給出觸發(fā)缺陷的典型場(chǎng)景與再現(xiàn)條件。這些信息不僅能讓技術(shù)社區(qū)評(píng)估問(wèn)題的嚴(yán)重性，也能幫助第三方專(zhuān)家和監(jiān)管機(jī)構(gòu)判斷廠商提出的修復(fù)方案是否充分。若公告只是籠統(tǒng)地描述“系統(tǒng)存在異常”而沒(méi)有技術(shù)細(xì)節(jié)或修復(fù)驗(yàn)證方案，就可能存在信息披露不足的情況，消費(fèi)者和監(jiān)管方應(yīng)提出進(jìn)一步的技術(shù)問(wèn)詢。

判斷召回修復(fù)是否到位需要依賴可驗(yàn)證的修復(fù)流程。對(duì)于硬件問(wèn)題，替換部件后通?？梢酝ㄟ^(guò)工廠檢測(cè)或道路測(cè)試驗(yàn)證修復(fù)效果；對(duì)于軟件或算法問(wèn)題，廠商應(yīng)提供充分的測(cè)試覆蓋說(shuō)明、仿真復(fù)現(xiàn)數(shù)據(jù)與線上灰度發(fā)布策略，并說(shuō)明補(bǔ)丁的回滾方案和觀察期數(shù)據(jù)。如果修復(fù)僅依賴一次性O(shè)TA且沒(méi)有后續(xù)的運(yùn)行監(jiān)測(cè)與回溯數(shù)據(jù)，這種“修復(fù)”可能并不牢靠。監(jiān)管機(jī)構(gòu)和第三方認(rèn)證機(jī)構(gòu)應(yīng)要求廠商在召回修復(fù)后提供一定周期內(nèi)的運(yùn)行數(shù)據(jù)，證明缺陷在代表性場(chǎng)景下已得到有效消除。

自動(dòng)駕駛時(shí)代常見(jiàn)的召回原因

自動(dòng)駕駛時(shí)代召回的原因大體可以分為幾個(gè)范疇，每一類(lèi)都帶有不同的技術(shù)調(diào)查難度與修復(fù)方法。軟件層面的缺陷是最具有代表性的新增問(wèn)題，這包括感知模型在特定環(huán)境下的誤檢或漏檢、決策策略在復(fù)雜交通場(chǎng)景下的錯(cuò)誤判斷、以及中間件或控制器的軟件異常。感知問(wèn)題往往與訓(xùn)練數(shù)據(jù)分布有關(guān)，如果訓(xùn)練數(shù)據(jù)中缺乏某類(lèi)場(chǎng)景或標(biāo)注不一致，模型在真實(shí)道路遇到類(lèi)似場(chǎng)景時(shí)就可能失敗。定位與地圖數(shù)據(jù)的問(wèn)題也很常見(jiàn)，高精地圖數(shù)據(jù)錯(cuò)誤、道路施工信息滯后或定位解算異常都可能導(dǎo)致路徑規(guī)劃偏離或決策混亂。數(shù)據(jù)與服務(wù)接口的問(wèn)題有時(shí)發(fā)生在云端，如第三方地圖服務(wù)在更新后改變了接口字段，導(dǎo)致車(chē)端解析出錯(cuò)，或者云端推送的參數(shù)在特定條件下觸發(fā)了控制邏輯異常。

還有一個(gè)不容忽視的就是供應(yīng)鏈軟件組件和中間件的兼容性問(wèn)題。整車(chē)廠可能把感知算法、自動(dòng)駕駛控制器與車(chē)身執(zhí)行單元分包給不同廠商，如果接口定義不夠嚴(yán)格或測(cè)試覆蓋不到位，集成后的表現(xiàn)可能在邊緣場(chǎng)景下出現(xiàn)問(wèn)題。網(wǎng)絡(luò)安全與數(shù)據(jù)完整性問(wèn)題也可能觸發(fā)召回，遭受攻擊或數(shù)據(jù)被篡改會(huì)產(chǎn)生嚴(yán)重后果，因此安全補(bǔ)丁和補(bǔ)救措施往往也會(huì)以召回或補(bǔ)丁公告的形式發(fā)布。

為了明確故障愿意，往往需要查閱車(chē)輛黑匣子（行駛數(shù)據(jù)記錄器）與傳感器原始數(shù)據(jù)，結(jié)合仿真平臺(tái)進(jìn)行場(chǎng)景復(fù)現(xiàn)。這也意味著，廠商和監(jiān)管機(jī)構(gòu)需要構(gòu)建強(qiáng)大的日志采集、加密存儲(chǔ)與共享機(jī)制，確保在出現(xiàn)問(wèn)題時(shí)能迅速獲取必需的數(shù)據(jù)進(jìn)行根因分析。沒(méi)有數(shù)據(jù)支持，很多“間歇性故障”就無(wú)法準(zhǔn)確定位，從而難以給出可靠的修復(fù)方案。

消費(fèi)者、監(jiān)管與生產(chǎn)者的應(yīng)對(duì)建議

面對(duì)越來(lái)越復(fù)雜的召回問(wèn)題，消費(fèi)者要學(xué)會(huì)用技術(shù)手段保護(hù)自己并維護(hù)權(quán)益。在遇到召回通知時(shí)，應(yīng)保留公告全文、召回編號(hào)與與廠商溝通的記錄，并在官方平臺(tái)或經(jīng)銷(xiāo)商處核實(shí)是否確為受影響車(chē)輛。對(duì)于涉及軟件更新的召回，車(chē)主應(yīng)詢問(wèn)廠商是否提供補(bǔ)丁的灰度發(fā)布計(jì)劃、是否有回滾方案以及補(bǔ)丁生效后的監(jiān)控期和反饋渠道。若廠商只提供模糊解釋或拒絕披露關(guān)鍵技術(shù)細(xì)節(jié)，消費(fèi)者可以向主管部門(mén)或行業(yè)協(xié)會(huì)投訴并要求更明確的信息公開(kāi)。

監(jiān)管機(jī)構(gòu)需要在制度和技術(shù)上與時(shí)俱進(jìn)。制度上要明確在自動(dòng)駕駛相關(guān)召回中廠商的信息披露義務(wù)、第三方檢測(cè)和獨(dú)立驗(yàn)證的要求，以及對(duì)OTA修復(fù)和云端服務(wù)修改的監(jiān)管路徑。技術(shù)上要推動(dòng)建立統(tǒng)一的數(shù)據(jù)采集與共享標(biāo)準(zhǔn)，明確數(shù)據(jù)加密、隱私保護(hù)與監(jiān)管訪問(wèn)的規(guī)則，確保在發(fā)生事故或異常時(shí)監(jiān)管和第三方可以及時(shí)獲取必要的數(shù)據(jù)進(jìn)行獨(dú)立復(fù)核。此外，監(jiān)管部門(mén)應(yīng)推動(dòng)建立針對(duì)軟件與數(shù)據(jù)問(wèn)題的召回驗(yàn)證流程，要求廠商在修復(fù)后提供可審核的仿真與道路驗(yàn)證數(shù)據(jù)，并對(duì)修復(fù)效果設(shè)定合理的觀察期。

生產(chǎn)者則應(yīng)把召回看作質(zhì)量管理與品牌信譽(yù)的核心組成部分。面對(duì)軟件與數(shù)據(jù)層面的缺陷，廠商應(yīng)提前制定完整的補(bǔ)丁管理與回滾機(jī)制，完善仿真測(cè)試覆蓋與場(chǎng)景庫(kù)，并在供應(yīng)鏈管理中明確軟件模塊接口與質(zhì)量保證責(zé)任。透明公開(kāi)調(diào)查進(jìn)展、及時(shí)與車(chē)主溝通、提供便捷的修復(fù)通道和后續(xù)監(jiān)測(cè)，是提高召回完成率和重建用戶信任的關(guān)鍵。對(duì)于采用云端服務(wù)或第三方組件的車(chē)企，需要在合同和技術(shù)規(guī)范中強(qiáng)制要求第三方承擔(dān)相應(yīng)的質(zhì)量責(zé)任和配合義務(wù)。

最后的話

自動(dòng)駕駛帶來(lái)了出色的駕駛輔助功能，也把車(chē)輛變成了復(fù)雜的軟硬件與數(shù)據(jù)系統(tǒng)。召回在這個(gè)時(shí)代不是簡(jiǎn)單地把車(chē)?yán)厝Q個(gè)零件那么容易。要做到對(duì)癥下藥，需要明確召回的技術(shù)成因、公開(kāi)必要的數(shù)據(jù)與修復(fù)方案，并在修復(fù)后進(jìn)行可驗(yàn)證的效果評(píng)估。消費(fèi)者需要有識(shí)別召回類(lèi)型和核實(shí)信息的能力，監(jiān)管機(jī)構(gòu)需要完善針對(duì)軟件與數(shù)據(jù)的召回監(jiān)管流程，生產(chǎn)者則需要承擔(dān)更高的信息披露與技術(shù)驗(yàn)證責(zé)任。只有當(dāng)這三方形成有效的治理閉環(huán)，自動(dòng)駕駛技術(shù)才能在保障安全與透明的前提下穩(wěn)步推進(jìn)，而召回制度也才能真正發(fā)揮其保護(hù)公眾安全的根本作用。

審核編輯 黃宇