「奔驰定速巡航失控，车速 120 狂奔近 1 小时，终由客服后台操控停下」的新闻是否属实？怎么回事？ 第1页

一天下来，我觉得这个新闻有点掺水。

个人分析是，车主说了谎，车动过（改装过ECU或者TCU），而媒体一听说奔驰出事了，那真的是不嫌事大，开心得不行可算是抓上大新闻了，所以有点越描越黑。

首先是感觉难以置信吧。C200L（内部代码W205）这辆车对于整个奔驰而言，意义非凡。大家都知道这辆车的国产化有多么重要和特殊，加上我很多前同事都参与了这辆车的研发和制造，聊起来当时的细节，不管是白车身也好，还是后期的HML、内饰外饰设计也好，都满讲究的。竟然能发生定速巡航失控的事，简直不可思议。

其次，作为奔驰的销冠，身边很多朋友都在开这款C200L，甚至有个好朋友当年是在我的极力推荐下入了这款车。如果说产品质量有重大瑕疵的话，可真觉得太对不起朋友了!

以及，因为我现在做智能驾驶，车联网，未来汽车的安全问题，一直是自己在思考的。

大家都看过电影《速度与激情8》，里面的车被黑掉了系统之后，完全成为了坏人助纣为虐的工具。所有人都不想看到这样的事的发生吧。所以，在未来的无人驾驶车状态下，如何能够保证车主“支配权”，遇到突发紧急情况能够自救，是涉及到生命的大问题。我向来武断地认为，如果不足够安全，必须不能上路。

好的，那就先回到问题本身。

我觉得最核心的就是，到底是什么原因，让这辆失控的车停了下来。

请大家注意一个很有意思的细节，就是车怎么停下来，新闻稿这里没有主语，我怀疑是被编辑删掉了。这篇新闻稿的来源是《河南商报》。如果说询问奔驰客服未果，那车应该是在驾驶员的干预下停下来的。

下午有一位媒体朋友请我根据这篇新闻写点东西，这个朋友刚好和车主在一个群里。我便请媒体朋友去问下车主，这辆失控的车到底是怎么停下来的。

有一些截图先放上来，如果后续有什么不妥之处，我再撤下来。

有在群里车主被直接@ 到的截屏——

我一直不确定的，是奔驰是否有远程控制的功能。

专门问了下之前参与这辆车研发和国产化的前同事，答复是这样的，“C200L的控制编码是808，只有苹果的CarPlay功能”，完全不可能远程控制。

回到这个case，定速巡航就算坏了，刹车没有道理失灵，电子换挡也能给挂了，而且这么多年来W205就这么一例，还碰到了一个业余赛车手，还真是都赶上了……

后来又了解到一些C200L的相关技术细节，真的是罗生门了：

1. 奔驰的电子换挡在切换N或P的时候如果失灵是会触发紧急变N挡的机制，所有的电子换挡系统都有这个功能；

2. 定速巡航如果用按键关不掉的话踩刹车踏板也是一样可以停下来；

3. 更为暴击的是，C200L的刹车是机械结构，不存在电子系统故障导致刹车无效；比较夸张的是，就算有神一级的人把这辆车的电力系统整个切断，然后把刹车系统的油路破坏，但理论上这样子车根本就开不了啦；

4. 现在的车刹车系统都有自检功能，如果出现油泵问题马上就有故障灯亮。

所以要说这个专业车手半夜三个系统同时失灵，但转向系统没问题，这根本不合理……

车主比较大概率的是，动过这辆车了。

有可能ECU（Electronic Control Unit即车载电脑）和TCU（Transmission Control Unit，即自动变速箱控制单元）都变了。

后来在别的群里看到了相关的佐证，因此这样的可能性比较大。

碰到了这样的车主，奔驰也会有点无奈吧——

晚上下了班去看《水形物语》，电影结束一看手机，已经被各大专业媒体刷屏了。

也是，看热闹不嫌事大，都扯得有点远。

有观点说奔驰的DFMEA(Design Failure Mode and Effects Analysis,设计失效模式及后果分析)D么有做好，真心是看着有点气了。

C200L这款车上市4年，光中国市场就卖了几十万辆，这次出事只是孤例，而且被车主自行改装过的概率还很高。如果连奔驰的潜在故障失效分析都不严谨，那其他车就更加不敢想了。

反正怼大牌永远政治正确。

对于这个事情，欧洲汽车行业内部相当淡定，完全没人聊啊，因为从技术角度在车主没有全面改装的情况下就是基本不可能出现的事情，出现的概率应该比连中两次2亿头等奖还小。有些人把汽车控制系统，尤其是发动机和变速箱控制系统想像的太简单了。

关于机械问题这里就不讨论了，很多人都已经说过只要刹车机械可用在几百米的距离内轻松停下，主要的焦点集中在定速巡航，发动机和变速箱控制失灵上。那么下面就从本质上来聊聊为什么这个事情是个超级超级小概率基本上不可能发生的事件。

要讨论这个问题首先要讨论的是定速巡航功能。

定速巡航功能本身并没有什么特殊的执行硬件，相对没有定速巡航的车型所需要的只是一个额外的触发，退出，以及调整目标速度的按钮而已。（例如下图这样的）

所以哪怕你买车没有选择定速巡航的配置，你的车辆其实已经具备了定速巡航的能力，只不过车厂没有安装控制按钮或者把相关的控制按钮锁死了而已。这个和同样的发动机有不同的功率配置是一个道理。不是你的发动机不能做高功率输出，只不过厂商把这个功能从“软件标定”的角度锁死由此做出两款不同定价有差异的产品而已。

而定速巡航本身的控制部分非常简单，大多是发动机控制软件中的一部分。在你通过按钮触发定速巡航后，发动机控制器，就是类似下面这个（多安置在发动机仓），会从软件角度忽略驾驶员没有踩油门的事实，通过车速信息来自行控制发动机的扭矩输出最终达到车速稳定在目标车速的目的。

定速巡航功能非常容易退出，比如：

• 手动按钮取消定速巡航
• 挂空挡的时候
• 上面的发动机控制器发现无法跟随车速的时候，比如下一个超级陡坡的时候，比如定速巡航不带刹车功能的时候
• 当驾驶员踩刹车的时候
• 当发动机控制器检测到任何错误的时候（包括软件错误，信号丢失，接受到的信号不可信等等）

OK，上面大概解释了定速巡航的问题，下面就来说为什么这个事情基本就是不可能事件。

刹车，作为一个关键执行器（驾驶员对车辆控制的最主要输入之一），是一个性命攸关的部件。

在车辆全面电子化电控化的今天，在设计刹车相关的安全功能的时候，我们都会把它列为最高等级。从技术角度，功能安全等级会达到最高的ASIL D。

那么刹车除了机械工作部分，还有电子信号会发给几乎所有主要控制器，比如上面的发动机控制器还有变速箱控制器，来告诉这些车载控制电脑驾驶员是否踩了刹车。

那么比如在题目的情境中发动机控制器就可以来判断是否需要退出定速巡航。

而作为ASIL D的部件以及需要提供符合ASIL D要求的输出信号，刹车部分是有非常多冗余的传感器设计的。

比如简单的判断你是否踩了刹车，就常常有两个开关+一个刹车压力传感器来判断。那么发动机就会收到三个信号：

• 第一个是开关信号，这个开关是长开的状态，踩下刹车变为闭合的状态。
• 第二个也是开关信号，这个开关是常闭的状态，踩下刹车变为打开的状态。以上两个开关为互补的关系，互相检查。
• 第三个信号是刹车压力信号，就是驾驶员实际施加了多大的刹车压力，刹车压力信号和上面两个信号再次互相检查。

所以如果真的发动机无法判断驾驶员是否踩了刹车，那么就要上面三个信号一起失效。。。这本身就是个小概率事件。

那么如果真的上面三个信号都失效了，发动机无法判断驾驶员是否踩刹车了呢？这个简单，参考我上面解释过的自动巡航逻辑，一个简单的退出条件就是：

• 当发动机控制器检测到任何错误的时候（包括软件错误，信号丢失，接受到的信号不可信等等）

当刹车信号丢失或者失效（不在正常值范围内的时候），发动机控制器不仅会退出定速巡航，而且还有更加严格的措施，比如限制扭矩输出在极小的数值。别说你停不下来了，你就是想加速都不可能了，只能靠边停车。

那如果上面这个发动机的诊断软件也bug了，没有发现刹车信号出错呢？当然这基本又是一个极小概率事件。

我们现在设计上层软件的时候不仅会有常规的诊断软件设计（来发现类似信号丢失这样的错误），还会有第二级功能安全软件，现在遵照的是ISO 26262的要求。

也就是我们会有另外一部分发动机控制软件独立于上面的诊断软件，如果这部分软件发现刹车信号出错但是正常的发动机诊断软件并没有正确介入限制扭矩的时候，功能安全的上层软件会独立响应，进一步限制扭矩甚至中断扭矩。

那么如果上面发动机功能安全软件也失效了呢？当然这基本又是一个极小概率事件。

以上的三层检查：

• 刹车状态检查
• 刹车状态不确定时候的诊断策略限制扭矩或者中断扭矩
• 诊断没有立刻介入情况下的更高一级功能安全软件触发限制扭矩或者中断扭矩

不仅会出现在发动机控制软件中，而且还会重复出现在变速箱控制软件中。一旦上面的这个事情发生，哪怕发动机持续输出大扭矩，变速箱一样会独立响应，大部分情况下直接断开离合，让发动机自己去玩。变速箱控制器和发动机控制器很像。大概长下面这个样子，一般在座舱中控附近。

变速箱断开，没有扭矩传输到轮端，你不想慢下来都不可能。

如果你要变速箱软件也失效，而且还是三层逻辑同时失效，这又是一个极小概率×极小概率×极小概率的情况。

所以这个事件要发生，你所要面对的是：

极小概率×极小概率×极小概率×极小概率×极小概率×极小概率×极小概率

你以为车企每年多少亿的投资来研发软件都打了水漂么？

而这个只是针对控制系统来说而不考虑机械上面可以简单刹车停下来。

所以如果要问我对这个事情有什么评价，如果车主没有全面改发动机变速箱控制+电路的话，我可以以99.999999999999999999999999%的信心说：

可以查看媒体采访记录，有视频电话记录为证，车主说是在跟警官打电话的时候出现了语言交流上的误差

警官说：擦车，你擦车

车主以为交警让他跳车，其实交警是让他侧面摩擦护栏

所以车主推开车门（就一条缝，车主承认需要很用力才行）尝试跳车，发现车减速了

于是车主跟警官说减速了，我看看能不能停（期间电话一直没有挂断）

车主关上车门重新踩刹车发现没用，车速重新回到120。这时候距离省界已经很近了，他就驾车冲过了收费站（交警为他打开了ETC），再重新尝试打开车门。发现车速有下降，由120往下是10迈10迈的下降，直到60迈后变成1迈1迈的下降，车速降到30迈后刹车可以使用。

希望各位从业人士参照这些数据重新分析故障情况，不要想当然的把各种系统安全层级定死了，是程序就有出错的可能。

http:// miaopai.com/show/6oQ2W- iPRe5CrM~VTyC1XTNIGq75uIBHgYM5WQ__.htm?from=1083293010&wm=3333_2001&weiboauthoruid=1618051664

这是采访的视频链接

看到局面的这个采访，我是笑着看完的。

确认过眼神，是个撒谎人。

原视频链接：车主回应质疑一：为何迟迟不公布“失控奔驰”行车记录？-局面的秒拍