蔚来 ES8 行驶途中死机导致全车系统无法启动，主要原因及隐患有哪些？其稳定性到底如何？ 第1页

不只是蔚来ES8， 目前新兴车企们的"大屏"潮所带来的取消实体按键和显示，将驾驶员的控制功能中心化到大屏上，短期可以带给用户新鲜感，节约成本，而且更容易和车联网的功能结合起来（比如联网控制和AI声控）；

但是长期来看，无论从车辆安全，或者从未来研发满足功能安全要求的产品成本上考虑，都有些“作死”。

下面这个是新E级的中控部分，屏幕也够大，但是依旧在方向盘左右侧以及中央挡杆控制区域保留了一些和安全相关的实体控制按键和旋钮，比如：

• 方向盘左侧的车灯控制旋钮
• 挡杆附近的自动驻车以及停车驻车按键包括相关的指示灯

这个不仅仅是奔驰，如果你去看下国际大厂的新车基本都会发现类似的设置。其中一个很重要的原因就是，这样的设置可以更好地保证用车安全，且会有助于降低整车达到一定安全标准的成本。

于此相对的是蔚来ES8极简的物理按键设置

但是看看ES8的说明书会发现下面这些注释：

1. 因为将大灯控制集成在了中央大屏的软件中，于是车主需要通过中央大屏才能进行大灯的手动控制。

如果大屏失效的话，无法手动调节远近光灯，而如果这时候驾驶员进入类似隧道这样昏暗的环境，同时又需要紧急停车，则很容易因为无法开启灯光对自己和周围车辆造成安全隐患。

如果蔚来为了保证这种情况的绝对安全，则需要保证在大屏失效的同时强制开启大灯。

但是为了保证大灯及时开启，则需要有额外监测大屏状态的控制逻辑，且因为这种情况下驾驶员对车辆的可控性降低，完全要依靠这个额外的控制策略保障安全，于是这个检测必须满足更加严格的功能安全ASIL等级，这样会直接导致整体系统的成本指数级上升。

这个时候如果是独立旋钮设计的话，在大屏单点失效的时候，驾驶员依旧具有对灯光的独立控制能力。

2. 类似的情况也会出现在诸如自动驻车这样的功能上。这里自动驻车不是通过按键而是通过深踩刹车来激活的，而是否激活则只能通过屏幕显示来确认：

那么同样的，如果仪表失效的话，则驾驶员无法通过实体按键来确认是否自动驻车已经启用。

这个时候如果出现驾驶员以为自动驻车启用而松刹车，就可能导致车辆意外移动造成安全隐患。

那么又一次，如果蔚来要保证这种情况的绝对安全，则需要保证在大屏失效的同时强制启用自动驻车功能。但是为了保证自动驻车的强制开启，则一样需要有额外监测大屏状态的控制逻辑，这个检测逻辑一样必须满足更加严格的功能安全ASIL等级要求。

而如果有独立的开关和独立于仪表的指示灯的话，则消费者对这种情况的可控度就会大幅上升，同样车企需要用在安全研发上的费用则会大幅下降。

3. 因为取消了N挡，于是ES8的驾驶员操作挡位实际只有D，R，P三个。

有的人可能觉得这是个美好的可以改善用户体验的设计，但是用户不知道的是虽然你日常生活中不一定会用到N挡，但是在整体汽车动力总成中N挡这个状态是绝对不可能缺少的。

比如，如果电机出错的时候，车辆就需要自动进入N挡状态”脱开“电机以保证不会失控，尽管这个”脱开“不一定是机械意义上的。

对于ES8这种没有N挡挡位以及显示的车型，判断车辆是否实际处于P挡而不是N挡就显得格外重要。就连ES8的说明书中都在强调仪表在驾驶状态确认中的重要性：

同样和上面提到的其他两个例子一样，当仪表不可用的时候呢？怎么保证用户可以明确挡位在P挡而不是N挡？这个指示是否容易被观察和被用户注意？

否则又一次，蔚来需要停车后自动加载P挡，且需要保证这个自动操作以及相关的一切监控满足功能安全ASIL等级的严格要求。

所以说，想要使车辆操控极大简化，最大程度自动化，这个初衷是好的，设计理念也不错。

但是汽车这种和安全息息相关的产品，在简化操作和全面自动化的同时不可避免的要面临两个选择：

1. 一定程度上牺牲安全性，大多数情况下并不是有意，而只是因为设计者考虑不周全而导致的。
2. 花几倍于同类产品的成本和研发验证时间来保证安全。

我假设蔚来已经通过第二点实现了完美平衡。

当然，另一个事实是，就我目前接触过的众多国内主机厂，目前尚未有任何一家在安全领域完全满足ISO 26262要求。

就是台电脑有四个轮子。

所以死机是正常问题，但是电子问题就是集中度高，相关性强，一死机就失去了机械系统的控制权。是挺吓人的。

所以必须保留抠鼻屎健。：）