人机交互

＂人机界面 ＂可以定义为互动系统（软件或硬件）的所有部分，它们为用户使用互动系统完成某项任务提供必要的信息和控制。应用于ADS，至少人机界面应该能够通过各种指示器告知用户ADS：运行正常，目前正处于ADS模式，目前 ＂不可用＂，遇到故障，和／或要求从ADS向用户进行控制转换。SAE L3级BMW ADS是根据行业最佳实践和标准设计的。总之，人机界面允许用户安全、舒适地使用SAE L3级BMW ADS。

以下部分的范围是描述BMW如何设计、开发、评估、测试和验证我们SAE L3级BMW ADS的人机界面（HMI）。

几十年来，BMW一直在设计车辆的人机界面，以同时提供以客户为导向和无干扰的驾驶体验。随着SAE L3级BMW ADS的推出，用户的驾驶体验将得到进一步加强，当在SAE L3级BMW ADS的运行设计域（ODD）内操作时，他们有机会暂时将动态驾驶任务（DDT）移交给ADS。通过始终让用户了解SAE L3级BMWADS的状态以及他／她作为驾驶员和用户准备接管的责任，车辆的人机界面是实现SAE L3级BMW ADS安全和舒适使用的关键部件。在整个设计和开发过程中，BMW使用最先进的方法来确保实现这一愿景，从驾驶模拟器到试车场的驾驶测试和道路交通的研究。

自愿指导、最佳实践、行业标准、设计原则、内部流程和公司政策

除了相关的标准化文件和美国交通部的联邦自动驾驶汽车政策指导中给出的标准开发活动的综合清单外，在BMW的人机界面开发过程中，BMW考虑并应用了一些相关的指导、最佳实践、行业标准和设计原则。这个内部清单不断更新，以考虑到最先进的科学见解。

同时，BMW依靠自己的内部流程，基于手头预定的自动化水平和预期的驾驶员参与程度。根据SAEJ3016，BMW期望为DDT接管准备的用户能够接受任何L3级BMW ADS发出的干预请求，并作出适当的回应。当驾驶员接管驾驶任务时，SAE L3级BMW ADS应该传达所有必要的交通和环境信息，以确保安全驾驶。因此，BMW为L3级BMW ADS系统的HMI开发和测试实施了一个量身定做的过程。

为了开发一个可理解的、容易使用的、安全的SAE L3级 ADS人机界面，BMW依靠基于ISO 9241 ＂人机交互的人机工程学 ＂的反复以人为本的设计过程，这也指导BMW的评估、测试和验证。这个过程的核心是四个相互依赖的以人为本的设计活动。

1．    理解并指定使用的环境

2．    指定用户需求

3．    提出满足这些要求的设计方案

4．    根据这些要求对设计进行评估

BMW还试图通过积极促进自动驾驶的人因研究方法的发展，并参与科学和公共讨论，来扩展现有的知识基础。

人机界面设计

BMW认识到，对于任何仍然依赖人类操作者作为后备用户的系统（见SAE L3级定义），可能存在与驾驶员意识和参与有关的人为因素挑战。因此，BMW的人机界面的可理解性是以安全为主要设计目标对所有操作状态进行评估的。这是在整个设计和开发过程中，通过大量的人机界面评估、经验性和非经验性数据来完成的。同样地，在必要的时候，与其他道路使用者的沟通也被研究。

为了支持用户的准备接管，BMW的系统包括一个驾驶员监测系统，以观察准备接管的用户是否清醒，是否坐在驾驶座上，是否系了安全带。

为了检测司机是否在TOR后接管了驾驶任务，司机监控系统还包括方向盘上的双手检测传感器、转向扭矩传感器和踏板位置传感器。如果驾驶员操作用户界面元素，打开车门，或试图换挡，这也将被传统汽车中使用的标准传感器检测到。

BMW非常注意确保人机界面能够传达每一种操作状态，以及所有与驾驶员相关的额外信息。在这种情况下，如果信息能满足以下一个或多个目标，就被定义为相关信息。

－ 旨在改变用户行为的信息（例如，当前的系统状态，如 ＂L3级BMW ADS激活＂，用户不再负责执行动态驾驶任务）。在iNEXT中，SAE L3级BMWADS的激活将通过不同的渠道进行沟通。一旦SAE L3级BMWADS被激活，仪表盘上将出现相应的状态信息（见图4）。当SAE3级BMW ADS被激活时，方向盘将被点亮为蓝色。（请注意：所有显示的图像、符号、图形、HMI元素和文本驾驶员通知都是概念性的，在此仅作说明。）

图4． 激活SAE L3级BMW ADS（示范性描述）

－ 显示系统状态和可能的限制（例如，系统不可用和系统故障）或不同的可能操作模式（例如，SAE一级驾驶辅助或SAE二级ADAS）的信息，用户可能会选择。表2中总结了SAE L3级BMW ADS的一些重要状态。

表2．SAE L3级BMW ADS的状态

－ 使用户互动更直观的信息（例如，通过方向盘上的按钮图5（b）激活SAE L3级BMW ADS的说明，图5（a），以及确认按下的按钮被接受，系统将被激活，图5（c））。

图5． 激活SAE L3级BMW ADS

正如BMW集成到系统中的其他功能一样，其的开发目标是一个易于使用、直观的人机界面，并特别强调驾驶员的安全。

与现有的系统（SAE L0级到SAEL2级）相比，驾驶员必须不断地监视这些功能，SAE L3级BMW ADS可能－－暂时－－允许驾驶员从驾驶任务中转移注意力，同时仍然要求他／她作为一个可接管的用户。这意味着必须避免出现这样的情况，即驾驶员认为SAE L3级BMW ADS是激活的，而事实上它并没有。因此，实施了以下的设计方案。

－ 在L3级激活时，方向盘的颜色编码照明被使用（见图6），以使驾驶员在任何时候都能第一时间意识到他们在驾驶任务中的责任。当SAE L3级BMW ADS处于激活状态并以全部能力运行时，方向盘会被照亮为蓝色。当SAE L3级BMW ADS向准备接管的用户发出TOR时，方向盘的照明在首先显示预警告后变为黄色。如果驾驶员没有及时响应这个TOR，下一个警告阶段将被触发，方向盘将被照亮为红色。

图6．TOR：通过使用发光的方向盘和通知，让司机重新进入驾驶任务

－ 用户成功的TO也会通过不同的渠道进行沟通：方向盘的蓝色照明被关闭，并显示一条确认停用的信息，提醒司机他／她的责任，见图7。

图7． 停用TO成功后，用户被告知系统的状态（提醒他们的责任）

－ 结合听觉和视觉元素（仪表盘上的图形动画，以及方向盘上强烈明显的照明模式），以确保主动的SAE L3级BMW ADS和所有其他级别的自动化之间的过渡尽可能直观。

－ 针对用户所面临的特定场景，优化人机界面的感官部分。

与相关利益方的沟通和合作

BMW致力于不断优化测试和验证方法，并与该领域世界领先的专家进行透明的讨论。因此，与独立的大学和研究机构合作，并在会议和同行评议的科学杂志上发表的方法。还积极参与国家和国际资助的联合研究计划，以推进和支持共同认可的ADS HMI测试和评估方法，如欧盟资助的L3 Pilot项目。

总之，这种方法和BMW的基本流程使其能够开发出L3级BMW ADS，能够在相关操作条件下保持安全，同时提供优质的用户体验。

L3级的使用安全

关于不同级别的自动化程度的车辆（SAE L0－5级），用户的驾驶任务和责任随着自动化程度的提高而改变，也就是说，每个级别对用户提出了不同的要求（比较SAE J3016中按驾驶自动化级别划分的人类驾驶员和自动驾驶系统的角色，如图8所示）。随着SAE L3级自动驾驶系统的引入，模式发生了转变，因为这是第一次车辆操作者在自动驾驶系统启动时不需要监督它。因此，出现了责任分散的情况，这就带来了模式混乱的可能性。最重要的是，L2和L3很有可能被驾驶员混淆，因为两者都影响纵向和横向控制－－虽然一个需要持续监督，另一个则不需要（见图9）。在具有不同自动化水平的车辆中（SAE L1、L2和L3或更高），安全功能的一个非常重要和具有挑战性的目标是用户对实际驾驶模式及其附属责任和（驾驶）任务的正确解释。

○ 在模式转换的时刻。

○在一定时间内以相同的自动化模式驾驶。

图8． 白皮书＂自动驾驶安全第一 ＂中描述的用户和ADS在不同驾驶自动化级别中的角色

为了促进第三级功能的安全使用，应该满足以下人机互动的关键要求。

○ 在激活，尤其是停用某种驾驶模式期间，以及在（由驾驶员发起的）从L3级到较低的自动化水平的过渡期间，可靠地检测驾驶员的预期行为（尽量减少假阳性和假阴性）。这一要求是指所有类型的HMI操作，包括远程控制。

○ 以毫不含糊和可理解的方式表明实际的驾驶模式和驾驶员的责任。

○ 促进对实际驾驶模式的自动化的适当信任。

发出醒目且易于理解的接管请求（例如，结合声音和视觉信号），使车辆操作者有足够的时间接管人工控制并重新获得对形势的认识。

监视驾驶员的疲劳状况，并在接管不受驾驶员状况影响的情况下尽早发出接管请求。

这些要求在功能开发和验证阶段被考虑在内。为了确保该功能符合安全的人机互动要求，对不熟悉自动驾驶的对象进行了大量研究，以测试、评估和验证该概念。这意味着受试者对测试中的系统没有经验或事先了解。每个要求都是通过适当的使用来实现的。

每个需求都通过合适的用例和测量标准来实现，这些用例和标准展示了用户如何在驾驶环境中处理任务。根据研究问题和相关用例，研究在驾驶模拟器或真实的汽车环境中进行。

这些实证研究与经验丰富的人因研究人员的持续专家评估一起，有助于在开发阶段对概念进行稳步改进和优化，并为客户提供安全使用的功能。

图9． 根据SAE J3016，ADS的作用欢迎关注，点赞与转发，和小明师兄一起研究国外智能驾驶技术进展。

       原文标题 : BMW下一代L3级自动驾驶车辆HMI设计方法