2016年5月7日，一款特斯拉2015 model s型轎車在經過佛羅裡達州williston西郊高速公路的時候，與一輛拖挂卡車相撞，駕駛員當場收到緻命傷害。從該車提取的資料顯示：
碰撞時刻特斯拉處于autopilot狀态；
自動緊急制動（aeb）系統并沒有提供任何預警或在碰撞時刻起作用；
駕駛員沒有任何制動、轉向或其他行為來避免碰撞。
2016年6月28日，nhtsa啟動pe 16-007以“檢查碰撞時刻現有所有自動駕駛系統的設計和效果”。nhtsa的缺陷調查辦公室office of defects investigation (odi）進行了如下分析：
特斯拉及類似企業自動緊急制動系統的設計和效果；
autopilot操作模式中的人機接口問題；
碰撞事故中與特斯拉autopilot和aeb系統相關的資料；
特斯拉在實作autopilot和aeb系統過程中做的定制化更改。
nhtsa的調查顯示，事故車輛的aeb或autopilot系統并未有任何設計和效果方面的問題。業界目前普遍使用的aeb系統是為防止追尾而設計，無法避免所有碰撞事故，包括橫向碰撞。autopilot系統屬于adas系統，需要駕駛員持續和全部的注意力維持運作，并時刻準備接管。特斯拉的設計中包括一個手扶轉向系統，用以監控駕駛員狀态。系統已經更新到一種“strike out”政策，即駕駛員一旦不根據儀表盤上的可視化顯示執行，autopilot會立即退出。
本次調查并未對潛在的安全風險進行調研，未來也并沒有相關計劃，是以調查到此為止。值得注意的是，這并不意味着系統沒有風險。本機構會持續關注安全問題并保留進一步調查的權力。
二、洗白三步走：降級評定、功能測試、責怪司機
報告由nhtsa的缺陷調查辦公室 office of defects investigation（odi）進行确認的當時事故的情況，報告裡面明确了幾點：
1. 當時車輛是工作在autopilot的模式下的：nhtsa認為，autopilot巡航系統隻是一個level 1的系統，在開啟了autosteer的功能的條件下，可以達到level 2的層級，在這個層級工作的時候，駕駛員需要全神貫注外部的情況，為自己的生命負責。
2. 當時發生的事故的情況下，aeb自動刹車系統并沒有提供警告、也沒有刹車：nhtsa對aeb功能進行測試，得出結論：
a)tesla的aeb的功能設計是為了減緩縱向前後碰撞設計考慮的，這個功能是和整個行業的水準一緻的
b)在事故發生時候的交叉路口的情況下，這個aeb功能并不在系統設計範圍内
圖1 nhtsa進行的aeb對比測試
3. 駕駛員，也沒有任何操作（刹車、轉向和其他操作）
a)這個死者是個geek和忠實粉絲，他自己不知道這個l1-l2的系統是不是可以當作完全的自動駕駛開，他選擇相信這個系統
b)事故遇到一個交叉路口，遇到一個特殊的卡車拐彎，超過了這個系統設計範圍，自動刹車部分不工作，駕駛員也沒反應過來，這個人就死了
三、逃過一劫：藏在說明書角落的救命稻草
其實tesla與其他汽車oem沒有很大的差別，不同的車企對于駕駛員監測的方法和警告駕駛員的政策并不相同，而這裡監測到駕駛者手不在方向盤上的警告力度和後續措施會有不同的結果，都做了兩個主要的措施：
通過多種管道告知車主l2系統的運作限制
檢測駕駛者在l2系統工作時候的監控周圍環境注意力情況
圖2 tesla提供的兩個措施
四、全部判死緩，全自動駕駛怎麼辦？
特斯拉能夠逃脫一劫，最重要的事情，是整個l2的設計範圍和設計限制是客觀存在的
1.tacc是基于直路、高速公路設計
a)道路需要是幹的，惡劣天氣如道路濕滑、積水、積雪就進入限制條件
b)彎曲道路則要考慮auto steering的能力
2.開啟auto steering，駕駛員需要決定道路（道路中間有隔離帶，需要有清晰的道路線）是否能适合，如果駕駛員選擇錯了，與以下條件偏差，系統特性會降級
而根據整個系統的特性，其他類似的l2系統存在的限制，tesla的也會有。其實這個調查結果隻能說joshua brown冤死了，這個系統沒有缺陷性故障，但是給joshua brown給濫用了。其實更深層次的問題在于，随着車輛的複雜性提高，主動安全特性增加使得駕駛員對系統的安全性增加，在adas輔助駕駛、不同等級的自動駕駛，車主掌握差別，掌握實際的使用和系統限制太慢了，之前在使用過程中的體驗不斷增進他的信心，一個認知錯誤+一個意外的事情要了他的命。
企業算是保住了，并且貌似有理有據，然而還是有很多專家都認為，美國政府為了表達支援自動駕駛的态度，而選擇性地忽略了特斯拉招牌式的“放開雙手表示自動駕駛”廣告。自動駕駛的發展離不開面向全社會的長期有效的溝通和宣傳，特斯拉必須在廣告上面收斂，否則後面會非常難做。
五、nhtsa 報告全文
1.0 簡介
2016年5月7日，美國佛羅裡達州威利斯頓西部，一輛2015年的特斯拉 model s 在高速路上通過一個十字路口時，失控地與一輛貨櫃車發生碰撞，導緻特斯拉司機死亡。
從失事的 model s 上獲得的資料顯示：1）發生碰撞時，該車處于由autopilot 控制的狀态；2）碰撞過程中，自動緊急制動系統（aeb）沒有提供任何警告或者強制自動制動；3）司機沒有采取任何制動、轉向或其他行動來避免碰撞；4）司機最後被記錄的車内操作行為是将巡航控制系統的設定速度提升到74英裡每小時，此時離撞車不到兩分鐘。車禍發生在一個晴朗的日子，且道路條件為無濕滑。2016年6月21日，nhtsa 成立了一個專門調查小組，對發生車禍的車輛和道路環境進行研究。nhtsa的調查發現，至少在車禍發生前7秒以上，貨櫃車是處在特斯拉司機的視野範圍内的。2016年6月28日，nhtsa 啟動了 pe16-007 調查項目，以“檢驗發生車禍時，車内任意自動駕駛系統的設計和性能狀況”。
作為nhtsa 對特斯拉的autopilot 系統檢驗的一部分，故障調查辦公室 （odi）分析了以下幾個主題：1）該款特斯拉車型中的自動緊急制動系統（aeb）和其他汽車的設計和性能對比；2）與autopilot 操作模式相關的人機互動界面；3）與發生事故的特斯拉autopilot 和aeb 系統相關的資料；4）特斯拉在 autopilot 和 aeb 系統中進行的改變。
2.0 aeb 系統
2.1 aeb 技術
自動緊急制動包括以下避免碰撞的技術：前方碰撞警告（fcw），動态制動器支援（dbs）和碰撞迫近制動（cib）。如果系統預測車輛與前進路徑中的物體即将發生碰撞，則會給司機提供 fcw。為了産生效果，這樣的警告應該在充足的時間内提前給到司機，讓司機可以評估潛在的危險，以正确地反應，刹車或者轉向，避免碰撞。
如果駕駛員選擇通過刹車避免碰撞，但是沒有應用足夠的制動來這樣做，dbs會自動補充制動。如果駕駛員沒有采取行動避免碰撞，cib自動應用車輛的制動，以便可以減輕或避免碰撞。
2.2 背景
aeb 技術已經使用了10多年。2007 年 9 月， crash avoidance metrics partnership (camp) 啟動了一個由美國 （nhtsa）資助的項目，“旨在開發用于評估 cib 系統的測試方法，并建立起通過觀察減少汽車碰撞中的潛在傷害嚴重性來評估其效果的方法。
該項目于2011年9月釋出的最終報告證明了雷達，錄影機和雷達/相機融合系統作為後減輕或避免碰撞技術的有效性。該報告還确定了幾種項目驗證不可行的碰撞模式包括直通道（scp）和左轉彎路徑（ltap）碰撞。項目測試的直交叉路徑（ 增加強調），左轉彎-相反方向和電線杆/樹碰撞場景的測試方法都被指定為“測試方法未驗證 - 超出cib項目的範圍”。
雖然測試方案不斷發展并為這些碰撞情況示範了cib 系統性能，但是，不管是系統配置或設定，都不能可靠地響應這些測試。由于這些類型的碰撞難以提前預測，cib 喚醒和潛在的錯誤喚醒之間的平衡很難達成。加上許多别的原因，近期的cib系統很可能都不會在這些場景中部署，可能通過其他的主動安全技術，可以更好地解決這些問題。
圖1顯示了作為 cib 項目的一部分——直交叉路徑測試。該報告提供了關于測試結果的以下評估：“碰撞前出現在視野中的目标的時間有限，這對系統的良好表現和采用cib系統是一個非常大的挑戰。通常，目标總是在撞擊之前很晚才被識别或根本不被識别。
從2010年的車型年份（model year）開始，nhtsa已經把fcw 系統的性能作為其新車評估程式（ncap）的一部分。這些測試包括cib項目已經驗證的後端碰撞： 前車停頓(lvs), 前車移動 (lvm)以及前車加速 (lvd)。
2015年11月5日，該機構宣布，從2018年的車型年份開始，将在ncap的效果測試中增加aeb 系統。2016年3月，nhtsa 與 美國國家高速路安全保險局（iihs）聯合釋出了一項聲明：20家汽車制造商、幾乎99%的美國新車市場自願自願讓 aeb 成為“幾乎所有輕型汽車和卡車的标準，車輛重量8,500磅。或更輕。2022年9月1日之前，以及幾乎所有卡車的重量都要限制在8,501磅到10,000磅之間。2025年9月1日之前，“聲明中引用的預期安全效益僅限于後端碰撞：
iihs的研究表明，這項措施讓aeb系統将減少40％的後端碰撞。 iihs估計，到2025年，可以防止28,000次碰撞和12,000次傷害。nhtsa最早認為它可以在現實中實施aeb的監管要求。
随着汽車制造商和供應商不斷改進傳感器裝置和執行物體分類與制動決定的算法（例如，行人碰撞避免），aeb系統性能和能力方面不斷提高。認識到這一點之後，odi調查了十幾個汽車制造商和幾個主要供應商，以确定自從camp cib項目完成後，橫穿十字路口避免碰撞的aeb能力是否發生了變化。odi聯系的公司中，沒有一家表示，在他們2016年的産品中，aeb 系統被用于在通過十字路口時避免碰撞的刹車。
2.3 tesla aeb系統
特斯拉aeb系統是一種雷達/相機融合系統，無論自動駕駛儀狀态如何，在處于“開” 的狀态時都能正常工作。驅動程式可以通過安裝在儀表闆中央的顯示屏，通過通路的駕駛輔助頁面來切換 aeb 開 / 關。對于每個新的啟動循環，aeb預設為on。駕駛員可以選擇fcw警報的時間，有四個選項：早，中，晚或關。如果fcw為關，在駕駛交通感覺巡航控制（tacc）模式（見下面的第3節）時，駕駛員仍然會得到刹車能力警告（bcw）。
目前車速太快，bcw會提出警告，以避免與前車發生碰撞，其采用的是tacc 減速限制标注。調整fcw警報的時間不會影響tesla aeb系統的激活時間。
雷達和錄影機子系統都被設計用于預測并緩解或避免前後碰撞 。系統需要兩個傳感器系統的協定來啟動自動刹車。相機系統使用mobileye的eyeq3處理晶片，使用車輛的後方圖像的大資料集來做出目标分類決定。複雜或不尋常的車輛形狀可能會延遲或阻止系統将某些車輛分類為目标或威脅。
在5月的車禍之後，nhtsa使用2015年的特斯拉model s 85d和2015年的梅賽德斯c300 4matic對标車輛，進行了一系列基于測試跑道的aeb性能評估。車輛在三個後端碰撞碰撞模式（lvs，lvm和lvd）和三種不同的車輛操作模式下進行測試：手動駕駛、自适應巡航控制（acc）系統、acc和車道居中控制（lcc）系統。這個測試證明了在特斯拉和對标車輛中的aeb系統能夠在測試的大多數後端情況下實作碰撞避免; acc通常提供足夠的刹車以實作碰撞避免，而不需要cib進行幹預。并且在scp或ltap情景中，車輛沒有有效地對現實出現的人為“目标”車輛進行反應。
odi對特斯拉aeb系統的分析發現：1）該系統被設計成避免或減輕後端碰撞; 2）該系統的能力符合2016年的aeb行業最先進水準标準; 3）用于交叉路徑碰撞的刹車，例如在佛羅裡達州緻命碰撞中存在的刹車，超出系統的預期性能能力。
3.0 碰撞事故
autopilot系統是adas，可以利用線控制動、轉向和電機扭矩來自動控制車輛的速度和行駛路徑。圖2展示了autopilot用來監控駕駛環境的硬體元件及範圍。主要涉及到的行車功能是tacc和autosteer。
3.1 可感覺交通流的巡航控制（tacc）
特斯拉tacc系統利用前向相機和毫米波雷達傳感器的資料來決定本車前方是否存在同一車道的車輛。如果沒有，tacc會維持駕駛員預先設定的速度。如果檢測到前車，并且速度慢于本車，tacc會控制電機扭矩，與前車維持一個利用時間換算的合适距離。
特斯拉model s轎車的使用者手冊對tacc進行了描述，它是“主要用于幹燥、筆直的道路情況，例如高速和快速路。不能用于城區道路。”手冊還包括一些跟系統局限性相關的附加警告，涉及到有附近行人和自行車的情況，以及曲率比較陡的路線，和濕滑路面、惡劣天氣等。系統并不能阻止使用者在不适合的路況下啟動。
3.2 自動轉向控制
特斯拉autosteer系統利用前向相機、毫米波雷達和超聲雷達傳感器，檢測道路标線以及本車周邊障礙物，并通過自動控制保持本車在道路中心行駛。特斯拉使用者手冊中包含下列警告：1）autosteer隻适用于高速路以及快速路，并且駕駛員需要高度集中精力。在autosteer使用過程中，駕駛員需要握住方向盤，并随時分析周圍交通狀況。城區路況、施工路段以及自行車和行人密集區域不要使用autosteer。不要依靠autosteer來判斷有效行駛路徑。随時準備采取立即行動。如果不遵循上述操作，則可能造成嚴重的車輛和人員傷亡；2）很多不可預見的場景都會令autosteer退出操作。使用者必須謹記這一點，autosteer可能會錯誤地進行車輛橫向控制。駕駛員必須保持時刻警惕，并保證能夠随時接管。系統并不能阻止使用者在不适合的路況下啟動。
4.0 人機互動接口
4.1 自動駕駛分級
按照nhtsa分級，僅tacc使能的時候，特斯拉autopilot系統屬于一級自動系統，與autosteer同時使用時更新為二級。圖3是駕駛自動化分級總表，清楚地劃分了每一個層次中駕駛員和系統之間的職能劃分。一級二級系統需要駕駛員的持續關注，并在需要的時候随時接管。駕駛員牢記自己的責任，認清自動駕駛的局限性是保證安全的關鍵。
二級部分自動駕駛系統的設計需要考慮人車共駕狀态下的人機互動接口，包括：1）為駕駛員提供系統局限性相關的資訊；2）包含一種可以監控駕駛員在環狀态的方法，并輔助駕駛員認清周圍路況；3）通過車輛動态回報以及報警提醒，将模式切換混淆的可能性盡可能降低；4）考慮到如何限制使用者在不合适的環境下使用該系統。
4.2 系統局限性
特斯拉以多個層次提供了系統局限性的資訊，包括：1）使用者手冊；2）每次軟體更新時候的更新說明，也指向使用者手冊；3）首次或一段時間後再次使用autosteer之前，都有一個使用者使用認可協定；4）每次autosteer啟動以後，儀表盤彈出對話框顯示“請一直手扶方向盤”；5）使用者界面呈現的資訊，會在駕駛過程中一直顯示，包括autosteer的狀态，亮白表示正在使用中，灰色代表現在是手動模式，但可以随時開啟。
4.3 駕駛員監控
特斯拉通過與方向盤，轉向信号和tacc速度設定杆的互動監視駕駛員的駕駛行為。如果系統根據道路類别，車輛速度，道路曲率和交通狀況變化的時間段内沒有檢測到駕駛員的手保持在方向盤上（使用微扭矩測量來評估）或駕駛員參與駕駛的其他标志，則會發出一系列警告。
警告從視覺警報開始，訓示司機需要将手放在方向盤上。如果駕駛員對視覺警告沒有反應，系統在15秒後會發出蜂鳴聲。如果再過10秒，司機還沒有反映，系統會發出一陣更緊急的聲音。如果5秒以内，駕駛員對第三警報依然無動于衷，則系統會逐漸降低車速，同時保持車在車道上的位置。一旦系統檢測到駕駛員的手放在了方向盤上，警告會解除，并恢複autopilot的運作。
作為 2016年9月的特斯拉8.0 over-the-air（ota）軟體更新的一部分，特斯拉修改了手控警告的時間，并增加了一個功能，如果一位司機長期沒能對警告做出足夠的反應，系統就會把autopilot 功能取消。（這被稱為“autopilot 自動出局” - 圖6）。
4.4 模式混淆
在嘗試激活或意外接替自動轉向（autosteer）期間的意外系統響應可能使操作者不清楚車輛的狀态（即“模式混亂”）。特斯拉的設計旨在防止模式混淆在幾個級别，包括：1）在使用者界面中提供有關自動駕駛儀的可用性、自動駕駛儀狀态和狀态之間成功和失敗轉換的資訊；2）在自動轉向或自動轉向系統未成功激活的 40 秒内，當車輛越過車道線或道路邊緣時，在方向盤上沒有檢測到駕駛員的手時，提供視聽的“立即接管系統”（take over immediately）警告；3）如果駕駛員在自動駕駛儀不可用時雙向拉動巡航杆，嘗試激活tacc和自動駕駛，則這兩個功能都不會激活，自動駕駛訓示器圖示将閃爍橙色（圖7），并發出聲音警報。
4.5 道路限制
根據特斯拉提供的資訊，autosteer 用于有中心分隔線和清晰的車道标記的高速公路。但是，系統不會阻止車輛在任何道路類型上行駛。駕駛員負責決定何時适合于系統激活的道路類型和其他條件。系統更多是會根據車輛速度、道路類别和車流量進行實時警告。
5.0 碰撞事故
5.1 autopilot 碰撞
odi分析了來自tesla model s和model x車輛的多起碰撞的資料，包括在從自動駕駛模式轉換的15秒内操作時發生的氣囊展開情況。一些碰撞涉及其他車輛從各個方向撞到特斯拉的影響，一些事故中，系統很少甚至沒有警告特斯拉司機。其他碰撞涉及目前一代自動駕駛1級或2級系統的技術水準之外的情形，例如車輛并線和交叉路徑碰撞。
圖8和圖9展示了來自對等車輛所有者手冊的警告的示例，其訓示這些模式對于acc系統在1級或2級操作模式中具有挑戰性，并且可能需要駕駛員采取行動以避免碰撞。類似地，在讨論acc時，bmw手冊描述了系統限制，包括系統對交叉車輛不減速。
5.2 駕駛員行為因素
許多碰撞事故都涉及駕駛員行為因素，包括在特定情況下駕駛速度過快、模式混亂以及注意力分散。大多數碰撞都與駕駛員沒有及時控制方向盤轉彎，以及（或者）踩刹車有關，但也有個别情況是駕駛員在碰撞發生前沒有采取任何行動。高速公路上發生的碰撞事故數量大約為 odi 稽核事故的一半多一點，這些事故涉及超車、急刹車，以及在車流中突然轉向。有些碰撞事故發生在不适于半自動駕駛的環境（如城市車流、高速公路進出口、擁擠地帶、大雨情況，以及道路交叉口/十字路口）。odi 分析發現，因駕駛員模式混亂而沒有察覺事故征兆導緻碰撞事故發生的，并不能說明駕駛系統存在設計缺陷。特斯拉最近對系統實施的改動也進一步降低了駕駛員因模式混亂而沒有察覺的可能性。
佛羅裡達緻死事故涉及一段長時間的注意力分散（至少 7 秒）。odi 稽核的大多數事件中，在事故發生前留給系統和駕駛員察覺/反應并采取行動的時間通常都更少（不到 3 秒）。在大多數這類情況中，專注的駕駛員對環境有更好的把控，尤其是再加上經驗豐富的駕駛員能夠對其他駕駛員的行為做出準确預判。特斯拉已經改變其駕駛員監控政策，促使駕駛員的注意力保持集中在駕駛環境上。
5.3 駕駛員注意力分散
圖 10 展示了在 gm 進行的一項實驗中，駕駛員操作 laads 在 l1 和 l2 模式的 sae 時，對道路環境注意力分布的情況。資料顯示，在每種操作模式下駕駛員的注意力都會分散，并且在 acc 模式或結合 acc 模式與 lane centering control 功能時，絕大多數注意力分散持續 3 秒或以下。odi 分析發現，大多數碰撞都發生在不到 3 到 4 秒的時間。在佛羅裡達緻死事故中出現的超過 7 秒的注意力分散十分少見，但卻是可以預計的。為了進一步調查其可預見性，有關機構對特斯拉下達了特别指令，讓其評估特斯拉在設計系統時，對駕駛員操作失誤（包括注意力分散）的考慮情況，以及該公司是否有在 autopilot 設計中整合相關保護措施。特斯拉工程師的确考慮到了駕駛員操作失誤的一系列可能性，也包括上述事故中發生的情況。odi 還考察了駕駛員的操作失誤是由于特斯拉設計缺陷所引起的的可能性，結果排除了相關可能。
5.4 碰撞事故幾率
odi 分析了特斯拉提供的 2014 年 5 月到 2016 年安裝 autopilot 系統的 modle s 和 modle x 車輛駕駛裡程和保護氣囊的資料，計算了安裝 autopilot 系統以前及之後按裡程碰撞發生的幾率。圖 11 展示了 odi 計算的在安裝 autopilot 系統以前及之後特斯拉汽車保護氣囊使用的結果。資料顯示，在安裝 autosteer 功能後，車輛碰撞幾率降低了将近 40%。
6.0 autopilot 更新
自 2015 年 10 月釋出以來，特斯拉一直在持續不斷地更新 autopilot 系統的硬體，并通過 ota 更新提供給消費者使用。這些系統更新包括完善 tacc、aeb 和 autosteer 性能産生的改動，已經增加新的駕駛員輔助安全功能，比如 in-path stationary（ipso）刹車，以踏闆自動調整（pedal misapplication mitigation，pmm）功能。2016 年 9 月，特斯拉釋出了 autopilot 8.0 硬體更新，這次更新修繕了駕駛員監控政策，還包括一些 aeb、dbs 和 tacc 性能更新。
7.0 結論
諸如特斯拉 autopilot 這樣的 adas 需要駕駛員對交通環境給予持續且全面的注意，時刻準備着采取行動避免碰撞。開發 aeb 系統是用于輔助避免或減少追尾情況出現的。該系統存在局限，并不能總是檢測危險、提供警告，或及早刹車以避免碰撞。盡管表述或許不是十分明晰，但是特斯拉在使用者手冊、操作界面以及相關的警告/說明中給出了有關系統局限性的資訊，此外還設定了駕駛員監控系統，持續在背景參與輔助駕駛。駕駛員應當閱讀使用者手冊中所有有關 adas 技術的說明并了解其局限。盡管在大部分碰撞類型中，adas 技術都會持續改進，但駕駛員絕對不能在意識到碰撞危險後，等待自動刹車啟動。
nhtsa 的檢查沒有發現被調查車輛的 aeb 或 autopilot 系統在設計或性能上有任何缺陷，也沒有發現系統沒有按照設計發揮性能。2016 年 5 月在汽車行業中使用的系統采用的後端碰撞避免技術，其設計不能在所有碰撞模式（包括交叉路徑碰撞）都可靠地運作。特斯拉在自動駕駛儀系統的設計過程中已經識别出 hmi 因素，例如駕駛員分心的可能性。特斯拉的設計包括實際操作方向盤系統，用于監控駕駛員的參與。該系統已經更新，通過
“strike out”政策進一步加強駕駛員參與駕駛的需求。沒有對驅動器監視系統警報中的視覺提示作出響應的駕駛員可能在駕駛周期的剩餘時間遭到“淘汰”，并失去使用自動駕駛功能的資格。
本次調查尚未發現與安全有關的缺陷的傾向，對該問題進一步審查似乎沒有必要。是以，本次調查到此結束。本次調查的結束并不在法律意義上構成 nhtsa 沒有發現任何與安全有關缺陷的結論。nhtsa 将監測該問題，并保留未來在情況允許的情況下采取行動的權利。