仔細(xì)研究歐盟 ADS 立法草案中的合規(guī)評(píng)估

歐盟 (EU) 于 2022 年 4 月初發(fā)布了針對(duì)配備自動(dòng)駕駛系統(tǒng) (ADS) 的車輛的立法草案。本專欄的重點(diǎn)是概述 ADS 合規(guī)性評(píng)估。

歐盟 ADS 立法草案有兩個(gè)主要部分：ADS 性能要求和 ADS 合規(guī)性評(píng)估。ADS 性能要求規(guī)定了自動(dòng)駕駛汽車必須具備哪些能力才能在歐洲獲得型式認(rèn)證。我之前的專欄概述了 ADS 性能要求 。

ADS 合規(guī)性評(píng)估指定了自動(dòng)駕駛汽車 (AV) 在獲得型式批準(zhǔn)之前將如何進(jìn)行評(píng)估、審核和測(cè)試。

下表簡(jiǎn)要概述了這兩個(gè)部分的不同之處。立法草案中的章節(jié)名稱列于表中——ADS 性能要求規(guī)范的附件 2 和 ADS 合規(guī)性評(píng)估規(guī)范的附件 3。

ADS 功能描述在立法草案中占 10 頁(yè)。ADS 合規(guī)性評(píng)估描述部分占 ADS 立法草案的 50 頁(yè)或比 ADS 性能要求大 5 倍。有趣的是，ADS 評(píng)估、評(píng)估和測(cè)試比 ADS 性能要求具有更多的復(fù)雜性和規(guī)范。

歐盟自動(dòng)駕駛系統(tǒng)立法概覽（來(lái)源：Egil Juliussen）

ADS 性能要求摘要

ADS 要求使用五個(gè)交通場(chǎng)景來(lái)描述所需的功能。ADS 必須針對(duì)所有交通場(chǎng)景執(zhí)行整個(gè)動(dòng)態(tài)駕駛?cè)蝿?wù) (DDT)。

它還規(guī)定了要滿足的功能和操作安全條件。最小風(fēng)險(xiǎn)機(jī)動(dòng) (MRM) 對(duì)于避免碰撞和危險(xiǎn)情況非常重要。

ADS 還必須具有內(nèi)置的網(wǎng)絡(luò)安全和軟件管理系統(tǒng)。需要一個(gè)事件記錄器來(lái)跟蹤 ADS 的性能。作為型式認(rèn)證申請(qǐng)的一部分，需要一份詳細(xì)的操作手冊(cè)。

ADS 合規(guī)性評(píng)估

上表包含有關(guān) ADS 合規(guī)性評(píng)估的摘要信息。關(guān)鍵是評(píng)估將由型式批準(zhǔn)組織進(jìn)行。ADS 性能的任何要求都可以通過(guò) ADS 合規(guī)性評(píng)估中規(guī)定的型式批準(zhǔn)機(jī)構(gòu)進(jìn)行的測(cè)試來(lái)檢查。每輛具有 ADS 功能的車輛都必須通過(guò)這些測(cè)試才能在歐盟國(guó)家銷售。

合規(guī)性評(píng)估非常復(fù)雜，詳細(xì)描述了如何評(píng)估每個(gè) ADS，如下表所示。該表包括立法草案中包含評(píng)估描述的部分。

有五個(gè)評(píng)估類別： 運(yùn)營(yíng)設(shè)計(jì)領(lǐng)域 (ODD) 情景；ADS系統(tǒng)設(shè)計(jì)和文檔；ADS 安全性的道路測(cè)試；ADS 建模和仿真 (M&S) 能力；和 ADS 生命周期內(nèi)的安全性能。每個(gè)評(píng)估類別總結(jié)如下。然而，描述立法草案的許多評(píng)估細(xì)節(jié)是不可行的。對(duì)于此類信息，讀者必須自己分析ADS 立法草案。

歐盟 ADS 立法評(píng)估類別概覽（來(lái)源：Egil Juliussen）

ODD 情景評(píng)估

ODD 情景評(píng)估包括有關(guān)諸如變道、合并、轉(zhuǎn)彎、交叉交通和其他駕駛操作等操作的安全參數(shù)的詳細(xì)信息。評(píng)估涵蓋不同的駕駛環(huán)境，包括高速公路/高速公路、城鄉(xiāng)道路以及道路使用者的行為。

ADS 立法草案對(duì)上一列交通場(chǎng)景中包含的交通場(chǎng)景進(jìn)行了廣泛的描述：正常、關(guān)鍵和故障應(yīng)急操作。大部分討論是在道路 ADS 測(cè)試性能期間的預(yù)期行為。

下圖顯示了立法草案中包含的評(píng)估細(xì)節(jié)示例。

推導(dǎo)與 ADS 的 ODD 相關(guān)的情景應(yīng)遵循的原則。（來(lái)源：歐盟 ADS 立法草案，第 21 頁(yè)。）

對(duì)于 ADS 的 ODD，可以使用基于數(shù)據(jù)和基于知識(shí)的方法來(lái)生成相應(yīng)的交通場(chǎng)景?；谥R(shí)的方法利用專家知識(shí)系統(tǒng)地識(shí)別危險(xiǎn)事件并創(chuàng)建場(chǎng)景?；跀?shù)據(jù)的方法利用可用數(shù)據(jù)來(lái)識(shí)別和分類發(fā)生的場(chǎng)景。

ADS 安全概念評(píng)估和審計(jì)

本節(jié)重點(diǎn)評(píng)估 ADS 安全概念和審核制造商安全管理體系。型式批準(zhǔn)機(jī)構(gòu)應(yīng)通過(guò)有針對(duì)性的抽查和測(cè)試來(lái)驗(yàn)證 ADS 性能要求是否已根據(jù)提交的文件實(shí)際實(shí)施。

這意味著 ADS 在其 ODD 中運(yùn)行的方式不會(huì)在故障（功能安全）和非故障（操作安全）條件下對(duì)車輛乘員和其他道路使用者造成不合理的安全風(fēng)險(xiǎn)。

ADS 文件——制造商應(yīng)提供文件，以提供對(duì) ADS 設(shè)計(jì)和 ADS 直接控制的其他車輛系統(tǒng)的訪問(wèn)權(quán)限，以及非車載硬件/軟件和遠(yuǎn)程功能。文檔應(yīng)簡(jiǎn)短但提供證據(jù)證明設(shè)計(jì)和開(kāi)發(fā)受益于所有涉及的 ADS 領(lǐng)域的專業(yè)知識(shí)。文檔部分討論了 ADS 軟件、硬件、人機(jī)界面 (HMI)、數(shù)據(jù)元素、算法、原理圖、功能操作等所有方面的一長(zhǎng)串要求。列出了大約 80 個(gè)文檔項(xiàng)目。不要求提供專有數(shù)據(jù)的副本，但需要檢查此類信息。

驗(yàn)證和測(cè)試——根據(jù) ADS 文件，型式批準(zhǔn)機(jī)構(gòu)應(yīng)要求進(jìn)行測(cè)試，包括 ADS 功能操作和 ADS 安全概念驗(yàn)證。型式批準(zhǔn)機(jī)構(gòu)應(yīng)檢查對(duì)對(duì)象和事件檢測(cè)和響應(yīng)以及 ADS 的決策和 HMI 功能至關(guān)重要的場(chǎng)景。驗(yàn)證結(jié)果應(yīng)與危害分析的書(shū)面總結(jié)相對(duì)應(yīng)，以確認(rèn)安全概念和執(zhí)行符合法規(guī)要求。

安全管 應(yīng)建立并記錄設(shè)計(jì)和開(kāi)發(fā)過(guò)程，包括 SMS、需求管理、需求實(shí)施、測(cè)試、故障跟蹤、補(bǔ)救和發(fā)布。制造商還應(yīng)確保負(fù)責(zé)功能/操作安全、網(wǎng)絡(luò)安全的制造商部門之間的有效溝通渠道，以及其他相關(guān)的車輛安全紀(jì)律。SMS 合規(guī)證書(shū)的有效期為三年，除非被撤銷。在適當(dāng)?shù)臅r(shí)候，制造商必須申請(qǐng)新的或延長(zhǎng)現(xiàn)有的 SMS 合規(guī)證書(shū)。

安全概念報(bào)告規(guī)定——制造商對(duì) ADS 安全概念的安全評(píng)估和安全管理體系審核的報(bào)告應(yīng)以可追溯的方式進(jìn)行。型式認(rèn)可機(jī)構(gòu)應(yīng)根據(jù)制造商提供的文件出具安全評(píng)估結(jié)果，作為型式認(rèn)可證書(shū)的附件。

ADS 通過(guò)-失敗測(cè)試

評(píng)估 ADS 安全性的通過(guò)/失敗標(biāo)準(zhǔn)應(yīng)基于上一欄（立法草案中的附件 2）中描述的 ADS 能力要求。要求以這樣一種方式定義，即可以為一組特定的測(cè)試參數(shù)、所有與安全相關(guān)的參數(shù)組合和指定的操作范圍（例如，速度范圍、縱向和橫向加速度范圍、曲率半徑、亮度、車道數(shù)）。

測(cè)試地點(diǎn)應(yīng)包括與 ADS 規(guī)定的 ODD 相對(duì)應(yīng)的特性。測(cè)試必須安全地進(jìn)行，并且不會(huì)對(duì)其他道路使用者造成任何風(fēng)險(xiǎn)。測(cè)試應(yīng)在不同的環(huán)境條件下，在為 ADS 定義的 ODD 范圍內(nèi)進(jìn)行。

The subject vehicle shall be tested with any permissible vehicle load. No load alteration shall be made once the test procedure has begun. The manufacturer shall demonstrate, through the use of documentation, that the ADS works at all load conditions.

Type–approval testing may be carried out based on simulations, maneuvers on the test track, and driving tests on real road traffic. However, it may not be based solely on computer simulations.

A large variety of test scenarios will be done on a test track to assess the performance of the ADS — a list of 13 tests is included with many variations for some tests. The specified tests include lane keeping, lane changing, collision avoidance, emergency braking avoidance, following lead vehicle, lane cut–in by another vehicle, lane cut–out due to stationary vehicle in lane, parking, parking facility navigation, and specific motorway scenarios.

ADS M&S assessment

The key to this section is establishing a framework for credible assessment of developing and using virtual toolchains in ADS validation. The legislative draft lists five properties to achieve credibility of M&S:

Capability:What can the M&S do, and what risks are associated with it?

Accuracy:How well does M&S reproduce the target data?

Correctness:How sound and robust are M&S data and algorithms?

Usability:What training and experience is needed?

Fit for purpose:How suitable is the M&S for the ODD and ADS assessment?

At the same time, the credibility assessment framework must be general enough to be used for different M&S types and applications. It also defines the envelope of how a virtual tool can be used for assessing ADS safety and capabilities.

立法草案包括一個(gè)可信度評(píng)估框架。該框架提供了一種基于質(zhì)量保證標(biāo)準(zhǔn)評(píng)估和報(bào)告 M&S 可信度的方法。下圖顯示了可信度評(píng)估框架組件之間關(guān)系的圖形表示。

可信度評(píng)估框架的組成部分之間的關(guān)系。（來(lái)源：ADS 立法草案，第 54 頁(yè)）

在這個(gè)數(shù)字之后，ADS 立法草案對(duì) M&S 技術(shù)問(wèn)題進(jìn)行了超過(guò)六頁(yè)的討論，包括多個(gè)管理問(wèn)題、數(shù)據(jù)輸入、數(shù)據(jù)質(zhì)量、建模假設(shè)、模型驗(yàn)證、代碼驗(yàn)證、驗(yàn)證和準(zhǔn)確性。

最后一個(gè) M&S 部分是對(duì)文檔結(jié)構(gòu)的討論，其中有兩個(gè)項(xiàng)目很突出：

制造商應(yīng)制作一份文件（“模擬手冊(cè)”），為所提出的主題提供證據(jù)。

該文件應(yīng)在 M&S 使用的整個(gè)生命周期中得到維護(hù)。

本節(jié)包含對(duì) M&S 技術(shù)的廣泛討論，在本專欄中涵蓋所有細(xì)節(jié)是不可行的。應(yīng)該由該領(lǐng)域的專家研究。

ADS 壽命安全性能評(píng)估

本節(jié)重點(diǎn)介紹 ADS 生命周期部署期間的要求。本質(zhì)上，這是制造商在發(fā)生意外 ADS 事件時(shí)的報(bào)告職責(zé)。有兩種類型的報(bào)告事件：非關(guān)鍵事件和關(guān)鍵事件。

危急事件是指 ADS 在與至少一個(gè)受傷需要醫(yī)療救助的人發(fā)生碰撞時(shí)接合的事件，或?qū)?ADS 車輛、其他車輛或靜止物體造成超過(guò)一定閾值的物理?yè)p壞。制造商必須立即向型式批準(zhǔn)機(jī)構(gòu)、市場(chǎng)監(jiān)督機(jī)構(gòu)和歐盟委員會(huì)通報(bào)重大事件。

制造商應(yīng)在一個(gè)月內(nèi)報(bào)告必須由制造商補(bǔ)救的任何短期事件，如下表所述。下表是立法草案中表格的副本。

我對(duì)這張表有一個(gè)不同意見(jiàn)：網(wǎng)絡(luò)安全漏洞太重要了，應(yīng)該在一個(gè)月內(nèi)而不是一年內(nèi)報(bào)告。

短期事件示例制造商必須在一個(gè)月內(nèi)向歐盟委員會(huì)報(bào)告。（來(lái)源：Egil Juliussen）

ADS 合規(guī)性評(píng)估摘要

ADS 合規(guī)性評(píng)估部分詳細(xì)說(shuō)明了型式批準(zhǔn)組織將如何評(píng)估 ADS 能力并評(píng)估其是否符合歐盟法規(guī)。

第一項(xiàng)任務(wù)是評(píng)估 ODD 道路場(chǎng)景，包括城市、農(nóng)村和高速公路。ODD 評(píng)估包括常見(jiàn)的操作，例如變道、并道、逆行、交叉路口和其他駕駛?cè)蝿?wù)。

第二部分是 ADS 安全概念的審核和評(píng)估，包括制造商提供的所有 ADS 文件。制造商的安全管理體系也經(jīng)過(guò)審核。

第三個(gè)要素是對(duì)將要進(jìn)行的駕駛考試的描述。這些是通過(guò)或失敗測(cè)試，用于評(píng)估 ADS 在各種駕駛情況下的安全性。

第四個(gè)評(píng)估是查看制造商已執(zhí)行的 M&S 和 M&S 系統(tǒng)的功能。本節(jié)內(nèi)容非常全面，為獲得成功的型式批準(zhǔn)提供了廣泛的技術(shù)建議。

最后的合規(guī)性評(píng)估是在部署后跟蹤 ADS 的性能。它包括必須跟蹤和向型式批準(zhǔn)組織報(bào)告的信息，以保留車輛的型式批準(zhǔn)。

ADS 合規(guī)性評(píng)估非常出色且非常完整。我沒(méi)有看到任何接近這個(gè) ADS 立法草案的質(zhì)量和完整性的東西。各個(gè) AV 領(lǐng)域的專家肯定會(huì)找到改進(jìn)的主題，但這是一個(gè)可靠的建議。

有什么影響？

歐盟 ADS 立法草案解決了包括個(gè)人 AV 在內(nèi)的所有AV 用例，并使其成為一項(xiàng)雄心勃勃且影響深遠(yuǎn)的監(jiān)管提案。它指定了汽車 OEM 和服務(wù)提供商的 ADS 要求和性能，但沒(méi)有指定使用什么技術(shù)。ADS 的 ODD 將決定 AV 用例。

對(duì)如何執(zhí)行 ADS 評(píng)估的描述非常完整，可能會(huì)讓一些 AV 工程師和高管度過(guò)許多不眠之夜。從我的角度來(lái)看，M&S 部分特別令人印象深刻，并且可能會(huì)影響 AV 行業(yè)如何全面使用仿真和建模來(lái)設(shè)計(jì)、開(kāi)發(fā)、測(cè)試和部署 ADS 車輛。

與歐盟不同，美國(guó)不使用型式批準(zhǔn)程序來(lái)確定車輛是否可以出售。相反，每個(gè)汽車 OEM 都會(huì)自行證明車輛型號(hào)已準(zhǔn)備好安全使用和銷售。因此，型式批準(zhǔn)程序?qū)υ诿绹?guó)銷售的車輛的直接影響有限，但間接影響將是巨大的，因?yàn)槊绹?guó)原始設(shè)備制造商將參與歐洲 ADS 細(xì)分市場(chǎng)并需要型式批準(zhǔn)。

也許引入自動(dòng)駕駛汽車是在美國(guó)使用型式批準(zhǔn)程序的時(shí)候了。對(duì)于原始設(shè)備制造商來(lái)說(shuō)，這將是一個(gè)非常不受歡迎的決定，他們可能會(huì)發(fā)起一場(chǎng)大斗爭(zhēng)來(lái)阻止它。也許這是一個(gè)需要大量討論的問(wèn)題，并且可能是未來(lái)的話題。


審核編輯 黃昊宇