上海汽檢×TüV南德從聯(lián)合國(guó)法規(guī)《自動(dòng)車(chē)道保持系統(tǒng)ALKS》淺談智駕安全

上海機(jī)動(dòng)車(chē)檢測(cè)認(rèn)證技術(shù)研究中心有限公司（以下簡(jiǎn)稱(chēng)“上海汽檢”）與TüV南德意志集團(tuán)（以下簡(jiǎn)稱(chēng)“TüV南德”）致力聯(lián)動(dòng)中國(guó)車(chē)企共創(chuàng)高級(jí)別自動(dòng)駕駛海外認(rèn)證三方合作新范式，三方共同打造出海測(cè)試認(rèn)證的最佳實(shí)踐，以促進(jìn)智能駕駛行業(yè)安全合規(guī)發(fā)展。

聯(lián)合國(guó)法規(guī)UN- R157型式批準(zhǔn)是汽車(chē)品牌自證智能駕駛能力領(lǐng)先的技術(shù)高地之一，雙方將圍繞UN-R157共同淺談智能駕駛安全。 安全是自動(dòng)駕駛的最基本要求，驗(yàn)證確認(rèn)自動(dòng)駕駛系統(tǒng)滿(mǎn)足法規(guī)要求是商業(yè)化落地的前提。本文將圍繞國(guó)際法規(guī)UN-R157提出的ALKS系統(tǒng)的功能需求和安全需求，基于聯(lián)合國(guó)WP.29 自動(dòng)駕駛測(cè)試評(píng)價(jià)方法（VMAD）工作組提出的NATM（New Assessment/Testing Method）自動(dòng)駕駛驗(yàn)證確認(rèn)框架，進(jìn)一步分析多支柱法（Multi-pillar Approach）在ALKS驗(yàn)證確認(rèn)過(guò)程中的實(shí)踐方案。 多支柱法來(lái)源于NATM，是由VMAD基于當(dāng)前最佳實(shí)踐提出的驗(yàn)證自動(dòng)駕駛系統(tǒng)安全的框架，目前在國(guó)際上取得了廣泛的認(rèn)同。多支柱法包括一個(gè)場(chǎng)景目錄和五種驗(yàn)證方法。

上圖為VMAD多支柱法框架

UN-R157提出的ALKS系統(tǒng)的需求和ODD （Operational Design Domain，運(yùn)行設(shè)計(jì)域）是NATM多支柱法的主要輸入來(lái)源。其中，仿真/虛擬測(cè)試、封閉場(chǎng)地測(cè)試、實(shí)際道路測(cè)試將利用各自的優(yōu)勢(shì)覆蓋不同場(chǎng)景下的測(cè)試驗(yàn)證。審核與評(píng)估旨在確保ALKS系統(tǒng)提供方已建立完善的安全管理體系，并評(píng)估基于該安全管理體系完成安全風(fēng)險(xiǎn)管控活動(dòng)，同時(shí)評(píng)估不同測(cè)試活動(dòng)之間協(xié)同互補(bǔ)以實(shí)現(xiàn)總體測(cè)試場(chǎng)景覆蓋度。而運(yùn)行中監(jiān)控及上報(bào)則關(guān)注產(chǎn)品進(jìn)入市場(chǎng)后的安全相關(guān)數(shù)據(jù)收集和分析，為前期審核評(píng)結(jié)論估持續(xù)提供證據(jù)，并在實(shí)際運(yùn)行中反饋和調(diào)整系統(tǒng)需求，以及擴(kuò)展研發(fā)過(guò)程的場(chǎng)景庫(kù)。

ALKS系統(tǒng)的場(chǎng)景庫(kù)來(lái)源于功能定義過(guò)程中確定的ODD，識(shí)別和定義測(cè)試場(chǎng)景需考慮如駕駛員行為、事故統(tǒng)計(jì)數(shù)據(jù)、特定場(chǎng)景中交通參與人員行為特征、車(chē)輛動(dòng)力學(xué)特征、基于場(chǎng)景屬性隨機(jī)生成的合理場(chǎng)景等不同因素。多支柱法中定義不同測(cè)試方式的目的是通過(guò)利用不同測(cè)試手段的優(yōu)勢(shì)互補(bǔ)，達(dá)成基于場(chǎng)景測(cè)試的覆蓋率目標(biāo)，其中測(cè)試手段的優(yōu)缺點(diǎn)對(duì)比梳理如下。

仿真/封閉場(chǎng)地/實(shí)際道路測(cè)試

仿真測(cè)試環(huán)境可以提供實(shí)車(chē)測(cè)試過(guò)程中搭建難度較大或危險(xiǎn)系數(shù)較高的場(chǎng)景，例如多交通參與者的復(fù)雜交互場(chǎng)景或必然發(fā)生危險(xiǎn)碰撞場(chǎng)景等。仿真測(cè)試同時(shí)對(duì)仿真工具鏈和仿真模型提出嚴(yán)格要求，只有同一場(chǎng)景在仿真測(cè)試和實(shí)車(chē)測(cè)試中結(jié)果保持一致的條件下，仿真測(cè)試結(jié)果才能被采信。仿真測(cè)試工具鏈及場(chǎng)景中使用的模型在應(yīng)用于ALKS系統(tǒng)測(cè)試驗(yàn)證前，需通過(guò)工具鏈和仿真模型的可信度評(píng)估。

封閉場(chǎng)地則要求具備高度還原測(cè)試場(chǎng)景的能力，用于ALKS系統(tǒng)在不同風(fēng)險(xiǎn)的運(yùn)行場(chǎng)景中的實(shí)車(chē)測(cè)試。同時(shí)，針對(duì)同一場(chǎng)景，基于封閉場(chǎng)地的測(cè)試結(jié)果可用于驗(yàn)證仿真測(cè)試環(huán)境的可信度。

實(shí)際道路測(cè)試執(zhí)行的前提是在仿真測(cè)試和封閉場(chǎng)地測(cè)試中，ALKS系統(tǒng)已經(jīng)滿(mǎn)足預(yù)期的功能及安全需求。在實(shí)際道路測(cè)試過(guò)程中，ALKS系統(tǒng)對(duì)實(shí)際環(huán)境的感知能力和對(duì)車(chē)輛的實(shí)際控制策略將會(huì)成為測(cè)試的重要部分。同時(shí)，實(shí)際道路測(cè)試過(guò)程產(chǎn)生的記錄數(shù)據(jù)可用于驗(yàn)證仿真測(cè)試和封閉場(chǎng)地測(cè)試的可信度，實(shí)際道路測(cè)試過(guò)程中產(chǎn)生的未知場(chǎng)景也可用于擴(kuò)展當(dāng)前場(chǎng)景庫(kù)。

圖源shutterstock，ID：646014577

審核與評(píng)估

安全管理體系是主機(jī)廠進(jìn)行ALKS系統(tǒng)全生命周期管理的基礎(chǔ)，其中涉及到研發(fā)、生產(chǎn)、運(yùn)營(yíng)和報(bào)廢等階段，以及各階段使用的流程、方法論和工具等。同時(shí)，安全管理體系主要從人員、組織和技術(shù)等三個(gè)不同方面進(jìn)行管理。針對(duì)安全管理體系的審核主要基于汽車(chē)相關(guān)的安全標(biāo)準(zhǔn)和法規(guī)，主機(jī)廠建立安全管理體系時(shí)，需充分考慮風(fēng)險(xiǎn)和安全管理、安全文化建設(shè)、組織內(nèi)部溝通機(jī)制、組織對(duì)外溝通機(jī)制和組織層級(jí)質(zhì)量管理體系等不同維度的體系需求。面向ALKS功能的安全管理體系，主機(jī)廠同時(shí)需要建立功能上市后的監(jiān)控及上報(bào)流程及功能升級(jí)流程。

安全評(píng)估主要關(guān)注從識(shí)別ALKS系統(tǒng)相關(guān)的安全風(fēng)險(xiǎn)到系統(tǒng)研發(fā)過(guò)程中針對(duì)識(shí)別出來(lái)的風(fēng)險(xiǎn)進(jìn)行的一系列安全相關(guān)活動(dòng)，最后通過(guò)驗(yàn)證和確認(rèn)來(lái)確保系統(tǒng)不存在不合理的安全風(fēng)險(xiǎn)。UN-R157明確提出車(chē)輛控制需求、人機(jī)交互需求、車(chē)內(nèi)外感知需求、數(shù)據(jù)記錄需求、網(wǎng)絡(luò)安全和軟件升級(jí)需求。因此，在UN-R157的合規(guī)安全評(píng)估過(guò)程中，相關(guān)法規(guī)需求會(huì)基于不同測(cè)試方法的驗(yàn)證結(jié)果完成安全評(píng)估。

運(yùn)行中監(jiān)控及上報(bào)

多支柱法的三種不同測(cè)試方法，以及審核與評(píng)估，旨在完成自動(dòng)駕駛系統(tǒng)上市前的安全驗(yàn)證和確認(rèn)。運(yùn)行中監(jiān)控及上報(bào)主要錨定系統(tǒng)上市后實(shí)際運(yùn)行中持續(xù)收集數(shù)據(jù)，通過(guò)收集到的數(shù)據(jù)證明自動(dòng)駕駛系統(tǒng)在實(shí)際運(yùn)行中沒(méi)有引發(fā)不合理的安全風(fēng)險(xiǎn)。該驗(yàn)證方法有別于安全需求中涉及到的系統(tǒng)狀態(tài)實(shí)時(shí)監(jiān)控，運(yùn)行中監(jiān)控及上報(bào)更側(cè)重于安全相關(guān)數(shù)據(jù)的監(jiān)控及上報(bào)，例如風(fēng)險(xiǎn)控制策略觸發(fā)事件，駕駛員誤用事件，車(chē)輛控制權(quán)轉(zhuǎn)移事件等安全相關(guān)事件。

圖源shutterstock，ID：1125744236

各支柱間如何協(xié)同

多支柱法提出的初衷，旨在通過(guò)結(jié)合不同支柱的優(yōu)點(diǎn)并用于自動(dòng)駕駛系統(tǒng)的驗(yàn)證和確認(rèn)工作中，以實(shí)現(xiàn)客觀且可復(fù)現(xiàn)的驗(yàn)證和確認(rèn)過(guò)程，同時(shí)將安全相關(guān)的驗(yàn)證工作延伸到車(chē)輛上市后的整個(gè)生命周期中。不同測(cè)試方法的選取主要取決于具體的需求和ODD，高風(fēng)險(xiǎn)的測(cè)試場(chǎng)景可以在仿真環(huán)境下進(jìn)行測(cè)試；低風(fēng)險(xiǎn)的測(cè)試場(chǎng)景可以通過(guò)不同的測(cè)試手段進(jìn)行測(cè)試，同時(shí)封閉場(chǎng)地測(cè)試或?qū)嶋H道路測(cè)試的結(jié)果可用于驗(yàn)證仿真環(huán)境的可信度。審核與評(píng)估不僅用于自動(dòng)駕駛系統(tǒng)的安全評(píng)估，也用于組織層級(jí)安全管理體系的評(píng)估，確保在產(chǎn)品研發(fā)過(guò)程中識(shí)別出來(lái)的安全風(fēng)險(xiǎn)可以通過(guò)有效的驗(yàn)證策略控制在合理范圍內(nèi)。運(yùn)行中監(jiān)控及上報(bào)確保自動(dòng)駕駛系統(tǒng)在整個(gè)生命周期中，可以通過(guò)運(yùn)行中采集到的數(shù)據(jù)，將安全風(fēng)險(xiǎn)反饋給相關(guān)機(jī)構(gòu)，實(shí)現(xiàn)功能的迭代并將安全風(fēng)險(xiǎn)控制在合理范圍內(nèi)。

上海汽檢自動(dòng)駕駛仿真測(cè)試及場(chǎng)地測(cè)試能力

自動(dòng)駕駛仿真實(shí)驗(yàn)室現(xiàn)已具備智能駕駛?cè)溌贩抡鏈y(cè)試服務(wù)能力，涵蓋仿真場(chǎng)景庫(kù)、場(chǎng)景采集服務(wù)、SIL/MIL/HIL/VIL/DIL在環(huán)測(cè)試、線(xiàn)控系統(tǒng)測(cè)試等4大項(xiàng)13小項(xiàng)仿真測(cè)試服務(wù)，可為主機(jī)廠提供定制化整車(chē)自動(dòng)駕駛系統(tǒng)（感知、決策、執(zhí)行）在環(huán)仿真測(cè)試，支持?jǐn)z像頭暗箱/注入式在環(huán)測(cè)試、毫米波雷達(dá)暗箱/注入式硬件在環(huán)、激光雷達(dá)注入式硬件在環(huán)、線(xiàn)控制動(dòng)系統(tǒng)在環(huán)測(cè)試、線(xiàn)控轉(zhuǎn)向系統(tǒng)在環(huán)測(cè)試、線(xiàn)控驅(qū)動(dòng)控制系統(tǒng)在環(huán)等測(cè)試方式。

在場(chǎng)地資源上，臨港智能網(wǎng)聯(lián)汽車(chē)綜合測(cè)試示范區(qū)，是交通運(yùn)輸部、工業(yè)和信息化部在 2019 年聯(lián)合認(rèn)定的三家智能網(wǎng)聯(lián)汽車(chē)自動(dòng)駕駛封閉場(chǎng)地測(cè)試基地之一，還包含高快速路、城市道路在內(nèi)的智能網(wǎng)聯(lián)汽車(chē)開(kāi)放測(cè)試道路，具備收費(fèi)站、匝道、高快速路長(zhǎng)直道、彎道、坡道、隧道、交通信號(hào)燈、雨霧模擬器等基礎(chǔ)設(shè)施；廣德測(cè)試基地建有直徑300m的動(dòng)態(tài)廣場(chǎng)和長(zhǎng)度約2.2km的容納10個(gè)車(chē)道的長(zhǎng)直道；在設(shè)備資源上，擁有T-Box、ASEVA、VideoVbox等行業(yè)內(nèi)一流的數(shù)據(jù)采集設(shè)備，支持自動(dòng)駕駛測(cè)試數(shù)據(jù)記錄評(píng)估。