歐盟自動駕駛汽車認(rèn)證管理辦法及啟示

周文輝

摘 要：準(zhǔn)入認(rèn)證是自動駕駛汽車安全管理的重要內(nèi)容，也是車輛進入市場的必要前提。本文系統(tǒng)梳理了歐盟自動駕駛汽車準(zhǔn)入認(rèn)證管理的相關(guān)內(nèi)容，包括認(rèn)證工作的目的、范圍，主要安全認(rèn)證內(nèi)容，以及認(rèn)證的工作程序，并提出了我國構(gòu)建自動駕駛準(zhǔn)入認(rèn)證的相關(guān)工作建議。智能汽車是未來發(fā)展的趨勢，目前車輛上裝備智能系統(tǒng)和部件的情況越來越多，了解自動駕駛汽車認(rèn)證和安全管理的相關(guān)情況，也有利于主動應(yīng)變，提前研究和謀劃做好我國自動駕駛汽車安全管理、登記、查驗等工作。

關(guān)鍵詞：自動駕駛汽車；認(rèn)證；車輛安全

European automated vehicle certification and its inspiration to us

ZHOU Wenhui（Road traffic safety research center of the Ministry of public security， Beijing 100062， China）

Abstract： Certification is an important part of the safety management of automated vehicle， and also a necessary prerequisite for vehicle entry into the market. This paper systematically reviews the relevant contents of the EU Auto Driving certification management， including the purpose， scope， main safety certification contents and certification procedures of the certification work， and puts forward relevant suggestions for building automated vehicle certification in China. Intelligent cars are the trend of future development. At present， more and more intelligent systems and components are equipped on vehicles. Understanding the relevant conditions of automated certification and safety management is also necessary preparation for the safety management， registration and inspection of China’s automatic driving vehicles.

Keywords：Automated vehicle；certification；vehicle safety

1歐盟自動駕駛汽車認(rèn)證指南目的和適用范圍

歐盟于2018年5月17日發(fā)布了“歐盟智能與網(wǎng)聯(lián)車輛戰(zhàn)略”[1]。為實施該戰(zhàn)略，歐盟委員會當(dāng)年宣布有意聯(lián)合各成員國發(fā)布指南，致力于在自動駕駛汽車認(rèn)證方面在歐盟范圍內(nèi)達到協(xié)調(diào)一致。為此，歐盟委員會于2019年4月5日發(fā)布了《歐盟自動駕駛汽車認(rèn)證豁免程序指南》[2]。

歐盟規(guī)范機動車認(rèn)證的規(guī)定主要指令是“機動車輛認(rèn)證辦法（2007/46/EC）”，從2020年9月1日起，新的歐盟歐盟指令“機動車輛認(rèn)證和市場監(jiān)管辦法（Regulation No.858/2018）”正式實施。根據(jù)上述規(guī)定，車輛若使用諸如自動駕駛等超出現(xiàn)有技術(shù)法規(guī)規(guī)定的新技術(shù)，則認(rèn)證時需要執(zhí)行特別的豁免程序。鑒于自動駕駛技術(shù)的規(guī)范管理要求，短期內(nèi)很難在歐盟層面達成一致，因此，擬先是在成員國層面進行臨時認(rèn)證，之后通過歐盟委員會的決定，促進在成員國之間的互認(rèn)。通過這兩步，經(jīng)過認(rèn)證的自動駕駛汽車就可以向其他認(rèn)證車輛一樣，向歐盟各市場投放了。

出臺自動駕駛汽車認(rèn)證指南的目的，一方面是通過成員國臨時認(rèn)證的方式，總結(jié)對自動駕駛系統(tǒng)評估的實踐經(jīng)驗；另一方面是促進自動駕駛系統(tǒng)評估的流程化和規(guī)范化；在此則是為自動駕駛汽車的發(fā)展提供公平而透明的環(huán)境。

在考慮認(rèn)證指導(dǎo)原則的優(yōu)先級時，為適應(yīng)應(yīng)用需求，主要聚焦于有限條件下的自動駕駛汽車，即美國汽車工程師協(xié)會規(guī)定的第三級（L3）和第四級（L4）車輛，上述車輛目前上道路測試較多，并有望在未來幾年商業(yè)化。

歐盟車輛認(rèn)證豁免程序只對量產(chǎn)車適用。對特別小批量車輛或原型車開發(fā)，適用于其他認(rèn)證程序，如成員國個別認(rèn)證、成員國小批量認(rèn)證等。

2歐盟自動駕駛汽車安全要求

2.1自動駕駛系統(tǒng)功能要求

歐盟明確了自動駕駛系統(tǒng)功能10大安全要求。分別為：（1）自動駕駛模式在運行域中可預(yù)見的交通情況下，自動駕駛系統(tǒng)均可自行駕駛，代替駕駛?cè)送瓿筛黝愸{駛?cè)蝿?wù)。（2）自動駕駛模式下，車輛不可導(dǎo)致可預(yù)見、可預(yù)防的交通事故。（3）自動駕駛模式下，車輛行為應(yīng)謹(jǐn)慎且可預(yù)見，同時可與其他交通參與者進行適宜的交互（例如，聽從執(zhí)法人員的命令，與其他交通參與者交互等）。（4）自動駕駛模式下，車輛行駛應(yīng)遵守道路交通規(guī)則。（5）車企應(yīng)向認(rèn)證機構(gòu)申明自動駕駛汽車運行域，即在設(shè)計上車輛適宜運行的時間和空間條件。運行域應(yīng)至少包含：道路條件（機動車道/高速公路，普通公路，車道數(shù)，車道線要求，自動駕駛汽車專用道路等），地理區(qū)域（城區(qū)/山區(qū)，地理圍欄設(shè)置等），環(huán)境條件（天氣、夜間行駛限制等），通行速度范圍，以及其他與自動駕駛運行安全密切相關(guān)的條件。（6）自動駕駛系統(tǒng)應(yīng)能辨識當(dāng)前是否處于運行域，并且只能在運行域運行。（7）在運行域內(nèi)，系統(tǒng)應(yīng)能處理各類情況（環(huán)境感知、作出正確行車決策、正確執(zhí)行動態(tài)駕駛?cè)蝿?wù)、與其他交通參與者有效交互），而不需要駕駛?cè)说某掷m(xù)監(jiān)管。在運行域內(nèi)，車輛不應(yīng)導(dǎo)致交通事故。對于車內(nèi)外的車輛使用者，以及其他交通參與者的錯誤，車輛從設(shè)計上即應(yīng)將這種錯誤導(dǎo)致的不良影響降到最低。（8）車輛應(yīng)與前方車輛保持安全距離，特別是在擁堵區(qū)域，在橫向運動中，應(yīng)為其他交通參與者留下足夠的時間和空間，應(yīng)能遵守路權(quán)，對于可以躲避的事故，若躲避后不會造成新的事故，則應(yīng)當(dāng)躲避該事故。（9）運行域設(shè)計時，要考慮駕駛?cè)说陌踩庸?，即只在低風(fēng)險情況下接管，且接管時應(yīng)遵守道路交通規(guī)則。（10）自動駕駛模式下，系統(tǒng)應(yīng)能對難以繼續(xù)駕駛的情況自動檢測，例如能夠檢測運行域邊界，或系統(tǒng)的實效。

2.2人機交互要求

歐盟明確了自動駕駛系統(tǒng)人機交互5大安全要求。分別為：（1）只有在運行域條件滿足時，自動駕駛模式才能啟動，駕駛接管或退出自動駕駛模式由駕駛?cè)?、操作人或操控中心監(jiān)管人員執(zhí)行，必須易操作。當(dāng)人類發(fā)出的自動駕駛模式退出指令可能包含安全風(fēng)險時，自動駕駛系統(tǒng)應(yīng)當(dāng)延遲自動駕駛模式的退出。（2）車輛必須持續(xù)以清晰的方式向接管人員顯示運行、失效等系統(tǒng)的運行狀態(tài)。（3）駕駛?cè)藨?yīng)明晰自動駕駛模式的功能和局限，并且需要了解自動駕駛系統(tǒng)可賦予駕駛?cè)说娜蝿?wù)功能。（4）若系統(tǒng)設(shè)計時，考慮了某種情況下的接管，則系統(tǒng)應(yīng)監(jiān)測駕駛?cè)藸顟B(tài)是否具備接管要求。系統(tǒng)應(yīng)通過駕駛?cè)吮O(jiān)測、預(yù)警系統(tǒng)，確保駕駛?cè)颂幱诳山庸軤顟B(tài)，并且在設(shè)計上應(yīng)能阻止和預(yù)見運行域范圍內(nèi)的駕駛?cè)苏`操作。（5）對于無人擺渡車等無駕駛?cè)俗詣玉{駛汽車，則應(yīng)提供向操控中心傳送緊急通知的信息傳送系統(tǒng)。另外，車內(nèi)還應(yīng)配備攝像機和聲音傳輸裝置，確保操控中心可監(jiān)控車內(nèi)情況。

2.3駕駛?cè)蝿?wù)交接要求

當(dāng)超出運行域，或出現(xiàn)故障等情況，車輛難以繼續(xù)在自動駕駛模式下行駛時，自動駕駛系統(tǒng)可請求駕駛?cè)诉M行接管，但應(yīng)保留有足夠的接管時間。若駕駛?cè)宋唇庸軙r，自動駕駛系統(tǒng)應(yīng)當(dāng)繼續(xù)在自動駕駛模式下行駛，或者執(zhí)行最小風(fēng)險操作。車輛設(shè)計時，應(yīng)當(dāng)確保駕駛?cè)丝梢郧宄刈R別接管請求。系統(tǒng)還應(yīng)準(zhǔn)確識別駕駛?cè)耸欠駡?zhí)行了接管。

2.4最小風(fēng)險操作要求

當(dāng)自動駕駛系統(tǒng)探測到難以以自動駕駛模式繼續(xù)行駛時，車輛應(yīng)當(dāng)通過最小風(fēng)險操作，返回到最低風(fēng)險狀態(tài)。最小風(fēng)險操作時，應(yīng)當(dāng)按照交通規(guī)則，向其他交通參與者提醒最小風(fēng)險操作，如開啟危險報警閃光燈、制動燈、轉(zhuǎn)向燈等。最小風(fēng)險操作應(yīng)符合交通法規(guī)的要求。最小風(fēng)險操作可包含停止在本車道或變道后，在向周圍交通參與者提醒后安全停在路邊。在最小風(fēng)險操作的最后階段，可要求駕駛?cè)诉M行接管，如對于具有車道保持功能的L3自動駕駛汽車，可要求人類駕駛?cè)藞?zhí)行最后的安全停在路邊的操作。

2.5數(shù)據(jù)存儲系統(tǒng)要求

自動駕駛汽車應(yīng)裝備車載設(shè)備，記錄自動駕駛系統(tǒng)運行狀態(tài)和人類駕駛狀態(tài)，以便區(qū)分事故發(fā)生時的駕駛?cè)蝿?wù)承擔(dān)者。記錄的數(shù)據(jù)應(yīng)能支持分配事故責(zé)任，并且支持評估人類駕駛或自動駕駛在事故中的應(yīng)對情況。至少應(yīng)包含自動駕駛系統(tǒng)運行狀態(tài)、人類駕駛狀態(tài)、周圍環(huán)境信息、自動駕駛控制信息。記錄的數(shù)據(jù)應(yīng)能在經(jīng)歷撞擊、著火等之后，仍然保持?jǐn)?shù)據(jù)的完整可讀，并且應(yīng)注意數(shù)據(jù)安全保護，防止數(shù)據(jù)篡改，確保其符合歐盟數(shù)據(jù)保護法規(guī)，但應(yīng)允許成員國相關(guān)監(jiān)管機構(gòu)讀取和解析。隨著實踐經(jīng)驗的積累，應(yīng)當(dāng)制定更加詳細的數(shù)據(jù)要求（如記錄時間、保持時長、數(shù)據(jù)使用目的、數(shù)據(jù)讀取接口標(biāo)準(zhǔn)化、隱私信息保護等）。

2.6信息安全

自動駕駛汽車應(yīng)從設(shè)計上應(yīng)用最先進的技術(shù)，防止車輛被黑客攻擊，確保車輛符合歐盟數(shù)據(jù)保護法規(guī)。主要通過車企的風(fēng)險評估、安全設(shè)計方法以及過程管理來防止、減緩和應(yīng)對信息攻擊。針對軟件升級等，車企應(yīng)當(dāng)采取安全措施，保障在用車全生命周期信息安全。

2.7安全評估和測試

安全評估和測試要求具體如下：（1）自動駕駛車輛、自動駕駛系統(tǒng)、自動駕駛系統(tǒng)部件和技術(shù)單元均需要滿足“機動車輛認(rèn)證辦法（2007/46/ EC）”附錄4列明的安全技術(shù)法規(guī)要求。（2）認(rèn)證主管機構(gòu)對車企的認(rèn)證評估應(yīng)著眼于：自動駕駛系統(tǒng)具有穩(wěn)健的設(shè)計和穩(wěn)健的驗證程序，確保車輛符合本指南，特別是車輛不會造成事故，能夠提出安全接管請求、執(zhí)行最小風(fēng)險操作。根據(jù)車企提供的關(guān)于測試、驗證、評估等方面的安全評估報告，認(rèn)證主管機構(gòu)應(yīng)當(dāng)?shù)贸觯ㄅc傳統(tǒng)車輛）等效的安全結(jié)論。（3）車企應(yīng)當(dāng)特別說明針對自動駕駛系統(tǒng)，已經(jīng)開展了危害與風(fēng)險分析，并將這種分析融入了車輛總體設(shè)計，甚至考慮了更廣泛的道路交通生態(tài)系統(tǒng)，并且進行了足夠的設(shè)計和冗余，確保車輛能夠應(yīng)對這些風(fēng)險。（4）應(yīng)當(dāng)在系統(tǒng)設(shè)計中應(yīng)對對功能安全具有較大影響的風(fēng)險，這些風(fēng)險可能是由信息攻擊、實效（功能安全）或潛在的控制不足、不可預(yù)見的控制行為、人員誤用、與其他交通參與者交互不足（運行安全）造成的。關(guān)于這方面的方法可以參考功能安全標(biāo)準(zhǔn)（ISO 26262）和系統(tǒng)理論分析過程（STRA）中有關(guān)運行安全的部分，或參考其他等效方法，如預(yù)期功能安全標(biāo)準(zhǔn)草案（ISO 21448）。（5）所有的設(shè)計決策均應(yīng)由車企在獨立的子系統(tǒng)層面和整車的大框架下測試、驗證和確認(rèn)。（6）認(rèn)證主管機構(gòu)應(yīng)當(dāng)：1）確認(rèn)車企的危害與風(fēng)險分析已經(jīng)覆蓋了所有與系統(tǒng)相關(guān)的失效和駕駛風(fēng)險，并且能夠評估風(fēng)險的臨界值。2）評估風(fēng)險應(yīng)對的邏輯圖（冗余、操作）覆蓋了能夠預(yù)見的系統(tǒng)失效和駕駛風(fēng)險。3）確保根據(jù)相關(guān)性試驗，并考慮不同的用戶，人機交互得到了適當(dāng)?shù)脑u估。4）開展最小數(shù)量的試驗（同時考慮嚴(yán)重失效和駕駛風(fēng)險場景，以及正常駕駛場景），確認(rèn)從功能和運行兩個層面看，車輛均能安全運行。上述最小數(shù)量試驗應(yīng)當(dāng)同時包含假陰性（false negative）和假陽性（false positive）測試場景。5）確保評估系統(tǒng)運行安全性能的方法是透明的。6）可以使用仿真測試驗證的方法，但應(yīng)遵從歐盟指令“機動車輛認(rèn)證辦法（2007/46/EC）”和“機動車輛認(rèn)證和市場監(jiān)管辦法（Regulation No. 858/2018）”中有關(guān)虛擬測試的規(guī)程要求。（7）認(rèn)證主管機構(gòu)在實施車輛安全評估時，可以接入被測自動駕駛系統(tǒng)。（8）認(rèn)證主管機構(gòu)應(yīng)當(dāng)具有必要的能力、資質(zhì)，接受相應(yīng)的培訓(xùn)，以便實施上述車輛安全評估和測試工作。

2.8向用戶提供的信息

車企應(yīng)以便于理解的方式，采取各類措施向用戶提供自動駕駛相關(guān)的知識。主要包括：（1）自動駕駛系統(tǒng)運行條件、運行域、功能局限；（2）關(guān)閉自動駕駛模式的方法；（3）人類駕駛?cè)说娜蝿?wù)（如對于L3級別自動駕駛，駕駛?cè)诵枰袚?dān)的接管任務(wù)）；（4）對于L3級別自動駕駛，需要人類駕駛?cè)瞬扇〉钠渌{駛外的行動；（5）人機交互提供的指示信息（如是否在自動駕駛狀態(tài)）；（6）出現(xiàn)緊急情況時，用戶應(yīng)采取的措施；（7）當(dāng)自動駕駛系統(tǒng)出現(xiàn)問題時，車輛的行為表現(xiàn)；（8）車輛保養(yǎng)、檢驗，以及系統(tǒng)在線升級相關(guān)知識。

3歐盟自動駕駛汽車認(rèn)證程序

根據(jù)歐盟指令“機動車輛認(rèn)證辦法（2007/46/ EC）”第20章和“機動車輛認(rèn)證和市場監(jiān)管辦法（Regulation No. 858/2018）”第39章，自動駕駛汽車認(rèn)證豁免程序如下：

（1）汽車企業(yè)向成員國認(rèn)證主管機構(gòu)遞交認(rèn)證申請。需要遞交的材料見表1。

（2）若條件許可，成員國可根據(jù)認(rèn)證豁免程序辦法臨時認(rèn)證許可，該認(rèn)證只在成員國境內(nèi)有效，并向歐盟委員會和各成員國通報以下信息：1）說明豁免的理由，說明車輛各系統(tǒng)、部件、獨立的技術(shù)單元對現(xiàn)有技術(shù)法規(guī)的符合情況，以及不符合的情況。具備自動駕駛功能車輛內(nèi)部各系統(tǒng)的交互情況也應(yīng)考慮。2）車輛安全和使用環(huán)境的說明，以及采取的相應(yīng)措施。認(rèn)證主管機構(gòu)應(yīng)以認(rèn)證豁免指南為基礎(chǔ)，對自動駕駛車輛進行評估。另外，歐盟委員會和成員國也可修改歐盟和聯(lián)合國歐洲經(jīng)濟委員會的相關(guān)技術(shù)法規(guī)要求，將其作為認(rèn)證的備選基礎(chǔ)規(guī)定。3）針對豁免項目所做的測試及其結(jié)果的說明，應(yīng)確保針對安全和環(huán)保的測試及其結(jié)果不低于現(xiàn)有同類標(biāo)準(zhǔn)要求。

（3）歐盟委員會應(yīng)組織機動車技術(shù)委員會進行投票，表決是否將成員國的臨時認(rèn)證轉(zhuǎn)變?yōu)闅W盟認(rèn)證。歐盟委員會的認(rèn)證決定，也應(yīng)以認(rèn)證豁免指南為基礎(chǔ)，清楚認(rèn)定自動駕駛功能情況。歐盟委員會認(rèn)證決定應(yīng)公開。歐盟委員會應(yīng)根據(jù)對風(fēng)險的評估，以及未來可能的認(rèn)證適用條件，限定認(rèn)證的期限（最小為36個月）和數(shù)量。

（4）在等待歐盟委員會認(rèn)證決定之前，成員國可接受其他成員國的臨時認(rèn)證，許可其在本國境內(nèi)獲取臨時認(rèn)證。

（5）對于按照認(rèn)證豁免程序認(rèn)證的車輛，歐盟委員會可根據(jù)認(rèn)證主管機構(gòu)提供的簡化材料，對認(rèn)證范圍進行擴大。上述簡化材料應(yīng)清楚描述擬擴大認(rèn)證車輛與已認(rèn)證車輛的不同。

4對我們的啟示

工業(yè)和信息化部于2021年7月30日印發(fā)了《關(guān)于加強智能網(wǎng)聯(lián)汽車生產(chǎn)企業(yè)及產(chǎn)品準(zhǔn)入管理的意見》（工信部通裝〔2021〕103號），要求加強汽車數(shù)據(jù)安全、網(wǎng)絡(luò)安全、軟件升級、功能安全和預(yù)期功能安全管理，保證產(chǎn)品質(zhì)量和生產(chǎn)一致性，推動智能網(wǎng)聯(lián)汽車產(chǎn)業(yè)高質(zhì)量發(fā)展?！兑庖姟窂募訌姅?shù)據(jù)和網(wǎng)絡(luò)安全管理、規(guī)范軟件在線升級、加強產(chǎn)品管理、保障措施等方面提出11項具體意見，為自動駕駛汽車的產(chǎn)品準(zhǔn)入提供了良好的指引。但需要看出，在自動駕駛汽車的功能安全要求、對道路交通通行規(guī)則、對為現(xiàn)場應(yīng)的應(yīng)對等方面，我國的相關(guān)規(guī)定還不細致，甚至缺失，對自動駕駛汽車安全相關(guān)的評測，目前也是空白，需要進一步研究完善。

參考文獻

[1] COMMUNICATION FROM THE COMMISSION TO THE EUROPEAN PARLIAMENT， THE COUNCIL， THE EUROPEAN ECONOMIC AND SOCIAL COMMITTEE， THE COMMITTEE OF THE REGIONS. On the road to automated mobility： An EU strategy for mobility of the future（COM/2018/283）.https：//eur-lex.europa.eu/legalcontent/EN/TXT/？uri=CELEX：52018DC0283

[2] GROW.DDG1.C.4. GUIDELINES ON THE EXEMPTION PROCEDURE FOR THE EU APPROVAL OF AUTOMATED VEHICLES. https：//ec.europa.eu/docsroom/ documents/34802