世界汽車(chē)組織自動(dòng)駕駛汽車(chē)“三支柱”認(rèn)證方法提議及對(duì)我們的啟示

周文輝

摘 要：自動(dòng)駕駛技術(shù)發(fā)展背景下，軟件在定義汽車(chē)，車(chē)輛功能日趨復(fù)雜、軟件數(shù)量也越來(lái)越多。與傳統(tǒng)車(chē)輛相比，影響自動(dòng)駕駛汽車(chē)的安全因素、場(chǎng)景變量日益增長(zhǎng)，通過(guò)傳統(tǒng)的場(chǎng)地測(cè)試和臺(tái)架測(cè)試，難以全部評(píng)估上述影響安全的變量。因此，為了車(chē)輛上道路運(yùn)行，需要提出新的認(rèn)證思路，支持車(chē)輛型式認(rèn)證或自我認(rèn)證。世界汽車(chē)組織在分析自動(dòng)駕駛汽車(chē)技術(shù)特性和安全特征的基礎(chǔ)上，創(chuàng)造性地提出了自動(dòng)駕駛汽車(chē)“三支柱”測(cè)試認(rèn)證辦法，對(duì)整個(gè)自動(dòng)駕駛測(cè)試認(rèn)證的方案設(shè)計(jì)，具有很大的啟發(fā)意義。本文詳細(xì)分析了世界汽車(chē)組織提出的自動(dòng)駕駛汽車(chē)“三支柱”認(rèn)證辦法，認(rèn)為其對(duì)我國(guó)自動(dòng)駕駛測(cè)試認(rèn)證的方法設(shè)計(jì)和道路交通安全管理，均具有很大的啟發(fā)意義。

關(guān)鍵詞：自動(dòng)駕駛汽車(chē)；認(rèn)證；車(chē)輛安全

OICA ’s proposal of the "three pillar" certification method for automated vehicles and its inspiration to us

ZHOU Wenhui

（Road traffic safety research center of the Ministry of public security， Beijing 100062， China）

Abstract： Under the background of the development of automatic driving technology， software is defining the vehicle， the vehicle functions are becoming more and more complex， and the number of software is also increasing. Compared with traditional vehicles， the safety factors and scene variables that affect automated vehicles are increasing. It is difficult to assess all the variables affecting safety by traditional track test and bench test. Therefore， in order for vehicles to enter the market， it is necessary to put forward new certification ideas to support vehicle type certification. Based on the analysis of the technical characteristics and safety characteristics of the automated vehicles， OICA creatively put forward the "three pillar" test and certification method for the automated vehicle， which is of great inspiration to the design of the whole automated vehicle test certification scheme. This paper analyzes in detail the "three pillar" certification method of the automated vehicle proposed by OICA， which is of great significance to the design of automated vehicle test certification methods and road traffic safety management.

Keywords：Automated vehicle；certification；vehicle safety

世界汽車(chē)組織（OICA）成立于1919年，總部設(shè)在巴黎，是全球汽車(chē)制造業(yè)唯一的國(guó)際組織和代表，由世界各國(guó)汽車(chē)制造商組成，會(huì)員單位遍布全球五大洲，包括中國(guó)、美國(guó)、德國(guó)、日本、法國(guó)、意大利、韓國(guó)、印度、俄羅斯、巴西等40多個(gè)主要汽車(chē)生產(chǎn)國(guó)。OICA發(fā)布并宣傳全球汽車(chē)工業(yè)界的政策和立場(chǎng)，研究汽車(chē)工業(yè)可持續(xù)發(fā)展面臨的共性問(wèn)題，推動(dòng)汽車(chē)工業(yè)的技術(shù)創(chuàng)新，參與聯(lián)合國(guó)ECE/ WP29國(guó)際汽車(chē)技術(shù)法規(guī)制定活動(dòng)，公布全球汽車(chē)生產(chǎn)的統(tǒng)計(jì)數(shù)據(jù)，以及組織安排國(guó)際汽車(chē)展覽會(huì)相關(guān)事宜。為適應(yīng)自動(dòng)駕駛汽車(chē)發(fā)展對(duì)產(chǎn)業(yè)和管理帶來(lái)的影響，實(shí)現(xiàn)產(chǎn)業(yè)界與政府管理的高度協(xié)同，世界汽車(chē)組織于2019年2月向聯(lián)合國(guó)歐洲經(jīng)濟(jì)委員會(huì)提交了一份關(guān)于對(duì)未來(lái)自動(dòng)駕駛汽車(chē)認(rèn)證的建議[1]。

1提出自動(dòng)駕駛汽車(chē)認(rèn)證建議的背景概要

隨著自動(dòng)駕駛技術(shù)的發(fā)展，軟件在定義汽車(chē)，車(chē)輛功能日趨復(fù)雜、軟件數(shù)量也越來(lái)越多。與傳統(tǒng)車(chē)輛相比，影響自動(dòng)駕駛汽車(chē)的安全因素、場(chǎng)景變量日益增長(zhǎng)，通過(guò)傳統(tǒng)的場(chǎng)地測(cè)試和臺(tái)架測(cè)試，難以全部評(píng)估上述影響安全的變量。因此，為了車(chē)輛上道路運(yùn)行，需要提出新的認(rèn)證思路，支持車(chē)輛型式認(rèn)證或自我認(rèn)證。對(duì)于車(chē)企的自我認(rèn)證來(lái)說(shuō)，需要制定更加細(xì)致的程序和測(cè)試方法。

在考慮自動(dòng)駕駛汽車(chē)認(rèn)證時(shí)，需要考慮自動(dòng)駕駛汽車(chē)的特點(diǎn)，以及未來(lái)的發(fā)展趨勢(shì)?？傮w而言，OICA認(rèn)為自動(dòng)駕駛汽車(chē)認(rèn)證面臨著以下的現(xiàn)狀和挑戰(zhàn)：

（1）自動(dòng)駕駛新技術(shù)層出不窮，很多目前討論擬予以“規(guī)范”的技術(shù)，實(shí)際上還未出現(xiàn)在市場(chǎng)上。因此，應(yīng)當(dāng)承認(rèn)，在認(rèn)證層面，經(jīng)驗(yàn)是缺乏的。需要制定更加通用、普適的車(chē)輛安全要求。

（2）初始階段，不可能對(duì)自動(dòng)駕駛汽車(chē)的每個(gè)方面都作詳細(xì)規(guī)定。因此，需要梳理自動(dòng)駕駛汽車(chē)的不同方面，列出優(yōu)先級(jí)，先期提出部分安全要求，并隨著關(guān)于新技術(shù)的經(jīng)驗(yàn)和數(shù)據(jù)的積累，跟進(jìn)提出新的安全要求。

（3）未來(lái)若干年，自動(dòng)駕駛新技術(shù)還將快速發(fā)展、迭代。因此，應(yīng)列出包容性極強(qiáng)的安全認(rèn)證框架，不應(yīng)設(shè)置“限制性”條件“阻礙”系統(tǒng)和技術(shù)的發(fā)展；另外，若安全要求規(guī)定的過(guò)多過(guò)細(xì)，則需要制度的快速迭代，這顯然是不現(xiàn)實(shí)的，最終很可能演變成為技術(shù)的“阻礙”。

（4）基于以上考慮，需要構(gòu)建一種包容性較強(qiáng)的認(rèn)證方法，將自動(dòng)駕駛安全放置在“可控”“靈活”的框架內(nèi)，為未來(lái)自動(dòng)駕駛技術(shù)的發(fā)展提供基本的安全遵循。該框架還能夠及時(shí)吸收和容納未來(lái)的研究和實(shí)踐成果。

2各國(guó)各地區(qū)自動(dòng)駕駛安全原則比較

車(chē)輛認(rèn)證，首先需要考慮的是車(chē)輛的安全要求，認(rèn)證的目的，很大程度上就是“確認(rèn)”車(chē)輛達(dá)到了有關(guān)安全要求。主要國(guó)家和地區(qū)對(duì)自動(dòng)駕駛的安全要求還較為嚴(yán)格，具體如表1所示。

3傳統(tǒng)認(rèn)證方法及其改進(jìn)

傳統(tǒng)方法特別適用于復(fù)雜度不高的系統(tǒng)，即系統(tǒng)之間交互性不強(qiáng)，系統(tǒng)邊界可以清晰界定，典型的如機(jī)械系統(tǒng)或部件。以聯(lián)合國(guó)法規(guī)中關(guān)于輪胎的認(rèn)證為例來(lái)說(shuō)明。輪胎的認(rèn)證包括以下幾個(gè)方面：（1）力學(xué)性能：載荷/速度性能測(cè)試；（2）滾動(dòng)噪聲測(cè)試；（3）濕滑、雨雪路面附著系數(shù)；（4）滾動(dòng)阻力。在傳統(tǒng)的認(rèn)證方法中，一般是定義好一系列性能指標(biāo)，并設(shè)計(jì)好相應(yīng)的實(shí)車(chē)試驗(yàn)進(jìn)行驗(yàn)證，確保進(jìn)入市場(chǎng)前的車(chē)輛達(dá)到必要的安全等級(jí)。上述試驗(yàn)一般在臺(tái)架試驗(yàn)或場(chǎng)地試驗(yàn)完成，往往通過(guò)若干年的時(shí)間來(lái)改進(jìn)、完善試驗(yàn)。

需要說(shuō)明的是，傳統(tǒng)認(rèn)證方法在智能時(shí)代已有一定的適應(yīng)性改進(jìn)。以聯(lián)合國(guó)法規(guī)中關(guān)于制動(dòng)系統(tǒng)的認(rèn)證為例來(lái)說(shuō)明[2]。傳統(tǒng)的制動(dòng)系統(tǒng)測(cè)試要點(diǎn)包括：（1）應(yīng)急制動(dòng)系統(tǒng)的最小減速度指示6.43m/s2[2]。（2）100km/h初始速度下的制動(dòng)距離是60m。（3）駐車(chē)制動(dòng)系統(tǒng)應(yīng)能保證滿載車(chē)輛在20%坡度上靜止。當(dāng)需要認(rèn)證防抱死制動(dòng)系統(tǒng)（ABS）、車(chē)身電子穩(wěn)定系統(tǒng)（ESP）、輔助制動(dòng)系統(tǒng)時(shí)，人們發(fā)現(xiàn)難以通過(guò)上述傳統(tǒng)方法評(píng)估與安全密切相關(guān)的電子/電氣系統(tǒng)，因?yàn)楹笳呤Ш蛨?chǎng)景數(shù)量急劇增加。為了解決這一問(wèn)題，人們引入了基于過(guò)程管控和功能安全導(dǎo)向的審計(jì)認(rèn)證辦法，另外，虛擬仿真測(cè)試和驗(yàn)證也被引入對(duì)ESP系統(tǒng)進(jìn)行認(rèn)證。在上述針對(duì)性的認(rèn)證方法出現(xiàn)之前，上述技術(shù)已應(yīng)用多年，并隨著長(zhǎng)期的實(shí)踐經(jīng)驗(yàn)積累，形成了相應(yīng)的技術(shù)性標(biāo)準(zhǔn)。

未來(lái)，隨著自動(dòng)駕駛技術(shù)的進(jìn)一步發(fā)展，需要對(duì)傳統(tǒng)認(rèn)證方法做進(jìn)一步延伸改進(jìn)。如前所述，隨著自動(dòng)駕駛技術(shù)的發(fā)展，車(chē)輛功能日趨復(fù)雜、軟件數(shù)量也越來(lái)越多。與現(xiàn)有的復(fù)雜電子電氣控制系統(tǒng)相比，影響車(chē)輛安全的因素和場(chǎng)景變量增長(zhǎng)更加迅速，現(xiàn)有的覆蓋有限場(chǎng)景的臺(tái)架測(cè)試、場(chǎng)地測(cè)試將難以全面評(píng)估自動(dòng)駕駛汽車(chē)安全。現(xiàn)有的ABS、ESP等電子控制系統(tǒng)和L1、L2級(jí)別自動(dòng)駕駛中包含的輔助駕駛系統(tǒng)的審計(jì)評(píng)估方法，應(yīng)當(dāng)進(jìn)一步升級(jí)延伸，用于審計(jì)評(píng)估L3、L4、L5級(jí)別自動(dòng)駕駛系統(tǒng)。需要說(shuō)明的是，現(xiàn)有對(duì)傳統(tǒng)車(chē)輛安全相關(guān)的認(rèn)證方法，仍然應(yīng)該在自動(dòng)駕駛汽車(chē)沿用。比如場(chǎng)地測(cè)試，仍然是自動(dòng)駕駛認(rèn)證的必要組成部分。但需要增加適應(yīng)于軟件特性的認(rèn)證方法，這些新增加的方法將進(jìn)一步增強(qiáng)，而不是取代傳統(tǒng)測(cè)試認(rèn)證方法。

4自動(dòng)駕駛汽車(chē)“三支柱”測(cè)試認(rèn)證設(shè)想

隨著自動(dòng)駕駛技術(shù)的發(fā)展，傳統(tǒng)由人類駕駛?cè)顺袚?dān)的駕駛?cè)蝿?wù)，逐步由車(chē)輛承擔(dān)，因此應(yīng)該特別注重對(duì)車(chē)輛“駕駛能力”的測(cè)試認(rèn)證。自動(dòng)駕駛汽車(chē)測(cè)試認(rèn)證新的需求情況如圖1所示：

針對(duì)新的認(rèn)證需求，OICA提出了三支柱認(rèn)證法。如圖2所示。具體測(cè)試及其目的說(shuō)明如下：

（1）審計(jì)/評(píng)估（即仿真測(cè)試）。1）可以較好地對(duì)被測(cè)系統(tǒng)做全面了解；2）通過(guò)評(píng)估，確認(rèn)車(chē)企針對(duì)自動(dòng)駕駛系統(tǒng)的研發(fā)過(guò)程和設(shè)計(jì)/測(cè)試方法是有效、完整和一致的；3）評(píng)估系統(tǒng)在策略和功能上是能夠解決多重失效和外界擾動(dòng)；4）評(píng)估系統(tǒng)在變化各異的關(guān)鍵場(chǎng)景中的表現(xiàn)；5）通過(guò)仿真的方法測(cè)試不同參數(shù)變化下的場(chǎng)景以及邊緣場(chǎng)景。

（2）場(chǎng)地測(cè)試。1）在能高度考驗(yàn)自動(dòng)駕駛技術(shù)、高傷亡風(fēng)險(xiǎn)，以及能夠代表真實(shí)世界的場(chǎng)景下評(píng)估自動(dòng)駕駛性能；2）通過(guò)關(guān)鍵測(cè)試用例，與仿真測(cè)試結(jié)果做對(duì)比，也可以驗(yàn)證仿真工具。

（3）實(shí)際道路測(cè)試。1）在實(shí)際道路中全面測(cè)試自動(dòng)駕駛系統(tǒng)性能，防止車(chē)輛做“應(yīng)試式”設(shè)計(jì)（以通過(guò)專門(mén)的場(chǎng)景為目的）；2）評(píng)估系統(tǒng)安全要求，如人機(jī)交互、運(yùn)行設(shè)計(jì)域等；3）評(píng)估車(chē)輛是否達(dá)到有經(jīng)驗(yàn)的駕駛?cè)怂健?/p>

需要說(shuō)明的是，只有三支柱協(xié)同測(cè)試才能發(fā)揮效應(yīng)，上述測(cè)試中，自上而下看，測(cè)試覆蓋的范圍和功能逐漸減少。

三支柱測(cè)試中不同測(cè)試方法對(duì)自動(dòng)駕駛安全原則的驗(yàn)證和認(rèn)證情況如表2所示：

三支柱測(cè)試認(rèn)證應(yīng)用具體舉例說(shuō)明如圖3所示：

綜上所述，OICA認(rèn)為通過(guò)三支柱認(rèn)證法，可以確保對(duì)自動(dòng)駕駛的認(rèn)證，達(dá)到傳統(tǒng)方法對(duì)傳統(tǒng)車(chē)輛認(rèn)證的安全水平：（1）三支柱法將對(duì)企業(yè)建立的研發(fā)流程和功能安全的審計(jì)和評(píng)估，作為復(fù)雜電控系統(tǒng)安全認(rèn)證的基礎(chǔ)；（2）根據(jù)新的認(rèn)證方法，企業(yè)應(yīng)出示證據(jù)，證明車(chē)輛在設(shè)計(jì)和測(cè)試層面符合已建立的安全原則，符合不同的交通規(guī)則，并能確保在系統(tǒng)失效和“粗魯”的外界影響下，車(chē)輛仍然具有較好的安全表現(xiàn)；（3）另外，新的認(rèn)證方法設(shè)立了通過(guò)場(chǎng)地測(cè)試，評(píng)估自動(dòng)駕駛汽車(chē)在具體復(fù)雜狀況下的安全應(yīng)對(duì)能力；（4）為了實(shí)施評(píng)估，新認(rèn)證方法還包含了真實(shí)的道路測(cè)試。

5對(duì)我們的啟示

自動(dòng)駕駛汽車(chē)將傳統(tǒng)的車(chē)輛和“駕駛?cè)恕焙隙橐唬麄€(gè)系統(tǒng)非常龐雜和復(fù)雜。在經(jīng)驗(yàn)和標(biāo)準(zhǔn)規(guī)范不足的情況下，對(duì)復(fù)雜系統(tǒng)的安全管理，應(yīng)該遵循“全過(guò)程”“多層次”“多角度”的原則。OICA在借鑒傳統(tǒng)車(chē)輛認(rèn)證管理辦法和駕駛?cè)笋{駛能力培訓(xùn)考核方法的基礎(chǔ)上，創(chuàng)造性地提出了自動(dòng)駕駛汽車(chē)“三支柱”測(cè)試認(rèn)證辦法，對(duì)整個(gè)自動(dòng)駕駛測(cè)試認(rèn)證的方案設(shè)計(jì)，具有很大的啟發(fā)意義。

參考文獻(xiàn)

[1] OICA. Future Certification of Automated/ Autonomous Driving Systems，

[2] Regulation No 13-H of the Economic Commission for Europe of the United Nations （UN/ECE） — Uniform provisions concerning the approval of passenger cars with regard to braking [2015/2364]，