周文輝

摘 要：自動駕駛技術(shù)發(fā)展背景下，軟件在定義汽車，車輛功能日趨復(fù)雜、軟件數(shù)量也越來越多。與傳統(tǒng)車輛相比，影響自動駕駛汽車的安全因素、場景變量日益增長，通過傳統(tǒng)的場地測試和臺架測試，難以全部評估上述影響安全的變量。因此，為了車輛上道路運行，需要提出新的認證思路，支持車輛型式認證或自我認證。世界汽車組織在分析自動駕駛汽車技術(shù)特性和安全特征的基礎(chǔ)上，創(chuàng)造性地提出了自動駕駛汽車“三支柱”測試認證辦法，對整個自動駕駛測試認證的方案設(shè)計，具有很大的啟發(fā)意義。本文詳細分析了世界汽車組織提出的自動駕駛汽車“三支柱”認證辦法，認為其對我國自動駕駛測試認證的方法設(shè)計和道路交通安全管理，均具有很大的啟發(fā)意義。

關(guān)鍵詞：自動駕駛汽車；認證；車輛安全

OICA ’s proposal of the "three pillar" certification method for automated vehicles and its inspiration to us

ZHOU Wenhui

（Road traffic safety research center of the Ministry of public security， Beijing 100062， China）

Abstract： Under the background of the development of automatic driving technology， software is defining the vehicle， the vehicle functions are becoming more and more complex， and the number of software is also increasing. Compared with traditional vehicles， the safety factors and scene variables that affect automated vehicles are increasing. It is difficult to assess all the variables affecting safety by traditional track test and bench test. Therefore， in order for vehicles to enter the market， it is necessary to put forward new certification ideas to support vehicle type certification. Based on the analysis of the technical characteristics and safety characteristics of the automated vehicles， OICA creatively put forward the "three pillar" test and certification method for the automated vehicle， which is of great inspiration to the design of the whole automated vehicle test certification scheme. This paper analyzes in detail the "three pillar" certification method of the automated vehicle proposed by OICA， which is of great significance to the design of automated vehicle test certification methods and road traffic safety management.

Keywords：Automated vehicle；certification；vehicle safety

世界汽車組織（OICA）成立于1919年，總部設(shè)在巴黎，是全球汽車制造業(yè)唯一的國際組織和代表，由世界各國汽車制造商組成，會員單位遍布全球五大洲，包括中國、美國、德國、日本、法國、意大利、韓國、印度、俄羅斯、巴西等40多個主要汽車生產(chǎn)國。OICA發(fā)布并宣傳全球汽車工業(yè)界的政策和立場，研究汽車工業(yè)可持續(xù)發(fā)展面臨的共性問題，推動汽車工業(yè)的技術(shù)創(chuàng)新，參與聯(lián)合國ECE/ WP29國際汽車技術(shù)法規(guī)制定活動，公布全球汽車生產(chǎn)的統(tǒng)計數(shù)據(jù)，以及組織安排國際汽車展覽會相關(guān)事宜。為適應(yīng)自動駕駛汽車發(fā)展對產(chǎn)業(yè)和管理帶來的影響，實現(xiàn)產(chǎn)業(yè)界與政府管理的高度協(xié)同，世界汽車組織于2019年2月向聯(lián)合國歐洲經(jīng)濟委員會提交了一份關(guān)于對未來自動駕駛汽車認證的建議[1]。

1提出自動駕駛汽車認證建議的背景概要

隨著自動駕駛技術(shù)的發(fā)展，軟件在定義汽車，車輛功能日趨復(fù)雜、軟件數(shù)量也越來越多。與傳統(tǒng)車輛相比，影響自動駕駛汽車的安全因素、場景變量日益增長，通過傳統(tǒng)的場地測試和臺架測試，難以全部評估上述影響安全的變量。因此，為了車輛上道路運行，需要提出新的認證思路，支持車輛型式認證或自我認證。對于車企的自我認證來說，需要制定更加細致的程序和測試方法。

在考慮自動駕駛汽車認證時，需要考慮自動駕駛汽車的特點，以及未來的發(fā)展趨勢。總體而言，OICA認為自動駕駛汽車認證面臨著以下的現(xiàn)狀和挑戰(zhàn)：

（1）自動駕駛新技術(shù)層出不窮，很多目前討論擬予以“規(guī)范”的技術(shù)，實際上還未出現(xiàn)在市場上。因此，應(yīng)當承認，在認證層面，經(jīng)驗是缺乏的。需要制定更加通用、普適的車輛安全要求。

（2）初始階段，不可能對自動駕駛汽車的每個方面都作詳細規(guī)定。因此，需要梳理自動駕駛汽車的不同方面，列出優(yōu)先級，先期提出部分安全要求，并隨著關(guān)于新技術(shù)的經(jīng)驗和數(shù)據(jù)的積累，跟進提出新的安全要求。

（3）未來若干年，自動駕駛新技術(shù)還將快速發(fā)展、迭代。因此，應(yīng)列出包容性極強的安全認證框架，不應(yīng)設(shè)置“限制性”條件“阻礙”系統(tǒng)和技術(shù)的發(fā)展；另外，若安全要求規(guī)定的過多過細，則需要制度的快速迭代，這顯然是不現(xiàn)實的，最終很可能演變成為技術(shù)的“阻礙”。

（4）基于以上考慮，需要構(gòu)建一種包容性較強的認證方法，將自動駕駛安全放置在“可控”“靈活”的框架內(nèi)，為未來自動駕駛技術(shù)的發(fā)展提供基本的安全遵循。該框架還能夠及時吸收和容納未來的研究和實踐成果。

2各國各地區(qū)自動駕駛安全原則比較

車輛認證，首先需要考慮的是車輛的安全要求，認證的目的，很大程度上就是“確認”車輛達到了有關(guān)安全要求。主要國家和地區(qū)對自動駕駛的安全要求還較為嚴格，具體如表1所示。

3傳統(tǒng)認證方法及其改進

傳統(tǒng)方法特別適用于復(fù)雜度不高的系統(tǒng)，即系統(tǒng)之間交互性不強，系統(tǒng)邊界可以清晰界定，典型的如機械系統(tǒng)或部件。以聯(lián)合國法規(guī)中關(guān)于輪胎的認證為例來說明。輪胎的認證包括以下幾個方面：（1）力學(xué)性能：載荷/速度性能測試；（2）滾動噪聲測試；（3）濕滑、雨雪路面附著系數(shù)；（4）滾動阻力。在傳統(tǒng)的認證方法中，一般是定義好一系列性能指標，并設(shè)計好相應(yīng)的實車試驗進行驗證，確保進入市場前的車輛達到必要的安全等級。上述試驗一般在臺架試驗或場地試驗完成，往往通過若干年的時間來改進、完善試驗。

需要說明的是，傳統(tǒng)認證方法在智能時代已有一定的適應(yīng)性改進。以聯(lián)合國法規(guī)中關(guān)于制動系統(tǒng)的認證為例來說明[2]。傳統(tǒng)的制動系統(tǒng)測試要點包括：（1）應(yīng)急制動系統(tǒng)的最小減速度指示6.43m/s2[2]。（2）100km/h初始速度下的制動距離是60m。（3）駐車制動系統(tǒng)應(yīng)能保證滿載車輛在20%坡度上靜止。當需要認證防抱死制動系統(tǒng)（ABS）、車身電子穩(wěn)定系統(tǒng)（ESP）、輔助制動系統(tǒng)時，人們發(fā)現(xiàn)難以通過上述傳統(tǒng)方法評估與安全密切相關(guān)的電子/電氣系統(tǒng)，因為后者失效和場景數(shù)量急劇增加。為了解決這一問題，人們引入了基于過程管控和功能安全導(dǎo)向的審計認證辦法，另外，虛擬仿真測試和驗證也被引入對ESP系統(tǒng)進行認證。在上述針對性的認證方法出現(xiàn)之前，上述技術(shù)已應(yīng)用多年，并隨著長期的實踐經(jīng)驗積累，形成了相應(yīng)的技術(shù)性標準。

未來，隨著自動駕駛技術(shù)的進一步發(fā)展，需要對傳統(tǒng)認證方法做進一步延伸改進。如前所述，隨著自動駕駛技術(shù)的發(fā)展，車輛功能日趨復(fù)雜、軟件數(shù)量也越來越多。與現(xiàn)有的復(fù)雜電子電氣控制系統(tǒng)相比，影響車輛安全的因素和場景變量增長更加迅速，現(xiàn)有的覆蓋有限場景的臺架測試、場地測試將難以全面評估自動駕駛汽車安全。現(xiàn)有的ABS、ESP等電子控制系統(tǒng)和L1、L2級別自動駕駛中包含的輔助駕駛系統(tǒng)的審計評估方法，應(yīng)當進一步升級延伸，用于審計評估L3、L4、L5級別自動駕駛系統(tǒng)。需要說明的是，現(xiàn)有對傳統(tǒng)車輛安全相關(guān)的認證方法，仍然應(yīng)該在自動駕駛汽車沿用。比如場地測試，仍然是自動駕駛認證的必要組成部分。但需要增加適應(yīng)于軟件特性的認證方法，這些新增加的方法將進一步增強，而不是取代傳統(tǒng)測試認證方法。

4自動駕駛汽車“三支柱”測試認證設(shè)想

隨著自動駕駛技術(shù)的發(fā)展，傳統(tǒng)由人類駕駛?cè)顺袚鸟{駛?cè)蝿?wù)，逐步由車輛承擔，因此應(yīng)該特別注重對車輛“駕駛能力”的測試認證。自動駕駛汽車測試認證新的需求情況如圖1所示：

針對新的認證需求，OICA提出了三支柱認證法。如圖2所示。具體測試及其目的說明如下：

（1）審計/評估（即仿真測試）。1）可以較好地對被測系統(tǒng)做全面了解；2）通過評估，確認車企針對自動駕駛系統(tǒng)的研發(fā)過程和設(shè)計/測試方法是有效、完整和一致的；3）評估系統(tǒng)在策略和功能上是能夠解決多重失效和外界擾動；4）評估系統(tǒng)在變化各異的關(guān)鍵場景中的表現(xiàn)；5）通過仿真的方法測試不同參數(shù)變化下的場景以及邊緣場景。

（2）場地測試。1）在能高度考驗自動駕駛技術(shù)、高傷亡風(fēng)險，以及能夠代表真實世界的場景下評估自動駕駛性能；2）通過關(guān)鍵測試用例，與仿真測試結(jié)果做對比，也可以驗證仿真工具。

（3）實際道路測試。1）在實際道路中全面測試自動駕駛系統(tǒng)性能，防止車輛做“應(yīng)試式”設(shè)計（以通過專門的場景為目的）；2）評估系統(tǒng)安全要求，如人機交互、運行設(shè)計域等；3）評估車輛是否達到有經(jīng)驗的駕駛?cè)怂健?/p>

需要說明的是，只有三支柱協(xié)同測試才能發(fā)揮效應(yīng)，上述測試中，自上而下看，測試覆蓋的范圍和功能逐漸減少。

三支柱測試中不同測試方法對自動駕駛安全原則的驗證和認證情況如表2所示：

三支柱測試認證應(yīng)用具體舉例說明如圖3所示：

綜上所述，OICA認為通過三支柱認證法，可以確保對自動駕駛的認證，達到傳統(tǒng)方法對傳統(tǒng)車輛認證的安全水平：（1）三支柱法將對企業(yè)建立的研發(fā)流程和功能安全的審計和評估，作為復(fù)雜電控系統(tǒng)安全認證的基礎(chǔ)；（2）根據(jù)新的認證方法，企業(yè)應(yīng)出示證據(jù)，證明車輛在設(shè)計和測試層面符合已建立的安全原則，符合不同的交通規(guī)則，并能確保在系統(tǒng)失效和“粗魯”的外界影響下，車輛仍然具有較好的安全表現(xiàn)；（3）另外，新的認證方法設(shè)立了通過場地測試，評估自動駕駛汽車在具體復(fù)雜狀況下的安全應(yīng)對能力；（4）為了實施評估，新認證方法還包含了真實的道路測試。

5對我們的啟示

自動駕駛汽車將傳統(tǒng)的車輛和“駕駛?cè)恕焙隙橐?，整個系統(tǒng)非常龐雜和復(fù)雜。在經(jīng)驗和標準規(guī)范不足的情況下，對復(fù)雜系統(tǒng)的安全管理，應(yīng)該遵循“全過程”“多層次”“多角度”的原則。OICA在借鑒傳統(tǒng)車輛認證管理辦法和駕駛?cè)笋{駛能力培訓(xùn)考核方法的基礎(chǔ)上，創(chuàng)造性地提出了自動駕駛汽車“三支柱”測試認證辦法，對整個自動駕駛測試認證的方案設(shè)計，具有很大的啟發(fā)意義。

參考文獻

[1] OICA. Future Certification of Automated/ Autonomous Driving Systems，

[2] Regulation No 13-H of the Economic Commission for Europe of the United Nations （UN/ECE） — Uniform provisions concerning the approval of passenger cars with regard to braking [2015/2364]，