世界汽車組織自動駕駛汽車“三支柱”認證方法提議及對我們的啟示

周文輝

摘 要：自動駕駛技術發展背景下，軟件在定義汽車，車輛功能日趨復雜、軟件數量也越來越多。與傳統車輛相比，影響自動駕駛汽車的安全因素、場景變量日益增長，通過傳統的場地測試和臺架測試，難以全部評估上述影響安全的變量。因此，為了車輛上道路運行，需要提出新的認證思路，支持車輛型式認證或自我認證。世界汽車組織在分析自動駕駛汽車技術特性和安全特征的基礎上，創造性地提出了自動駕駛汽車“三支柱”測試認證辦法，對整個自動駕駛測試認證的方案設計，具有很大的啟發意義。本文詳細分析了世界汽車組織提出的自動駕駛汽車“三支柱”認證辦法，認為其對我國自動駕駛測試認證的方法設計和道路交通安全管理，均具有很大的啟發意義。

關鍵詞：自動駕駛汽車；認證；車輛安全

OICA ’s proposal of the "three pillar" certification method for automated vehicles and its inspiration to us

ZHOU Wenhui

（Road traffic safety research center of the Ministry of public security， Beijing 100062， China）

Abstract： Under the background of the development of automatic driving technology， software is defining the vehicle， the vehicle functions are becoming more and more complex， and the number of software is also increasing. Compared with traditional vehicles， the safety factors and scene variables that affect automated vehicles are increasing. It is difficult to assess all the variables affecting safety by traditional track test and bench test. Therefore， in order for vehicles to enter the market， it is necessary to put forward new certification ideas to support vehicle type certification. Based on the analysis of the technical characteristics and safety characteristics of the automated vehicles， OICA creatively put forward the "three pillar" test and certification method for the automated vehicle， which is of great inspiration to the design of the whole automated vehicle test certification scheme. This paper analyzes in detail the "three pillar" certification method of the automated vehicle proposed by OICA， which is of great significance to the design of automated vehicle test certification methods and road traffic safety management.

Keywords：Automated vehicle；certification；vehicle safety

世界汽車組織（OICA）成立于1919年，總部設在巴黎，是全球汽車制造業唯一的國際組織和代表，由世界各國汽車制造商組成，會員單位遍布全球五大洲，包括中國、美國、德國、日本、法國、意大利、韓國、印度、俄羅斯、巴西等40多個主要汽車生產國。OICA發布并宣傳全球汽車工業界的政策和立場，研究汽車工業可持續發展面臨的共性問題，推動汽車工業的技術創新，參與聯合國ECE/ WP29國際汽車技術法規制定活動，公布全球汽車生產的統計數據，以及組織安排國際汽車展覽會相關事宜。為適應自動駕駛汽車發展對產業和管理帶來的影響，實現產業界與政府管理的高度協同，世界汽車組織于2019年2月向聯合國歐洲經濟委員會提交了一份關于對未來自動駕駛汽車認證的建議[1]。

1提出自動駕駛汽車認證建議的背景概要

隨著自動駕駛技術的發展，軟件在定義汽車，車輛功能日趨復雜、軟件數量也越來越多。與傳統車輛相比，影響自動駕駛汽車的安全因素、場景變量日益增長，通過傳統的場地測試和臺架測試，難以全部評估上述影響安全的變量。因此，為了車輛上道路運行，需要提出新的認證思路，支持車輛型式認證或自我認證。對于車企的自我認證來說，需要制定更加細致的程序和測試方法。

在考慮自動駕駛汽車認證時，需要考慮自動駕駛汽車的特點，以及未來的發展趨勢。總體而言，OICA認為自動駕駛汽車認證面臨著以下的現狀和挑戰：

（1）自動駕駛新技術層出不窮，很多目前討論擬予以“規范”的技術，實際上還未出現在市場上。因此，應當承認，在認證層面，經驗是缺乏的。需要制定更加通用、普適的車輛安全要求。

（2）初始階段，不可能對自動駕駛汽車的每個方面都作詳細規定。因此，需要梳理自動駕駛汽車的不同方面，列出優先級，先期提出部分安全要求，并隨著關于新技術的經驗和數據的積累，跟進提出新的安全要求。

（3）未來若干年，自動駕駛新技術還將快速發展、迭代。因此，應列出包容性極強的安全認證框架，不應設置“限制性”條件“阻礙”系統和技術的發展；另外，若安全要求規定的過多過細，則需要制度的快速迭代，這顯然是不現實的，最終很可能演變成為技術的“阻礙”。

（4）基于以上考慮，需要構建一種包容性較強的認證方法，將自動駕駛安全放置在“可控”“靈活”的框架內，為未來自動駕駛技術的發展提供基本的安全遵循。該框架還能夠及時吸收和容納未來的研究和實踐成果。

2各國各地區自動駕駛安全原則比較

車輛認證，首先需要考慮的是車輛的安全要求，認證的目的，很大程度上就是“確認”車輛達到了有關安全要求。主要國家和地區對自動駕駛的安全要求還較為嚴格，具體如表1所示。

3傳統認證方法及其改進

傳統方法特別適用于復雜度不高的系統，即系統之間交互性不強，系統邊界可以清晰界定，典型的如機械系統或部件。以聯合國法規中關于輪胎的認證為例來說明。輪胎的認證包括以下幾個方面：（1）力學性能：載荷/速度性能測試；（2）滾動噪聲測試；（3）濕滑、雨雪路面附著系數；（4）滾動阻力。在傳統的認證方法中，一般是定義好一系列性能指標，并設計好相應的實車試驗進行驗證，確保進入市場前的車輛達到必要的安全等級。上述試驗一般在臺架試驗或場地試驗完成，往往通過若干年的時間來改進、完善試驗。

需要說明的是，傳統認證方法在智能時代已有一定的適應性改進。以聯合國法規中關于制動系統的認證為例來說明[2]。傳統的制動系統測試要點包括：（1）應急制動系統的最小減速度指示6.43m/s2[2]。（2）100km/h初始速度下的制動距離是60m。（3）駐車制動系統應能保證滿載車輛在20%坡度上靜止。當需要認證防抱死制動系統（ABS）、車身電子穩定系統（ESP）、輔助制動系統時，人們發現難以通過上述傳統方法評估與安全密切相關的電子/電氣系統，因為后者失效和場景數量急劇增加。為了解決這一問題，人們引入了基于過程管控和功能安全導向的審計認證辦法，另外，虛擬仿真測試和驗證也被引入對ESP系統進行認證。在上述針對性的認證方法出現之前，上述技術已應用多年，并隨著長期的實踐經驗積累，形成了相應的技術性標準。

未來，隨著自動駕駛技術的進一步發展，需要對傳統認證方法做進一步延伸改進。如前所述，隨著自動駕駛技術的發展，車輛功能日趨復雜、軟件數量也越來越多。與現有的復雜電子電氣控制系統相比，影響車輛安全的因素和場景變量增長更加迅速，現有的覆蓋有限場景的臺架測試、場地測試將難以全面評估自動駕駛汽車安全。現有的ABS、ESP等電子控制系統和L1、L2級別自動駕駛中包含的輔助駕駛系統的審計評估方法，應當進一步升級延伸，用于審計評估L3、L4、L5級別自動駕駛系統。需要說明的是，現有對傳統車輛安全相關的認證方法，仍然應該在自動駕駛汽車沿用。比如場地測試，仍然是自動駕駛認證的必要組成部分。但需要增加適應于軟件特性的認證方法，這些新增加的方法將進一步增強，而不是取代傳統測試認證方法。

4自動駕駛汽車“三支柱”測試認證設想

隨著自動駕駛技術的發展，傳統由人類駕駛人承擔的駕駛任務，逐步由車輛承擔，因此應該特別注重對車輛“駕駛能力”的測試認證。自動駕駛汽車測試認證新的需求情況如圖1所示：

針對新的認證需求，OICA提出了三支柱認證法。如圖2所示。具體測試及其目的說明如下：

（1）審計/評估（即仿真測試）。1）可以較好地對被測系統做全面了解；2）通過評估，確認車企針對自動駕駛系統的研發過程和設計/測試方法是有效、完整和一致的；3）評估系統在策略和功能上是能夠解決多重失效和外界擾動；4）評估系統在變化各異的關鍵場景中的表現；5）通過仿真的方法測試不同參數變化下的場景以及邊緣場景。

（2）場地測試。1）在能高度考驗自動駕駛技術、高傷亡風險，以及能夠代表真實世界的場景下評估自動駕駛性能；2）通過關鍵測試用例，與仿真測試結果做對比，也可以驗證仿真工具。

（3）實際道路測試。1）在實際道路中全面測試自動駕駛系統性能，防止車輛做“應試式”設計（以通過專門的場景為目的）；2）評估系統安全要求，如人機交互、運行設計域等；3）評估車輛是否達到有經驗的駕駛人水平。

需要說明的是，只有三支柱協同測試才能發揮效應，上述測試中，自上而下看，測試覆蓋的范圍和功能逐漸減少。

三支柱測試中不同測試方法對自動駕駛安全原則的驗證和認證情況如表2所示：

三支柱測試認證應用具體舉例說明如圖3所示：

綜上所述，OICA認為通過三支柱認證法，可以確保對自動駕駛的認證，達到傳統方法對傳統車輛認證的安全水平：（1）三支柱法將對企業建立的研發流程和功能安全的審計和評估，作為復雜電控系統安全認證的基礎；（2）根據新的認證方法，企業應出示證據，證明車輛在設計和測試層面符合已建立的安全原則，符合不同的交通規則，并能確保在系統失效和“粗魯”的外界影響下，車輛仍然具有較好的安全表現；（3）另外，新的認證方法設立了通過場地測試，評估自動駕駛汽車在具體復雜狀況下的安全應對能力；（4）為了實施評估，新認證方法還包含了真實的道路測試。

5對我們的啟示

自動駕駛汽車將傳統的車輛和“駕駛人”合二為一，整個系統非常龐雜和復雜。在經驗和標準規范不足的情況下，對復雜系統的安全管理，應該遵循“全過程”“多層次”“多角度”的原則。OICA在借鑒傳統車輛認證管理辦法和駕駛人駕駛能力培訓考核方法的基礎上，創造性地提出了自動駕駛汽車“三支柱”測試認證辦法，對整個自動駕駛測試認證的方案設計，具有很大的啟發意義。

參考文獻

[1] OICA. Future Certification of Automated/ Autonomous Driving Systems，

[2] Regulation No 13-H of the Economic Commission for Europe of the United Nations （UN/ECE） — Uniform provisions concerning the approval of passenger cars with regard to braking [2015/2364]，