歐盟 (EU) 于 2022 年 4 月初發(fā)布了針對配備自動駕駛系統(tǒng) (ADS) 的車輛的立法草案。本專欄的重點是概述 ADS 合規(guī)性評估。

歐盟 ADS 立法草案有兩個主要部分：ADS 性能要求和 ADS 合規(guī)性評估。ADS 性能要求規(guī)定了自動駕駛汽車必須具備哪些能力才能在歐洲獲得型式認(rèn)證。我之前的專欄概述了 ADS 性能要求 。

ADS 合規(guī)性評估指定了自動駕駛汽車 (AV) 在獲得型式批準(zhǔn)之前將如何進(jìn)行評估、審核和測試。

下表簡要概述了這兩個部分的不同之處。立法草案中的章節(jié)名稱列于表中——ADS 性能要求規(guī)范的附件 2 和 ADS 合規(guī)性評估規(guī)范的附件 3。

ADS 功能描述在立法草案中占 10 頁。ADS 合規(guī)性評估描述部分占 ADS 立法草案的 50 頁或比 ADS 性能要求大 5 倍。有趣的是，ADS 評估、評估和測試比 ADS 性能要求具有更多的復(fù)雜性和規(guī)范。

歐盟自動駕駛系統(tǒng)立法概覽（來源：Egil Juliussen）

ADS 性能要求摘要

ADS 要求使用五個交通場景來描述所需的功能。ADS 必須針對所有交通場景執(zhí)行整個動態(tài)駕駛?cè)蝿?wù) (DDT)。

它還規(guī)定了要滿足的功能和操作安全條件。最小風(fēng)險機(jī)動 (MRM) 對于避免碰撞和危險情況非常重要。

ADS 還必須具有內(nèi)置的網(wǎng)絡(luò)安全和軟件管理系統(tǒng)。需要一個事件記錄器來跟蹤 ADS 的性能。作為型式認(rèn)證申請的一部分，需要一份詳細(xì)的操作手冊。

ADS 合規(guī)性評估

上表包含有關(guān) ADS 合規(guī)性評估的摘要信息。關(guān)鍵是評估將由型式批準(zhǔn)組織進(jìn)行。ADS 性能的任何要求都可以通過 ADS 合規(guī)性評估中規(guī)定的型式批準(zhǔn)機(jī)構(gòu)進(jìn)行的測試來檢查。每輛具有 ADS 功能的車輛都必須通過這些測試才能在歐盟國家銷售。

合規(guī)性評估非常復(fù)雜，詳細(xì)描述了如何評估每個 ADS，如下表所示。該表包括立法草案中包含評估描述的部分。

有五個評估類別： 運營設(shè)計領(lǐng)域 (ODD) 情景；ADS系統(tǒng)設(shè)計和文檔；ADS 安全性的道路測試；ADS 建模和仿真 (M&S) 能力；和 ADS 生命周期內(nèi)的安全性能。每個評估類別總結(jié)如下。然而，描述立法草案的許多評估細(xì)節(jié)是不可行的。對于此類信息，讀者必須自己分析ADS 立法草案。

歐盟 ADS 立法評估類別概覽（來源：Egil Juliussen）

ODD 情景評估

ODD 情景評估包括有關(guān)諸如變道、合并、轉(zhuǎn)彎、交叉交通和其他駕駛操作等操作的安全參數(shù)的詳細(xì)信息。評估涵蓋不同的駕駛環(huán)境，包括高速公路/高速公路、城鄉(xiāng)道路以及道路使用者的行為。

ADS 立法草案對上一列交通場景中包含的交通場景進(jìn)行了廣泛的描述：正常、關(guān)鍵和故障應(yīng)急操作。大部分討論是在道路 ADS 測試性能期間的預(yù)期行為。

下圖顯示了立法草案中包含的評估細(xì)節(jié)示例。

推導(dǎo)與 ADS 的 ODD 相關(guān)的情景應(yīng)遵循的原則。（來源：歐盟 ADS 立法草案，第 21 頁。）

對于 ADS 的 ODD，可以使用基于數(shù)據(jù)和基于知識的方法來生成相應(yīng)的交通場景?；谥R的方法利用專家知識系統(tǒng)地識別危險事件并創(chuàng)建場景。基于數(shù)據(jù)的方法利用可用數(shù)據(jù)來識別和分類發(fā)生的場景。

ADS 安全概念評估和審計

本節(jié)重點評估 ADS 安全概念和審核制造商安全管理體系。型式批準(zhǔn)機(jī)構(gòu)應(yīng)通過有針對性的抽查和測試來驗證 ADS 性能要求是否已根據(jù)提交的文件實際實施。

這意味著 ADS 在其 ODD 中運行的方式不會在故障（功能安全）和非故障（操作安全）條件下對車輛乘員和其他道路使用者造成不合理的安全風(fēng)險。

ADS 文件——制造商應(yīng)提供文件，以提供對 ADS 設(shè)計和 ADS 直接控制的其他車輛系統(tǒng)的訪問權(quán)限，以及非車載硬件/軟件和遠(yuǎn)程功能。文檔應(yīng)簡短但提供證據(jù)證明設(shè)計和開發(fā)受益于所有涉及的 ADS 領(lǐng)域的專業(yè)知識。文檔部分討論了 ADS 軟件、硬件、人機(jī)界面 (HMI)、數(shù)據(jù)元素、算法、原理圖、功能操作等所有方面的一長串要求。列出了大約 80 個文檔項目。不要求提供專有數(shù)據(jù)的副本，但需要檢查此類信息。

驗證和測試——根據(jù) ADS 文件，型式批準(zhǔn)機(jī)構(gòu)應(yīng)要求進(jìn)行測試，包括 ADS 功能操作和 ADS 安全概念驗證。型式批準(zhǔn)機(jī)構(gòu)應(yīng)檢查對對象和事件檢測和響應(yīng)以及 ADS 的決策和 HMI 功能至關(guān)重要的場景。驗證結(jié)果應(yīng)與危害分析的書面總結(jié)相對應(yīng)，以確認(rèn)安全概念和執(zhí)行符合法規(guī)要求。

安全管 應(yīng)建立并記錄設(shè)計和開發(fā)過程，包括 SMS、需求管理、需求實施、測試、故障跟蹤、補救和發(fā)布。制造商還應(yīng)確保負(fù)責(zé)功能/操作安全、網(wǎng)絡(luò)安全的制造商部門之間的有效溝通渠道，以及其他相關(guān)的車輛安全紀(jì)律。SMS 合規(guī)證書的有效期為三年，除非被撤銷。在適當(dāng)?shù)臅r候，制造商必須申請新的或延長現(xiàn)有的 SMS 合規(guī)證書。

安全概念報告規(guī)定——制造商對 ADS 安全概念的安全評估和安全管理體系審核的報告應(yīng)以可追溯的方式進(jìn)行。型式認(rèn)可機(jī)構(gòu)應(yīng)根據(jù)制造商提供的文件出具安全評估結(jié)果，作為型式認(rèn)可證書的附件。

ADS 通過-失敗測試

評估 ADS 安全性的通過/失敗標(biāo)準(zhǔn)應(yīng)基于上一欄（立法草案中的附件 2）中描述的 ADS 能力要求。要求以這樣一種方式定義，即可以為一組特定的測試參數(shù)、所有與安全相關(guān)的參數(shù)組合和指定的操作范圍（例如，速度范圍、縱向和橫向加速度范圍、曲率半徑、亮度、車道數(shù)）。

測試地點應(yīng)包括與 ADS 規(guī)定的 ODD 相對應(yīng)的特性。測試必須安全地進(jìn)行，并且不會對其他道路使用者造成任何風(fēng)險。測試應(yīng)在不同的環(huán)境條件下，在為 ADS 定義的 ODD 范圍內(nèi)進(jìn)行。

The subject vehicle shall be tested with any permissible vehicle load. No load alteration shall be made once the test procedure has begun. The manufacturer shall demonstrate, through the use of documentation, that the ADS works at all load conditions.

Type–approval testing may be carried out based on simulations, maneuvers on the test track, and driving tests on real road traffic. However, it may not be based solely on computer simulations.

A large variety of test scenarios will be done on a test track to assess the performance of the ADS — a list of 13 tests is included with many variations for some tests. The specified tests include lane keeping, lane changing, collision avoidance, emergency braking avoidance, following lead vehicle, lane cut–in by another vehicle, lane cut–out due to stationary vehicle in lane, parking, parking facility navigation, and specific motorway scenarios.

ADS M&S assessment

The key to this section is establishing a framework for credible assessment of developing and using virtual toolchains in ADS validation. The legislative draft lists five properties to achieve credibility of M&S:

Capability:What can the M&S do, and what risks are associated with it?

Accuracy:How well does M&S reproduce the target data?

Correctness:How sound and robust are M&S data and algorithms?

Usability:What training and experience is needed?

Fit for purpose:How suitable is the M&S for the ODD and ADS assessment?

At the same time, the credibility assessment framework must be general enough to be used for different M&S types and applications. It also defines the envelope of how a virtual tool can be used for assessing ADS safety and capabilities.

立法草案包括一個可信度評估框架。該框架提供了一種基于質(zhì)量保證標(biāo)準(zhǔn)評估和報告 M&S 可信度的方法。下圖顯示了可信度評估框架組件之間關(guān)系的圖形表示。

可信度評估框架的組成部分之間的關(guān)系。（來源：ADS 立法草案，第 54 頁）

在這個數(shù)字之后，ADS 立法草案對 M&S 技術(shù)問題進(jìn)行了超過六頁的討論，包括多個管理問題、數(shù)據(jù)輸入、數(shù)據(jù)質(zhì)量、建模假設(shè)、模型驗證、代碼驗證、驗證和準(zhǔn)確性。

最后一個 M&S 部分是對文檔結(jié)構(gòu)的討論，其中有兩個項目很突出：

制造商應(yīng)制作一份文件（“模擬手冊”），為所提出的主題提供證據(jù)。

該文件應(yīng)在 M&S 使用的整個生命周期中得到維護(hù)。

本節(jié)包含對 M&S 技術(shù)的廣泛討論，在本專欄中涵蓋所有細(xì)節(jié)是不可行的。應(yīng)該由該領(lǐng)域的專家研究。

ADS 壽命安全性能評估

本節(jié)重點介紹 ADS 生命周期部署期間的要求。本質(zhì)上，這是制造商在發(fā)生意外 ADS 事件時的報告職責(zé)。有兩種類型的報告事件：非關(guān)鍵事件和關(guān)鍵事件。

危急事件是指 ADS 在與至少一個受傷需要醫(yī)療救助的人發(fā)生碰撞時接合的事件，或?qū)?ADS 車輛、其他車輛或靜止物體造成超過一定閾值的物理損壞。制造商必須立即向型式批準(zhǔn)機(jī)構(gòu)、市場監(jiān)督機(jī)構(gòu)和歐盟委員會通報重大事件。

制造商應(yīng)在一個月內(nèi)報告必須由制造商補救的任何短期事件，如下表所述。下表是立法草案中表格的副本。

我對這張表有一個不同意見：網(wǎng)絡(luò)安全漏洞太重要了，應(yīng)該在一個月內(nèi)而不是一年內(nèi)報告。

短期事件示例制造商必須在一個月內(nèi)向歐盟委員會報告。（來源：Egil Juliussen）

ADS 合規(guī)性評估摘要

ADS 合規(guī)性評估部分詳細(xì)說明了型式批準(zhǔn)組織將如何評估 ADS 能力并評估其是否符合歐盟法規(guī)。

第一項任務(wù)是評估 ODD 道路場景，包括城市、農(nóng)村和高速公路。ODD 評估包括常見的操作，例如變道、并道、逆行、交叉路口和其他駕駛?cè)蝿?wù)。

第二部分是 ADS 安全概念的審核和評估，包括制造商提供的所有 ADS 文件。制造商的安全管理體系也經(jīng)過審核。

第三個要素是對將要進(jìn)行的駕駛考試的描述。這些是通過或失敗測試，用于評估 ADS 在各種駕駛情況下的安全性。

第四個評估是查看制造商已執(zhí)行的 M&S 和 M&S 系統(tǒng)的功能。本節(jié)內(nèi)容非常全面，為獲得成功的型式批準(zhǔn)提供了廣泛的技術(shù)建議。

最后的合規(guī)性評估是在部署后跟蹤 ADS 的性能。它包括必須跟蹤和向型式批準(zhǔn)組織報告的信息，以保留車輛的型式批準(zhǔn)。

ADS 合規(guī)性評估非常出色且非常完整。我沒有看到任何接近這個 ADS 立法草案的質(zhì)量和完整性的東西。各個 AV 領(lǐng)域的專家肯定會找到改進(jìn)的主題，但這是一個可靠的建議。

有什么影響？

歐盟 ADS 立法草案解決了包括個人 AV 在內(nèi)的所有AV 用例，并使其成為一項雄心勃勃且影響深遠(yuǎn)的監(jiān)管提案。它指定了汽車 OEM 和服務(wù)提供商的 ADS 要求和性能，但沒有指定使用什么技術(shù)。ADS 的 ODD 將決定 AV 用例。

對如何執(zhí)行 ADS 評估的描述非常完整，可能會讓一些 AV 工程師和高管度過許多不眠之夜。從我的角度來看，M&S 部分特別令人印象深刻，并且可能會影響 AV 行業(yè)如何全面使用仿真和建模來設(shè)計、開發(fā)、測試和部署 ADS 車輛。

與歐盟不同，美國不使用型式批準(zhǔn)程序來確定車輛是否可以出售。相反，每個汽車 OEM 都會自行證明車輛型號已準(zhǔn)備好安全使用和銷售。因此，型式批準(zhǔn)程序?qū)υ诿绹N售的車輛的直接影響有限，但間接影響將是巨大的，因為美國原始設(shè)備制造商將參與歐洲 ADS 細(xì)分市場并需要型式批準(zhǔn)。

也許引入自動駕駛汽車是在美國使用型式批準(zhǔn)程序的時候了。對于原始設(shè)備制造商來說，這將是一個非常不受歡迎的決定，他們可能會發(fā)起一場大斗爭來阻止它。也許這是一個需要大量討論的問題，并且可能是未來的話題。


審核編輯 黃昊宇