上海機動車檢測認證技術(shù)研究中心有限公司（以下簡稱“上海汽檢”）與TüV南德意志集團（以下簡稱“TüV南德”）致力聯(lián)動中國車企共創(chuàng)高級別自動駕駛海外認證三方合作新范式，三方共同打造出海測試認證的最佳實踐，以促進智能駕駛行業(yè)安全合規(guī)發(fā)展。

聯(lián)合國法規(guī)UN- R157型式批準(zhǔn)是汽車品牌自證智能駕駛能力領(lǐng)先的技術(shù)高地之一，雙方將圍繞UN-R157共同淺談智能駕駛安全。 安全是自動駕駛的最基本要求，驗證確認自動駕駛系統(tǒng)滿足法規(guī)要求是商業(yè)化落地的前提。本文將圍繞國際法規(guī)UN-R157提出的ALKS系統(tǒng)的功能需求和安全需求，基于聯(lián)合國WP.29 自動駕駛測試評價方法（VMAD）工作組提出的NATM（New Assessment/Testing Method）自動駕駛驗證確認框架，進一步分析多支柱法（Multi-pillar Approach）在ALKS驗證確認過程中的實踐方案。 多支柱法來源于NATM，是由VMAD基于當(dāng)前最佳實踐提出的驗證自動駕駛系統(tǒng)安全的框架，目前在國際上取得了廣泛的認同。多支柱法包括一個場景目錄和五種驗證方法。

上圖為VMAD多支柱法框架

UN-R157提出的ALKS系統(tǒng)的需求和ODD （Operational Design Domain，運行設(shè)計域）是NATM多支柱法的主要輸入來源。其中，仿真/虛擬測試、封閉場地測試、實際道路測試將利用各自的優(yōu)勢覆蓋不同場景下的測試驗證。審核與評估旨在確保ALKS系統(tǒng)提供方已建立完善的安全管理體系，并評估基于該安全管理體系完成安全風(fēng)險管控活動，同時評估不同測試活動之間協(xié)同互補以實現(xiàn)總體測試場景覆蓋度。而運行中監(jiān)控及上報則關(guān)注產(chǎn)品進入市場后的安全相關(guān)數(shù)據(jù)收集和分析，為前期審核評結(jié)論估持續(xù)提供證據(jù)，并在實際運行中反饋和調(diào)整系統(tǒng)需求，以及擴展研發(fā)過程的場景庫。

ALKS系統(tǒng)的場景庫來源于功能定義過程中確定的ODD，識別和定義測試場景需考慮如駕駛員行為、事故統(tǒng)計數(shù)據(jù)、特定場景中交通參與人員行為特征、車輛動力學(xué)特征、基于場景屬性隨機生成的合理場景等不同因素。多支柱法中定義不同測試方式的目的是通過利用不同測試手段的優(yōu)勢互補，達成基于場景測試的覆蓋率目標(biāo)，其中測試手段的優(yōu)缺點對比梳理如下。

仿真/封閉場地/實際道路測試

仿真測試環(huán)境可以提供實車測試過程中搭建難度較大或危險系數(shù)較高的場景，例如多交通參與者的復(fù)雜交互場景或必然發(fā)生危險碰撞場景等。仿真測試同時對仿真工具鏈和仿真模型提出嚴(yán)格要求，只有同一場景在仿真測試和實車測試中結(jié)果保持一致的條件下，仿真測試結(jié)果才能被采信。仿真測試工具鏈及場景中使用的模型在應(yīng)用于ALKS系統(tǒng)測試驗證前，需通過工具鏈和仿真模型的可信度評估。

封閉場地則要求具備高度還原測試場景的能力，用于ALKS系統(tǒng)在不同風(fēng)險的運行場景中的實車測試。同時，針對同一場景，基于封閉場地的測試結(jié)果可用于驗證仿真測試環(huán)境的可信度。

實際道路測試執(zhí)行的前提是在仿真測試和封閉場地測試中，ALKS系統(tǒng)已經(jīng)滿足預(yù)期的功能及安全需求。在實際道路測試過程中，ALKS系統(tǒng)對實際環(huán)境的感知能力和對車輛的實際控制策略將會成為測試的重要部分。同時，實際道路測試過程產(chǎn)生的記錄數(shù)據(jù)可用于驗證仿真測試和封閉場地測試的可信度，實際道路測試過程中產(chǎn)生的未知場景也可用于擴展當(dāng)前場景庫。

圖源shutterstock，ID：646014577

審核與評估

安全管理體系是主機廠進行ALKS系統(tǒng)全生命周期管理的基礎(chǔ)，其中涉及到研發(fā)、生產(chǎn)、運營和報廢等階段，以及各階段使用的流程、方法論和工具等。同時，安全管理體系主要從人員、組織和技術(shù)等三個不同方面進行管理。針對安全管理體系的審核主要基于汽車相關(guān)的安全標(biāo)準(zhǔn)和法規(guī)，主機廠建立安全管理體系時，需充分考慮風(fēng)險和安全管理、安全文化建設(shè)、組織內(nèi)部溝通機制、組織對外溝通機制和組織層級質(zhì)量管理體系等不同維度的體系需求。面向ALKS功能的安全管理體系，主機廠同時需要建立功能上市后的監(jiān)控及上報流程及功能升級流程。

安全評估主要關(guān)注從識別ALKS系統(tǒng)相關(guān)的安全風(fēng)險到系統(tǒng)研發(fā)過程中針對識別出來的風(fēng)險進行的一系列安全相關(guān)活動，最后通過驗證和確認來確保系統(tǒng)不存在不合理的安全風(fēng)險。UN-R157明確提出車輛控制需求、人機交互需求、車內(nèi)外感知需求、數(shù)據(jù)記錄需求、網(wǎng)絡(luò)安全和軟件升級需求。因此，在UN-R157的合規(guī)安全評估過程中，相關(guān)法規(guī)需求會基于不同測試方法的驗證結(jié)果完成安全評估。

運行中監(jiān)控及上報

多支柱法的三種不同測試方法，以及審核與評估，旨在完成自動駕駛系統(tǒng)上市前的安全驗證和確認。運行中監(jiān)控及上報主要錨定系統(tǒng)上市后實際運行中持續(xù)收集數(shù)據(jù)，通過收集到的數(shù)據(jù)證明自動駕駛系統(tǒng)在實際運行中沒有引發(fā)不合理的安全風(fēng)險。該驗證方法有別于安全需求中涉及到的系統(tǒng)狀態(tài)實時監(jiān)控，運行中監(jiān)控及上報更側(cè)重于安全相關(guān)數(shù)據(jù)的監(jiān)控及上報，例如風(fēng)險控制策略觸發(fā)事件，駕駛員誤用事件，車輛控制權(quán)轉(zhuǎn)移事件等安全相關(guān)事件。

圖源shutterstock，ID：1125744236

各支柱間如何協(xié)同

多支柱法提出的初衷，旨在通過結(jié)合不同支柱的優(yōu)點并用于自動駕駛系統(tǒng)的驗證和確認工作中，以實現(xiàn)客觀且可復(fù)現(xiàn)的驗證和確認過程，同時將安全相關(guān)的驗證工作延伸到車輛上市后的整個生命周期中。不同測試方法的選取主要取決于具體的需求和ODD，高風(fēng)險的測試場景可以在仿真環(huán)境下進行測試；低風(fēng)險的測試場景可以通過不同的測試手段進行測試，同時封閉場地測試或?qū)嶋H道路測試的結(jié)果可用于驗證仿真環(huán)境的可信度。審核與評估不僅用于自動駕駛系統(tǒng)的安全評估，也用于組織層級安全管理體系的評估，確保在產(chǎn)品研發(fā)過程中識別出來的安全風(fēng)險可以通過有效的驗證策略控制在合理范圍內(nèi)。運行中監(jiān)控及上報確保自動駕駛系統(tǒng)在整個生命周期中，可以通過運行中采集到的數(shù)據(jù)，將安全風(fēng)險反饋給相關(guān)機構(gòu)，實現(xiàn)功能的迭代并將安全風(fēng)險控制在合理范圍內(nèi)。

上海汽檢自動駕駛仿真測試及場地測試能力

自動駕駛仿真實驗室現(xiàn)已具備智能駕駛?cè)溌贩抡鏈y試服務(wù)能力，涵蓋仿真場景庫、場景采集服務(wù)、SIL/MIL/HIL/VIL/DIL在環(huán)測試、線控系統(tǒng)測試等4大項13小項仿真測試服務(wù)，可為主機廠提供定制化整車自動駕駛系統(tǒng)（感知、決策、執(zhí)行）在環(huán)仿真測試，支持?jǐn)z像頭暗箱/注入式在環(huán)測試、毫米波雷達暗箱/注入式硬件在環(huán)、激光雷達注入式硬件在環(huán)、線控制動系統(tǒng)在環(huán)測試、線控轉(zhuǎn)向系統(tǒng)在環(huán)測試、線控驅(qū)動控制系統(tǒng)在環(huán)等測試方式。

在場地資源上，臨港智能網(wǎng)聯(lián)汽車綜合測試示范區(qū)，是交通運輸部、工業(yè)和信息化部在 2019 年聯(lián)合認定的三家智能網(wǎng)聯(lián)汽車自動駕駛封閉場地測試基地之一，還包含高快速路、城市道路在內(nèi)的智能網(wǎng)聯(lián)汽車開放測試道路，具備收費站、匝道、高快速路長直道、彎道、坡道、隧道、交通信號燈、雨霧模擬器等基礎(chǔ)設(shè)施；廣德測試基地建有直徑300m的動態(tài)廣場和長度約2.2km的容納10個車道的長直道；在設(shè)備資源上，擁有T-Box、ASEVA、VideoVbox等行業(yè)內(nèi)一流的數(shù)據(jù)采集設(shè)備，支持自動駕駛測試數(shù)據(jù)記錄評估。