上海汽检×TÜV南德从联合国法规《自动车道保持系统ALKS》浅谈智驾安全

上海机动车检测认证技术研究中心有限公司（以下简称“上海汽检”）与TÜV南德意志集团（以下简称“TÜV南德”）致力联动中国车企共创高级别自动驾驶海外认证三方合作新范式，三方共同打造出海测试认证的最佳实践，以促进智能驾驶行业安全合规发展。

联合国法规UN- R157型式批准是汽车品牌自证智能驾驶能力领先的技术高地之一，双方将围绕UN-R157共同浅谈智能驾驶安全。   安全是自动驾驶的最基本要求，验证确认自动驾驶系统满足法规要求是商业化落地的前提。本文将围绕国际法规UN-R157提出的ALKS系统的功能需求和安全需求，基于联合国WP.29 自动驾驶测试评价方法（VMAD）工作组提出的NATM（New Assessment/Testing Method）自动驾驶验证确认框架，进一步分析多支柱法（Multi-pillar Approach）在ALKS验证确认过程中的实践方案。   多支柱法来源于NATM，是由VMAD基于当前最佳实践提出的验证自动驾驶系统安全的框架，目前在国际上取得了广泛的认同。多支柱法包括一个场景目录和五种验证方法。

上图为VMAD多支柱法框架  

UN-R157提出的ALKS系统的需求和ODD （Operational Design Domain，运行设计域）是NATM多支柱法的主要输入来源。其中，仿真/虚拟测试、封闭场地测试、实际道路测试将利用各自的优势覆盖不同场景下的测试验证。审核与评估旨在确保ALKS系统提供方已建立完善的安全管理体系，并评估基于该安全管理体系完成安全风险管控活动，同时评估不同测试活动之间协同互补以实现总体测试场景覆盖度。而运行中监控及上报则关注产品进入市场后的安全相关数据收集和分析，为前期审核评结论估持续提供证据，并在实际运行中反馈和调整系统需求，以及扩展研发过程的场景库。

ALKS系统的场景库来源于功能定义过程中确定的ODD，识别和定义测试场景需考虑如驾驶员行为、事故统计数据、特定场景中交通参与人员行为特征、车辆动力学特征、基于场景属性随机生成的合理场景等不同因素。多支柱法中定义不同测试方式的目的是通过利用不同测试手段的优势互补，达成基于场景测试的覆盖率目标，其中测试手段的优缺点对比梳理如下。

仿真/封闭场地/实际道路测试

仿真测试环境可以提供实车测试过程中搭建难度较大或危险系数较高的场景，例如多交通参与者的复杂交互场景或必然发生危险碰撞场景等。仿真测试同时对仿真工具链和仿真模型提出严格要求，只有同一场景在仿真测试和实车测试中结果保持一致的条件下，仿真测试结果才能被采信。仿真测试工具链及场景中使用的模型在应用于ALKS系统测试验证前，需通过工具链和仿真模型的可信度评估。

封闭场地则要求具备高度还原测试场景的能力，用于ALKS系统在不同风险的运行场景中的实车测试。同时，针对同一场景，基于封闭场地的测试结果可用于验证仿真测试环境的可信度。

实际道路测试执行的前提是在仿真测试和封闭场地测试中，ALKS系统已经满足预期的功能及安全需求。在实际道路测试过程中，ALKS系统对实际环境的感知能力和对车辆的实际控制策略将会成为测试的重要部分。同时，实际道路测试过程产生的记录数据可用于验证仿真测试和封闭场地测试的可信度，实际道路测试过程中产生的未知场景也可用于扩展当前场景库。

图源shutterstock，ID：646014577  

审核与评估

安全管理体系是主机厂进行ALKS系统全生命周期管理的基础，其中涉及到研发、生产、运营和报废等阶段，以及各阶段使用的流程、方法论和工具等。同时，安全管理体系主要从人员、组织和技术等三个不同方面进行管理。针对安全管理体系的审核主要基于汽车相关的安全标准和法规，主机厂建立安全管理体系时，需充分考虑风险和安全管理、安全文化建设、组织内部沟通机制、组织对外沟通机制和组织层级质量管理体系等不同维度的体系需求。面向ALKS功能的安全管理体系，主机厂同时需要建立功能上市后的监控及上报流程及功能升级流程。

安全评估主要关注从识别ALKS系统相关的安全风险到系统研发过程中针对识别出来的风险进行的一系列安全相关活动，最后通过验证和确认来确保系统不存在不合理的安全风险。UN-R157明确提出车辆控制需求、人机交互需求、车内外感知需求、数据记录需求、网络安全和软件升级需求。因此，在UN-R157的合规安全评估过程中，相关法规需求会基于不同测试方法的验证结果完成安全评估。

运行中监控及上报

多支柱法的三种不同测试方法，以及审核与评估，旨在完成自动驾驶系统上市前的安全验证和确认。运行中监控及上报主要锚定系统上市后实际运行中持续收集数据，通过收集到的数据证明自动驾驶系统在实际运行中没有引发不合理的安全风险。该验证方法有别于安全需求中涉及到的系统状态实时监控，运行中监控及上报更侧重于安全相关数据的监控及上报，例如风险控制策略触发事件，驾驶员误用事件，车辆控制权转移事件等安全相关事件。

图源shutterstock，ID：1125744236

各支柱间如何协同

多支柱法提出的初衷，旨在通过结合不同支柱的优点并用于自动驾驶系统的验证和确认工作中，以实现客观且可复现的验证和确认过程，同时将安全相关的验证工作延伸到车辆上市后的整个生命周期中。不同测试方法的选取主要取决于具体的需求和ODD，高风险的测试场景可以在仿真环境下进行测试；低风险的测试场景可以通过不同的测试手段进行测试，同时封闭场地测试或实际道路测试的结果可用于验证仿真环境的可信度。审核与评估不仅用于自动驾驶系统的安全评估，也用于组织层级安全管理体系的评估，确保在产品研发过程中识别出来的安全风险可以通过有效的验证策略控制在合理范围内。运行中监控及上报确保自动驾驶系统在整个生命周期中，可以通过运行中采集到的数据，将安全风险反馈给相关机构，实现功能的迭代并将安全风险控制在合理范围内。

上海汽检自动驾驶仿真测试及场地测试能力

自动驾驶仿真实验室现已具备智能驾驶全链路仿真测试服务能力，涵盖仿真场景库、场景采集服务、SIL/MIL/HIL/VIL/DIL在环测试、线控系统测试等4大项13小项仿真测试服务，可为主机厂提供定制化整车自动驾驶系统（感知、决策、执行）在环仿真测试，支持摄像头暗箱/注入式在环测试、毫米波雷达暗箱/注入式硬件在环、激光雷达注入式硬件在环、线控制动系统在环测试、线控转向系统在环测试、线控驱动控制系统在环等测试方式。

在场地资源上，临港智能网联汽车综合测试示范区，是交通运输部、工业和信息化部在 2019 年联合认定的三家智能网联汽车自动驾驶封闭场地测试基地之一，还包含高快速路、城市道路在内的智能网联汽车开放测试道路，具备收费站、匝道、高快速路长直道、弯道、坡道、隧道、交通信号灯、雨雾模拟器等基础设施；广德测试基地建有直径300m的动态广场和长度约2.2km的容纳10个车道的长直道；在设备资源上，拥有T-Box、ASEVA、VideoVbox等行业内一流的数据采集设备，支持自动驾驶测试数据记录评估。