世界汽车组织自动驾驶汽车“三支柱”认证方法提议及对我们的启示

周文辉

摘 要：自动驾驶技术发展背景下，软件在定义汽车，车辆功能日趋复杂、软件数量也越来越多。与传统车辆相比，影响自动驾驶汽车的安全因素、场景变量日益增长，通过传统的场地测试和台架测试，难以全部评估上述影响安全的变量。因此，为了车辆上道路运行，需要提出新的认证思路，支持车辆型式认证或自我认证。世界汽车组织在分析自动驾驶汽车技术特性和安全特征的基础上，创造性地提出了自动驾驶汽车“三支柱”测试认证办法，对整个自动驾驶测试认证的方案设计，具有很大的启发意义。本文详细分析了世界汽车组织提出的自动驾驶汽车“三支柱”认证办法，认为其对我国自动驾驶测试认证的方法设计和道路交通安全管理，均具有很大的启发意义。

关键词：自动驾驶汽车；认证；车辆安全

OICA ’s proposal of the "three pillar" certification method for automated vehicles and its inspiration to us

ZHOU Wenhui

（Road traffic safety research center of the Ministry of public security， Beijing 100062， China）

Abstract： Under the background of the development of automatic driving technology， software is defining the vehicle， the vehicle functions are becoming more and more complex， and the number of software is also increasing. Compared with traditional vehicles， the safety factors and scene variables that affect automated vehicles are increasing. It is difficult to assess all the variables affecting safety by traditional track test and bench test. Therefore， in order for vehicles to enter the market， it is necessary to put forward new certification ideas to support vehicle type certification. Based on the analysis of the technical characteristics and safety characteristics of the automated vehicles， OICA creatively put forward the "three pillar" test and certification method for the automated vehicle， which is of great inspiration to the design of the whole automated vehicle test certification scheme. This paper analyzes in detail the "three pillar" certification method of the automated vehicle proposed by OICA， which is of great significance to the design of automated vehicle test certification methods and road traffic safety management.

Keywords：Automated vehicle；certification；vehicle safety

世界汽車组织（OICA）成立于1919年，总部设在巴黎，是全球汽车制造业唯一的国际组织和代表，由世界各国汽车制造商组成，会员单位遍布全球五大洲，包括中国、美国、德国、日本、法国、意大利、韩国、印度、俄罗斯、巴西等40多个主要汽车生产国。OICA发布并宣传全球汽车工业界的政策和立场，研究汽车工业可持续发展面临的共性问题，推动汽车工业的技术创新，参与联合国ECE/ WP29国际汽车技术法规制定活动，公布全球汽车生产的统计数据，以及组织安排国际汽车展览会相关事宜。为适应自动驾驶汽车发展对产业和管理带来的影响，实现产业界与政府管理的高度协同，世界汽车组织于2019年2月向联合国欧洲经济委员会提交了一份关于对未来自动驾驶汽车认证的建议[1]。

1提出自动驾驶汽车认证建议的背景概要

随着自动驾驶技术的发展，软件在定义汽车，车辆功能日趋复杂、软件数量也越来越多。与传统车辆相比，影响自动驾驶汽车的安全因素、场景变量日益增长，通过传统的场地测试和台架测试，难以全部评估上述影响安全的变量。因此，为了车辆上道路运行，需要提出新的认证思路，支持车辆型式认证或自我认证。对于车企的自我认证来说，需要制定更加细致的程序和测试方法。

在考虑自动驾驶汽车认证时，需要考虑自动驾驶汽车的特点，以及未来的发展趋势。总体而言，OICA认为自动驾驶汽车认证面临着以下的现状和挑战：

（1）自动驾驶新技术层出不穷，很多目前讨论拟予以“规范”的技术，实际上还未出现在市场上。因此，应当承认，在认证层面，经验是缺乏的。需要制定更加通用、普适的车辆安全要求。

（2）初始阶段，不可能对自动驾驶汽车的每个方面都作详细规定。因此，需要梳理自动驾驶汽车的不同方面，列出优先级，先期提出部分安全要求，并随着关于新技术的经验和数据的积累，跟进提出新的安全要求。

（3）未来若干年，自动驾驶新技术还将快速发展、迭代。因此，应列出包容性极强的安全认证框架，不应设置“限制性”条件“阻碍”系统和技术的发展；另外，若安全要求规定的过多过细，则需要制度的快速迭代，这显然是不现实的，最终很可能演变成为技术的“阻碍”。

（4）基于以上考虑，需要构建一种包容性较强的认证方法，将自动驾驶安全放置在“可控”“灵活”的框架内，为未来自动驾驶技术的发展提供基本的安全遵循。该框架还能够及时吸收和容纳未来的研究和实践成果。

2各国各地区自动驾驶安全原则比较

车辆认证，首先需要考虑的是车辆的安全要求，认证的目的，很大程度上就是“确认”车辆达到了有关安全要求。主要国家和地区对自动驾驶的安全要求还较为严格，具体如表1所示。

3传统认证方法及其改进

传统方法特别适用于复杂度不高的系统，即系统之间交互性不强，系统边界可以清晰界定，典型的如机械系统或部件。以联合国法规中关于轮胎的认证为例来说明。轮胎的认证包括以下几个方面：（1）力学性能：载荷/速度性能测试；（2）滚动噪声测试；（3）湿滑、雨雪路面附着系数；（4）滚动阻力。在傳统的认证方法中，一般是定义好一系列性能指标，并设计好相应的实车试验进行验证，确保进入市场前的车辆达到必要的安全等级。上述试验一般在台架试验或场地试验完成，往往通过若干年的时间来改进、完善试验。

需要说明的是，传统认证方法在智能时代已有一定的适应性改进。以联合国法规中关于制动系统的认证为例来说明[2]。传统的制动系统测试要点包括：（1）应急制动系统的最小减速度指示6.43m/s2[2]。（2）100km/h初始速度下的制动距离是60m。（3）驻车制动系统应能保证满载车辆在20%坡度上静止。当需要认证防抱死制动系统（ABS）、车身电子稳定系统（ESP）、辅助制动系统时，人们发现难以通过上述传统方法评估与安全密切相关的电子/电气系统，因为后者失效和场景数量急剧增加。为了解决这一问题，人们引入了基于过程管控和功能安全导向的审计认证办法，另外，虚拟仿真测试和验证也被引入对ESP系统进行认证。在上述针对性的认证方法出现之前，上述技术已应用多年，并随着长期的实践经验积累，形成了相应的技术性标准。

未来，随着自动驾驶技术的进一步发展，需要对传统认证方法做进一步延伸改进。如前所述，随着自动驾驶技术的发展，车辆功能日趋复杂、软件数量也越来越多。与现有的复杂电子电气控制系统相比，影响车辆安全的因素和场景变量增长更加迅速，现有的覆盖有限场景的台架测试、场地测试将难以全面评估自动驾驶汽车安全。现有的ABS、ESP等电子控制系统和L1、L2级别自动驾驶中包含的辅助驾驶系统的审计评估方法，应当进一步升级延伸，用于审计评估L3、L4、L5级别自动驾驶系统。需要说明的是，现有对传统车辆安全相关的认证方法，仍然应该在自动驾驶汽车沿用。比如场地测试，仍然是自动驾驶认证的必要组成部分。但需要增加适应于软件特性的认证方法，这些新增加的方法将进一步增强，而不是取代传统测试认证方法。

4自动驾驶汽车“三支柱”测试认证设想

随着自动驾驶技术的发展，传统由人类驾驶人承担的驾驶任务，逐步由车辆承担，因此应该特别注重对车辆“驾驶能力”的测试认证。自动驾驶汽车测试认证新的需求情况如图1所示：

针对新的认证需求，OICA提出了三支柱认证法。如图2所示。具体测试及其目的说明如下：

（1）审计/评估（即仿真测试）。1）可以较好地对被测系统做全面了解；2）通过评估，确认车企针对自动驾驶系统的研发过程和设计/测试方法是有效、完整和一致的；3）评估系统在策略和功能上是能够解决多重失效和外界扰动；4）评估系统在变化各异的关键场景中的表现；5）通过仿真的方法测试不同参数变化下的场景以及边缘场景。

（2）场地测试。1）在能高度考验自动驾驶技术、高伤亡风险，以及能够代表真实世界的场景下评估自动驾驶性能；2）通过关键测试用例，与仿真测试结果做对比，也可以验证仿真工具。

（3）实际道路测试。1）在实际道路中全面测试自动驾驶系统性能，防止车辆做“应试式”设计（以通过专门的场景为目的）；2）评估系统安全要求，如人机交互、运行设计域等；3）评估车辆是否达到有经验的驾驶人水平。

需要说明的是，只有三支柱协同测试才能发挥效应，上述测试中，自上而下看，测试覆盖的范围和功能逐渐减少。

三支柱测试中不同测试方法对自动驾驶安全原则的验证和认证情况如表2所示：

三支柱测试认证应用具体举例说明如图3所示：

综上所述，OICA认为通过三支柱认证法，可以确保对自动驾驶的认证，达到传统方法对传统车辆认证的安全水平：（1）三支柱法将对企业建立的研发流程和功能安全的审计和评估，作为复杂电控系统安全认证的基础；（2）根据新的认证方法，企业应出示证据，证明车辆在设计和测试层面符合已建立的安全原则，符合不同的交通规则，并能确保在系统失效和“粗鲁”的外界影响下，车辆仍然具有较好的安全表现；（3）另外，新的认证方法设立了通过场地测试，评估自动驾驶汽车在具体复杂状况下的安全应对能力；（4）为了实施评估，新认证方法还包含了真实的道路测试。

5对我们的启示

自动驾驶汽车将传统的车辆和“驾驶人”合二为一，整个系统非常庞杂和复杂。在经验和标准规范不足的情况下，对复杂系统的安全管理，应该遵循“全过程”“多层次”“多角度”的原则。OICA在借鉴传统车辆认证管理办法和驾驶人驾驶能力培训考核方法的基础上，创造性地提出了自动驾驶汽车“三支柱”测试认证办法，对整个自动驾驶测试认证的方案设计，具有很大的啟发意义。

参考文献

[1] OICA. Future Certification of Automated/ Autonomous Driving Systems，

[2] Regulation No 13-H of the Economic Commission for Europe of the United Nations （UN/ECE） — Uniform provisions concerning the approval of passenger cars with regard to braking [2015/2364]，