2019自动驾驶安全第一白皮书-2019.7-156页_2mb

报告摘要

总结：SAFETY FIRST FOR AUTOMATED DRIVING

核心内容

本报告旨在总结SAE L3和L4自动驾驶系统中广泛采用的安全设计与验证与确认（V&V）方法，以支持自动驾驶技术在行业标准制定中的应用。报告强调了“安全即设计”（Safety by Design）和V&V方法在确保自动驾驶系统安全性和可靠性方面的重要性，并提出了一个系统性的安全框架，涵盖安全相关功能、元素、架构以及测试策略。

主要观点

安全与设计紧密相关：自动驾驶系统的设计必须从一开始就考虑安全性，确保在系统失效或降级时仍能维持安全状态。
安全与安全相关的功能（SOTIF）：报告基于ISO/PAS 21448:2019标准，强调了“安全即设计”的理念，即系统应具备在异常情况下维持安全的能力。
功能安全与网络安全：功能安全（ISO 26262）和网络安全（ISO/SAE CD 21434）是自动驾驶系统设计与开发中的关键组成部分，需通过综合方法进行管理。
安全相关原则：报告提出了“自动驾驶的十二项安全原则”，这些原则构成了整个安全框架的基础。
验证与确认（V&V）的重要性：V&V是确保自动驾驶系统达到安全目标的关键环节，包括测试目标定义、测试设计、测试平台选择、测试策略制定以及模拟测试。
系统架构与元素：系统被分解为多个关键元素，如环境感知传感器、定位、V2X通信、传感器融合、执行机构、监控系统等，以支持安全功能的实现。
安全操作模式：系统应具备在降级或故障情况下切换到安全模式的能力，并确保驾驶员在必要时能够接管控制。
用户责任与交互设计：用户在自动驾驶系统中仍需承担一定的责任，系统应能准确识别用户状态并确保其对安全相关情况有充分的认知。
安全评估与数据记录：通过V&V确保系统安全目标的实现，同时在事件发生时记录相关数据，以符合数据隐私法规。

关键信息

1. 安全框架

安全目标：实现“积极的风险平衡”，即自动驾驶系统在整体性能上优于人类驾驶。
安全原则：包括但不限于：
- 系统应能应对降级情况
- 系统应在有限范围内保持操作性
- 系统应在特定操作设计域（ODD）内运行
- 系统应支持驾驶员接管
- 系统应确保安全模式转换
- 系统应保证用户责任明确
- 系统应确保模式意识
- 系统应具备安全操作层
- 系统应具备被动安全措施
- 系统应具备交通行为规范
- 系统应确保数据质量
- 系统应符合数据隐私法律

2. 验证与确认（V&V）方法

测试目标与策略：明确测试目标，制定合理的测试策略，以应对自动驾驶系统的复杂性。
测试设计技术：采用等价类划分、场景化测试等方法，确保覆盖各种可能的驾驶情况。
模拟测试：通过多种类型的模拟（如SiL、HiL、DiL）来测试系统在不同条件下的表现。
场外操作：包括测试可追溯性、配置管理、回归测试、安全监控与更新等，确保系统在实际运行中的可靠性。

3. 系统架构与元素

系统架构：报告提出了一个通用逻辑架构，整合了多个关键元素，如环境感知、定位、执行控制、监控系统等。
关键元素：
- 环境感知传感器
- V2X通信
- 传感器融合
- 定位（包括GNSS）
- 自动驾驶模式管理（ADS Mode Manager）
- 交通规则与行为预测
- 运动控制与执行机构
- 人机交互（HMI）
- 驾驶员状态识别
- 车辆状态监控

4. 操作设计域（ODD）

ODD定义：系统应根据其操作设计域进行限制，确保在特定条件下运行。
安全操作条件：系统应能够在识别到安全风险时，迅速反应并进入安全状态，或请求驾驶员接管。
不同等级的示例：
- L3 Traffic Jam Pilot (TJP)：适用于交通拥堵场景，驾驶员需保持警觉。
- L3 Highway Pilot (HWP)：适用于高速公路场景，允许在不同天气和路况下运行。
- L4 Urban Pilot (UP)：适用于城市环境，允许非警觉驾驶员操作，但需安全司机。
- L4 Car Park Pilot (CPP)：适用于停车场场景，系统可完全自主操作。