2019自动驾驶安全第一白皮书-2019.7-156页_1mb

报告摘要

总结：SAFETY FIRST FOR AUTOMATED DRIVING

核心内容

本报告旨在总结SAE L3和L4级自动驾驶系统中广泛采用的安全设计与验证和确认（V&V）方法。通过系统性地将安全原则分解为设计能力、元素和架构，报告强调了“安全即设计”的重要性，并展示了如何通过V&V方法实现正向风险平衡，从而确保自动驾驶系统在安全性和可靠性方面优于人类驾驶。报告还涉及了自动驾驶系统的安全与隐私保护、系统架构、测试策略、模拟技术以及行业标准化的推动。

主要观点

自动驾驶的安全性
自动驾驶系统的设计必须确保在出现故障或降级时，能够安全地转移控制权给驾驶员，并确保驾驶员在必要时可以及时接管。安全与隐私保护是系统设计的核心要素之一。
安全即设计（Safety by Design）
报告提出，自动驾驶系统的设计应基于安全原则和依赖性领域（如安全功能、功能安全和汽车网络安全），并构建通用的安全能力体系。安全设计不仅关注技术实现，还涉及法律、伦理和用户责任等多方面因素。
验证与确认（V&V）方法
验证与确认是确保自动驾驶系统安全性的关键环节。报告讨论了V&V的主要步骤、测试策略、模拟技术及测试平台的选择，强调了测试的全面性和质量。
操作设计域（ODD）
自动驾驶系统必须在特定的操作设计域（ODD）内运行，并且系统应在该域内识别可能的典型情况和风险，以确保安全操作。
安全与隐私的结合
在自动驾驶系统中，安全和隐私保护必须同时考虑，尤其是在数据采集和存储方面，必须符合相关数据隐私法规（如GDPR）。
人机交互（HMI）与驾驶员责任
自动驾驶系统必须确保驾驶员在系统降级或接管请求时能够明确感知当前的驾驶模式，并具备足够的意识和能力承担相应的责任。
系统架构与技术实现
报告提出了一个通用的逻辑架构，涵盖环境感知、定位、路径规划、运动控制、监控、模式管理等关键元素，并结合了多个开发实例（如L3 Traffic Jam Pilot、L4 Urban Pilot等）来说明实际应用。

关键信息

安全目标：确保自动驾驶系统在所有操作条件下都能实现正向风险平衡，即其安全性优于人类驾驶。
依赖性领域：
- 安全功能（SOTIF）
- 功能安全（ISO 26262）
- 汽车网络安全（ISO/SAE 21434）
关键能力：包括定位、环境感知、预测、路径规划、运动控制、监控、模式管理等。
测试与验证策略：
- 包括等价类划分、场景化测试、模拟测试、测试平台选择等。
- 强调测试的可追溯性、配置管理、回归测试和持续监控。
安全与隐私的结合：数据记录必须符合隐私法规，同时确保数据的安全性。
人机交互（HMI）：系统需确保驾驶员在系统降级或接管请求时能明确感知驾驶模式的变化，并承担相应的责任。
行业标准与法律框架：
- ISO/PAS 21448（SOTIF）
- ISO 26262（功能安全）
- ISO/SAE 21434（汽车网络安全）
- ISO 19157（地理信息数据质量）
- ISO/TS 16949（质量管理体系）
自动驾驶系统开发实例：
- L3 Traffic Jam Pilot（TJP）
- L3 Highway Pilot（HWP）
- L4 Urban Pilot（UP）
- L4 Car Park Pilot（CPP）
  这些实例展示了不同级别的自动驾驶系统在实际操作中的安全设计与实现方式。