安全文檔方法在自動駕駛道路測試安全管理中的應用探析

周文輝

摘 要：我國自動駕駛道路測試管理還較為粗略，具有一定的安全隱患，也在一定程度上影響了“通過測試提升產品和技術能力”目標的實現。主要原因是未系統梳理影響自動駕駛道路測試安全的相關因素、分析相關規律，并在此基礎上，按照測試目標、測試任務、潛在隱患點及其風險分析評估、利益相關方關注內容等對測試管理進行科學化分析，進而結合測試企業自身實際提出針對性的對策，并將相關對策作為制度固化并實施。本文詳細介紹了英國、澳大利亞等國家在自動駕駛道路測試中廣泛使用的安全文檔方法，包括其主要目標、內容、理論依據等，特別是從測試系統功能、系統安全、安全員管理、事件報告等15個方面入手，分析了影響自動駕駛道路測試的具體要素，并給出了測試安全管理需要關注的重點內容，提出了完善我國自動駕駛道路測試制度、提升測試企業安全主體責任能力方面的建議。

關鍵詞：自動駕駛；安全檔案；測試

1安全文檔方法概述

安全文檔（Safety Case）是為了說明安全風險已被識別、管理，并按照盡可能合理降低原則（ALARP）進行了減緩，而形成的一系列論據文檔集。

安全文檔方法起源于英國。在國外，該方法已經廣泛應用于核工業、航空、石油、天然氣等危險行業的安全管理。比如對于產品的安全完整性等級（Safety Integrity Level，SIL）認證，該認證主要包括產品設計細節的評估、生產廠家安全管理體系的評估以及產品開發人員能力的評估。為了表明產品具有指定的SIL能力，生產廠家需要向認證機構提供一系列的證明文件，來表明產品滿足了標準中的要求。這些證明文件所形成的文檔集，就稱為安全文檔。編制安全文檔，是指通過收集、分析相應的證據，證明所設計的產品與標準的符合性。安全文檔方法提供了一個系統的、完整的方法，來表明與一個或多個標準的符合性。來自于產品開發過程中不同階段的文檔，形成了支持論據的證據。為了保證產品開發人員、操作人員、安全評估人員以及認證機構的安全管理，只進行簡單的文檔記錄是不夠的，而應該有結構化的文檔。安全文檔是一個動態的文檔集。在產品設計過程中難免會發生一些變更，這時安全文檔就需要進行調整、升級，記錄相應的變更，以保證論據與證據的正確性和統一性。當表明產品與標準中要求符合的安全文檔完成后，它能夠顯示所有的要求、每個要求是如何滿足的論據、支持論據的證據文檔以及評估人員的評估結論。目前，雖然安全文檔僅僅在一些行業中是強制性的，但是該方法正被越來越多的行業所采用[1]。

安全文檔的理論基礎是風險盡可能合理降低原則（ALARP）。該原則最早也由英國提出，是指各類合理可用的風險減緩、消除方法、措施均已使用。此處，合理可用的風險管控方法，是指使用這些方法，不會造成不合理的時間、經費投入。在法國應用更多的合理性評估方式是GAMAB（globalement au moins aussi bon風險水平大體相當），這種方法的要求是，當用一些可接受指標衡量新系統時，任何新系統必須提供它的風險水平，而且這個風險水平一定不能低于現存的同類系統。根據產品的不同，指標可能是每年的人員傷亡人數，每小時使用該設備的受傷人數或其他適當的衡量標準。

2應用安全文檔方法管理自動駕駛道路測試工作概述

在自動駕駛道路測試中應用安全文檔法，首先應確保安全文檔是在自動駕駛測試涉及的各類法律法規和標準規范基礎上制定的，同時安全文檔至少需要包括測試車輛相關、測試平臺相關、車輛操控與運行環境相關的各類風險，以上風險均需要考慮其他參與方，包括其他車輛、行人和非機動車、測試駕駛人或安全員、乘客、道路施工維護人員和其他第三方。安全文檔需要動態更新，測試、工作提升和安全保障中的改善均應納入記錄。下圖是應用安全文檔方法管理自動駕駛道路測試工作的示意圖[2]。

3管理自動駕駛道路測試的安全文檔內容

完整的管理自動駕駛道路測試的安全文檔包括以下內容[2]：

3.1安全文檔的目的和范圍

安全文檔需要說明，在任何時間和地點開展的測試和示范驗證均是安全的，并明確開發和擁有安全文檔的組織名稱。

安全文檔應在范圍中說明以下內容：

（1）開展的測試和示范應用的概況，包括目的、安全保障方法、主要合作機構及其職責、公眾參與的方式等；（2）安全文檔未包含的內容（如功能安全）；（3）不同測試階段對應的安全文檔，以及安全文檔的管理、升級等內容。

3.2車輛和自動駕駛系統

安全文檔應包含以下車輛和自動駕駛系統的信息：基礎車型及其改裝；車輛外形；符合相關標準的情況；傳感器種類、位置及固定方式；自動駕駛系統功能；巡航和定位；人機交互；機器學習；數據存儲和讀取；信息安全等。

3.3車輛ODD相關信息

包括以下信息：用自然語言對運行邊界的描述；系統如何確定是在運行設計域（ODD）范圍內運行；系統難以應對的道路交通環境；車輛其他局限性（如限速）；默認進入風險最小狀態的流程；ODD范圍內車輛行為的監控及干預流程；車輛能夠在ODD安全運行的證據。

3.4測試目的

包含以下信息：測試場景構成；測試需要應對或確認的場景邊界和場景內元素；測試開展、監控和評估的細則。

3.5運行安全評估

安全評估是制定各項干預手段的基礎。運行安全評估主要包括：針對每個具體場景，均需要確定危害，評估風險。評估內容包括：車輛軟硬件、車輛監控、車輛操作、外部影響因素（如通訊、路線等），其中與其他交通參與者的交互是評估的重點。

3.6運行安全指南

總結好的經驗，形成運行安全指南，指南還應包括與相關方溝通后的緊急事件處理預案。

3.7路線選擇和安全評估

根據實際路線進行安全評估，路線中相關設施的變化應隨時跟蹤記錄。

3.8安全操作和控制

應包括以下內容：安全員監控車輛的方法；車輛最小風險狀態的條件；接管預警方法。安全員能力保持的機制（對自動駕駛系統的清醒認識，管理分心、疲勞的對策）；對異常事件診斷和反應能力的證據；對安全員的監控。

3.9系統安全

系統安全評估應與測試需求相適應。應說明評估人員及其獨立性、評估過程、評估依據的標準等；評估中明確的“隱患”和“安全目標”。評估應確保系統在緊急情況下能夠及時回到安全最小狀態，并可隨時被接管。還應包括信息安全。

3.10之前類似測試情況

包括以下信息：測試地及測試設備（路段）特征。測試方式：仿真、實際道路、場地。測試對象（傳感器、軟件、硬件、安全員操作和反應）及其合格目標。測試通過/未通過點位情況以及最終的測試結果。

3.11車輛變動的管理

測試中動態管理車輛變動的情況：自動駕駛系統及車輛運行中的各類變動，均需要記錄，根據測試情況及時收集、更新隱患點，并進行分類評估。記錄車輛變動的機制流程及對應的風險評估方式；車輛變動相關信息的歸檔、分類和測試應對；重新開始測試的流程；對車輛變動的其他安全監控和管理措施。

3.12利益相關方

與利益相關方開展的相關活動、取得的成效；與利益相關方開展交流、活動中收到的安全反饋及處置。 保險情況，以及開展道路測試所需的各類資質、許可情況。

3.13監督、報告和持續提升

安全文檔應反映出學習、證據收集和持續更新迭代的過程，應有版本管理和動態過程管理。主要包括：測試數據收集的類型、收集方法和頻率，傳感器、冗余、失效數據的監控，動態挑戰因素的監控，數據下載、存儲、分析、安全保護、日志等。報告事件的類型和方式，接管數據的獲取和分析，負責報告的人員信息（數據和報告最好歸口單人管理），進一步調查需要數據的獲取，數據的復審，測試退出標準。

3.14測試安全員管理

安全員是自動駕駛測試最重要的安全機制[3]。（1）測試機構具有三大職責：制定安全員培訓、管理計劃并實施；確保安全員能力；管理安全員工作時間（單次測試最好不要超過2小時，中途休息應大于半小時）。（2）安全員資格要求：駕照、經驗、違法違規、廣泛性；身體、心理、認知、主動報告個人上述事項；對車型、測試、路線、客貨運的經驗。（3）安全員培訓應注重以下內容：車輛預期內的行為和預期外的行為，最小風險狀態條件和位置，ODD及其特征，測試路線，測試風險及應對，接管點，客貨運等。培訓分為通用培訓和專門培訓。通用培訓包括外部培訓和內部培訓，目的是對基礎車型和自動駕駛系統的熟悉。專門培訓目的：對測試車的構造、能力和局限性了解，以及人機交互、接管、操作指南、自身職責、測試終止條件、緊急情況應對、安全員和測試工程師的溝通渠道和方式，對測試監管的了解。另外，針對錯誤、違規，重新上崗等，需要開展再培訓。（4）培訓記錄。記錄培訓內容、方式、時間、效果，之前培訓經歷和相關經驗。每次測試后，均應記錄安全員表現。包括測試時間、錯誤或失誤、事件發生和應對、事件防范措施、良好實踐。（5）安全員考試：最少要包含風險識別和應對、接管、車輛意外行為的應對、緊急事件應對、保持專注及對周圍環境的警覺等內容；可通過理論、仿真、實際考試等方式進行，盡可能接近實際。

3.15測試事故調查

事故調查可全面提升安全能力，回應各相關方關切。事故調查需要弄清以下事實：（1）事發環境與ODD關系；（2）輛內部狀態如何，有無功能失效或退化：（3）外部狀態如何，有無功能失效或退化；（4）有無信息安全攻擊；（5）系統何時意識到有事件發生，如何意識到的；（6）事件發生時，哪些功能在起作用；（7）事件發生時，哪個執行器在起作用，最后一次接管情況；（8）系統能否提供事件的詳情；（9）誰在駕駛？接管情況[4]……。調查是對上述安全文檔內容的全面檢查和評估，也是對車輛本身性能的全面檢查和評估，因而對提升車輛安全性能和測試運行安全管理均具有重要意義。由于數據記錄的全面性和可獲取性，自動駕駛測試事故調查應該是以數據為基礎而開展的系統性、全面調查。

4啟示與建議

2021年7月，工業和信息化部、公安部、交通運輸部聯合印發《智能網聯汽車道路測試與示范應用管理規范（試行）》（工信部聯通裝〔2021〕97號），各地也陸續發布了地方智能網聯汽車道路測試與示范應用管理的規定。目前各自動駕駛測試企業主要依據上述規定開展相應的道路測試和示范應用活動。從相關調研和測試事故調查情況來看，我國自動駕駛道路測試管理還有較大的提升空間，突出表現在未按照上述相關規定開展測試，企業層面的管理也較為粗略，具有一定的安全隱患，也在一定程度上影響了“通過測試提升產品和技術能力”目標的實現。

安全文檔方法是系統、科學、規范管理自動駕駛道路測試的有效工具和手段，已在英國和澳大利亞等國家普遍應用，具備較好的理論基礎和實踐經驗，該方法不僅囊括道路測試需要遵守的各項標準規范，也充分考慮自動駕駛道路測試的基本規律，便于測試企業結合自身實際制定和實施測試安全管理辦法。另外，從內容上看，安全文檔的相關規定，與自動駕駛認證管理中實施的“多支柱”安全保障策略具有較強的關聯性。因此，為保障測試安全、發揮測試對研發和產品能力的促進作用、同時與量產認證做好銜接，希望借鑒安全文檔的相關經驗，提升自動駕駛道路測試安全管理的針對性、科學性和精細化能力。

參考文獻

[1]郭苗. 第三十三講：Safety Case方法及專用工具介紹[J]. 儀器儀表標準化與計量，2013（2）：3.

[2] Assuring the safety of automated vehicle trials and testing–Specification. PAS 1881：2020.

[3] Safety operators in automated vehicle testing and trialling Guide. PAS 1884：2021.

[4] Data collection and management for automated vehicle trials Specification. PAS 1882：2021.

國外自動駕駛交通事故責任劃分

德國《道路交通法》《自動駕駛汽車交通倫理準則》都從立法角度，承認駕駛人，車主和汽車制造商同為事故風險承擔者，正式將汽車制造商納入責任范圍。

對于“人機共駕”的L3級自動駕駛汽車來說，區分駕駛進程的某個時間節點，尤其是交通事故發生瞬間，是由駕駛人還是系統控制車輛，就變得尤為重要。

《歐盟自動駕駛汽車認證豁免程序指南》規定自動駕駛汽車應裝備車載設備，即所謂的“黑匣子”。記錄任何時間點的自動駕駛系統運行狀態和人類駕駛狀態，以便區分事故發生時的駕駛任務承擔者。

“黑匣子”記錄的數據應包括自動駕駛系統運行狀態、人類駕駛狀態、周圍環境信息、自動駕駛控制信息，這些信息將為重建事故場景、分析事故原因、明確事故責任提供重要證據。

對于高度自動化的L4車輛，德國《自動駕駛法》要求為自動駕駛公司在進行商業化運營時，必須購買相應的責任險，以此承擔相應的事故責任。

同樣決定不再隔靴搔癢，敢于直視技術與立法困境的還有日本。

日本《道路交通法》明確提及，因系統錯誤操作等明顯故障導致事故發生的話，制造商可能將承擔過失；

如果因為瞌睡等原因，駕駛人沒有按照系統要求切換駕駛模式而導致事故發生，那么駕駛人將承擔責任。

判斷依據同樣來自于車載記錄裝置，并對數據保存期限做出規定。