自动驾驶汽车交通安全白皮书.pdf

专 家 寄 语软件定义汽车背景下，自动驾驶技术快速发展，车辆系统日趋复杂、智能，对交通安全的影响也日益广泛。为了实现对新技术的包容审慎监管，需要确定一些基本的安全原则，如在自动驾驶系统中引入交通规则，利用事故场景库考核自动驾驶对危险、复杂交通场景的应对能力等。本书在这方面做了有益的探索。公安部道路交通安全研究中心机动车辆安全研究室 周文辉 主任安全可靠是自动驾驶商业应用的前提，高效便捷是道路运输自动驾驶发展的目标，以安全、高效为导向，以中国国情特点为条件，分类分级分阶段推动商业应用，促进自动驾驶可持续发展，支撑交通强国建设。交通运输部公路科学研究院汽车运输研究中心 周炜 主任自动驾驶功能的实现相对简单，但其完善却是一个长期的过程。我们将以咬定青山不放松的执着和行百里者半于九十的清醒，主动适配技术产业发展，动态完善智能网联汽车标准体系，有效支撑自动驾驶安全可靠运行。中国汽车技术研究中心有限公司汽车标准化研究所 王兆 所长安全是汽车工业发展的永恒主题，自动驾驶汽车的出现为实现道路交通“零事故、零伤亡”的美好愿景提供了可能，诚然现有的自动驾驶技术方案还存在着种种不尽人意的问题，但作为新生事物，相信其在发展过程中所产生的问题也必将随着发展而得到解决。司法鉴定科学研究院道路交通事故鉴定研究室冯浩 主任高算力芯片和 AI 算法开启了智能汽车产业化变革。分心驾驶、疲劳驾驶是人类驾驶交通事故的主因，自动驾驶能够消除人类驾驶员的事故隐患，大大提高道路交通安全。但是智能汽车在环境感知和交通认知能力方面仍然有待提高。对于汽车，安全是 1，其他是 0，在 1 前面的 0，毫无价值，只有确保安全，在 1 后面的 0 才能提升自动驾驶汽车的价值。造汽车，必须确保安全。同济大学汽车学院 朱西产 教授前言随着人工智能、物联网、高性能计算等新一代技术的发展，汽车产业乃至整个交通出行领域正在发生一场革命，曾经出现在科幻影视作品中的自动驾驶汽车已经来到，并正在加速来到每个人的身边。作为国际公认的汽车未来发展方向，自动驾驶的意义不仅在于汽车行业的技术升级，因其涉及的产业链长、价值创造空间巨大，已成为各国的重要战略高地与汽车产业和科技产业跨界、竞合的必争之地。出行平安不仅是公众美好的期盼，也是自动驾驶汽车设计与应用的前提条件。随着自动驾驶技术及示范应用的快速发展，自动驾驶交通安全引发了政府、行业的高度重视，公众的关注度也在不断地提升。更高效、更便捷、更智能、更安全的交通环境已成为社会各界的共同期待。中国汽车技术研究中心有限公司联合同济大学和百度 Apollo，共同编写自动驾驶汽车交通安全白皮书，结合自动驾驶汽车交通安全相关政策法规、安全技术、当前中国道路交通事故情况下自动驾驶与人类驾驶汽车的安全性对比，对自动驾驶汽车的交通安全进行分析，并提出建议和展望，为社会各界提供参考，助力我国自动驾驶汽车交通安全的良好发展。本白皮书的编写得到了以下专家的指导和支持，在此一并致谢（排名不分先后）：公安部道路交通安全研究中心机动车辆安全研究室 周文辉 主任交通运输部公路科学研究院汽车运输研究中心 周炜 主任中国汽车技术研究中心有限公司汽车标准化研究所 王兆 所长司法鉴定科学研究院道路交通事故鉴定研究室冯浩 主任同济大学汽车学院 朱西产 教授限于目前自动驾驶产业发展阶段和编者的研究高度与角度，本白皮书仍有诸多待改进之处，欢迎各位领导、专家与业界同仁提出指导意见和建议，共同推进自动驾驶交通安全的发展。2021 年 12 月目录第 1 章 自动驾驶时代势不可挡，政策法规保障安全发展1.1 自动驾驶有望提升道路交通安全1.2 顶层设计推动产业蓬勃发展1.3 政策法规保障自动驾驶安全发展第 2 章 自动驾驶汽车的安全技术特点2.1 自动驾驶主系统安全2.2 自动驾驶安全冗余系统2.3 远程云代驾2.4 自动驾驶汽车测试与验证第 3 章 自动驾驶与传统驾驶汽车安全对比3.1 人类驾驶事故场景分析3.2 人类驾驶事故原因分析3.3 自动驾驶汽车与人类驾驶汽车安全性对比分析3.4 自动驾驶汽车事故分析第 4 章 总结展望4.1 观点总结4.2 展望建议1 11251010111416172 24 4253339425 58 85960自动驾驶汽车交通安全白皮书01自动驾驶时代势不可挡自动驾驶时代势不可挡政策法规保障安全发展政策法规保障安全发展第 1 章 自动驾驶时代势不可挡，政策法规保障安全发展 1 1.1 自动驾驶有望提升道路交通安全据世界卫生组织2018 年全球道路安全现状报告统计，全球每年约有 135 万人死于道路交通事故，相当于每 24 秒就有 1 人因交通事故丧命，另外还有 2000 万至 5000 万人受到非致命伤害。道路交通伤害已经成为全球第八大死因。道路交通事故问题在我国同样严峻，据中华人民共和国道路交通事故统计年报统计，2017-2020 年我国交通事故年均发生 23.51 万次，年均死亡人数达 6.29 万人，另有 24.38 万人受到非致命伤害。道路交通事故已成为我国儿童意外伤害的第二大死因，并作为唯一一个非病因素位列中国人员死亡原因前十。据统计，约 90%以上的道路交通事故是驾驶员人为因素导致的。消除和减少驾驶员违法违规操作、驾驶经验不足和自身缺陷或感知限制等不良人为因素，无疑对减少交通事故，降低道路交通风险具有重大价值。随着传感技术的发展与信息技术在汽车领域应用的加深，汽车正由人工操控的机械产品向智能化系统控制的智能产品转变。在智能产品提高汽车行驶效率和人们驾乘体验的同时，通过自动驾驶技术减少驾驶中的人为失误，提高车辆感知和操控能力，让驾驶更安全，成为了自动驾驶汽车研发的重要初衷。目前搭载高级驾驶辅助系统（ADAS）的 L2 级及以下辅助驾驶汽车已实现产业化应用，L3 级有条件自动驾驶化的汽车正在产业化的道路上发展。但要实现无人驾驶，不再需驾驶员的操控和注意力，则需要 L4 级及以上自动驾驶汽车才能真正实现（无特别说明，本白皮书内自动驾驶汽车指达到驾驶自动化 L4 级及以上汽车）。2 目前，L4 级自动驾驶汽车已在码头、机场、分级开放道路等特定运用场所开展了较多测试和运营活动。2021 年 10 月 15 日，北京市智能网联汽车政策先行区正式开放无人化道路测试，并为企业发放了首批无人化道路测试牌照，L4 级自动驾驶汽车已允许开展“主驾无人，副驾有人”的公开城市道路测试。未来，被批准测试车辆还将被允许从“副驾有人”转为“后排有人”，直至“车内无人”。随着自动驾驶汽车不断通过安全验证，最终，自动驾驶汽车将实现“全无人驾驶”的应用目标。面对驾驶位空空的自动驾驶汽车，我们不禁发出疑问：自动驾驶安全吗？自动驾驶能让道路交通更加安全吗？自汽车开始普及，交通事故问题一直伴随人类至今。随着汽车安全标准的不断推动，安全技术能力的不断提升，社会逐渐接纳了适当的风险，定义了相对安全的标准。虽然自动驾驶并不直接等于 0 事故，但与传统汽车相比，自动驾驶汽车具备更全面的环境感知能力，更高效的自动规划决策能力和更及时更精准的驾驶操控能力，能够脱离人类驾驶，理论上能够避免驾驶人为因素导致的 90%以上道路交通事故，显著促进道路交通安全水平的提升。后文，我们将结合现阶段自动驾驶汽车相关交通安全政策法规、安全技术保障措施、中国道路交通事故情况、部分相关事故或事件，对自动驾驶交通安全进行详细的研究与探讨。1.2 顶层设计推动产业蓬勃发展我国汽车产业整体规模保持世界前列，自动驾驶产业受到了政府的重视和支持，具有多元化的应用场景、良好的道路条件、快速发展的通信技术等良好产业发展土壤。相较于早期更注重单车智能的欧美国家，我国的自动驾驶汽车的发展始终强调智能网联、车路协同，近年来已初步形成 汽车产业中长期发展规划、智能汽车创新发展战略、中国制造 2025、交通强国建设纲要等系列智能网联汽车发展战略，并在国际产生影响。发展愿景到 2025 年我国高度自动驾驶汽车将实现限定区域和特定场景商业化应用，力争 2035 年高度自动驾驶汽车实现规模化应用。新能源汽车产业发展规划（20212035 年）第 1 章 自动驾驶时代势不可挡，政策法规保障安全发展 3 在顶层设计的推动下，地方政府相继开放了自动驾驶道路测试和示范运营区域助力产业发展。截至 2021 年 11 月，全国已有 38 个省/市出台管理细则，先后建设了 70 家测试示范区，开放了 5200 多公里测试道路，发放 1000 余张测试牌照，自动驾驶道路测试取得了阶段性的进展。图 1.1 已发布自动驾驶测试政策和建设测试示范区的省（市）企业层面，从红旗、长安、北汽、吉利等传统整车厂，到华为、中兴、大唐等通信领域企业，到以百度、阿里、腾讯为代表的互联网企业，再到小马智行、新石器、智行者等创新型企业，各大企业争相布局自动驾驶产业技术，在各地测试和示范运营区积极尝试。目前自动驾驶规模商业化和测试运营也取得了一定的落地成果，并仍在快速发展。如今，在园区、矿区、港口、机场等限定场景下已实现自动驾驶汽车试点运营。北京、上海、长沙、沧州、广州等地，公众已经可在自动驾驶示范应用区域通过手机 App 呼叫 L4级的自动驾驶出租车，享受无人驾驶出行服务。2035 年发展目标基本实现交通运输感知全覆盖，智能网联汽车（智能汽车、自动驾驶、车路协同)的技术达到世界先进水平。国家综合立体交通网规划纲要（2021 年）4 以百度为例，2021 年 12 月，百度自动驾驶道路测试里程已超过 2100 万公里。根据 2021百度自动驾驶出行服务半年报告，高质量测试覆盖 30+城市，覆盖面积超过 600 平方公里，推进上车点超过 1000 个，服务人次达 40 万+，用户评价五星好评占比达 95.3%。自2021 年 11 月 25 日起，百度获得北京市高级别自动驾驶示范区批复的首批商业化试点，68台“萝卜快跑”自动驾驶车辆已启动商业试点收费服务，覆盖 64 平方公里的范围。2021 年在抗击新冠疫情中，百度、文远知行、小马智行、广汽集团等企业纷纷驰援抗疫，投入自动驾驶汽车用于防疫物资的配送、保温送餐、移动零售、移动服务、人员接驳等不同场景，充分发挥了运输高效、安全可控的优势。不仅解决了疫区运力不足和最后一公里配送的难题，同时还降低了流行病的交叉感染等风险，成为科技“战疫”的新亮点。图 1.2 自动驾驶支援抗疫场景自动驾驶汽车已经来到人们身边，正在快速被公众接纳，并成为一项出行新选择。在顶层设计的推动下，在各方的响应下，汽车自动驾驶时代正在加速到来。自动驾驶汽车接驳师生及医护人员自动驾驶汽车运送防疫物资第 1 章 自动驾驶时代势不可挡，政策法规保障安全发展 5 1.3 政策法规保障自动驾驶安全发展随着近年来自动驾驶产业的快速发展，国务院办公厅、工业和信息化部、公安部、交通运输部等多部门高速重视安全，积极制定完善相关政策法规，陆续出台多项指导文件，保障自动驾驶汽车交通安全，并为后续发展进行铺垫。目前我国自动驾驶汽车相关政策和法规基本能够适应现阶段应用的需要，并能够按照技术应用的发展需要进行更新完善。2018 年智能网联汽车道路测试管理规范（试行）发布推动了我国自动驾驶汽车测试工作的开展。随着各地自动驾驶测试和示范运营区的快速发展，一系列新的问题和需求浮现，为了响应道路测试工作开展过程中测试方案不统一、测试结果不互认、车路协同不到位等问题和行业企业提出进一步开放高速公路、无安全员测试等需求，2021 年 7 月，工业和信息化部、公安部、交通运输部三部门联合印发了智能网联汽车道路测试与示范应用管理规范（试行）对应用主体、驾驶人、车辆、示范应用申请管理和交通违法与事故处理方面给出了安全相关要求。同时，国家对道路交通安全法、汽车产品准入召回等方面也根据实际需要，进行了相关修订、补充和研究，支持自动驾驶产业的安全发展。目前，自动驾驶汽车交通安全领域主要涉及的法律法规要求如下：初始测 试 与 示 范应 用 探 索应 用 探 索规 模 应 用规 模 应 用2016 年 5 月“互联网+”人工智能实行三年行动实施方案2018 年 4 月智能网联汽车道路测试管理规范（试行）2021 年 7 月智能网联汽车道路测试与示范应用管理规范（试行）2020 年 7 月进一步优化营商环境更好服务市场主体的实施意见2020 年 12 月关于促进道路交通自动驾驶技术发展和应用的指导意见 6 第 1 章 自动驾驶时代势不可挡，政策法规保障安全发展 7 20212021 年年关于汽车远程升级（关于汽车远程升级（OTAOTA）技术召回备案的补充通知）技术召回备案的补充通知指出汽车企业实施OTA召回，必须提供汽车远程升级（OTA）安全技术评估信息表，加强了对软件升级的监管，避免车企将本该召回的车辆以OTA升级的方式解决安全隐患20212021 年汽车产品缺陷线索报告及处理规范年汽车产品缺陷线索报告及处理规范重视消费者这一发现产品缺陷最重要的信息源。规定了消费者提交缺陷线索报告的方式和内容。明确任何单位和个人可通过互联网、电话、电子邮件、信函等方式向缺陷产品召回技术机构提交汽车产品缺陷线索报告召召回回20182018 年道路机动车辆生产企业及产品准入管理办法年道路机动车辆生产企业及产品准入管理办法提出对因采用新技术、新工艺、新材料等原因，不能满足本办法规定的准入条件的，企业可以提出相关准入条件豁免申请，为智能网联、自动驾驶车辆的准入做好了铺垫，鼓励、促进了技术创新和新型产业生态形成2022021 1年年 关于加强智能网联汽车生产企业及产品准入管理的意见关于加强智能网联汽车生产企业及产品准入管理的意见要求加强汽车数据安全、网络安全、软件升级、功能安全和预期功能安全管理，保证产品质量和生产一致性，推动智能网联汽车产业高质量发展。以解决汽车智能化、网联化发展，产生数据安全、网络安全、交通安全问题，应对在线升级（OTA 升级）改变车辆功能、性能可能引入的安全风险准准入入 8 自动驾驶违法和事故责任即将纳入道路交通安全法目前世界各国尚无完善的自动驾驶汽车交通事故责任划分规则。我国正式发布的中华人民共和国道路交通安全法和中华人民共和国道路交通安全法实施条例 也未涉及自动驾驶车辆及其道路行驶安全方面的内容，现阶段道路测试、示范应用期间交通违法和事故要求参照现行法律对驾驶人处理。2021 年 3 月 24 日，公安部发布了道路交通安全法（修订建议稿）公开征求意见的公告，已明确了具有自动驾驶功能的汽车进行道路测试和通行的相关要求及违法和事故责任分担规定，赋予了自动驾驶系统、道路测试的法律地位，为自动驾驶的规模化商用设立了法律环境。自动驾驶道路测试、示范应用要求测试、示范应用主体每月将道路测试、示范应用期间发生的交通事故情况上报省、市级政府相关主管部门。造成人员重伤或死亡、车辆损毁应在24 小时内通过信息系统将事故情况上报省、市级政府相关主管部门，并于事故认定后 5 个工作日内，以书面方式将事故原因、责任认定结果及完整的事故分析报告等相关材料上报省、市级政府相关主管部门。理论上，由于自动驾驶汽车的驾驶系统已取代驾驶员操控车辆，事故责任应当由系统，由自动驾驶汽车生产者和销售者承担，但自动驾驶汽车决策核心的算法并不是完全可以预测和解释的，如何证明算法和事故损害的因果关系，如何科学合理解释免责等难题仍待研究，事故相关具体规定仍需政府进一步完善。其中第一百五十五条规定：“具有自动驾驶功能的汽车开展道路测试应当在封闭道路、场地内测试合格，取得临时行驶车号牌，并按规定在指定的时间、区域、路线进行。经测试合格的，依照相关法律规定准予生产、进口、销售，需要上道路通行的，应当申领机动车号牌。具有自动驾驶功能且具备人工直接操作模式的汽车开展道路测试或者上道路通行时，应当实时记录行驶数据；驾驶人应当处于车辆驾驶座位上，监控车辆运行状态及周围环境，随时准备接管车辆。发生道路交通安全违法行为或者交通事故的，应当依法确定驾驶人、自动驾驶系统开发单位的责任，并依照有关法律、法规确定损害赔偿责任。构成犯罪的，依法追究刑事责任。具有自动驾驶功能但不具备人工直接操作模式的汽车上道路通行的，由国务院有关部门另行规定。自动驾驶功能应当经具有相应资质的从事汽车相关业务的第三方检测机构检测合格。”违法与事故责任02自动驾驶汽车的自动驾驶汽车的安全技术特点安全技术特点第 2 章 自动驾驶汽车的安全技术特点 11“安全第一”是自动驾驶的核心理念和价值观。自动驾驶车辆的整体系统安全设计是一项复杂的系统工程，涉及车载自动驾驶系统的核心算法策略设计、硬件和软件冗余安全设计、远程云代驾技术、全流程测试验证技术等，并遵循功能安全（ISO 26262）和预期功能安全（ISO/PAS 21448）的要求和设计思路。本章节主要参考百度 L4 级自动驾驶的安全系统实践，分为主系统安全、冗余安全系统、远程云代驾系统三层安全体系。图 2.1 百度 L4 整体系统安全设计思路2.1 自动驾驶主系统安全主系统安全体系即通过车载自动驾驶系统的核心算法层来保证驾驶策略和驾驶行为的安全性，也可称为“策略安全”。使用最先进可靠的感知与定位算法、预测决策规划与控制算法来应对道路行驶中的各种场景，尤其是需要保证在遇到难度场景时也可以从驾驶策略和行为上确保安全。自动驾驶主系统安全是软硬件组合套件的安全设计。软件算法是整个自动驾驶系统的核心，典型的 L4 级自动驾驶算法系统架构主要包括车载操作系统、环境感知、高精地图与定位、预测决策与规划、控制与执行模块等。2.1.1 操作系统基础操作系统是运行在自动驾驶汽车上用于管理、调度、控制车载软硬件资源的基础软件。其主要任务是为自动驾驶系统提供任务实时调度、实时计算任务资源隔离、实时消息通 12 讯、系统级访问控制等能力，有效管理系统资源，提高系统资源使用率，向无人车算法模块屏蔽硬件软件物理特性及操作细节，承载运行感知、定位、规划决策与控制等自动驾驶核心组件。操作系统具有高稳定、实时性、低时延（反应速度高于人类驾驶员 250ms）等特点。2.1.2 泛感知系统环境感知是自动驾驶的前提条件。环境感知系统融合激光雷达、毫米波雷达、摄像头等多传感器的优势，实现车身周围 360 度视距，在复杂变化的交通环境中稳定检测并跟踪交通者的行为和速度朝向等信息，为决策规划模块提供场景理解信息。感知算法采用多传感器融合的框架，能够提供最远 280 米外的障碍物的检测。基于深度神经网络及海量的自动驾驶数据，能够准确的识别出障碍物类型、并稳定跟踪障碍物行为，为下游决策模块提供稳定的感知能力。基于多传感器融合方案的感知系统，通过异源感知通路形成冗余，为自动驾驶系统提供高容错能力从而提升系统安全。除此之外，感知算法还通过水雾噪声识别、低矮障碍物检测、异形交通信号灯和标识的检测等能力，有效支持场景扩展。在红绿灯识别上，可将自车感知识别的红绿灯灯色和倒计时与高精地图提供的先验信息进行交叉验证，同时提高临时红绿灯识别能力，确保可靠性和安全性。高精地图与高精定位为自动驾驶车辆提供预先的道路信息、精准的车辆位置信息和丰富的道路元素数据信息，强调空间的三维模型以及精度，非常精确的显示路面上的每一个特征和状况。高精地图与定位采用激光雷达、视觉、RTK 与 IMU 多传感器融合的方案，通过多种传感器融合使得定位精度可以达到 5-10 厘米，满足 L4 级自动驾驶需求。2.1.3 预测决策与规划控制预测决策与规划控制技术模块相当于自动驾驶汽车的大脑。预测决策与规划是软件算法核心模块，直接影响车辆自动驾驶的能力和效果。该算法模块基于交通安全规范与共识规则，为车辆规划出安全、高效、舒适的行驶路径和轨迹。为了更好提升算法的泛化能力，应用数据挖掘和深度学习算法来实现智能规划驾驶行为。在给定车辆设定的出发地与目的地后，系统生成最优的全局规划路径。车辆能够实时接收感知模块提供的环境和障碍物信息，结合高精度地图，跟踪并预测周边车辆、行人、骑行者或其他障碍物的行为意图和预测轨迹，综合考虑安全性、舒适性和效率，生成驾驶行为决策（跟车、换道、停车等），并按照交通规则和文明交通礼仪对车辆进行运行规划（速度、轨迹等），最终输出到控制模块实现车辆加减速和转向动作。车辆控制部分是最底下一层，直接与车辆底盘通信，将车辆的目标位置和速度通过电信号传给底盘来操作油门、刹车和方第 2 章 自动驾驶汽车的安全技术特点 13 向盘。自动驾驶的目标是应对城市道路的复杂交通场景，在任何道路交通状况下都能保证自动驾驶车辆处于安全驾驶状态。在软件算法层，有基于海量测试数据训练的深度学习模型，保证自动驾驶车辆在常规驾驶场景下安全高效平稳的通行；在安全算法层，针对各种典型危险场景设计了一系列安全驾驶策略，保证自动驾驶车辆在任何场景下都能做出安全的驾驶行为。如在恶劣天气、视野遮挡等极端场景下，会触发防御性驾驶策略，通过多观察减速驾驶降低安全风险等。自动驾驶车辆更加遵守交通规则和道路优先通行权，在道路交叉口与其他交通参与者交汇场景下，在高路权情况下遇到抢行车辆，也会以安全第一原则考虑减速让行，避免风险。在遇到“鬼探头”等高危风险场景时，也会坚持安全第一原则采取紧急制动策略尽可能避免伤害。随着自动驾驶道路测试数据和大量的极端场景数据的积累，自动驾驶核心算法通过数据驱动的深度学习算法模型，得以持续不断进化，成为能够提前预判、安全谨慎驾驶的“老司机”。2.1.4 车路协同车路协同自动驾驶是在单车智能自动驾驶的基础上，通过车联网将“人-车-路-云”交通参与要素有机地联系在一起，实现车与车、车与路、车与人之间动态实时信息交互共享，保证交通安全。车路协同自动驾驶通过信息交互协同、协同感知与协同决策控制，可以极大地拓展单车的感知范围、提升感知的能力，引入高维数据为代表的新的智能要素，实现群体智能。可以帮助解决单车智能自动驾驶遇到的技术瓶颈，提升自动驾驶能力，从而保证自动驾驶安全，扩展自动驾驶设计运行域（Operational Design Domain，ODD）。例如，车路协同自动驾驶可以解决单车智能易受到遮挡、恶劣天气等环境条件影响，在动静态盲区/遮挡协同感知方面的问题。单车智能自动驾驶受限于传感器感知角度限制，在出现静态障碍物或动态障碍物（如大型车辆）遮挡时，AV 无法准确获取盲区内的车辆或行人的运动情况。车路协同则通过路侧多传感器部署，实现对多方位、长距离连续检测识别，并与 AV 感知进行融合，实现自动驾驶车辆对盲区内车辆或行人的准确感知识别，车辆可提前做出预判和决策控制，进而降低事故风险。14 图 2.2 动静态盲区非机动车/行人鬼探头协同感知图 2.3 路口遮挡车路协同感知2.2 自动驾驶安全冗余系统根据ISO 26262 道路车辆功能安全，系统功能安全必须考虑功能冗余的要求。按照功能安全的设计标准，功能冗余从部件级、系统级和整车级三个层面来完成。冗余的系统设计是保证自动驾驶安全可控的关键，依托全线冗余设计可有效应对车辆控制系统、硬件平台、软件平台三个层次单点故障或功能失效，为完全无人自动驾驶系统提供基础支撑。L4 级自动驾驶系统在车载主计算单元和传感系统之外又配置了安全冗余实现了软件和硬件的异构冗余设计，避免了各个系统的单点失效，主计算系统和冗余安全系统分工不同且互为校验，整体上实现安全性和可靠性极大提升。冗余安全系统在功能和算法策略设计上，侧重于对主计算系统软硬件的实时监控，并进行危害识别，当检测到主计算系统异常时将触发 MRC 机制，通过告警、缓刹、靠边停车、紧急制动等方法让车辆进入最小风险状态第 2 章 自动驾驶汽车的安全技术特点 15（Minimal Risk Condition，MRC）。2.2.1 硬件和传感器冗余从传感器、计算单元到车辆控制系统，都具备两套互为独立冗余的系统，避免单点失效，提升系统整体可靠性和安全性。（1）计算单元冗余安全系统通过配置一套 SafetyDCU 作为冗余计算单元，实时运算并监控主系统工作状态。当主计算单元故障时，能够支持冗余系统的算法运算继续控制车辆，做出风险最小回退的缓刹、靠边停车等动作。（2）传感器冗余安全系统通过冗余设计两套独立的自动驾驶传感器系统，采用激光雷达、摄像头、定位设备等零部件冗余方案，在任何单一零部件失效的情况下，都能够触发冗余系统，提供完善环境感知能力，从而安全控制车辆，保障系统的运行更加可靠。（3）车辆控制系统冗余车辆底盘具备冗余能力，包括转向、动力、制动等关键部件，能够在单一系统故障失效时，切换到备用系统控制车辆，帮助安全停车，防止车辆失控的发生。2.2.2 故障监控系统与软件冗余故障监控系统为部署在主计算单元与安全计算单元之间的一套完整故障检测系统，能够对系统运行中的所有软硬件类失效、故障、超出 ODD 范围、系统算法缺陷等做到实时检测监听，并且通过主系统和冗余系统进行交叉验证，互相校验和监控，确保故障没有遗漏。同时进行风险预测，对易发生问题的数据进行挖掘分析、特征提取，在车端进行实时安全风险计算。软件冗余系统是一套完整的轻量化的感知定位与决策控制的软件。例如完善的定位系统冗余，增加多重交叉验证提升定位异常检测和容错的能力；感知 360 度环视检测覆盖，对车身周围和前向风险做到实时感知；当检测到主系统故障或失效时，备份系统代替其接管车辆的操控，通过限速、缓慢刹车、靠边停车、刹停等进行功能降级或进入 MRC，实现车辆的安全停车。16 图 2.4 故障监控系统与软件冗余2.3 远程云代驾远程云代驾系统是在车辆遇困或极端场景下，由远程驾驶员接管车辆，通过环绕屏展示环境建模型及主视觉、俯视角，为安全员提供身临其境的平行驾驶感受。当远程驾驶员将车辆开到安全地带后再将控制权移交给车端，整个过程端到端时延比人类司机的反应时间更短，且车端和远程的控制权切换完全平滑无感。在远程驾驶舱，通过配置多屏监控，以及通过风险预警和动态调度等功能，可以实现车队级实时监控。远程云代驾设有包含主动安全、安全预警以及安全基础功能在内的全面安全分层设计，可实时监测驾驶舱、网络、无人驾驶车辆状态，并根据不同故障或风险等级做出安全处理，进一步为自动驾驶运营全面护航。当前自动驾驶技术在常规城市道路下主要由车端自动驾驶系统实现自主驾驶，仅在极端场景下借助远程云代驾，因此可以实现远程驾驶员一人控制多车的高效运营服务。图 2.5 远程云代驾产品设计第 2 章 自动驾驶汽车的安全技术特点 17 平行驾驶基于 5G 技术，远程控制中心的安全操作员能够实时了解车辆所处环境与状态，车云无缝对接，在自动驾驶无法通过的场景下完成远程协助，结束后使车辆回到自动驾驶状态，实现极端场景下的车辆脱困和避险。5G 云代驾是未来无人驾驶的重要配套设施，基于 5G、智慧交通、V2X 等新基建设施，实现自动驾驶车辆车内、车外视频实时回传监控，可在车上无驾驶员的情况下为自动驾驶系统的能力缺口补位。图 2.6 远程云代驾适用场景2.4 自动驾驶汽车测试与验证自动驾驶系统从研发到应用，需要进行充分的功能安全和性能安全测试验证来证明其运行安全性，以保障乘车用户和其他交通参与者的人身安全。虚拟仿真需要进行数亿至上百亿公里的验证测试，真实道路测试需要百万公里以上的测试积累。2.4.1 测试流程体系自动驾驶测试以场景化的测试方法，验证在每个场景下是否都具备安全驾驶能力。自动驾驶测试场景库是测试体系的基础，驱动自动驾驶车辆测试各个环节。测试场景库包含典型的日常行驶场景、高碰撞风险场景、法律法规场景等，同时也包含已经形成行业标准的场景，例如 AEB 功能的标准测试场景。具体分为不同自然条件（天气、光照）、不同道路类型（路面状态、车道线类型等）、不同交通参与者（车辆、行人位置、速度等）、不同环境类型（高速公路、小区、商场、乡村等）的多类型虚拟仿真测试场景和真实交通环境的测试试验场景。测试内容包括传感器、算法、执行器、人机界面以及整车等，从应用功能、性能、稳定性和 18 鲁棒性、功能安全、预期功能安全、型式认证等各个方面来验证自动驾驶系统的合理性、安全性和稳定性，从而确保车辆能够自主上路。自动驾驶汽车的测试流程体系主要包括离线环境测试、车辆在环测试（Vehicle in theLoop，VIL）、道路在环测试（Road in the Loop，RIL）三个阶段，对软件、硬件、车辆进行逐层环环相扣测试，确保自动驾驶系统上路测试的安全性。在离线测试阶段，每一行代码都能被充分及时的测试，当软件发生修改后，系统会逐一自动触发各个测试环节，直至达到安全的上车测试标准方进入车辆在环测试阶段及道路在环阶段。道路在环测试阶段发现问题会进行下一轮的代码修改，开始下一次的循环。经过一轮又一轮的闭环，使得自动驾驶能力不断提升。（1）离线测试离线是指未包含车辆的测试，大部分工作是在实验室里完成的。这个阶段包含了模型在环测试（Model in the Loop，MIL）、软件在环测试（Software in the Loop，SIL）、硬件在环测试（Hardware in the Loop，HIL）。模型在环测试利用大规模数据集对感知、预测、定位、控制等核心算法模型进行精确的评估，通过模型评估后的各项指标度量模型能力变化，通过自动化挖掘在早期暴露算法问题和 BadCase，避免遗留到后续测试过程。软件在环测试阶段，仿真测试是自动驾驶测试体系的关键环节，通过将海量的道路测试数据灌入仿真系统，反复回归验证新算法的效果。同时在仿真系统中构造大量的极端场景，并且通过参数扩展的方法将单一的场景自动化生产规模化的场景，以提高测试的覆盖度。此外，仿真平台还有一套精细的度量体系，可以自动化地判断仿真过程中发生的碰撞问题、违反交规问题、体感问题、路线不合理问题。硬件在环测试阶段，把软件和硬件集成到一起，以测试软硬件系统的兼容性和可靠性。通常硬件的故障发生都有一定的概率，带有一定的偶然性，在硬件在环测试阶段基于真实和虚拟硬件结合方式进行成千上万真实场景的还原测试，并且 24 小时不间断的对自动驾驶系统施加压力，以模拟系统在不同资源极限条件下（比如：GPU 资源不足，CPU 使用率过高）的性能和稳定性表现。同时在这个阶段模拟了大量的硬件故障，测试在硬件故障的情况下系统的反映，如硬件失效、断电、丢帧、上下游接口异常等，确保系统符合 ISO26262 功能安全要求。第 2 章 自动驾驶汽车的安全技术特点 19（2）车辆在环测试车辆在环测试阶段会先进行基于台架的测试，在台架上完成各项车辆线控功能、性能和稳定性测试，以确保自动驾驶系统可以按照意图控制车辆。完成对车辆线控的测试之后 VIL环节会进入封闭场地，基于真实的道路构建虚实结合的场景测试自动驾驶系统在真实车辆上的表现。（3）道路在环测试在离线测试和车辆在环测试阶段通过后（每个环节都有严格的测试通过标准），接下来进入封闭场地内构建真实的场景来测试车辆的自动驾驶各项能力和安全性。封闭测试场涵盖了常见的城市道路及高速道路，包括直行道路、弯道、路口、坡路、隧道及停车场等。另外，通过假人、假车等测试设备构造各种低频场景。这类低频场景在社会道路上存在，但是出现的频率较低，在开放道路上不易得到充分验证。例如逆行的自行车、突然冲出的行人、路段积水等场景。图 2.7 国家智能汽车与智慧交通（京冀）示范区亦庄基地开放道路测试是道路在环测试的最终环节，也是自动驾驶车辆完成测试评估所必须经过的重要环节。开放道路测试是循序渐进开展的，通常最新的系统部署在少量车上进行测试，确认安全后再部署到更大规模的车队。通过部署规模化自动驾驶车辆不断在实际道路上进行测试和验证，形成实际路上场景和自动驾驶能力不断闭环，使自动驾驶车辆在智能度、安全 20 2.4.2 合规上路自动驾驶车辆在正式进入公开道路测试之前，需经过有关部门的封闭测试场训练、自动驾驶能力评估和专家评审等系列程序，并且符合或满足 智能网联汽车道路测试与示范应用管理规范（试行）全部要求的主体和车辆，才可以合规上路进行道路测试和示范应用。规范中，不仅提出了道路测试与示范应用主体、驾驶人及车辆的能力和要求，还规定了智能网联汽车运维巡检等项目，保证车辆的软硬件状态合格。以北京市为例，2017 年 12 月 18 日，北京市交通委联合北京市公安交管局、北京市经济信息委等部门，制定发布了 北京市关于加快推进自动驾驶车辆道路测试有关工作的指导意见（试行）和北京市自动驾驶车辆道路测试管理实施细则（试行）两个文件，规范推动自动驾驶汽车的实际道路测试。即在上路测试之前，需取得面向自动驾驶车辆的“驾考牌照”。因此，在北京市自动驾驶测试管理联席工作小组的指导下，北京市科委、中关村管委等相关单位的支持下，由中关村智通智能交通产业联盟组织北京智能车联产业创新中心与互联网、汽车、交通、通信等相关领域单位共同开展研究，编制了T/CMAX 116-01-2018自动驾驶车 辆道路测试能力评估内容与方法团体标准及T/CMAX116-022018 自动驾驶车辆封闭试验场地技术要求。能力评估标准在全球范围内首次提出了以交通场景复杂度来划分自动能力评估标准在全球范围内首次提出了以交通场景复杂度来划分自动驾驶能力级别的思路：从交通密度、车道类型、交叉路口形态、交通设施种类、区域特征、交通参与者特征、交通流组织模式等维度，将城市交通复杂度划分为五大类场景；在每类城市交通情景下，从认知与交通法规遵守能力、执行能力、应急处置能力、综合驾驶能力、网联驾驶能力五个维度对自动驾驶能力进行分级，分别为 T1-T5 共 5 个等级；其中如车辆具备 V2X 车路协同功能，则被特别标注为 TX。评估内容涵盖美国高速公路安全管理局（NHTSA）关于自动驾驶的 28 项测试内容，也涵盖智能网联汽车道路测试管理规范（试行）中的 14 项测试内容。同样，依据五大类场景，对开放测试路段道路进行分级，分为 R1-R5；其中，测试道路具备 V2X 车路协同功能，则被特别标注为 RX 道路。根据自动驾驶车辆封闭测试场通过的能力评估级别，确定其能行驶的开放测试道路级别，避免了自动驾驶车辆在其不能驾驭的交通场景下进行测试，从而保障了开放道路测试的安全有序进行。第 2 章 自动驾驶汽车的安全技术特点 21 图 2.8 道路交通场景划分图 2.9 部分测试场景实拍不同的测试专项中，还包含了大量细分测试场景。以“变更车道”测试专项为例，测试场景包括避让障碍物变道、避让静止车辆变道、避让故障车辆变道、避让事故车辆变道、避让施工路段变道、避让低速行驶车辆变道、临近车道有车变道、前方车道减少变道共计 8 个 22 细分场景。每个测试场景中的测试难点均不同，对自动驾驶系统的技术要求也不同。图 2.10 封闭测试场“变更车道”测试场景方案截止 2020 年底，已有 14 家企业共计 87 辆车，参与北京市自动驾驶车辆一般性道路测试，自动驾驶车辆道路测试安全行驶里程已超过 220 万公里。第 2 章 自动驾驶汽车的安全技术特点 23 表 2-1 北京市测试牌照发放与道路测试情况测试主体名称2018 年-2020 年累计道路测试车辆（辆）累计测试里程数（公里）北京百度网讯科技有限公司572019230上海蔚来汽车有限公司23515北京新能源汽车股份有限公司1235戴姆勒大中华区投资有限公司2926北京小马智行科技有限公司7163249腾讯大地通途（北京）科技有限公司14157苏州滴滴旅行科技有限公司21332奥迪（中国）企业管理有限公司21144北京智行者科技有限公司21403重庆金康新能源汽车设计院有限公司10北京四维图新科技股份有限公司11220丰田汽车研发中心（中国）有限公司415022北京三快在线科技有限公司1464北京沃牙科技有限公司41540合计872213436（资料来源：北京智能车联产业创新中心北京市自动驾驶车辆道路测试报告 2020）真实道路安全测试中，每辆自动驾驶汽车需要配备测试驾驶员，即安全员。自动驾驶企业一般严格筛选安全员，并按照规范的安全管理要求对其进行专业培训。在车端，安全员始终监控车辆运行状态及周围环境，当发现车辆处于不适合自动驾驶的状态或系统提示需要人工操作时及时采取相应措施，保障车辆安全行驶。在云端，远程安全员可实时监测无人驾驶车辆所处环境与状态，如遇到临时交通管制或者车辆遇到紧急情