● 自動(dòng)駕駛模式下，系統(tǒng)應(yīng)能對(duì)難以繼續(xù)駕駛的情況自動(dòng)檢測(cè)，例如能夠檢測(cè)運(yùn)行域邊界，或系統(tǒng)的實(shí)效。

2人機(jī)交互要求

歐盟明確了自動(dòng)駕駛系統(tǒng)人機(jī)交互5大安全要求。分別為：

● 只有在運(yùn)行域條件滿足時(shí)，自動(dòng)駕駛模式才能啟動(dòng)，駕駛接管或退出自動(dòng)駕駛模式由駕駛?cè)恕⒉僮魅嘶虿倏刂行谋O(jiān)管人員執(zhí)行，必須易操作。當(dāng)人類發(fā)出的自動(dòng)駕駛模式退出指令可能包含安全風(fēng)險(xiǎn)時(shí)，自動(dòng)駕駛系統(tǒng)應(yīng)當(dāng)延遲自動(dòng)駕駛模式的退出。● 車輛必須持續(xù)以清晰的方式向接管人員顯示運(yùn)行、失效等系統(tǒng)的運(yùn)行狀態(tài)。● 駕駛?cè)藨?yīng)明晰自動(dòng)駕駛模式的功能和局限，并且需要了解自動(dòng)駕駛系統(tǒng)可賦予駕駛?cè)说娜蝿?wù)功能。● 若系統(tǒng)設(shè)計(jì)時(shí)，考慮了某種情況下的接管，則系統(tǒng)應(yīng)監(jiān)測(cè)駕駛?cè)藸顟B(tài)是否具備接管要求。系統(tǒng)應(yīng)通過駕駛?cè)吮O(jiān)測(cè)、預(yù)警系統(tǒng)，確保駕駛?cè)颂幱诳山庸軤顟B(tài)，并且在設(shè)計(jì)上應(yīng)能阻止和預(yù)見運(yùn)行域范圍內(nèi)的駕駛?cè)苏`操作。● 對(duì)于無人擺渡車等無駕駛?cè)俗詣?dòng)駕駛汽車，則應(yīng)提供向操控中心傳送緊急通知的信息傳送系統(tǒng)。另外，車內(nèi)還應(yīng)配備攝像機(jī)和聲音傳輸裝置，確保操控中心可監(jiān)控車內(nèi)情況。

3駕駛?cè)蝿?wù)交接要求

當(dāng)超出運(yùn)行域，或出現(xiàn)故障等情況，車輛難以繼續(xù)在自動(dòng)駕駛模式下行駛時(shí)，自動(dòng)駕駛系統(tǒng)可請(qǐng)求駕駛?cè)诉M(jìn)行接管，但應(yīng)保留有足夠的接管時(shí)間。若駕駛?cè)宋唇庸軙r(shí)，自動(dòng)駕駛系統(tǒng)應(yīng)當(dāng)繼續(xù)在自動(dòng)駕駛模式下行駛，或者執(zhí)行最小風(fēng)險(xiǎn)操作。車輛設(shè)計(jì)時(shí)，應(yīng)當(dāng)確保駕駛?cè)丝梢郧宄刈R(shí)別接管請(qǐng)求。系統(tǒng)還應(yīng)準(zhǔn)確識(shí)別駕駛?cè)耸欠駡?zhí)行了接管。

4最小風(fēng)險(xiǎn)操作要求

當(dāng)自動(dòng)駕駛系統(tǒng)探測(cè)到難以以自動(dòng)駕駛模式繼續(xù)行駛時(shí)，車輛應(yīng)當(dāng)通過最小風(fēng)險(xiǎn)操作，返回到最低風(fēng)險(xiǎn)狀態(tài)。最小風(fēng)險(xiǎn)操作時(shí)，應(yīng)當(dāng)按照交通規(guī)則，向其他交通參與者提醒最小風(fēng)險(xiǎn)操作，如開啟危險(xiǎn)報(bào)警閃光燈、制動(dòng)燈、轉(zhuǎn)向燈等。最小風(fēng)險(xiǎn)操作應(yīng)符合交通法規(guī)的要求。最小風(fēng)險(xiǎn)操作可包含停止在本車道或變道后，在向周圍交通參與者提醒后安全停在路邊。在最小風(fēng)險(xiǎn)操作的最后階段，可要求駕駛?cè)诉M(jìn)行接管，如對(duì)于具有車道保持功能的L3自動(dòng)駕駛汽車，可要求人類駕駛?cè)藞?zhí)行最后的安全停在路邊的操作。

5數(shù)據(jù)存儲(chǔ)系統(tǒng)要求

自動(dòng)駕駛汽車應(yīng)裝備車載設(shè)備，記錄自動(dòng)駕駛系統(tǒng)運(yùn)行狀態(tài)和人類駕駛狀態(tài)，以便區(qū)分事故發(fā)生時(shí)的駕駛?cè)蝿?wù)承擔(dān)者。記錄的數(shù)據(jù)應(yīng)能支持分配事故責(zé)任，并且支持評(píng)估人類駕駛或自動(dòng)駕駛在事故中的應(yīng)對(duì)情況。至少應(yīng)包含自動(dòng)駕駛系統(tǒng)運(yùn)行狀態(tài)、人類駕駛狀態(tài)、周圍環(huán)境信息、自動(dòng)駕駛控制信息。記錄的數(shù)據(jù)應(yīng)能在經(jīng)歷撞擊、著火等之后，仍然保持?jǐn)?shù)據(jù)的完整可讀，并且應(yīng)注意數(shù)據(jù)安全保護(hù)，防止數(shù)據(jù)篡改，確保其符合歐盟數(shù)據(jù)保護(hù)法規(guī)，但應(yīng)允許成員國(guó)相關(guān)監(jiān)管機(jī)構(gòu)讀取和解析。隨著實(shí)踐經(jīng)驗(yàn)的積累，應(yīng)當(dāng)制定更加詳細(xì)的數(shù)據(jù)要求（如記錄時(shí)間、保持時(shí)長(zhǎng)、數(shù)據(jù)使用目的、數(shù)據(jù)讀取接口標(biāo)準(zhǔn)化、隱私信息保護(hù)等）。

6信息安全要求

自動(dòng)駕駛汽車應(yīng)從設(shè)計(jì)上應(yīng)用最先進(jìn)的技術(shù)，防止車輛被黑客攻擊，確保車輛符合歐盟數(shù)據(jù)保護(hù)法規(guī)。主要通過車企的風(fēng)險(xiǎn)評(píng)估、安全設(shè)計(jì)方法以及過程管理來防止、減緩和應(yīng)對(duì)信息攻擊。針對(duì)軟件升級(jí)等，車企應(yīng)當(dāng)采取安全措施，保障在用車全生命周期信息安全。

7安全評(píng)估和測(cè)試要求

安全評(píng)估和測(cè)試要求具體如下：

● 自動(dòng)駕駛車輛、自動(dòng)駕駛系統(tǒng)、自動(dòng)駕駛系統(tǒng)部件和技術(shù)單元均需要滿足“機(jī)動(dòng)車輛認(rèn)證辦法（2007/46/EC）”附錄4列明的安全技術(shù)法規(guī)要求。● 認(rèn)證主管機(jī)構(gòu)對(duì)車企的認(rèn)證評(píng)估應(yīng)著眼于：自動(dòng)駕駛系統(tǒng)具有穩(wěn)健的設(shè)計(jì)和穩(wěn)健的驗(yàn)證程序，確保車輛符合本指南，特別是車輛不會(huì)造成事故，能夠提出安全接管請(qǐng)求、執(zhí)行最小風(fēng)險(xiǎn)操作。根據(jù)車企提供的關(guān)于測(cè)試、驗(yàn)證、評(píng)估等方面的安全評(píng)估報(bào)告，認(rèn)證主管機(jī)構(gòu)應(yīng)當(dāng)?shù)贸觯ㄅc傳統(tǒng)車輛）等效的安全結(jié)論。● 車企應(yīng)當(dāng)特別說明針對(duì)自動(dòng)駕駛系統(tǒng)，已經(jīng)開展了危害與風(fēng)險(xiǎn)分析，并將這種分析融入了車輛總體設(shè)計(jì)，甚至考慮了更廣泛的道路交通生態(tài)系統(tǒng)，并且進(jìn)行了足夠的設(shè)計(jì)和冗余，確保車輛能夠應(yīng)對(duì)這些風(fēng)險(xiǎn)。● 應(yīng)當(dāng)在系統(tǒng)設(shè)計(jì)中應(yīng)對(duì)對(duì)功能安全具有較大影響的風(fēng)險(xiǎn)，這些風(fēng)險(xiǎn)可能是由信息攻擊、實(shí)效（功能安全）或潛在的控制不足、不可預(yù)見的控制行為、人員誤用、與其他交通參與者交互不足（運(yùn)行安全）造成的。關(guān)于這方面的方法可以參考功能安全標(biāo)準(zhǔn)（ISO 26262）和系統(tǒng)理論分析過程（STRA）中有關(guān)運(yùn)行安全的部分，或參考其他等效方法，如預(yù)期功能安全標(biāo)準(zhǔn)草案（ISO 21448）。● 所有的設(shè)計(jì)決策均應(yīng)由車企在獨(dú)立的子系統(tǒng)層面和整車的大框架下測(cè)試、驗(yàn)證和確認(rèn)。● 認(rèn)證主管機(jī)構(gòu)應(yīng)當(dāng)：確認(rèn)車企的危害與風(fēng)險(xiǎn)分析已經(jīng)覆蓋了所有與系統(tǒng)相關(guān)的失效和駕駛風(fēng)險(xiǎn)，并且能夠評(píng)估風(fēng)險(xiǎn)的臨界值。評(píng)估風(fēng)險(xiǎn)應(yīng)對(duì)的邏輯圖（冗余、操作）覆蓋了能夠預(yù)見的系統(tǒng)失效和駕駛風(fēng)險(xiǎn)。確保根據(jù)相關(guān)性試驗(yàn)，并考慮不同的用戶，人機(jī)交互得到了適當(dāng)?shù)脑u(píng)估。開展最小數(shù)量的試驗(yàn)（同時(shí)考慮嚴(yán)重失效和駕駛風(fēng)險(xiǎn)場(chǎng)景，以及正常駕駛場(chǎng)景），確認(rèn)從功能和運(yùn)行兩個(gè)層面看，車輛均能安全運(yùn)行。上述最小數(shù)量試驗(yàn)應(yīng)當(dāng)同時(shí)包含假陰性（false negative）和假陽性（false positive）測(cè)試場(chǎng)景。確保評(píng)估系統(tǒng)運(yùn)行安全性能的方法是透明的。可以使用仿真測(cè)試驗(yàn)證的方法，但應(yīng)遵從歐盟指令“機(jī)動(dòng)車輛認(rèn)證辦法（2007/46/EC）”和“機(jī)動(dòng)車輛認(rèn)證和市場(chǎng)監(jiān)管辦法（Regulation  No. 858/2018）”中有關(guān)虛擬測(cè)試的規(guī)程要求。● 認(rèn)證主管機(jī)構(gòu)在實(shí)施車輛安全評(píng)估時(shí)，可以接入被測(cè)自動(dòng)駕駛系統(tǒng)。● 認(rèn)證主管機(jī)構(gòu)應(yīng)當(dāng)具有必要的能力、資質(zhì)，接受相應(yīng)的培訓(xùn)，以便實(shí)施上述車輛安全評(píng)估和測(cè)試工作。
8向用戶提供的信息要求

車企應(yīng)以便于理解的方式，采取各類措施向用戶提供自動(dòng)駕駛相關(guān)的知識(shí)。主要包括：

● 自動(dòng)駕駛系統(tǒng)運(yùn)行條件、運(yùn)行域、功能局限；

● 關(guān)閉自動(dòng)駕駛模式的方法；

● 人類駕駛?cè)说娜蝿?wù)（如對(duì)于L3級(jí)別自動(dòng)駕駛，駕駛?cè)诵枰袚?dān)的接管任務(wù)）；

● 對(duì)于L3級(jí)別自動(dòng)駕駛，需要人類駕駛?cè)瞬扇〉钠渌{駛外的行動(dòng)；

● 人機(jī)交互提供的指示信息（如是否在自動(dòng)駕駛狀態(tài)）；

● 出現(xiàn)緊急情況時(shí)，用戶應(yīng)采取的措施；

● 當(dāng)自動(dòng)駕駛系統(tǒng)出現(xiàn)問題時(shí)，車輛的行為表現(xiàn)；

● 車輛保養(yǎng)、檢驗(yàn)，以及系統(tǒng)在線升級(jí)相關(guān)知識(shí)。

歐盟自動(dòng)駕駛汽車認(rèn)證程序

根據(jù)歐盟指令“機(jī)動(dòng)車輛認(rèn)證辦法（2007/46/EC）”第20章和“機(jī)動(dòng)車輛認(rèn)證和市場(chǎng)監(jiān)管辦法（Regulation  No. 858/2018）”第39章，自動(dòng)駕駛汽車認(rèn)證豁免程序如下：

● 汽車企業(yè)向成員國(guó)認(rèn)證主管機(jī)構(gòu)遞交認(rèn)證申請(qǐng)。需要遞交的材料見表1。

表1 汽車企業(yè)向認(rèn)證主管機(jī)構(gòu)提交的資料信息

● 若條件許可，成員國(guó)可根據(jù)認(rèn)證豁免程序辦法臨時(shí)認(rèn)證許可，該認(rèn)證只在成員國(guó)境內(nèi)有效，并向歐盟委員會(huì)和各成員國(guó)通報(bào)以下信息：說明豁免的理由，說明車輛各系統(tǒng)、部件、獨(dú)立的技術(shù)單元對(duì)現(xiàn)有技術(shù)法規(guī)的符合情況，以及不符合的情況。具備自動(dòng)駕駛功能車輛內(nèi)部各系統(tǒng)的交互情況也應(yīng)考慮。車輛安全和使用環(huán)境的說明，以及采取的相應(yīng)措施。認(rèn)證主管機(jī)構(gòu)應(yīng)以認(rèn)證豁免指南為基礎(chǔ)，對(duì)自動(dòng)駕駛車輛進(jìn)行評(píng)估。另外，歐盟委員會(huì)和成員國(guó)也可修改歐盟和聯(lián)合國(guó)歐洲經(jīng)濟(jì)委員會(huì)的相關(guān)技術(shù)法規(guī)要求，將其作為認(rèn)證的備選基礎(chǔ)規(guī)定。針對(duì)豁免項(xiàng)目所做的測(cè)試及其結(jié)果的說明，應(yīng)確保針對(duì)安全和環(huán)保的測(cè)試及其結(jié)果不低于現(xiàn)有同類標(biāo)準(zhǔn)要求。

● 歐盟委員會(huì)應(yīng)組織機(jī)動(dòng)車技術(shù)委員會(huì)進(jìn)行投票，表決是否將成員國(guó)的臨時(shí)認(rèn)證轉(zhuǎn)變?yōu)闅W盟認(rèn)證。歐盟委員會(huì)的認(rèn)證決定，也應(yīng)以認(rèn)證豁免指南為基礎(chǔ)，清楚認(rèn)定自動(dòng)駕駛功能情況。歐盟委員會(huì)認(rèn)證決定應(yīng)公開。歐盟委員會(huì)應(yīng)根據(jù)對(duì)風(fēng)險(xiǎn)的評(píng)估，以及未來可能的認(rèn)證適用條件，限定認(rèn)證的期限（最小為36個(gè)月）和數(shù)量。

● 在等待歐盟委員會(huì)認(rèn)證決定之前，成員國(guó)可接受其他成員國(guó)的臨時(shí)認(rèn)證，許可其在本國(guó)境內(nèi)獲取臨時(shí)認(rèn)證。

● 對(duì)于按照認(rèn)證豁免程序認(rèn)證的車輛，歐盟委員會(huì)可根據(jù)認(rèn)證主管機(jī)構(gòu)提供的簡(jiǎn)化材料，對(duì)認(rèn)證范圍進(jìn)行擴(kuò)大。上述簡(jiǎn)化材料應(yīng)清楚描述擬擴(kuò)大認(rèn)證車輛與已認(rèn)證車輛的不同。

工業(yè)和信息化部于2021年7月30日印發(fā)了《關(guān)于加強(qiáng)智能網(wǎng)聯(lián)汽車生產(chǎn)企業(yè)及產(chǎn)品準(zhǔn)入管理的意見》（工信部通裝〔2021〕103號(hào)），要求加強(qiáng)汽車數(shù)據(jù)安全、網(wǎng)絡(luò)安全、軟件升級(jí)、功能安全和預(yù)期功能安全管理，保證產(chǎn)品質(zhì)量和生產(chǎn)一致性，推動(dòng)智能網(wǎng)聯(lián)汽車產(chǎn)業(yè)高質(zhì)量發(fā)展。《意見》從加強(qiáng)數(shù)據(jù)和網(wǎng)絡(luò)安全管理、規(guī)范軟件在線升級(jí)、加強(qiáng)產(chǎn)品管理、保障措施等方面提出11項(xiàng)具體意見，為自動(dòng)駕駛汽車的產(chǎn)品準(zhǔn)入提供了良好的指引。但需要看出，在自動(dòng)駕駛汽車的功能安全要求、對(duì)道路交通通行規(guī)則、對(duì)交通危險(xiǎn)場(chǎng)景的應(yīng)對(duì)等方面，我國(guó)的相關(guān)規(guī)定還不細(xì)致，甚至缺失，對(duì)自動(dòng)駕駛汽車安全相關(guān)的評(píng)測(cè)，目前也是空白，需要進(jìn)一步研究完善。

參考文獻(xiàn)

[1] COMMUNICATION FROM THE COMMISSION TO THE EUROPEAN PARLIAMENT, THE COUNCIL, THE EUROPEAN EConOMIC AND SOCIAL COMMITTEE, THE COMMITTEE OF THE REGIONS. On the road to automated mobility: An EU strategy for mobility of the future（COM/2018/283）.https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52018DC0283[2] GROW.DDG1.C.4. GUIDELINES ON THE EXEMPTION PROCEDURE FOR THE EU APPROVAL OF AUTOMATED VEHICLES. https://ec.europa.eu/docsroom/documents/34802

（文 / 公安部道路交通安全研究中心 周文輝，原載于《汽車與安全》雜志機(jī)動(dòng)車登記查驗(yàn)專欄，2022年第1期）

編校丨李蕓玥 趙曉軒