1.文件和審核

2.仿真測試

3.場地內(nèi)軌道測試

4.真實(shí)道路測試

5.在役檢測和報(bào)告

前文講了ADS的安全要求，評估ADS是否符合這些安全要求，取決于五個(gè)驗(yàn)證支柱：

（a）文件和審核

（b）仿真測試

（c）場地內(nèi)軌道測試

（d）真實(shí)道路測試

（e）在役檢測和報(bào)告

安全需求、ODD分析和場景生成以及驗(yàn)證支柱之間的關(guān)系：

五個(gè)支柱需要結(jié)合使用，以對ADS符合安全要求的情況進(jìn)行有效、全面和一致的評估。每種測試方法都有其自身的優(yōu)勢和局限性，例如應(yīng)考慮的不同級別的環(huán)境控制、環(huán)境保真度、可擴(kuò)展性和成本。在某些情況下，需要應(yīng)用多種方法來評估ADS應(yīng)對現(xiàn)實(shí)世界中可能出現(xiàn)的各種情況的能力。使用多種方法可以靈活地組合、排序和跨ADS功能測試，同時(shí)避免不必要的冗余和重疊。上圖說明了ADS安全要求、ODD分析和情景生成以及驗(yàn)證支柱之間的關(guān)系。

1. 文件和審核

不同的ADS技術(shù)產(chǎn)生不同的車輛配置、預(yù)期用途和跨操作環(huán)境的使用限制。因此，對ADS車輛的評估必須基于對要評估的ADS的明確理解。制造商應(yīng)具備相應(yīng)的文檔，對自動(dòng)駕駛系統(tǒng)的功能、設(shè)計(jì)運(yùn)行條件、人機(jī)交互、感知系統(tǒng)、決策系統(tǒng)等進(jìn)行詳細(xì)描述，以便在需要時(shí)進(jìn)行追溯和驗(yàn)證。

根據(jù)上述要求，制造商必須提供以下留檔材料：

（a）每個(gè)ADS功能的ODD；

（b）與每個(gè)ODD相關(guān)的交通場景；

（c）制造商對ADS的驗(yàn)證；

（d）ADS安全設(shè)計(jì)；

（e）制造商的ADS安全管理體系。

審核支柱涉及對上述留檔材料的評估，以驗(yàn)證制造商開發(fā)的魯棒性，并驗(yàn)證ADS的能力，以確保ADS部署后的安全性。

2.  仿真測試

仿真測試提供了有效評估各種交通場景下的ADS性能的手段。R171-DCAS、（EU）2022/1426-ADS、聯(lián)合國ADS驗(yàn)證五支柱指南中均提了評估制造商仿真測試方法和工具鏈可靠性的程序。這種置信度評估使人們有信心將這些工具和方法及其產(chǎn)生的證據(jù)應(yīng)用于ADS安全性評估。

測試使用不同類型的仿真工具鏈來評估ADS在各種交通場景中是否符合安全要求，其中包括一些難以（不太可能）在物理環(huán)境中重現(xiàn)的場景。

工具鏈方法包括（但不限于）：

（a）模型在環(huán)MIL（Model-In-the-Loop）：對控制算法模型在模型的開發(fā)環(huán)境下（如SIMUlink）進(jìn)行仿真，通過輸入一系列的測試用例，驗(yàn)證控制算法模型是否準(zhǔn)確地實(shí)現(xiàn)了功能需求。

（b）軟件在環(huán)SIL（Software-In-the-Loop）：是指在通計(jì)算機(jī)的建模環(huán)境中評估執(zhí)行代碼（如算法、整個(gè)控制器策略或完整實(shí)現(xiàn)軟件）的方法論。是一種等效性測試，測試的目的是驗(yàn)證代碼與控制模型在所有功能上是完全一致的。其基本原則一般是使用與MIL完全相同的測試用例輸入，將MIL的測試輸出與SIL的測試輸出進(jìn)行對比，考察二者的偏差是否在可接受的范圍之內(nèi)。

（c）硬件在環(huán)HIL（Hardware-In-the-Loop）：是指運(yùn)行軟件的特定車輛子系統(tǒng)的硬件，其輸入和輸出連接到利用計(jì)算機(jī)仿真技術(shù)模擬的真實(shí)環(huán)境中，以在最終系統(tǒng)集成之前連接電子控制單元（ECU）的所有輸入/輸出的方式復(fù)制傳感器、執(zhí)行器和/或機(jī)械部件。

（d）車輛在環(huán)VIL（Vehicle-In-the-Loop）：是指真實(shí)世界和仿真環(huán)境的融合，以在與真實(shí)世界測試相同的水平上評估車輛測試臺(tái)或測試軌道上的真實(shí)ADS車輛的動(dòng)力學(xué)。

（e）駕駛員在環(huán)DIL（Driver-In-the-Loop）：是指駕駛模擬器，其具有使駕駛員能夠在仿真環(huán)境中操作并與仿真環(huán)境通信的組件，并且用于評估人機(jī)界面HMI交互設(shè)計(jì)。

仿真測試可以有效地評估正常場景、緊急場景和故障場景以及與ADS配置、預(yù)期用途和使用限制相關(guān)的場景內(nèi)的參數(shù)范圍，包括確定碰撞避免和碰撞緩解之間的邊界。仿真測試還可以評估與用戶交互相關(guān)的安全要求的合規(guī)性，特別是通過駕駛員在環(huán)DIL和類似的“用戶在環(huán)”方法。

當(dāng)需要改變測試參數(shù)并且需要執(zhí)行大量考試數(shù)量以支持有效的場景覆蓋（例如：用于路徑規(guī)劃和控制、使用預(yù)先記錄的傳感器數(shù)據(jù)評估感知質(zhì)量等）時(shí)，仿真測試更合適。

仿真測試還能夠識別導(dǎo)致正常DDT性能要求“例外”的場景（例如：偏離交通規(guī)則、規(guī)避機(jī)動(dòng)、碰撞發(fā)生等），以便基于安全模型進(jìn)行評估。

參數(shù)和場景組合的隨機(jī)化方法使得緊急場景（低概率事件）下的ADS性能評估成為可能。

仿真測試能夠識別可應(yīng)用于軌道測試的高價(jià)值場景。ADS部署后，仿真測試有助于分析與原始評估期間展示的行為能力不一致的ADS行為。

3.  場地內(nèi)軌道測試

軌道測試涉及對封閉場地受控條件下ADS性能的物理評估。因此，軌道測試最適合評估“若ADS性能無法滿足要求，則會(huì)帶來重大安全風(fēng)險(xiǎn)”的場景。在這些情況下，ADS性能可以通過離散的物理測試（只有標(biāo)準(zhǔn)場景）來評估，并且測試受益于控制條件的能力（例如，在緊急場景下的HMI和后備響應(yīng)）。

在仿真測試中確定了ADS避免碰撞和降低風(fēng)險(xiǎn)的性能邊界后，可以根據(jù)相應(yīng)仿真場景的參數(shù)為軌道測試定義具體的測試場景。在執(zhí)行相同場景時(shí)，仿真測試和軌道測試之間的性能比較可以評估仿真測試工具鏈的準(zhǔn)確性。

4. 真實(shí)道路測試

真實(shí)道路測試的主要目的是驗(yàn)證：在ADS正常運(yùn)行和真實(shí)道路條件下的DDT性能，以及ADS與其使用者的交互是否符合安全要求。

雖然真實(shí)道路測試為測試ADS提供了高度的環(huán)境保真度，但時(shí)間、成本、可控性、可重復(fù)性和安全限制等因素限制了完全覆蓋交通場景的可行性。因此，該方法需要注意設(shè)計(jì)測試路線，以捕捉ODD內(nèi)可預(yù)測的場景（例如，道路類型和幾何形狀）、ODD相關(guān)的正常場景中發(fā)現(xiàn)的元素（例如，其他道路使用者、標(biāo)志和信號）和典型動(dòng)態(tài)條件（例如，高/低交通密度）。測試路線還應(yīng)能夠驗(yàn)證ADS與用戶交互的安全要求，包括在進(jìn)入/退出ADS功能的ODD之前、當(dāng)時(shí)和之后。

如果ADS在真實(shí)道路測試過程中遇到緊急或故障情況，ADS的響應(yīng)（包括緊急場景下正常性能要求的例外）應(yīng)與場地內(nèi)軌道測試和仿真測試的結(jié)果一致。

5. 在役檢測和報(bào)告

制造商應(yīng)監(jiān)控其在役ADS車輛的表現(xiàn)，并向安全監(jiān)管當(dāng)局報(bào)告與安全有關(guān)的資料。

在役檢測要求制造商收集和分析代表在役ADS性能的信息，以：

（a）識別安全相關(guān)問題，包括預(yù)測新興風(fēng)險(xiǎn)的趨勢；

（b）識別ADS性能表現(xiàn)與最初認(rèn)證測試期間顯示的安全要求和/或行為能力不一致的情況；

（c）描述有利和不利事件；

（d）安全概念的持續(xù)驗(yàn)證。

報(bào)告要求制造商短期和定期地通知安全監(jiān)管當(dāng)局，以便：

（a）確保實(shí)施補(bǔ)救措施以解決已識別的安全問題;

（b）評估ADS使用對道路安全的影響;

（c）改進(jìn)ADS安全認(rèn)證，包括增加新的交通情景;

（d）有效地傳播信息，使ADS安全性能不斷提高。