基于场景的智能网联汽车“三支柱”安全测试评估方法研究

刘法旺， 曹建永， 张志强， 徐晓庆， 陈 贞

（1. 工业和信息化部 装备工业发展中心，北京 100846；2. 上海机动车检测认证技术研究中心有限公司，上海 201805；3. 中国汽车技术研究中心有限公司，天津 300300；4. 中国汽车工程研究院股份有限公司，重庆 401122；5. 北京镝石数据科技有限公司，北京 100176）

近年来，汽车智能化技术发展迅猛，产品快速迭代，奔驰、本田等公司已有搭载自动驾驶功能的系统或车型获得型式批准。但是，自动驾驶技术目前仍不成熟，因车辆自动驾驶系统安全性不足导致的交通事故仍然时有发生［1-2］。为保障智能网联汽车在实际应用中的安全性，建立系统、科学、有效的智能网联汽车安全测试评估方法非常必要。

鉴于自动驾驶系统和交通环境的复杂性以及安全事件的偶发性，自动驾驶系统需要安全、可靠地处理由外界和自身变化带来的多种不确定性，才能有效保障智能网联汽车行驶安全。这就需要对自动驾驶系统的设计运行条件（Operational Design Condition，ODC）及安全边界、最小风险策略等开展全面的测试验证工作。由于这些新特点和新要求，针对智能网联汽车安全性、可靠性的测试验证必须在高维、复杂的设计运行条件下进行，因此，基于场景的智能网联汽车安全测试评估方法成为国内外相关机构和学者的研究热点。SePIA［3］和Pegasus［4］相关研究项目为自动驾驶系统测试评估提供了场景库搭建的理论框架和实践参考。STELLET［5］和PIERSON［6］的研究成果表明，自动驾驶测试场景的选择可通过系统功能分析、专家经验知识和风险评估等方法开展。BATSCH［7］的研究成果表明，在选择自动驾驶测试场景时，必须关注自动驾驶系统的挑战性任务，例如关键交通场景和环境影响等。GELDER等［8］提出了一种基于蒙特卡洛方法生成自动驾驶测试用例的方法，该方法以自然驾驶数据为输入，可生成与实际情况高度相似的测试用例。国际汽车制造商协会（OICA）［9］在分析自动驾驶的技术特性和安全特征的基础上，提出了由实际道路测试、封闭场地测试和审核/评估（包含模拟仿真测试）组成的智能网联汽车“三支柱”测试认证方法。联合国自动驾驶验证方法非正式工作组（VMAD IWG）［10］提出一种包含场景目录，以及模拟仿真测试、封闭场地测试、实际道路测试、审核评估和在用监测报告等5类技术手段的测试评估方法，获得了行业的广泛认可。中国工业和信息化部也在持续推进智能网联汽车准入管理研究［11］，逐步明确智能网联汽车在产品过程保障、测试验证等方面的要求。国内相关机构［12］联合研究提出了一种系统、可复用、可拓展的智能网联汽车安全测试与评估方法，将智能网联汽车的安全测试与评估分为基础测评和监测调整两个阶段，为实现特定ODC下智能网联汽车的综合安全评估提供参考。上述工作虽然为自动驾驶测试评估提供了重要理论依据，但在实际应用中还需要重点从可操作性的角度进一步深入开展研究，以适应自动驾驶技术的快速发展，满足智能网联汽车的安全测试评估需要。

本文在汽车生产企业研发测试的基础上，从第三方视角出发，以搭载自动驾驶功能的智能网联汽车为研究对象，聚焦模拟仿真、封闭场地和实际道路三种测试方法的定位及关系，研究提出一种基于场景的智能网联汽车“三支柱”综合安全测试评估方法，重点针对安全分析、测试环境构建、测试评估方法等开展研究，致力于为系统、科学地测试评估智能网联汽车的安全性提供技术支持。

1 测试对象及输入

1.1 测试对象

智能网联汽车通过自动驾驶系统执行动态驾驶任务，因此，自动驾驶系统安全性是智能网联汽车安全的关键。本方法的测试对象为搭载自动驾驶功能的智能网联汽车，如图1所示，重点通过对车辆自动驾驶系统开展测试来综合评估智能网联汽车的安全性。

图1 测试对象分析

1.2 测试输入

在测试之前，应对智能网联汽车ODC、功能定义、安全目标、潜在安全风险以及已开展的研发测试活动等信息进行系统梳理，重点针对功能安全、预期功能安全等相关要求［13-14］，提炼形成汽车安全测试评估的关键输入：

（1）自动驾驶系统描述。主要包括功能描述、ODC清单［15］、接口、内部包含的子要素、外部关联要素和系统布局等信息，用以明确被测车辆所具备的自动驾驶功能，分析车辆的安全范围，制定测试方案。

（2）危害分析和风险评估结果。主要包括安全目标、整车层面危害、危害行为的风险评估和接受准则等信息，为后续测试明确安全目标及相关整车危害。

（3）安全分析结果。主要包括自动驾驶系统与车辆其他系统的交互可能导致的潜在安全风险及应对的安全措施，功能异常表现引起的整车安全风险及对应的安全措施有效性，系统层级要素的潜在安全相关失效模式和失效后果，以及已识别出的潜在规范定义不足、性能局限和触发条件等信息，为后续测试场景的设计提供潜在风险要素，确定可能触发系统潜在危害行为的系统边界。

（4）整车层面的确认计划和确认结果。主要包括确认目的、确认结果测试方法、测试场景和测试设备等信息，对企业已开展的确认活动进行清晰的描述，为后续测试工作提供重要参考。

2 总体研究思路

2.1 测试评估方法分析

为了对智能网联汽车安全性开展科学有效的测试评估，基于功能定义、安全目标以及ODC范围分析，给出标称场景、危险场景和边缘场景，如图2a所示，并采用基于场景的“三支柱”测试方法进行验证。

基于场景的测试方法是实现智能网联汽车安全测试评估的重要方法，按照测试手段可以分为3种，即模拟仿真测试、封闭场地测试和实际道路测试。模拟仿真测试通过建立仿真场景和模型对系统进行测试评估［16］，通过发现危险场景和边缘场景支撑封闭场地测试和实际道路测试；封闭场地测试通过在封闭测试场内搭建典型场景对系统进行测试评估［17］，不仅对模拟仿真测试进行验证，同时支撑实际道路测试的开展；实际道路测试是在真实道路交通中通过随机交通场景对系统进行测试评估［18］，发现实际道路运行中的危险场景和边缘场景。

针对产品安全目标，为保障智能网联汽车安全性得到科学、充分的测试评估，进行模拟仿真、封闭场地和实际道路测试，如图2b所示。其中，模拟仿真测试可基于自动驾驶功能和ODC的安全分析，生成合理的随机场景，通过模拟仿真测试，发现自动驾驶系统的潜在危险场景和边缘场景（如图2b中红点所示）；封闭场地测试主要针对标准规范中的典型标称场景、安全分析过程中发现存在安全风险的场景、模拟仿真测试发现的危险场景及边缘场景进行实车测试验证；实际道路测试基于对行驶里程、时长以及ODC要素的充分覆盖，进行真实随机交通流下的实车测试，并给出危险场景和边缘场景评估。3种测试方法相互融合、补充和验证，支撑实现对智能网联汽车安全性的综合测试与评估。

图2 基于“三支柱”方法的安全测试目标分解

2.2 测试评估框架

智能网联汽车安全测试评估可以分为测试对象及输入、安全分析、测试环境构建、测试实施、综合评价等5个阶段开展，如图3所示。

图3 测试评估框架

总体来看，本方法针对测试对象及相应测试评估输入开展安全分析，评估解析出产品的安全风险区域，并重点对此进行模拟仿真、封闭场地及实际道路测试，最后根据“三支柱”测试的测试结果以及产品安全目标和接受准则，对智能网联汽车安全性做出综合评估。

3 测试评估方法

3.1 测试环境构建

3.1.1 测试方法分析

（1）模拟仿真测试可信度评估

以车辆建模、环境模拟和数值计算为核心的模拟仿真测试可通过选择合适的仿真工具链实现。由于仿真工具、车辆模型和环境模拟的准确性问题，仿真测试结果与现实结果存在一定的差异，需要对模拟仿真测试进行可信度评估，应至少从仿真场景保真度、车辆模型精度、接口数据正确性、传输稳定性等几个维度综合评估［15］。

（2）封闭场地测试不确定度评估

由于封闭场地测试是在测试环境、测试设备、测试方法及流程等方面较为可控的情况下以实车的方式开展测试评估，所以测试实施主体可以针对相对可控的因素按照相对统一的标准和要求施加必要的约束，从而有力保障封闭场地测试结果的一致性、准确性和可追溯性［19］。

在测试环境方面，重点针对应用场景中天气、光照、风速等自然环境因素，以及平整度、弯道半径、摩擦因数、交通基础设施等场地要素提出一致性要求；在测试设备方面，主要根据设备类型对定位精度、控制精度、目标物的拟真度、数据采集精度和频率等提出一致性要求；在测试方法及流程方面，可以基于行业实践，提出形成覆盖封闭场地测试全过程的科学、规范、一致的基本测试方法与流程要求。

（3）实际测试道路与ODC要素匹配性分析

影响实际道路测试结果有效性的主要因素是所选测试道路的场景要素覆盖度，因此，测试道路应该充分覆盖被测车辆的ODC。为了实现对自动驾驶系统开展充分有效的安全测试，测试道路选择应满足相应匹配需求［20-21］。

实际工作中，可以通过对实际道路中存在的场景要素进行分析，得出实际道路要素集，并与被测车辆ODC中所描述的要素集进行对比，若对比结果满足要求，则说明该道路选择能够支撑实现测试需求，反之则需重新选择测试道路。

3.1.2 测试场景构建

（1）模拟仿真测试场景

模拟仿真测试场景的要素组成包括交通环境参数、测试车辆基础信息参数和交通参与者的状态。测试场景的构建，首先是根据车辆设计开发的过程文件，包括智能网联汽车的ODC、功能定义等，输出交通环境参数、测试车辆基础信息参数和交通参与者的状态。其中，交通环境参数包括光照环境（时间、天气、光线变化等）、标志标线参数（车道清晰度、车道线完整度、车道线数量和颜色、交通标志和路面标志等）和道路参数（道路曲率、坡度、路边设施等）；测试车辆基础信息参数包括车辆基础属性、车辆运动状态信息、车辆驾驶任务信息以及传感器信息；交通参与者的状态包括其他车辆、行人等的状态信息、交通信号灯的状态信息以及障碍物等静止物体的信息。

其次，通过分析安全目标、整车层面危害、危害行为的风险评估和接受准则，制定仿真场景触发条件、仿真场景测试通过条件和判别危险及边缘场景的条件［22］。

最后，结合场景信息变化量，赋予场景相应的参数范围；通过场景要素的组合，满足场景覆盖度要求。

（2）封闭场地测试场景

对于智能网联汽车封闭场地测试，目前已经基于自然驾驶数据、专家经验等形成了部分在一定程度上代表中国真实交通状况的典型场景，具体包括交通信号识别及响应、行人与非机动车识别及响应、周边车辆行驶状态识别及响应等信息。典型场景下的产品安全是对智能网联汽车安全的基本要求，封闭场地测试需要对典型场景进行全面有效的覆盖。

对于智能网联汽车在危险场景和边缘场景下的封闭场地测试评估，需要基于车辆安全分析和模拟仿真的测试结果及其接受准则，结合封闭场地的道路与基础设施条件、测试设备和不确定度等信息，对测试场景的合理性和可实施性进行评估，筛选出在封闭场地中可以实施且能够保障测试结果准确、可追溯的代表性场景集作为封闭场地测试的场景输入，对基于自然驾驶数据、专家经验等形成的典型场景进行有效补充。

（3）实际道路测试场景

实际道路测试重点关注的是实际交通场景下ODC要素覆盖度、车辆动态驾驶任务执行情况、交通规则符合性等问题，并结合ODC、模拟仿真与封闭场地测试等需求综合选择测试道路，保障实际道路测试的可靠性和充分性。

在综合分析的基础上，选择高匹配度的测试道路，通过有效的测试里程或时长，保障ODC要素的覆盖度。其中，有效测试里程或时长是保障场景出现的关键指标之一，需要结合模拟仿真测试可信度分析、仿真危险及边缘场景要素覆盖、被测车辆ODC特殊要求等关键影响因素进行必要的动态调整。

3.2 测试评估实施

3.2.1 测试流程

测试流程以安全分析输入的测试场景为基础，开展模拟仿真测试、封闭场地测试和实际道路测试，如图4所示。

图4 智能网联汽车安全性测试流程

模拟仿真测试以高可信度的仿真工具链为支撑，充分发挥其在测试执行效率、灵活度、成本等方面的优势，对自动驾驶系统开展高覆盖度的场景测试，以评估智能网联汽车安全性，并基于测试结果识别出自动驾驶系统存在潜在风险的危险场景和边缘场景，作为封闭场地测试和实际道路测试的重要场景输入；封闭场地测试根据其测试场景需求开展场景搭建、不确定性评估及测试工作，通过单一场景测试、组合场景测试等方式在可控的环境下对自动驾驶系统的实车表现和模拟仿真的可信度进行评估；实际道路测试则在针对期望覆盖的场景要素集合，重点围绕测试路段、测试时长等因素制定有针对性的测试方案，并开展相关测试工作，以评估智能网联汽车在真实交通场景中的产品安全性。

3.2.2 综合评估

在模拟仿真、封闭场地和实际道路三种测试结果的基础上，结合各测试方法的特点及其在测试评估体系中的定位，重点针对ODC内的安全要求、失效与安全响应要求、人机交互安全和最小风险策略等的测试结果开展综合评估，着力提高测试评估的科学性、系统性和有效性。

4 结语

本文系统地调研了国内外智能网联汽车测试评估的研究及实践进展，梳理提出基于场景的智能网联汽车“三支柱”安全测试评估方法。针对车辆自动驾驶功能、ODC等关键要素，遴选测试场景和测试工具，融合模拟仿真、封闭场地和实际道路测试的优势，对标称场景、危险场景、边缘场景等多种场景下的车辆安全性进行综合测试评估，在有效验证智能网联汽车安全性的同时，努力提高测试评估的针对性及工作效率。随着车辆智能化、网联化和自动驾驶技术的迭代更新，以及测试评价技术、工具的快速发展，针对智能网联汽车安全性的测试评估方法也需要持续更新完善，以更好地适应产业发展和行业管理需要。