最近多種明顯的跡象表明自動(dòng)駕駛汽車（AV）這項(xiàng)技術(shù)似乎已過了狂熱期，回歸理性。AV公司們的下一步是與公眾保持一致，并承認(rèn)仍然存在一個(gè)沒有答案的關(guān)鍵問題：足夠安全是多安全（How safe is safe enough）？

并非巧合的是，UL（Underwriters' Laboratories）剛剛發(fā)布了UL 4600草案，這是自動(dòng)駕駛的第一個(gè)綜合安全標(biāo)準(zhǔn)。

UL 4600不是某種傳統(tǒng)的規(guī)則手冊(cè)，而且任何尋求技術(shù)規(guī)范以快速構(gòu)建安全的AV公司都將誤入歧途。

該標(biāo)準(zhǔn)未列出任何規(guī)范，沒有規(guī)定硬件或軟件（沒有針對(duì)傳感器、SoC或嵌入式軟件類型的要求），也未提供有關(guān)正確開發(fā)過程的規(guī)定指南。相反，UL 4600提供了為AV建立“安全案例（safety case）”的指南。

Edge Case Research（ECR）的CTO、CMU的教授Phil Koopman解釋說：“簡(jiǎn)而言之，其它現(xiàn)有的安全標(biāo)準(zhǔn)要求如果要滿足安全性就要‘遵循步驟1、步驟2和步驟3’。相比之下，UL 4600講的是‘如何做到充分安全’。”

當(dāng)被問及UL標(biāo)準(zhǔn)的基本設(shè)計(jì)原理時(shí)，UL 4600的起草人之一Koopman告訴我們：“如果你不能說出安全的含義，也無法解釋為什么你認(rèn)為該系統(tǒng)實(shí)際上是安全的，那么你的系統(tǒng)就可能不安全。’安全案例’是設(shè)計(jì)安全系統(tǒng)的重要組成部分。”

為什么還需要另一個(gè)安全標(biāo)準(zhǔn)？
正如Koopman指出的那樣：“與人類駕駛的車輛相比，AV將在某些方面改變我們必須采取的安全措施。”他強(qiáng)調(diào)說：“改變我們的安全標(biāo)準(zhǔn)方法不足為奇。但重要的是不要忘記我們已經(jīng)使用的來之不易的經(jīng)驗(yàn)教訓(xùn)和工程方法。”

UL 4600清楚地表明，這并不是AV設(shè)計(jì)人員唯一需要的安全標(biāo)準(zhǔn)。Koopman說：“你還需要良好的工程方法，例如其他標(biāo)準(zhǔn)（包括IEC 61508、ISO 26262和ISO/PAS 21448, SOTIF）中討論的方法。我希望開發(fā)人員在使用UL 4600的同時(shí)結(jié)合ISO 26262等常規(guī)標(biāo)準(zhǔn)。”

UL 4600與其它安全標(biāo)準(zhǔn)的顯著不同在于，它側(cè)重于無人類駕駛員干預(yù)的完全自動(dòng)駕駛。

例如，現(xiàn)有的安全標(biāo)準(zhǔn)設(shè)計(jì)用于最終由人類駕駛員負(fù)責(zé)安全操作的車輛。相反，UL 4600處理的是完全無人駕駛。該標(biāo)準(zhǔn)草案解釋說：“將人類完全從自動(dòng)駕駛項(xiàng)目操作的執(zhí)行層面（包括監(jiān)督）中撤出會(huì)帶來許多其它問題。”而UL 4600恰恰解決了這些“其它問題”。

安全標(biāo)準(zhǔn)全景圖（Source：Phil Koopman，ECR）

制定安全案例
這份長(zhǎng)達(dá)295頁的文件草案通過強(qiáng)調(diào)為自動(dòng)駕駛項(xiàng)目建立安全案例所需的工程嚴(yán)謹(jǐn)性而與其它文件有所不同，因?yàn)樽詣?dòng)駕駛系統(tǒng)絕對(duì)不僅限于AV。

UL 4600標(biāo)準(zhǔn)草案規(guī)定，“安全案例”包括一組結(jié)構(gòu)化的目標(biāo)、論據(jù)，以及支持該項(xiàng)目可以安全部署的證據(jù)。為了支持該目標(biāo)，UL 4600評(píng)估強(qiáng)調(diào)確保安全案例合理地完成并形成良好的結(jié)構(gòu)。

UL 4600涵蓋了影響自動(dòng)駕駛系統(tǒng)安全的各種類別。其中包括與人的互動(dòng)、自動(dòng)駕駛功能以及對(duì)軟件和系統(tǒng)工程過程的支持，生命周期問題以及自動(dòng)駕駛項(xiàng)目的維護(hù)。在每個(gè)類別中，UL 4600都列出了必須提出的安全參數(shù)：強(qiáng)制、必需、強(qiáng)烈推薦和推薦。UL 4600還在每個(gè)級(jí)別上共享了設(shè)計(jì)人員在為其系統(tǒng)制定安全案例之前必須考慮的安全隱患、風(fēng)險(xiǎn)和場(chǎng)景的“示例”。

#DidYouThinkofThat
當(dāng)全自動(dòng)駕駛汽車在公路上自主行駛時(shí)，不難想像它們出錯(cuò)的形式可能多達(dá)上百萬種，或者還有上百萬個(gè)細(xì)節(jié)是系統(tǒng)工程師以前沒想到的。每一個(gè)都代表了意想不到的后果，可能會(huì)破壞AV安全的基礎(chǔ)。

如UL 4600草案所述：

自動(dòng)駕駛產(chǎn)品的行為可能與人類駕駛員的行為不同（但兼容），并可能需要處理人類通常不會(huì)遇到的情況。此外，比起人類駕駛員，人們通常對(duì)自動(dòng)駕駛項(xiàng)目處理各種情況的能力與熟練程度會(huì)有更高的預(yù)期。
UL 4600 Draft

……當(dāng)完全無人駕駛的車輛真的開始在馬路上行駛時(shí)，所有之前的猜想都會(huì)消失了。

UL 4600中共享的示例提出了一個(gè)問題，Koopman通常會(huì)問AV設(shè)計(jì)師：“那個(gè)你想到了嗎（Did you think of that）？”

簡(jiǎn)而言之，這些示例提供了開發(fā)人員在設(shè)計(jì)AV的安全性時(shí)需要考慮的十件事（實(shí)際上還有很多）。

Koopman表示，許多示例（已在UL 4600中發(fā)布）都來自真實(shí)的故事。他說：“這些例子不都是我提供的，還有來自Uma Ferrell和Frank Fratrik的例子。”Ferrell目前是Mitre Corp.的系統(tǒng)工程師，曾是聯(lián)邦航空管理局（FAA）的前顧問DER（Designated Engineering Representative），他在飛機(jī)認(rèn)證方面擁有豐富的經(jīng)驗(yàn)；Fratrik（ECR的首席工程師）在軍事系統(tǒng)安全評(píng)估方面擁有專業(yè)知識(shí)。”

當(dāng)然，絕沒人會(huì)相信UL 4600草案涵蓋了所有意外情況。Koopman希望通過審查獲得更多示例。他說：“在第一個(gè)版本發(fā)布后，我們將獲得更多示例，尤其將其應(yīng)用于系統(tǒng)后。該標(biāo)準(zhǔn)將成為UL的‘持續(xù)維護(hù)’計(jì)劃的一部分，這意味著我們將有機(jī)會(huì)定期更新期間添加的新示例與存儲(chǔ)箱。此外，開發(fā)人員可以自行將存儲(chǔ)箱箱添加到其本地安全箱中，而無需等待標(biāo)準(zhǔn)更新。”


對(duì)UL 4600的解釋（Sourc：Phil Koopman）

歷史9個(gè)月
去年12月中旬，Koopman編寫了UL 4600草案的第一版（共10頁的大綱），然后由Ferrell和Fratrik進(jìn)行了很多紅色標(biāo)記。

5月，由35個(gè)投票成員組成的第一份正式草案已提交標(biāo)準(zhǔn)技術(shù)小組（STP）。小組成員包括瑞薩、英特爾和英飛凌等芯片供應(yīng)商，以及商用AV用戶和開發(fā)商，包括Uber、蔚來、博世、Argo AI和Aurora。美國(guó)運(yùn)輸部（DoT）和賓州的DoT派了代表也是STP的一部分。該小組還包括三個(gè)保險(xiǎn)公司：AXA、Liberty Mutual和Munich Re America。

6月，STP首次進(jìn)行審查和討論初稿。

上周三向關(guān)系者（沒有投票權(quán)但擁有評(píng)論權(quán)）發(fā)布的當(dāng)前形式的UL 4600標(biāo)準(zhǔn)草案為“第四版”，該標(biāo)準(zhǔn)經(jīng)過三個(gè)單獨(dú)的評(píng)議期，一直在被討論、修改和明確陳述。UL 4600小組已收到近一千條注釋。

UL發(fā)展迅速。UL的項(xiàng)目經(jīng)理Deborah Prince表示，該團(tuán)隊(duì)預(yù)計(jì)UL 4600將于2019年12月進(jìn)行投票。到2020年一季度，它將成為ANSI標(biāo)準(zhǔn)。她說：“文件和技術(shù)一旦穩(wěn)定，它沒理由不會(huì)成為ISO標(biāo)準(zhǔn)。畢竟，安全性必須是全球性的。”

通過在UL 4600內(nèi)部安裝“內(nèi)置”反饋回路，UL計(jì)劃多久更新一次UL 4600？
Prince說：“鑒于系統(tǒng)中包含許多新技術(shù)，我們將讓人們首先使用該新標(biāo)準(zhǔn)大約一年，然后讓STP重新評(píng)估它……看我們是否錯(cuò)過了一些重要的事情。”

UL 4600的亮點(diǎn)
在Koopman看來，UL 4600的幾項(xiàng)原則對(duì)于確保自動(dòng)駕駛系統(tǒng)的安全特別重要。他總結(jié)到：

首先，UL使用“安全案例作為總體方法”。其它標(biāo)準(zhǔn)最近也在朝這個(gè)方向發(fā)展，例如FDA制定輸液泵安全標(biāo)準(zhǔn)的方式。

其次，UL 4600“在所有級(jí)別設(shè)置了反饋回路”。這些適用于在收集現(xiàn)場(chǎng)反饋的同時(shí)進(jìn)行“設(shè)計(jì)改進(jìn)和安全案例的改進(jìn)”，從而不斷提高標(biāo)準(zhǔn)。

第三，該標(biāo)準(zhǔn)是“旨在進(jìn)行客觀、可重復(fù)的評(píng)估”。

第四，UL 4600是“社區(qū)知識(shí)的存儲(chǔ)庫，無需共享原始系統(tǒng)數(shù)據(jù)即可收集#DidYouThinkofThat列表”。

第五，該標(biāo)準(zhǔn)還提供“特定的機(jī)器學(xué)習(xí)范圍”。

最后，UL 4600提供了“與功能和其它公認(rèn)的安全標(biāo)準(zhǔn)的兼容性”。

自動(dòng)駕駛系統(tǒng)的安全性
許多觀察員，包括專家和“外部人士”，都曾對(duì)自動(dòng)駕駛系統(tǒng)的安全性表示擔(dān)憂。UL的Prince說：“業(yè)界對(duì)完成UL 4600的渴望是如此強(qiáng)烈，以至于STP中的許多成員都真正參與了討論，并令人驚訝地非常具有建設(shè)性和協(xié)作性。”

正如Koopman總結(jié)的那樣，“監(jiān)管機(jī)構(gòu)不會(huì)確保其系統(tǒng)安全。AV公司們必須擁有它，你沒辦法繞過它。”

UL 4600的注冊(cè)關(guān)系者可以在11月1日之前提交對(duì)標(biāo)準(zhǔn)草案的評(píng)論。那些尚未注冊(cè)但現(xiàn)在想成為關(guān)系者的公司，可給發(fā)電郵到Deborah.Prince@ul.org與Deborah Prince聯(lián)系。



[參考文章]
UL 4600 draft puts safety onus on AV hopefuls — Junko Yoshida