1.文件和審核

2.仿真測(cè)試

3.場(chǎng)地內(nèi)軌道測(cè)試

4.真實(shí)道路測(cè)試

5.在役檢測(cè)和報(bào)告

前文講了ADS的安全要求，評(píng)估ADS是否符合這些安全要求，取決于五個(gè)驗(yàn)證支柱：

（a）文件和審核

（b）仿真測(cè)試

（c）場(chǎng)地內(nèi)軌道測(cè)試

（d）真實(shí)道路測(cè)試

（e）在役檢測(cè)和報(bào)告

安全需求、ODD分析和場(chǎng)景生成以及驗(yàn)證支柱之間的關(guān)系：

五個(gè)支柱需要結(jié)合使用，以對(duì)ADS符合安全要求的情況進(jìn)行有效、全面和一致的評(píng)估。每種測(cè)試方法都有其自身的優(yōu)勢(shì)和局限性，例如應(yīng)考慮的不同級(jí)別的環(huán)境控制、環(huán)境保真度、可擴(kuò)展性和成本。在某些情況下，需要應(yīng)用多種方法來(lái)評(píng)估ADS應(yīng)對(duì)現(xiàn)實(shí)世界中可能出現(xiàn)的各種情況的能力。使用多種方法可以靈活地組合、排序和跨ADS功能測(cè)試，同時(shí)避免不必要的冗余和重疊。上圖說(shuō)明了ADS安全要求、ODD分析和情景生成以及驗(yàn)證支柱之間的關(guān)系。

1. 文件和審核

不同的ADS技術(shù)產(chǎn)生不同的車輛配置、預(yù)期用途和跨操作環(huán)境的使用限制。因此，對(duì)ADS車輛的評(píng)估必須基于對(duì)要評(píng)估的ADS的明確理解。制造商應(yīng)具備相應(yīng)的文檔，對(duì)自動(dòng)駕駛系統(tǒng)的功能、設(shè)計(jì)運(yùn)行條件、人機(jī)交互、感知系統(tǒng)、決策系統(tǒng)等進(jìn)行詳細(xì)描述，以便在需要時(shí)進(jìn)行追溯和驗(yàn)證。

根據(jù)上述要求，制造商必須提供以下留檔材料：

（a）每個(gè)ADS功能的ODD；

（b）與每個(gè)ODD相關(guān)的交通場(chǎng)景；

（c）制造商對(duì)ADS的驗(yàn)證；

（d）ADS安全設(shè)計(jì)；

（e）制造商的ADS安全管理體系。

審核支柱涉及對(duì)上述留檔材料的評(píng)估，以驗(yàn)證制造商開(kāi)發(fā)的魯棒性，并驗(yàn)證ADS的能力，以確保ADS部署后的安全性。

2.  仿真測(cè)試

仿真測(cè)試提供了有效評(píng)估各種交通場(chǎng)景下的ADS性能的手段。R171-DCAS、（EU）2022/1426-ADS、聯(lián)合國(guó)ADS驗(yàn)證五支柱指南中均提了評(píng)估制造商仿真測(cè)試方法和工具鏈可靠性的程序。這種置信度評(píng)估使人們有信心將這些工具和方法及其產(chǎn)生的證據(jù)應(yīng)用于ADS安全性評(píng)估。

測(cè)試使用不同類型的仿真工具鏈來(lái)評(píng)估ADS在各種交通場(chǎng)景中是否符合安全要求，其中包括一些難以（不太可能）在物理環(huán)境中重現(xiàn)的場(chǎng)景。

工具鏈方法包括（但不限于）：

（a）模型在環(huán)MIL（Model-In-the-Loop）：對(duì)控制算法模型在模型的開(kāi)發(fā)環(huán)境下（如SIMUlink）進(jìn)行仿真，通過(guò)輸入一系列的測(cè)試用例，驗(yàn)證控制算法模型是否準(zhǔn)確地實(shí)現(xiàn)了功能需求。

（b）軟件在環(huán)SIL（Software-In-the-Loop）：是指在通計(jì)算機(jī)的建模環(huán)境中評(píng)估執(zhí)行代碼（如算法、整個(gè)控制器策略或完整實(shí)現(xiàn)軟件）的方法論。是一種等效性測(cè)試，測(cè)試的目的是驗(yàn)證代碼與控制模型在所有功能上是完全一致的。其基本原則一般是使用與MIL完全相同的測(cè)試用例輸入，將MIL的測(cè)試輸出與SIL的測(cè)試輸出進(jìn)行對(duì)比，考察二者的偏差是否在可接受的范圍之內(nèi)。

（c）硬件在環(huán)HIL（Hardware-In-the-Loop）：是指運(yùn)行軟件的特定車輛子系統(tǒng)的硬件，其輸入和輸出連接到利用計(jì)算機(jī)仿真技術(shù)模擬的真實(shí)環(huán)境中，以在最終系統(tǒng)集成之前連接電子控制單元（ECU）的所有輸入/輸出的方式復(fù)制傳感器、執(zhí)行器和/或機(jī)械部件。

（d）車輛在環(huán)VIL（Vehicle-In-the-Loop）：是指真實(shí)世界和仿真環(huán)境的融合，以在與真實(shí)世界測(cè)試相同的水平上評(píng)估車輛測(cè)試臺(tái)或測(cè)試軌道上的真實(shí)ADS車輛的動(dòng)力學(xué)。

（e）駕駛員在環(huán)DIL（Driver-In-the-Loop）：是指駕駛模擬器，其具有使駕駛員能夠在仿真環(huán)境中操作并與仿真環(huán)境通信的組件，并且用于評(píng)估人機(jī)界面HMI交互設(shè)計(jì)。

仿真測(cè)試可以有效地評(píng)估正常場(chǎng)景、緊急場(chǎng)景和故障場(chǎng)景以及與ADS配置、預(yù)期用途和使用限制相關(guān)的場(chǎng)景內(nèi)的參數(shù)范圍，包括確定碰撞避免和碰撞緩解之間的邊界。仿真測(cè)試還可以評(píng)估與用戶交互相關(guān)的安全要求的合規(guī)性，特別是通過(guò)駕駛員在環(huán)DIL和類似的“用戶在環(huán)”方法。

當(dāng)需要改變測(cè)試參數(shù)并且需要執(zhí)行大量考試數(shù)量以支持有效的場(chǎng)景覆蓋（例如：用于路徑規(guī)劃和控制、使用預(yù)先記錄的傳感器數(shù)據(jù)評(píng)估感知質(zhì)量等）時(shí)，仿真測(cè)試更合適。

仿真測(cè)試還能夠識(shí)別導(dǎo)致正常DDT性能要求“例外”的場(chǎng)景（例如：偏離交通規(guī)則、規(guī)避機(jī)動(dòng)、碰撞發(fā)生等），以便基于安全模型進(jìn)行評(píng)估。

參數(shù)和場(chǎng)景組合的隨機(jī)化方法使得緊急場(chǎng)景（低概率事件）下的ADS性能評(píng)估成為可能。

仿真測(cè)試能夠識(shí)別可應(yīng)用于軌道測(cè)試的高價(jià)值場(chǎng)景。ADS部署后，仿真測(cè)試有助于分析與原始評(píng)估期間展示的行為能力不一致的ADS行為。

3.  場(chǎng)地內(nèi)軌道測(cè)試

軌道測(cè)試涉及對(duì)封閉場(chǎng)地受控條件下ADS性能的物理評(píng)估。因此，軌道測(cè)試最適合評(píng)估“若ADS性能無(wú)法滿足要求，則會(huì)帶來(lái)重大安全風(fēng)險(xiǎn)”的場(chǎng)景。在這些情況下，ADS性能可以通過(guò)離散的物理測(cè)試（只有標(biāo)準(zhǔn)場(chǎng)景）來(lái)評(píng)估，并且測(cè)試受益于控制條件的能力（例如，在緊急場(chǎng)景下的HMI和后備響應(yīng)）。

在仿真測(cè)試中確定了ADS避免碰撞和降低風(fēng)險(xiǎn)的性能邊界后，可以根據(jù)相應(yīng)仿真場(chǎng)景的參數(shù)為軌道測(cè)試定義具體的測(cè)試場(chǎng)景。在執(zhí)行相同場(chǎng)景時(shí)，仿真測(cè)試和軌道測(cè)試之間的性能比較可以評(píng)估仿真測(cè)試工具鏈的準(zhǔn)確性。

4. 真實(shí)道路測(cè)試

真實(shí)道路測(cè)試的主要目的是驗(yàn)證：在ADS正常運(yùn)行和真實(shí)道路條件下的DDT性能，以及ADS與其使用者的交互是否符合安全要求。

雖然真實(shí)道路測(cè)試為測(cè)試ADS提供了高度的環(huán)境保真度，但時(shí)間、成本、可控性、可重復(fù)性和安全限制等因素限制了完全覆蓋交通場(chǎng)景的可行性。因此，該方法需要注意設(shè)計(jì)測(cè)試路線，以捕捉ODD內(nèi)可預(yù)測(cè)的場(chǎng)景（例如，道路類型和幾何形狀）、ODD相關(guān)的正常場(chǎng)景中發(fā)現(xiàn)的元素（例如，其他道路使用者、標(biāo)志和信號(hào)）和典型動(dòng)態(tài)條件（例如，高/低交通密度）。測(cè)試路線還應(yīng)能夠驗(yàn)證ADS與用戶交互的安全要求，包括在進(jìn)入/退出ADS功能的ODD之前、當(dāng)時(shí)和之后。

如果ADS在真實(shí)道路測(cè)試過(guò)程中遇到緊急或故障情況，ADS的響應(yīng)（包括緊急場(chǎng)景下正常性能要求的例外）應(yīng)與場(chǎng)地內(nèi)軌道測(cè)試和仿真測(cè)試的結(jié)果一致。

5. 在役檢測(cè)和報(bào)告

制造商應(yīng)監(jiān)控其在役ADS車輛的表現(xiàn)，并向安全監(jiān)管當(dāng)局報(bào)告與安全有關(guān)的資料。

在役檢測(cè)要求制造商收集和分析代表在役ADS性能的信息，以：

（a）識(shí)別安全相關(guān)問(wèn)題，包括預(yù)測(cè)新興風(fēng)險(xiǎn)的趨勢(shì)；

（b）識(shí)別ADS性能表現(xiàn)與最初認(rèn)證測(cè)試期間顯示的安全要求和/或行為能力不一致的情況；

（c）描述有利和不利事件；

（d）安全概念的持續(xù)驗(yàn)證。

報(bào)告要求制造商短期和定期地通知安全監(jiān)管當(dāng)局，以便：

（a）確保實(shí)施補(bǔ)救措施以解決已識(shí)別的安全問(wèn)題;

（b）評(píng)估ADS使用對(duì)道路安全的影響;

（c）改進(jìn)ADS安全認(rèn)證，包括增加新的交通情景;

（d）有效地傳播信息，使ADS安全性能不斷提高。