前文講了解決自動駕駛車輛相關(guān)風(fēng)險(xiǎn)的通用方法，即自動駕駛的十二條指導(dǎo)原則。

自動駕駛的十二條指導(dǎo)原則

為了遵守第十二條原則，自動駕駛系統(tǒng)必須具備一套基本的系統(tǒng)屬性，即自動駕駛系統(tǒng)的十三項(xiàng)能力。

一個(gè)安全的自動駕駛系統(tǒng)應(yīng)具有十三項(xiàng)能力，這十三項(xiàng)能力分為失效安全能力(Fail-Safe, FS)和失效降級能力(Fail-Degraded,FD)。

失效安全：當(dāng)系統(tǒng)檢測到不可容忍的故障時(shí)，主動進(jìn)入一個(gè)預(yù)先定義的安全狀態(tài)，即使這意味著系統(tǒng)完全停止運(yùn)行。

故障發(fā)生 → 檢測到故障 → 立即進(jìn)入安全狀態(tài)（如停機(jī)、斷電、機(jī)械鎖止）

失效降級：在發(fā)生某些故障后，系統(tǒng)能夠繼續(xù)維持一定程度的、降級的功能運(yùn)行，而不是立即停止。其首要目標(biāo)是維持可用性，但必須在可接受的安全邊界內(nèi)。

故障發(fā)生 → 檢測到故障 → 隔離故障 → 切換到備用資源/模式 → 以降級模式繼續(xù)運(yùn)行

失效安全能力提供并實(shí)現(xiàn)客戶價(jià)值。失效安全能力（FS）可以中斷，因?yàn)樗鼈兊牟豢捎眯院桶踩g的相關(guān)性足夠低或者被失效降級能力覆蓋。

即使在發(fā)生故障的情況下，失效降級能力（FD）也應(yīng)在一定的性能水平下繼續(xù)執(zhí)行，以便在特定的時(shí)間段內(nèi)提供一個(gè)安全的系統(tǒng)，直到進(jìn)入一個(gè)允許自動駕駛系統(tǒng)退出的最低風(fēng)險(xiǎn)狀態(tài)(MRC)。

最終的最低風(fēng)險(xiǎn)狀態(tài)MRC指的是允許自動駕駛系統(tǒng)完全退出的MRC，例如車輛在安全區(qū)域內(nèi)靜止或被車輛操作員接管。

FS_1：確定位置

系統(tǒng)應(yīng)能夠確定其與 ODD 相關(guān)的位置。 車輛應(yīng)該能夠確定其位于ODD 之內(nèi)還是之外。知曉 ODD 內(nèi)的具體位置對自動駕駛系統(tǒng)是必要的。

FS_2：感知自動駕駛車輛附近的相關(guān)靜態(tài)和動態(tài)物體

自動駕駛系統(tǒng)應(yīng)感知、選擇性地預(yù)處理，以及正確提供為實(shí)現(xiàn)其功能行為而要求的所有實(shí)體。

應(yīng)優(yōu)先考慮存在相關(guān)碰撞風(fēng)險(xiǎn)的實(shí)體。實(shí)體的包括：

動態(tài)對象［例如（易受傷害的）道路使用者和相應(yīng)的運(yùn)動特征］

靜態(tài)對象［例如道路邊界、交通引導(dǎo)和交通信號，以及障礙物］

FS_3：預(yù)測相關(guān)對象的未來行為

相關(guān)環(huán)境模型需要通過預(yù)測的未來狀態(tài)進(jìn)行擴(kuò)展。目的在于創(chuàng)建環(huán)境預(yù)測。應(yīng)能夠解讀相關(guān)對象的意圖，以便形成預(yù)測未來運(yùn)動的基礎(chǔ)。

FS_4：制定一個(gè)無碰撞并且合法的駕駛規(guī)劃

為確保制定一個(gè)無碰撞并且合法的駕駛策略，應(yīng)遵守以下規(guī)定 :

? 與其他對象保持安全的橫向和縱向距離。

? 遵守ODD范圍內(nèi)所有適用的交通規(guī)則。

? 考慮可能存在遮擋物體的潛在區(qū)域。

? 在未給予通行權(quán)的情況下，不通行。

? 如果在不危及第三方的情況下可以避免碰撞，則在必要情況下可以暫時(shí)調(diào)整交通規(guī)則的優(yōu)先級。

FS_5：正確執(zhí)行駕駛規(guī)劃

應(yīng)根據(jù)駕駛規(guī)劃生成用于橫向和縱向控制的相應(yīng)行動信號。

FS_6：與其他(易受傷害的)道路使用者的溝通和互動

根據(jù) ODD 和用例，要求自動駕駛車輛與其他(易受傷害的)道路使用者進(jìn)行溝通和互動。

FS_7：確定是否達(dá)到規(guī)定的標(biāo)稱性能

自動駕駛系統(tǒng)的任何要素都可能，單獨(dú)地或與其他要素組合在一起地，導(dǎo)致不利行為。因此，需要各種機(jī)制來檢測系 統(tǒng)的不利標(biāo)稱性能。FD_4 涵蓋了對檢測到的不良行為做出的反應(yīng)。

影響標(biāo)稱性能的典型方面包括:

? 不必要的人為因素，包括誤用和操縱

? 預(yù)期功能的偏差

? 技術(shù)限制

? 環(huán)境條件

? 系統(tǒng)與隨機(jī)失效模式

FD_1：確保對車輛操作員的可控性

車輛操作員的控制級別根據(jù) SAE J3016 的自動化級別和用例定義而異，因此應(yīng)該得到保證。

FD_2：檢測降級模式是否可用

應(yīng)確保檢測到降級模式可能的不可用情形。如果降級策略取決于降級原因，則降級原因也應(yīng)被確認(rèn)。

FD_3:確保安全模式轉(zhuǎn)換和用戶認(rèn)知

確保模式轉(zhuǎn)換正確執(zhí)行，并在必要時(shí)由受影響的車輛操作員控制。

此外，受影響的車輛操作員應(yīng)了解當(dāng)前模式，以及他 們對此模式中承擔(dān)的責(zé)任。

例如，僅在 ODD 內(nèi)部允許啟動自動模式，并且在離開 ODD 之前或者由于車輛操作員再次接管控制而將其退出。

FD_4：通過降級來應(yīng)對標(biāo)稱性能

不足和其他失效由于標(biāo)稱性能能力可能無法使用，以及出現(xiàn)其他失效(例如，基于硬件的失效 等)，因此系統(tǒng)應(yīng)在明確定義的時(shí)間內(nèi)降級。

FD_5：在應(yīng)對失效的降級模式下降低系統(tǒng)性能

應(yīng)確定降級模式下出現(xiàn)失效時(shí)的反應(yīng)。

FD_6：在減少的系統(tǒng)限制范圍內(nèi)執(zhí)行降級模式

降級模式下的自動駕駛系統(tǒng)運(yùn)行，其即是在新的限制下執(zhí)行標(biāo)稱能力?？赡苡卸喾N降級模式。對限制應(yīng)該作出清晰定 義，才能宣稱降級模式是安全的。有可能需要避免(讓該模式)永遠(yuǎn)運(yùn)行下去， 而需要為額外的應(yīng)對方法定義清晰的時(shí) 間范圍。