基于道路测试数据的高度自动驾驶车辆运行安全综合评估方法

《Journal of Sensor and Actuator Networks》：A Comprehensive Safety Assessment Methodology for Highly Automated Vehicles in Operation: Development and Demonstration Based on Road Test Data

　　

本文提出了一种基于公共道路运行数据的高度自动化车辆（HAVs）安全综合评估方法。该方法包括根据三个标准对安全违规行为进行定性分类：对功能性的影响（F）、安全机制的覆盖范围（MS）以及发生频率（R）。基于这些标准的总和，构建了一个临界性矩阵，区分了四个风险区域：关键（需要立即补救）、不可接受（需要计划性补救）、可容忍和可接受。定量评估包括一套关键绩效指标（KPIs）（运行效率、事故数量、威胁检测与消除、驾驶员/操作员干预频率）和一个综合安全指标（）。研究人员利用一辆L3级高度自动驾驶车辆（HAV）在俄罗斯高速公路上自动行驶1413公里所收集的运行数据，展示了该方法的适用性。在此演示中，大多数记录的故障被归类到关键区域，这使得能够优先进行系统改进。所提出的方法可供开发人员用于客观评估安全性，也可供监管机构用于制定报告要求。从传感器和执行器网络的角度来看，这项工作做出了三项贡献：(1) 将高度自动驾驶车辆的多模态传感器网络（4个摄像头、4个雷达、GNSS RTK）作为一个具有冗余和重叠视野的网络化系统进行分析；(2) 将CAN总线视为一个执行器网络，其可靠性对安全性至关重要；(3) 研究表明，17次记录的故障中有10次（59%）专门与网络设备相关，使得对传感器和执行器网络的监测成为所提出方法的核心要素。

基于道路测试数据的L3级高度自动驾驶车辆运行安全综合评估方法解读

一、研究背景与问题

高度自动驾驶车辆（HAVs）被视作汽车产业和智能交通系统发展的关键方向，预期能减少因人为失误导致的事故、提升道路容量并降低排放。然而，其实际部署速度远低于预期，主要原因在于社会、监管机构、保险公司乃至制造商自身对其真实安全性缺乏信心。传统安全认证方法，如ISO 26262（功能安全）和ISO 21448（预期功能安全，SOTIF），最初是为低级别驾驶辅助系统设计的，在应用于L3-L5级高度自动驾驶车辆时面临根本性挑战。例如，ISO 26262中的可控性（Controllability）参数依赖于驾驶员及时干预的能力，但这在驾驶员可能脱离驾驶任务甚至不在车内的HAV场景下失去了意义；暴露概率（Exposure）和严重度（Severity）的评估也因缺乏大规模运行统计数据和依赖主观专家判断而难以适用。ISO 21448虽覆盖所有自动化级别，但未规定定量的验收标准或验证目标。因此，迫切需要一种基于真实运行数据的定量安全评估方法来补充现有标准，以客观衡量HAV的实际安全水平。

二、研究内容与结论

为解决上述问题，本研究开发了一套完整的、基于公共道路运行数据的HAV安全评估方法论，并将其应用于一辆L3级高度自动化卡车（基于梅赛德斯-奔驰Actros 1845LS牵引车）在俄罗斯高速公路上的试运行数据（自动行驶里程1413公里）。

研究得出的主要结论包括：

1. 1.
   定性评估有效识别风险：通过应用提出的F-MS-R三准则分类法，对15次影响行车安全的故障进行评估后，其中14次被判定为“关键”（Critical）风险等级，1次为“不可接受”（Unacceptable）。这揭示了系统存在的系统性问题，即关键功能的冗余不足，特别是在导航、服务器连接和CAN总线完整性方面。
2. 2.
   定量指标揭示系统瓶颈：计算出的关键性能指标（KPIs）量化了系统的弱点。运行效率（σ_reliability）为87.4%；威胁检测能力（SS_detection）为64.7%；而威胁缓解能力（SS_red）为0%，表明系统在检测到故障后无法自动响应，只能依赖驾驶员接管，这是向L4级过渡的关键障碍。驾驶员干预频率（F_ac）高达每万公里184次，安全违规频率（F_{f_total}）为每万公里120次，其中网络设备故障占比最高（59%）。
3. 3.
   综合安全指标提供整体视图：最终计算的综合安全指标（I_SA）为53.06%，该值主要用于追踪同一系统在不同运行阶段的安全性能变化，而非作为绝对安全度量。它直观地反映了系统当前的成熟度。

这项研究的重大意义在于首次实现了从具体故障分类到综合安全指标计算的完整闭环，为开发者提供了客观的改进优先级排序工具，也为监管机构制定基于运行数据的量化报告要求提供了实践范例。

三、关键技术方法

研究人员采用了以下主要技术方法开展此项研究：

1. 1.
   定性故障临界性分类法：基于三个独立标准——对功能性的影响程度（F0-F3）、安全机制覆盖情况（MS0-MS3）以及每万公里的复发频率（R0-R3）——对安全违规事件进行分类。通过这三个指数的总和（S = F + MS + R）构建临界性矩阵，将风险划分为四个区域：可接受、可容忍、不可接受和关键。
2. 2.
   定量关键绩效指标体系（KPIs）：建立了一套包含七个指标的体系，所有指标均归一化至每万公里自动行驶里程。这包括运行效率（σ_reliability）、威胁检测能力（SS_detection）、威胁缓解能力（SS_red）、驾驶员干预频率（F_ac）、安全违规频率（F_{f_total}）、事故频率（F_acc）以及对接触事件的正确响应率（σ_CE）。
3. 3.
   综合安全指标（I_SA）：将上述七项KPI通过启发式加权组合成一个介于0%到100%之间的单一综合安全指标（I_SA），用以提供对HAV安全性的总体量化评估。

四、研究结果

4.1 总体运行统计数据

在为期1617公里的计划自动行驶里程中，实际完成了1413公里。共记录17次系统故障，包括4次CAN总线连接丢失、10次网络设备故障、1次侧摄像头校准错误和2次不影响行车安全的数据记录设备故障。同时记录了26次驾驶员干预事件，其中12次源于系统故障，11次源于车辆自身的危险操作，3次由其他道路使用者的危险行为引发。整个运行期间未发生交通事故。

4.2 故障定性评估

通过对15次影响安全的故障应用F-MS-R分类法，发现14次落入“关键”风险区（S=8-9），1次落入“不可接受”风险区（S=6）。具体而言，4次导航模块故障和6次数字路线服务器连接丢失均获得8分（F3+MS2+R3），而4次CAN总线连接丢失最为严重，获得9分（F3+MS3+R3）。唯一一次侧摄像头过度识别问题获得6分（F2+MS2+R2）。这表明系统的主要问题是关键功能的冗余缺失，特别是导航、通信和网络连接方面。

4.3 定量安全指标

计算出的各项KPI值为：运行效率（σ_reliability）为87.4%；威胁检测能力（SS_detection）为64.7%；威胁缓解能力（SS_red）为0%；驾驶员干预频率（F_ac）为每万公里184次；安全违规频率（F_{f_total}）为每万公里120次；事故频率（F_acc）为0次/万公里；由于接触事件未被系统记录，其对接触事件的正确响应率（σ_CE）被保守假设为50%。最终计算出的综合安全指标（I_SA）为53.06%。

五、讨论与结论

讨论部分总结：

研究结果表明，设计阶段的传统分析方法（ISO 26262, ISO 21448）需要由基于运行数据的定量评估进行补充。提出的F-MS-R定性分类法成功地将实际运行中的故障进行了优先级排序，突出了实验室测试中未显现的导航和通信问题。威胁缓解能力（SS_red）为零是L3级自动化的系统性缺陷，因为系统设计依赖人类驾驶员作为最后的防线，但在高故障频率下这种依赖是不可持续的。与加州DMV的现有报告相比，本研究所提的指标体系提供了更全面的安全画像。从传感器和执行器网络视角看，59%的故障与网络设备相关，凸显了网络可靠性是HAV安全的关键因素。本研究存在局限性，包括行驶里程有限（1413公里）、仅使用单一年辆和单一ADS版本、接触事件日志缺失以及天气条件影响未被分层分析等。

研究结论部分翻译：

本研究提出了一种完全基于公共道路运行数据的高度自动驾驶车辆安全评估方法，并通过道路测试数据展示了其应用。主要科学和实践成果如下：

• •
  开发了基于三个独立标准（功能性影响F0-F3、安全机制覆盖MS0-MS3、每万公里复发频率R0-R3）的安全违规定性分类法，并据此构建了区分四个风险区域的临界性矩阵。该矩阵首次应用于真实的HAV运行数据：在15次评估的故障中，14次落入关键区域，1次落入不可接受区域，这使得能够立即确定改进优先级并识别需要架构变更的系统性问题。
• •
  引入了一套定量关键安全指标系统，包括运行效率（σ_reliability）、威胁检测能力（SS_detection）、威胁缓解能力（SS_red）、驾驶员干预频率（F_ac）、安全违规频率（F_{f_total}）、事故频率（F_acc）和对接触事件的正确响应率（σ_CE），并提出了一个聚合这些因素的综合性安全指标（I_SA）。
• •
  基于L3级HAV（梅赛德斯-奔驰Actros 1845LS）的1413公里自动行驶数据，获得了具体KPI数值，揭示了主要瓶颈是缺乏自动故障响应能力和在无RTK及互联网覆盖区域丧失自动模式。
• •
  本工作的实际意义在于，该方法既可被开发者用于客观地优先安排系统改进，也可被监管机构用于将定量安全指标纳入实验性法律框架下的报告要求。
• •
  从传感器和执行器网络的角度，本研究证明了HAV网络基础设施（CAN总线、与导航服务器的通信链路、RTK修正）的可靠性是决定安全性的主导因素，因为59%的故障与网络设备相关，且这些网络故障在提出的F-MS-R分类中获得了最高的临界性评分。