百度L4級(jí)自動(dòng)駕駛的安全系統(tǒng)實(shí)踐

“安全第一”是自動(dòng)駕駛的核心理念和價(jià)值觀。自動(dòng)駕駛車輛的整體系統(tǒng)安全設(shè)計(jì)是一項(xiàng)復(fù)雜的系統(tǒng)工程， 涉及車載自動(dòng)駕駛系統(tǒng)的核心算法策略設(shè)計(jì)、 硬件和軟件冗余安全設(shè)計(jì)、遠(yuǎn)程云代駕技術(shù)、 全流程測(cè)試驗(yàn)證技術(shù)等， 并遵循功能安全（ISO 26262） 和預(yù)期功能安全（ISO/PAS 21448） 的要求和設(shè)計(jì)思路。下面梳理一下百度 L4 級(jí)自動(dòng)駕駛的安全系統(tǒng)實(shí)踐， 分為主系統(tǒng)安全、 冗余安全系統(tǒng)、 遠(yuǎn)程云代駕系統(tǒng)三層安全體系。

圖 1百度 L4 整體系統(tǒng)安全設(shè)計(jì)思路

自動(dòng)駕駛主系統(tǒng)安全

主系統(tǒng)安全體系即通過(guò)車載自動(dòng)駕駛系統(tǒng)的核心算法層來(lái)保證駕駛策略和駕駛行為的安全性， 也可稱為“策略安全”。使用最先進(jìn)可靠的感知與定位算法、 預(yù)測(cè)決策規(guī)劃與控制算法來(lái)應(yīng)對(duì)道路行駛中的各種場(chǎng)景， 尤其是需要保證在遇到難度場(chǎng)景時(shí)也可以從駕駛策略和行為上確保安全。

自動(dòng)駕駛主系統(tǒng)安全是軟硬件組合套件的安全設(shè)計(jì)。軟件算法是整個(gè)自動(dòng)駕駛系統(tǒng)的核心， 典型的 L4 級(jí)自動(dòng)駕駛算法系統(tǒng)架構(gòu)主要包括車載操作系統(tǒng)、 環(huán)境感知、 高精地圖與定位、 預(yù)測(cè)決策與規(guī)劃、 控制與執(zhí)行模塊等。

操作系統(tǒng)

基礎(chǔ)操作系統(tǒng)是運(yùn)行在自動(dòng)駕駛汽車上用于管理、 調(diào)度、 控制車載軟硬件資源的基礎(chǔ)軟件。其主要任務(wù)是為自動(dòng)駕駛系統(tǒng)提供任務(wù)實(shí)時(shí)調(diào)度、 實(shí)時(shí)計(jì)算任務(wù)資源隔離、 實(shí)時(shí)消息通訊、 系統(tǒng)級(jí)訪問(wèn)控制等能力， 有效管理系統(tǒng)資源， 提高系統(tǒng)資源使用率， 向無(wú)人車算法模塊屏蔽硬件軟件物理特性及操作細(xì)節(jié)， 承載運(yùn)行感知、 定位、 規(guī)劃決策與控制等自動(dòng)駕駛核心組件。操作系統(tǒng)具有高穩(wěn)定、 實(shí)時(shí)性、 低時(shí)延（反應(yīng)速度高于人類駕駛員 250ms） 等特點(diǎn)。

泛感知系統(tǒng)

環(huán)境感知是自動(dòng)駕駛的前提條件。環(huán)境感知系統(tǒng)融合激光雷達(dá)、 毫米波雷達(dá)、 攝像頭等多傳感器的優(yōu)勢(shì)， 實(shí)現(xiàn)車身周圍 360 度視距， 在復(fù)雜變化的交通環(huán)境中穩(wěn)定檢測(cè)并跟蹤交通者的行為和速度朝向等信息， 為決策規(guī)劃模塊提供場(chǎng)景理解信息。

感知算法采用多傳感器融合的框架， 能夠提供最遠(yuǎn) 280 米外的障礙物的檢測(cè)。基于深度神經(jīng)網(wǎng)絡(luò)及海量的自動(dòng)駕駛數(shù)據(jù)， 能夠準(zhǔn)確的識(shí)別出障礙物類型、 并穩(wěn)定跟蹤障礙物行為，為下游決策模塊提供穩(wěn)定的感知能力?；诙鄠鞲衅魅诤戏桨傅母兄到y(tǒng)， 通過(guò)異源感知通路形成冗余， 為自動(dòng)駕駛系統(tǒng)提供高容錯(cuò)能力從而提升系統(tǒng)安全。

除此之外， 感知算法還通過(guò)水霧噪聲識(shí)別、 低矮障礙物檢測(cè)、 異形交通信號(hào)燈和標(biāo)識(shí)的檢測(cè)等能力， 有效支持場(chǎng)景擴(kuò)展。在紅綠燈識(shí)別上， 可將自車感知識(shí)別的紅綠燈燈色和倒計(jì)時(shí)與高精地圖提供的先驗(yàn)信息進(jìn)行交叉驗(yàn)證， 同時(shí)提高臨時(shí)紅綠燈識(shí)別能力， 確?？煽啃院桶踩浴?/p>

高精地圖與高精定位為自動(dòng)駕駛車輛提供預(yù)先的道路信息、 精準(zhǔn)的車輛位置信息和豐富的道路元素?cái)?shù)據(jù)信息， 強(qiáng)調(diào)空間的三維模型以及精度， 非常精確的顯示路面上的每一個(gè)特征和狀況。高精地圖與定位采用激光雷達(dá)、 視覺(jué)、 RTK 與 IMU 多傳感器融合的方案， 通過(guò)多種傳感器融合使得定位精度可以達(dá)到 5-10 厘米， 滿足 L4 級(jí)自動(dòng)駕駛需求。

預(yù)測(cè)決策與規(guī)劃控制

預(yù)測(cè)決策與規(guī)劃控制技術(shù)模塊相當(dāng)于自動(dòng)駕駛汽車的大腦。預(yù)測(cè)決策與規(guī)劃是軟件算法核心模塊， 直接影響車輛自動(dòng)駕駛的能力和效果。該算法模塊基于交通安全規(guī)范與共識(shí)規(guī)則，為車輛規(guī)劃出安全、 高效、 舒適的行駛路徑和軌跡。為了更好提升算法的泛化能力， 應(yīng)用數(shù)據(jù)挖掘和深度學(xué)習(xí)算法來(lái)實(shí)現(xiàn)智能規(guī)劃駕駛行為。

在給定車輛設(shè)定的出發(fā)地與目的地后， 系統(tǒng)生成最優(yōu)的全局規(guī)劃路徑。車輛能夠?qū)崟r(shí)接收感知模塊提供的環(huán)境和障礙物信息， 結(jié)合高精度地圖， 跟蹤并預(yù)測(cè)周邊車輛、 行人、 騎行者或其他障礙物的行為意圖和預(yù)測(cè)軌跡， 綜合考慮安全性、 舒適性和效率， 生成駕駛行為決策（跟車、 換道、 停車等） ， 并按照交通規(guī)則和文明交通禮儀對(duì)車輛進(jìn)行運(yùn)行規(guī)劃（速度、軌跡等） ， 最終輸出到控制模塊實(shí)現(xiàn)車輛加減速和轉(zhuǎn)向動(dòng)作。車輛控制部分是最底下一層，直接與車輛底盤通信， 將車輛的目標(biāo)位置和速度通過(guò)電信號(hào)傳給底盤來(lái)操作油門、 剎車和方向盤。

自動(dòng)駕駛的目標(biāo)是應(yīng)對(duì)城市道路的復(fù)雜交通場(chǎng)景， 在任何道路交通狀況下都能保證自動(dòng)駕駛車輛處于安全駕駛狀態(tài)。在軟件算法層， 有基于海量測(cè)試數(shù)據(jù)訓(xùn)練的深度學(xué)習(xí)模型， 保證自動(dòng)駕駛車輛在常規(guī)駕駛場(chǎng)景下安全高效平穩(wěn)的通行；在安全算法層， 針對(duì)各種典型危險(xiǎn)場(chǎng)景設(shè)計(jì)了一系列安全駕駛策略， 保證自動(dòng)駕駛車輛在任何場(chǎng)景下都能做出安全的駕駛行為。如在惡劣天氣、 視野遮擋等極端場(chǎng)景下， 會(huì)觸發(fā)防御性駕駛策略， 通過(guò)多觀察減速駕駛降低安全風(fēng)險(xiǎn)等。

自動(dòng)駕駛車輛更加遵守交通規(guī)則和道路優(yōu)先通行權(quán)， 在道路交叉口與其他交通參與者交匯場(chǎng)景下， 在高路權(quán)情況下遇到搶行車輛， 也會(huì)以安全第一原則考慮減速讓行， 避免風(fēng)險(xiǎn)。在遇到“鬼探頭”等高危風(fēng)險(xiǎn)場(chǎng)景時(shí)， 也會(huì)堅(jiān)持安全第一原則采取緊急制動(dòng)策略盡可能避免傷害。隨著自動(dòng)駕駛道路測(cè)試數(shù)據(jù)和大量的極端場(chǎng)景數(shù)據(jù)的積累， 自動(dòng)駕駛核心算法通過(guò)數(shù)據(jù)驅(qū)動(dòng)的深度學(xué)習(xí)算法模型， 得以持續(xù)不斷進(jìn)化， 成為能夠提前預(yù)判、 安全謹(jǐn)慎駕駛的“老司機(jī)”。

車路協(xié)同

車路協(xié)同自動(dòng)駕駛是在單車智能自動(dòng)駕駛的基礎(chǔ)上， 通過(guò)車聯(lián)網(wǎng)將“人-車-路-云”交通參與要素有機(jī)地聯(lián)系在一起， 實(shí)現(xiàn)車與車、 車與路、 車與人之間動(dòng)態(tài)實(shí)時(shí)信息交互共享， 保證交通安全。車路協(xié)同自動(dòng)駕駛通過(guò)信息交互協(xié)同、 協(xié)同感知與協(xié)同決策控制， 可以極大地拓展單車的感知范圍、 提升感知的能力， 引入高維數(shù)據(jù)為代表的新的智能要素， 實(shí)現(xiàn)群體智能?？梢詭椭鉀Q單車智能自動(dòng)駕駛遇到的技術(shù)瓶頸， 提升自動(dòng)駕駛能力， 從而保證自動(dòng)駕駛安全， 擴(kuò)展自動(dòng)駕駛設(shè)計(jì)運(yùn)行域（Operational Design Domain， ODD） 。

例如， 車路協(xié)同自動(dòng)駕駛可以解決單車智能易受到遮擋、 惡劣天氣等環(huán)境條件影響， 在動(dòng)靜態(tài)盲區(qū)/遮擋協(xié)同感知方面的問(wèn)題。單車智能自動(dòng)駕駛受限于傳感器感知角度限制， 在出現(xiàn)靜態(tài)障礙物或動(dòng)態(tài)障礙物（如大型車輛） 遮擋時(shí)， AV 無(wú)法準(zhǔn)確獲取盲區(qū)內(nèi)的車輛或行人的運(yùn)動(dòng)情況。車路協(xié)同則通過(guò)路側(cè)多傳感器部署， 實(shí)現(xiàn)對(duì)多方位、 長(zhǎng)距離連續(xù)檢測(cè)識(shí)別，并與 AV 感知進(jìn)行融合， 實(shí)現(xiàn)自動(dòng)駕駛車輛對(duì)盲區(qū)內(nèi)車輛或行人的準(zhǔn)確感知識(shí)別， 車輛可提前做出預(yù)判和決策控制， 進(jìn)而降低事故風(fēng)險(xiǎn)。

圖 2動(dòng)靜態(tài)盲區(qū)非機(jī)動(dòng)車/行人鬼探頭協(xié)同感知

圖 3 路口遮擋車路協(xié)同感知

自動(dòng)駕駛安全冗余系統(tǒng)

根據(jù)《ISO 26262 道路車輛功能安全》， 系統(tǒng)功能安全必須考慮功能冗余的要求。按照功能安全的設(shè)計(jì)標(biāo)準(zhǔn)， 功能冗余從部件級(jí)、 系統(tǒng)級(jí)和整車級(jí)三個(gè)層面來(lái)完成。冗余的系統(tǒng)設(shè)計(jì)是保證自動(dòng)駕駛安全可控的關(guān)鍵， 依托全線冗余設(shè)計(jì)可有效應(yīng)對(duì)車輛控制系統(tǒng)、 硬件平臺(tái)、軟件平臺(tái)三個(gè)層次單點(diǎn)故障或功能失效， 為完全無(wú)人自動(dòng)駕駛系統(tǒng)提供基礎(chǔ)支撐。

L4級(jí)自動(dòng)駕駛系統(tǒng)在車載主計(jì)算單元和傳感系統(tǒng)之外又配置了安全冗余實(shí)現(xiàn)了軟件和硬件的異構(gòu)冗余設(shè)計(jì)， 避免了各個(gè)系統(tǒng)的單點(diǎn)失效， 主計(jì)算系統(tǒng)和冗余安全系統(tǒng)分工不同且互為校驗(yàn)， 整體上實(shí)現(xiàn)安全性和可靠性極大提升。冗余安全系統(tǒng)在功能和算法策略設(shè)計(jì)上，側(cè)重于對(duì)主計(jì)算系統(tǒng)軟硬件的實(shí)時(shí)監(jiān)控， 并進(jìn)行危害識(shí)別， 當(dāng)檢測(cè)到主計(jì)算系統(tǒng)異常時(shí)將觸發(fā) MRC 機(jī)制， 通過(guò)告警、 緩剎、 靠邊停車、 緊急制動(dòng)等方法讓車輛進(jìn)入最小風(fēng)險(xiǎn)狀（Minimal Risk Condition， MRC） 。

硬件和傳感器冗余

從傳感器、 計(jì)算單元到車輛控制系統(tǒng)， 都具備兩套互為獨(dú)立冗余的系統(tǒng)， 避免單點(diǎn)失效，提升系統(tǒng)整體可靠性和安全性。

計(jì)算單元冗余

安全系統(tǒng)通過(guò)配置一套 SafetyDCU 作為冗余計(jì)算單元， 實(shí)時(shí)運(yùn)算并監(jiān)控主系統(tǒng)工作狀態(tài)。當(dāng)主計(jì)算單元故障時(shí)， 能夠支持冗余系統(tǒng)的算法運(yùn)算繼續(xù)控制車輛， 做出風(fēng)險(xiǎn)最小回退的緩剎、 靠邊停車等動(dòng)作。

傳感器冗余

安全系統(tǒng)通過(guò)冗余設(shè)計(jì)兩套獨(dú)立的自動(dòng)駕駛傳感器系統(tǒng)， 采用激光雷達(dá)、 攝像頭、 定位設(shè)備等零部件冗余方案， 在任何單一零部件失效的情況下， 都能夠觸發(fā)冗余系統(tǒng)， 提供完善環(huán)境感知能力， 從而安全控制車輛， 保障系統(tǒng)的運(yùn)行更加可靠。

車輛控制系統(tǒng)冗余

車輛底盤具備冗余能力， 包括轉(zhuǎn)向、 動(dòng)力、 制動(dòng)等關(guān)鍵部件， 能夠在單一系統(tǒng)故障失效時(shí)， 切換到備用系統(tǒng)控制車輛， 幫助安全停車， 防止車輛失控的發(fā)生。

故障監(jiān)控系統(tǒng)與軟件冗余

故障監(jiān)控系統(tǒng)為部署在主計(jì)算單元與安全計(jì)算單元之間的一套完整故障檢測(cè)系統(tǒng)， 能夠?qū)ο到y(tǒng)運(yùn)行中的所有軟硬件類失效、 故障、 超出 ODD 范圍、 系統(tǒng)算法缺陷等做到實(shí)時(shí)檢測(cè)監(jiān)聽(tīng)， 并且通過(guò)主系統(tǒng)和冗余系統(tǒng)進(jìn)行交叉驗(yàn)證， 互相校驗(yàn)和監(jiān)控， 確保故障沒(méi)有遺漏。同時(shí)進(jìn)行風(fēng)險(xiǎn)預(yù)測(cè)， 對(duì)易發(fā)生問(wèn)題的數(shù)據(jù)進(jìn)行挖掘分析、 特征提取， 在車端進(jìn)行實(shí)時(shí)安全風(fēng)險(xiǎn)計(jì)算。

軟件冗余系統(tǒng)是一套完整的輕量化的感知定位與決策控制的軟件。例如完善的定位系統(tǒng)冗余， 增加多重交叉驗(yàn)證提升定位異常檢測(cè)和容錯(cuò)的能力；感知 360 度環(huán)視檢測(cè)覆蓋， 對(duì)車身周圍和前向風(fēng)險(xiǎn)做到實(shí)時(shí)感知；當(dāng)檢測(cè)到主系統(tǒng)故障或失效時(shí)， 備份系統(tǒng)代替其接管車輛的操控， 通過(guò)限速、 緩慢剎車、 靠邊停車、 剎停等進(jìn)行功能降級(jí)或進(jìn)入 MRC， 實(shí)現(xiàn)車輛的安全停車。

圖 4 故障監(jiān)控系統(tǒng)與軟件冗余

遠(yuǎn)程云代駕

遠(yuǎn)程云代駕系統(tǒng)是在車輛遇困或極端場(chǎng)景下， 由遠(yuǎn)程駕駛員接管車輛， 通過(guò)環(huán)繞屏展示環(huán)境建模型及主視覺(jué)、 俯視角， 為安全員提供身臨其境的平行駕駛感受。當(dāng)遠(yuǎn)程駕駛員將車輛開(kāi)到安全地帶后再將控制權(quán)移交給車端， 整個(gè)過(guò)程端到端時(shí)延比人類司機(jī)的反應(yīng)時(shí)間更短，且車端和遠(yuǎn)程的控制權(quán)切換完全平滑無(wú)感。在遠(yuǎn)程駕駛艙， 通過(guò)配置多屏監(jiān)控， 以及通過(guò)風(fēng)險(xiǎn)預(yù)警和動(dòng)態(tài)調(diào)度等功能， 可以實(shí)現(xiàn)車隊(duì)級(jí)實(shí)時(shí)監(jiān)控。

遠(yuǎn)程云代駕設(shè)有包含主動(dòng)安全、 安全預(yù)警以及安全基礎(chǔ)功能在內(nèi)的全面安全分層設(shè)計(jì)，可實(shí)時(shí)監(jiān)測(cè)駕駛艙、 網(wǎng)絡(luò)、 無(wú)人駕駛車輛狀態(tài)， 并根據(jù)不同故障或風(fēng)險(xiǎn)等級(jí)做出安全處理，進(jìn)一步為自動(dòng)駕駛運(yùn)營(yíng)全面護(hù)航。當(dāng)前自動(dòng)駕駛技術(shù)在常規(guī)城市道路下主要由車端自動(dòng)駕駛系統(tǒng)實(shí)現(xiàn)自主駕駛， 僅在極端場(chǎng)景下借助遠(yuǎn)程云代駕， 因此可以實(shí)現(xiàn)遠(yuǎn)程駕駛員一人控制多車的高效運(yùn)營(yíng)服務(wù)。

圖5 遠(yuǎn)程云代駕產(chǎn)品設(shè)計(jì)

平行駕駛基于 5G 技術(shù)， 遠(yuǎn)程控制中心的安全操作員能夠?qū)崟r(shí)了解車輛所處環(huán)境與狀態(tài)，車云無(wú)縫對(duì)接， 在自動(dòng)駕駛無(wú)法通過(guò)的場(chǎng)景下完成遠(yuǎn)程協(xié)助， 結(jié)束后使車輛回到自動(dòng)駕駛狀態(tài)， 實(shí)現(xiàn)極端場(chǎng)景下的車輛脫困和避險(xiǎn)。

5G 云代駕是未來(lái)無(wú)人駕駛的重要配套設(shè)施， 基于 5G、 智慧交通、 V2X 等新基建設(shè)施，實(shí)現(xiàn)自動(dòng)駕駛車輛車內(nèi)、 車外視頻實(shí)時(shí)回傳監(jiān)控， 可在車上無(wú)駕駛員的情況下為自動(dòng)駕駛系統(tǒng)的能力缺口補(bǔ)位。

圖 6 遠(yuǎn)程云代駕適用場(chǎng)景

自動(dòng)駕駛汽車測(cè)試與驗(yàn)證

自動(dòng)駕駛系統(tǒng)從研發(fā)到應(yīng)用， 需要進(jìn)行充分的功能安全和性能安全測(cè)試驗(yàn)證來(lái)證明其運(yùn)行安全性， 以保障乘車用戶和其他交通參與者的人身安全。虛擬仿真需要進(jìn)行數(shù)億至上百億公里的驗(yàn)證測(cè)試， 真實(shí)道路測(cè)試需要百萬(wàn)公里以上的測(cè)試積累。

測(cè)試流程體系

自動(dòng)駕駛測(cè)試以場(chǎng)景化的測(cè)試方法， 驗(yàn)證在每個(gè)場(chǎng)景下是否都具備安全駕駛能力。自動(dòng)駕駛測(cè)試場(chǎng)景庫(kù)是測(cè)試體系的基礎(chǔ)， 驅(qū)動(dòng)自動(dòng)駕駛車輛測(cè)試各個(gè)環(huán)節(jié)。

測(cè)試場(chǎng)景庫(kù)包含典型的日常行駛場(chǎng)景、 高碰撞風(fēng)險(xiǎn)場(chǎng)景、 法律法規(guī)場(chǎng)景等， 同時(shí)也包含已經(jīng)形成行業(yè)標(biāo)準(zhǔn)的場(chǎng)景，例如 AEB 功能的標(biāo)準(zhǔn)測(cè)試場(chǎng)景。具體分為不同自然條件（天氣、 光照） 、 不同道路類型（路面狀態(tài)、 車道線類型等） 、 不同交通參與者（車輛、 行人位置、 速度等） 、 不同環(huán)境類型（高速公路、 小區(qū)、 商場(chǎng)、 鄉(xiāng)村等） 的多類型虛擬仿真測(cè)試場(chǎng)景和真實(shí)交通環(huán)境的測(cè)試試驗(yàn)場(chǎng)景。測(cè)試內(nèi)容包括傳感器、 算法、 執(zhí)行器、 人機(jī)界面以及整車等， 從應(yīng)用功能、 性能、 穩(wěn)定性和魯棒性、 功能安全、 預(yù)期功能安全、 型式認(rèn)證等各個(gè)方面來(lái)驗(yàn)證自動(dòng)駕駛系統(tǒng)的合理性、 安全性和穩(wěn)定性， 從而確保車輛能夠自主上路。

自動(dòng)駕駛汽車的測(cè)試流程體系主要包括離線環(huán)境測(cè)試、 車輛在環(huán)測(cè)試（Vehicle in theLoop， VIL） 、 道路在環(huán)測(cè)試（Road in the Loop， RIL） 三個(gè)階段， 對(duì)軟件、 硬件、 車輛進(jìn)行逐層環(huán)環(huán)相扣測(cè)試， 確保自動(dòng)駕駛系統(tǒng)上路測(cè)試的安全性。在離線測(cè)試階段， 每一行代碼都能被充分及時(shí)的測(cè)試， 當(dāng)軟件發(fā)生修改后， 系統(tǒng)會(huì)逐一自動(dòng)觸發(fā)各個(gè)測(cè)試環(huán)節(jié)， 直至達(dá)到安全的上車測(cè)試標(biāo)準(zhǔn)方進(jìn)入車輛在環(huán)測(cè)試階段及道路在環(huán)階段。道路在環(huán)測(cè)試階段發(fā)現(xiàn)問(wèn)題會(huì)進(jìn)行下一輪的代碼修改， 開(kāi)始下一次的循環(huán)。經(jīng)過(guò)一輪又一輪的閉環(huán)， 使得自動(dòng)駕駛能力不斷提升。

離線測(cè)試

離線是指未包含車輛的測(cè)試， 大部分工作是在實(shí)驗(yàn)室里完成的。這個(gè)階段包含了模型在環(huán)測(cè)試（Model in the Loop， MIL） 、 軟件在環(huán)測(cè)（Software in the Loop， SIL） 、 硬件在環(huán)測(cè)試（Hardware in the Loop， HIL） 。

模型在環(huán)測(cè)試?yán)么笠?guī)模數(shù)據(jù)集對(duì)感知、 預(yù)測(cè)、 定位、 控制等核心算法模型進(jìn)行精確的評(píng)估， 通過(guò)模型評(píng)估后的各項(xiàng)指標(biāo)度量模型能力變化， 通過(guò)自動(dòng)化挖掘在早期暴露算法問(wèn)題和 BadCase， 避免遺留到后續(xù)測(cè)試過(guò)程。

軟件在環(huán)測(cè)試階段， 仿真測(cè)試是自動(dòng)駕駛測(cè)試體系的關(guān)鍵環(huán)節(jié)， 通過(guò)將海量的道路測(cè)試數(shù)據(jù)灌入仿真系統(tǒng)， 反復(fù)回歸驗(yàn)證新算法的效果。同時(shí)在仿真系統(tǒng)中構(gòu)造大量的極端場(chǎng)景，并且通過(guò)參數(shù)擴(kuò)展的方法將單一的場(chǎng)景自動(dòng)化生產(chǎn)規(guī)?；膱?chǎng)景， 以提高測(cè)試的覆蓋度。此外， 仿真平臺(tái)還有一套精細(xì)的度量體系， 可以自動(dòng)化地判斷仿真過(guò)程中發(fā)生的碰撞問(wèn)題、 違反交規(guī)問(wèn)題、 體感問(wèn)題、 路線不合理問(wèn)題。

硬件在環(huán)測(cè)試階段， 把軟件和硬件集成到一起， 以測(cè)試軟硬件系統(tǒng)的兼容性和可靠性。通常硬件的故障發(fā)生都有一定的概率， 帶有一定的偶然性， 在硬件在環(huán)測(cè)試階段基于真實(shí)和虛擬硬件結(jié)合方式進(jìn)行成千上萬(wàn)真實(shí)場(chǎng)景的還原測(cè)試， 并且 24 小時(shí)不間斷的對(duì)自動(dòng)駕駛系統(tǒng)施加壓力， 以模擬系統(tǒng)在不同資源極限條件下（比如：GPU 資源不足， CPU 使用率過(guò)高）的性能和穩(wěn)定性表現(xiàn)。同時(shí)在這個(gè)階段模擬了大量的硬件故障， 測(cè)試在硬件故障的情況下系統(tǒng)的反映， 如硬件失效、 斷電、 丟幀、 上下游接口異常等， 確保系統(tǒng)符合 ISO26262 功能安全要求。

車輛在環(huán)測(cè)試

車輛在環(huán)測(cè)試階段會(huì)先進(jìn)行基于臺(tái)架的測(cè)試， 在臺(tái)架上完成各項(xiàng)車輛線控功能、 性能和穩(wěn)定性測(cè)試， 以確保自動(dòng)駕駛系統(tǒng)可以按照意圖控制車輛。完成對(duì)車輛線控的測(cè)試之后 VIL環(huán)節(jié)會(huì)進(jìn)入封閉場(chǎng)地， 基于真實(shí)的道路構(gòu)建虛實(shí)結(jié)合的場(chǎng)景測(cè)試自動(dòng)駕駛系統(tǒng)在真實(shí)車輛上的表現(xiàn)。

道路在環(huán)測(cè)試

在離線測(cè)試和車輛在環(huán)測(cè)試階段通過(guò)后（每個(gè)環(huán)節(jié)都有嚴(yán)格的測(cè)試通過(guò)標(biāo)準(zhǔn)） ， 接下來(lái)進(jìn)入封閉場(chǎng)地內(nèi)構(gòu)建真實(shí)的場(chǎng)景來(lái)測(cè)試車輛的自動(dòng)駕駛各項(xiàng)能力和安全性。封閉測(cè)試場(chǎng)涵蓋了常見(jiàn)的城市道路及高速道路， 包括直行道路、 彎道、 路口、 坡路、 隧道及停車場(chǎng)等。另外，通過(guò)假人、 假車等測(cè)試設(shè)備構(gòu)造各種低頻場(chǎng)景。這類低頻場(chǎng)景在社會(huì)道路上存在， 但是出現(xiàn)的頻率較低， 在開(kāi)放道路上不易得到充分驗(yàn)證。例如逆行的自行車、 突然沖出的行人、 路段積水等場(chǎng)景。

開(kāi)放道路測(cè)試是道路在環(huán)測(cè)試的最終環(huán)節(jié)， 也是自動(dòng)駕駛車輛完成測(cè)試評(píng)估所必須經(jīng)過(guò)的重要環(huán)節(jié)。開(kāi)放道路測(cè)試是循序漸進(jìn)開(kāi)展的， 通常最新的系統(tǒng)部署在少量車上進(jìn)行測(cè)試，確認(rèn)安全后再部署到更大規(guī)模的車隊(duì)。通過(guò)部署規(guī)?；詣?dòng)駕駛車輛不斷在實(shí)際道路上進(jìn)行測(cè)試和驗(yàn)證， 形成實(shí)際路上場(chǎng)景和自動(dòng)駕駛能力不斷閉環(huán)， 使自動(dòng)駕駛車輛在智能度、 安全性等方面持續(xù)提升， 從而逐漸接近具備自動(dòng)駕駛車輛走進(jìn)千家萬(wàn)戶的能力。

“安全第一”是自動(dòng)駕駛的核心理念和價(jià)值觀。自動(dòng)駕駛車輛的整體系統(tǒng)安全設(shè)計(jì)是一項(xiàng)復(fù)雜的系統(tǒng)工程， 涉及車載自動(dòng)駕駛系統(tǒng)的核心算法策略設(shè)計(jì)、 硬件和軟件冗余安全設(shè)計(jì)、遠(yuǎn)程云代駕技術(shù)、 全流程測(cè)試驗(yàn)證技術(shù)等， 并遵循功能安全（ISO 26262） 和預(yù)期功能安全（ISO/PAS 21448） 的要求和設(shè)計(jì)思路。下面梳理一下百度 L4 級(jí)自動(dòng)駕駛的安全系統(tǒng)實(shí)踐， 分為主系統(tǒng)安全、 冗余安全系統(tǒng)、 遠(yuǎn)程云代駕系統(tǒng)三層安全體系。

圖 1百度 L4 整體系統(tǒng)安全設(shè)計(jì)思路

自動(dòng)駕駛主系統(tǒng)安全

主系統(tǒng)安全體系即通過(guò)車載自動(dòng)駕駛系統(tǒng)的核心算法層來(lái)保證駕駛策略和駕駛行為的安全性， 也可稱為“策略安全”。使用最先進(jìn)可靠的感知與定位算法、 預(yù)測(cè)決策規(guī)劃與控制算法來(lái)應(yīng)對(duì)道路行駛中的各種場(chǎng)景， 尤其是需要保證在遇到難度場(chǎng)景時(shí)也可以從駕駛策略和行為上確保安全。

自動(dòng)駕駛主系統(tǒng)安全是軟硬件組合套件的安全設(shè)計(jì)。軟件算法是整個(gè)自動(dòng)駕駛系統(tǒng)的核心， 典型的 L4 級(jí)自動(dòng)駕駛算法系統(tǒng)架構(gòu)主要包括車載操作系統(tǒng)、 環(huán)境感知、 高精地圖與定位、 預(yù)測(cè)決策與規(guī)劃、 控制與執(zhí)行模塊等。

操作系統(tǒng)

基礎(chǔ)操作系統(tǒng)是運(yùn)行在自動(dòng)駕駛汽車上用于管理、 調(diào)度、 控制車載軟硬件資源的基礎(chǔ)軟件。其主要任務(wù)是為自動(dòng)駕駛系統(tǒng)提供任務(wù)實(shí)時(shí)調(diào)度、 實(shí)時(shí)計(jì)算任務(wù)資源隔離、 實(shí)時(shí)消息通訊、 系統(tǒng)級(jí)訪問(wèn)控制等能力， 有效管理系統(tǒng)資源， 提高系統(tǒng)資源使用率， 向無(wú)人車算法模塊屏蔽硬件軟件物理特性及操作細(xì)節(jié)， 承載運(yùn)行感知、 定位、 規(guī)劃決策與控制等自動(dòng)駕駛核心組件。操作系統(tǒng)具有高穩(wěn)定、 實(shí)時(shí)性、 低時(shí)延（反應(yīng)速度高于人類駕駛員 250ms） 等特點(diǎn)。

泛感知系統(tǒng)

環(huán)境感知是自動(dòng)駕駛的前提條件。環(huán)境感知系統(tǒng)融合激光雷達(dá)、 毫米波雷達(dá)、 攝像頭等多傳感器的優(yōu)勢(shì)， 實(shí)現(xiàn)車身周圍 360 度視距， 在復(fù)雜變化的交通環(huán)境中穩(wěn)定檢測(cè)并跟蹤交通者的行為和速度朝向等信息， 為決策規(guī)劃模塊提供場(chǎng)景理解信息。

感知算法采用多傳感器融合的框架， 能夠提供最遠(yuǎn) 280 米外的障礙物的檢測(cè)?；谏疃壬窠?jīng)網(wǎng)絡(luò)及海量的自動(dòng)駕駛數(shù)據(jù)， 能夠準(zhǔn)確的識(shí)別出障礙物類型、 并穩(wěn)定跟蹤障礙物行為，為下游決策模塊提供穩(wěn)定的感知能力?；诙鄠鞲衅魅诤戏桨傅母兄到y(tǒng)， 通過(guò)異源感知通路形成冗余， 為自動(dòng)駕駛系統(tǒng)提供高容錯(cuò)能力從而提升系統(tǒng)安全。

除此之外， 感知算法還通過(guò)水霧噪聲識(shí)別、 低矮障礙物檢測(cè)、 異形交通信號(hào)燈和標(biāo)識(shí)的檢測(cè)等能力， 有效支持場(chǎng)景擴(kuò)展。在紅綠燈識(shí)別上， 可將自車感知識(shí)別的紅綠燈燈色和倒計(jì)時(shí)與高精地圖提供的先驗(yàn)信息進(jìn)行交叉驗(yàn)證， 同時(shí)提高臨時(shí)紅綠燈識(shí)別能力， 確?？煽啃院桶踩浴?/p>

高精地圖與高精定位為自動(dòng)駕駛車輛提供預(yù)先的道路信息、 精準(zhǔn)的車輛位置信息和豐富的道路元素?cái)?shù)據(jù)信息， 強(qiáng)調(diào)空間的三維模型以及精度， 非常精確的顯示路面上的每一個(gè)特征和狀況。高精地圖與定位采用激光雷達(dá)、 視覺(jué)、 RTK 與 IMU 多傳感器融合的方案， 通過(guò)多種傳感器融合使得定位精度可以達(dá)到 5-10 厘米， 滿足 L4 級(jí)自動(dòng)駕駛需求。

預(yù)測(cè)決策與規(guī)劃控制

預(yù)測(cè)決策與規(guī)劃控制技術(shù)模塊相當(dāng)于自動(dòng)駕駛汽車的大腦。預(yù)測(cè)決策與規(guī)劃是軟件算法核心模塊， 直接影響車輛自動(dòng)駕駛的能力和效果。該算法模塊基于交通安全規(guī)范與共識(shí)規(guī)則，為車輛規(guī)劃出安全、 高效、 舒適的行駛路徑和軌跡。為了更好提升算法的泛化能力， 應(yīng)用數(shù)據(jù)挖掘和深度學(xué)習(xí)算法來(lái)實(shí)現(xiàn)智能規(guī)劃駕駛行為。

在給定車輛設(shè)定的出發(fā)地與目的地后， 系統(tǒng)生成最優(yōu)的全局規(guī)劃路徑。車輛能夠?qū)崟r(shí)接收感知模塊提供的環(huán)境和障礙物信息， 結(jié)合高精度地圖， 跟蹤并預(yù)測(cè)周邊車輛、 行人、 騎行者或其他障礙物的行為意圖和預(yù)測(cè)軌跡， 綜合考慮安全性、 舒適性和效率， 生成駕駛行為決策（跟車、 換道、 停車等） ， 并按照交通規(guī)則和文明交通禮儀對(duì)車輛進(jìn)行運(yùn)行規(guī)劃（速度、軌跡等） ， 最終輸出到控制模塊實(shí)現(xiàn)車輛加減速和轉(zhuǎn)向動(dòng)作。車輛控制部分是最底下一層，直接與車輛底盤通信， 將車輛的目標(biāo)位置和速度通過(guò)電信號(hào)傳給底盤來(lái)操作油門、 剎車和方向盤。

自動(dòng)駕駛的目標(biāo)是應(yīng)對(duì)城市道路的復(fù)雜交通場(chǎng)景， 在任何道路交通狀況下都能保證自動(dòng)駕駛車輛處于安全駕駛狀態(tài)。在軟件算法層， 有基于海量測(cè)試數(shù)據(jù)訓(xùn)練的深度學(xué)習(xí)模型， 保證自動(dòng)駕駛車輛在常規(guī)駕駛場(chǎng)景下安全高效平穩(wěn)的通行；在安全算法層， 針對(duì)各種典型危險(xiǎn)場(chǎng)景設(shè)計(jì)了一系列安全駕駛策略， 保證自動(dòng)駕駛車輛在任何場(chǎng)景下都能做出安全的駕駛行為。如在惡劣天氣、 視野遮擋等極端場(chǎng)景下， 會(huì)觸發(fā)防御性駕駛策略， 通過(guò)多觀察減速駕駛降低安全風(fēng)險(xiǎn)等。

自動(dòng)駕駛車輛更加遵守交通規(guī)則和道路優(yōu)先通行權(quán)， 在道路交叉口與其他交通參與者交匯場(chǎng)景下， 在高路權(quán)情況下遇到搶行車輛， 也會(huì)以安全第一原則考慮減速讓行， 避免風(fēng)險(xiǎn)。在遇到“鬼探頭”等高危風(fēng)險(xiǎn)場(chǎng)景時(shí)， 也會(huì)堅(jiān)持安全第一原則采取緊急制動(dòng)策略盡可能避免傷害。隨著自動(dòng)駕駛道路測(cè)試數(shù)據(jù)和大量的極端場(chǎng)景數(shù)據(jù)的積累， 自動(dòng)駕駛核心算法通過(guò)數(shù)據(jù)驅(qū)動(dòng)的深度學(xué)習(xí)算法模型， 得以持續(xù)不斷進(jìn)化， 成為能夠提前預(yù)判、 安全謹(jǐn)慎駕駛的“老司機(jī)”。

車路協(xié)同

車路協(xié)同自動(dòng)駕駛是在單車智能自動(dòng)駕駛的基礎(chǔ)上， 通過(guò)車聯(lián)網(wǎng)將“人-車-路-云”交通參與要素有機(jī)地聯(lián)系在一起， 實(shí)現(xiàn)車與車、 車與路、 車與人之間動(dòng)態(tài)實(shí)時(shí)信息交互共享， 保證交通安全。車路協(xié)同自動(dòng)駕駛通過(guò)信息交互協(xié)同、 協(xié)同感知與協(xié)同決策控制， 可以極大地拓展單車的感知范圍、 提升感知的能力， 引入高維數(shù)據(jù)為代表的新的智能要素， 實(shí)現(xiàn)群體智能?？梢詭椭鉀Q單車智能自動(dòng)駕駛遇到的技術(shù)瓶頸， 提升自動(dòng)駕駛能力， 從而保證自動(dòng)駕駛安全， 擴(kuò)展自動(dòng)駕駛設(shè)計(jì)運(yùn)行域（Operational Design Domain， ODD） 。

例如， 車路協(xié)同自動(dòng)駕駛可以解決單車智能易受到遮擋、 惡劣天氣等環(huán)境條件影響， 在動(dòng)靜態(tài)盲區(qū)/遮擋協(xié)同感知方面的問(wèn)題。單車智能自動(dòng)駕駛受限于傳感器感知角度限制， 在出現(xiàn)靜態(tài)障礙物或動(dòng)態(tài)障礙物（如大型車輛） 遮擋時(shí)， AV 無(wú)法準(zhǔn)確獲取盲區(qū)內(nèi)的車輛或行人的運(yùn)動(dòng)情況。車路協(xié)同則通過(guò)路側(cè)多傳感器部署， 實(shí)現(xiàn)對(duì)多方位、 長(zhǎng)距離連續(xù)檢測(cè)識(shí)別，并與 AV 感知進(jìn)行融合， 實(shí)現(xiàn)自動(dòng)駕駛車輛對(duì)盲區(qū)內(nèi)車輛或行人的準(zhǔn)確感知識(shí)別， 車輛可提前做出預(yù)判和決策控制， 進(jìn)而降低事故風(fēng)險(xiǎn)。

圖 2動(dòng)靜態(tài)盲區(qū)非機(jī)動(dòng)車/行人鬼探頭協(xié)同感知

圖 3 路口遮擋車路協(xié)同感知

自動(dòng)駕駛安全冗余系統(tǒng)

根據(jù)《ISO 26262 道路車輛功能安全》， 系統(tǒng)功能安全必須考慮功能冗余的要求。按照功能安全的設(shè)計(jì)標(biāo)準(zhǔn)， 功能冗余從部件級(jí)、 系統(tǒng)級(jí)和整車級(jí)三個(gè)層面來(lái)完成。冗余的系統(tǒng)設(shè)計(jì)是保證自動(dòng)駕駛安全可控的關(guān)鍵， 依托全線冗余設(shè)計(jì)可有效應(yīng)對(duì)車輛控制系統(tǒng)、 硬件平臺(tái)、軟件平臺(tái)三個(gè)層次單點(diǎn)故障或功能失效， 為完全無(wú)人自動(dòng)駕駛系統(tǒng)提供基礎(chǔ)支撐。

L4級(jí)自動(dòng)駕駛系統(tǒng)在車載主計(jì)算單元和傳感系統(tǒng)之外又配置了安全冗余實(shí)現(xiàn)了軟件和硬件的異構(gòu)冗余設(shè)計(jì)， 避免了各個(gè)系統(tǒng)的單點(diǎn)失效， 主計(jì)算系統(tǒng)和冗余安全系統(tǒng)分工不同且互為校驗(yàn)， 整體上實(shí)現(xiàn)安全性和可靠性極大提升。冗余安全系統(tǒng)在功能和算法策略設(shè)計(jì)上，側(cè)重于對(duì)主計(jì)算系統(tǒng)軟硬件的實(shí)時(shí)監(jiān)控， 并進(jìn)行危害識(shí)別， 當(dāng)檢測(cè)到主計(jì)算系統(tǒng)異常時(shí)將觸發(fā) MRC 機(jī)制， 通過(guò)告警、 緩剎、 靠邊停車、 緊急制動(dòng)等方法讓車輛進(jìn)入最小風(fēng)險(xiǎn)狀（Minimal Risk Condition， MRC） 。

硬件和傳感器冗余

從傳感器、 計(jì)算單元到車輛控制系統(tǒng)， 都具備兩套互為獨(dú)立冗余的系統(tǒng)， 避免單點(diǎn)失效，提升系統(tǒng)整體可靠性和安全性。

計(jì)算單元冗余

安全系統(tǒng)通過(guò)配置一套 SafetyDCU 作為冗余計(jì)算單元， 實(shí)時(shí)運(yùn)算并監(jiān)控主系統(tǒng)工作狀態(tài)。當(dāng)主計(jì)算單元故障時(shí)， 能夠支持冗余系統(tǒng)的算法運(yùn)算繼續(xù)控制車輛， 做出風(fēng)險(xiǎn)最小回退的緩剎、 靠邊停車等動(dòng)作。

傳感器冗余

安全系統(tǒng)通過(guò)冗余設(shè)計(jì)兩套獨(dú)立的自動(dòng)駕駛傳感器系統(tǒng)， 采用激光雷達(dá)、 攝像頭、 定位設(shè)備等零部件冗余方案， 在任何單一零部件失效的情況下， 都能夠觸發(fā)冗余系統(tǒng)， 提供完善環(huán)境感知能力， 從而安全控制車輛， 保障系統(tǒng)的運(yùn)行更加可靠。

車輛控制系統(tǒng)冗余

車輛底盤具備冗余能力， 包括轉(zhuǎn)向、 動(dòng)力、 制動(dòng)等關(guān)鍵部件， 能夠在單一系統(tǒng)故障失效時(shí)， 切換到備用系統(tǒng)控制車輛， 幫助安全停車， 防止車輛失控的發(fā)生。

故障監(jiān)控系統(tǒng)與軟件冗余

故障監(jiān)控系統(tǒng)為部署在主計(jì)算單元與安全計(jì)算單元之間的一套完整故障檢測(cè)系統(tǒng)， 能夠?qū)ο到y(tǒng)運(yùn)行中的所有軟硬件類失效、 故障、 超出 ODD 范圍、 系統(tǒng)算法缺陷等做到實(shí)時(shí)檢測(cè)監(jiān)聽(tīng)， 并且通過(guò)主系統(tǒng)和冗余系統(tǒng)進(jìn)行交叉驗(yàn)證， 互相校驗(yàn)和監(jiān)控， 確保故障沒(méi)有遺漏。同時(shí)進(jìn)行風(fēng)險(xiǎn)預(yù)測(cè)， 對(duì)易發(fā)生問(wèn)題的數(shù)據(jù)進(jìn)行挖掘分析、 特征提取， 在車端進(jìn)行實(shí)時(shí)安全風(fēng)險(xiǎn)計(jì)算。

軟件冗余系統(tǒng)是一套完整的輕量化的感知定位與決策控制的軟件。例如完善的定位系統(tǒng)冗余， 增加多重交叉驗(yàn)證提升定位異常檢測(cè)和容錯(cuò)的能力；感知 360 度環(huán)視檢測(cè)覆蓋， 對(duì)車身周圍和前向風(fēng)險(xiǎn)做到實(shí)時(shí)感知；當(dāng)檢測(cè)到主系統(tǒng)故障或失效時(shí)， 備份系統(tǒng)代替其接管車輛的操控， 通過(guò)限速、 緩慢剎車、 靠邊停車、 剎停等進(jìn)行功能降級(jí)或進(jìn)入 MRC， 實(shí)現(xiàn)車輛的安全停車。

圖 4 故障監(jiān)控系統(tǒng)與軟件冗余

遠(yuǎn)程云代駕

遠(yuǎn)程云代駕系統(tǒng)是在車輛遇困或極端場(chǎng)景下， 由遠(yuǎn)程駕駛員接管車輛， 通過(guò)環(huán)繞屏展示環(huán)境建模型及主視覺(jué)、 俯視角， 為安全員提供身臨其境的平行駕駛感受。當(dāng)遠(yuǎn)程駕駛員將車輛開(kāi)到安全地帶后再將控制權(quán)移交給車端， 整個(gè)過(guò)程端到端時(shí)延比人類司機(jī)的反應(yīng)時(shí)間更短，且車端和遠(yuǎn)程的控制權(quán)切換完全平滑無(wú)感。在遠(yuǎn)程駕駛艙， 通過(guò)配置多屏監(jiān)控， 以及通過(guò)風(fēng)險(xiǎn)預(yù)警和動(dòng)態(tài)調(diào)度等功能， 可以實(shí)現(xiàn)車隊(duì)級(jí)實(shí)時(shí)監(jiān)控。

遠(yuǎn)程云代駕設(shè)有包含主動(dòng)安全、 安全預(yù)警以及安全基礎(chǔ)功能在內(nèi)的全面安全分層設(shè)計(jì)，可實(shí)時(shí)監(jiān)測(cè)駕駛艙、 網(wǎng)絡(luò)、 無(wú)人駕駛車輛狀態(tài)， 并根據(jù)不同故障或風(fēng)險(xiǎn)等級(jí)做出安全處理，進(jìn)一步為自動(dòng)駕駛運(yùn)營(yíng)全面護(hù)航。當(dāng)前自動(dòng)駕駛技術(shù)在常規(guī)城市道路下主要由車端自動(dòng)駕駛系統(tǒng)實(shí)現(xiàn)自主駕駛， 僅在極端場(chǎng)景下借助遠(yuǎn)程云代駕， 因此可以實(shí)現(xiàn)遠(yuǎn)程駕駛員一人控制多車的高效運(yùn)營(yíng)服務(wù)。

圖5 遠(yuǎn)程云代駕產(chǎn)品設(shè)計(jì)

平行駕駛基于 5G 技術(shù)， 遠(yuǎn)程控制中心的安全操作員能夠?qū)崟r(shí)了解車輛所處環(huán)境與狀態(tài)，車云無(wú)縫對(duì)接， 在自動(dòng)駕駛無(wú)法通過(guò)的場(chǎng)景下完成遠(yuǎn)程協(xié)助， 結(jié)束后使車輛回到自動(dòng)駕駛狀態(tài)， 實(shí)現(xiàn)極端場(chǎng)景下的車輛脫困和避險(xiǎn)。

5G 云代駕是未來(lái)無(wú)人駕駛的重要配套設(shè)施， 基于 5G、 智慧交通、 V2X 等新基建設(shè)施，實(shí)現(xiàn)自動(dòng)駕駛車輛車內(nèi)、 車外視頻實(shí)時(shí)回傳監(jiān)控， 可在車上無(wú)駕駛員的情況下為自動(dòng)駕駛系統(tǒng)的能力缺口補(bǔ)位。

圖 6 遠(yuǎn)程云代駕適用場(chǎng)景

自動(dòng)駕駛汽車測(cè)試與驗(yàn)證

自動(dòng)駕駛系統(tǒng)從研發(fā)到應(yīng)用， 需要進(jìn)行充分的功能安全和性能安全測(cè)試驗(yàn)證來(lái)證明其運(yùn)行安全性， 以保障乘車用戶和其他交通參與者的人身安全。虛擬仿真需要進(jìn)行數(shù)億至上百億公里的驗(yàn)證測(cè)試， 真實(shí)道路測(cè)試需要百萬(wàn)公里以上的測(cè)試積累。

測(cè)試流程體系

自動(dòng)駕駛測(cè)試以場(chǎng)景化的測(cè)試方法， 驗(yàn)證在每個(gè)場(chǎng)景下是否都具備安全駕駛能力。自動(dòng)駕駛測(cè)試場(chǎng)景庫(kù)是測(cè)試體系的基礎(chǔ)， 驅(qū)動(dòng)自動(dòng)駕駛車輛測(cè)試各個(gè)環(huán)節(jié)。

測(cè)試場(chǎng)景庫(kù)包含典型的日常行駛場(chǎng)景、 高碰撞風(fēng)險(xiǎn)場(chǎng)景、 法律法規(guī)場(chǎng)景等， 同時(shí)也包含已經(jīng)形成行業(yè)標(biāo)準(zhǔn)的場(chǎng)景，例如 AEB 功能的標(biāo)準(zhǔn)測(cè)試場(chǎng)景。具體分為不同自然條件（天氣、 光照） 、 不同道路類型（路面狀態(tài)、 車道線類型等） 、 不同交通參與者（車輛、 行人位置、 速度等） 、 不同環(huán)境類型（高速公路、 小區(qū)、 商場(chǎng)、 鄉(xiāng)村等） 的多類型虛擬仿真測(cè)試場(chǎng)景和真實(shí)交通環(huán)境的測(cè)試試驗(yàn)場(chǎng)景。測(cè)試內(nèi)容包括傳感器、 算法、 執(zhí)行器、 人機(jī)界面以及整車等， 從應(yīng)用功能、 性能、 穩(wěn)定性和魯棒性、 功能安全、 預(yù)期功能安全、 型式認(rèn)證等各個(gè)方面來(lái)驗(yàn)證自動(dòng)駕駛系統(tǒng)的合理性、 安全性和穩(wěn)定性， 從而確保車輛能夠自主上路。

自動(dòng)駕駛汽車的測(cè)試流程體系主要包括離線環(huán)境測(cè)試、 車輛在環(huán)測(cè)試（Vehicle in theLoop， VIL） 、 道路在環(huán)測(cè)試（Road in the Loop， RIL） 三個(gè)階段， 對(duì)軟件、 硬件、 車輛進(jìn)行逐層環(huán)環(huán)相扣測(cè)試， 確保自動(dòng)駕駛系統(tǒng)上路測(cè)試的安全性。在離線測(cè)試階段， 每一行代碼都能被充分及時(shí)的測(cè)試， 當(dāng)軟件發(fā)生修改后， 系統(tǒng)會(huì)逐一自動(dòng)觸發(fā)各個(gè)測(cè)試環(huán)節(jié)， 直至達(dá)到安全的上車測(cè)試標(biāo)準(zhǔn)方進(jìn)入車輛在環(huán)測(cè)試階段及道路在環(huán)階段。道路在環(huán)測(cè)試階段發(fā)現(xiàn)問(wèn)題會(huì)進(jìn)行下一輪的代碼修改， 開(kāi)始下一次的循環(huán)。經(jīng)過(guò)一輪又一輪的閉環(huán)， 使得自動(dòng)駕駛能力不斷提升。

離線測(cè)試

離線是指未包含車輛的測(cè)試， 大部分工作是在實(shí)驗(yàn)室里完成的。這個(gè)階段包含了模型在環(huán)測(cè)試（Model in the Loop， MIL） 、 軟件在環(huán)測(cè)（Software in the Loop， SIL） 、 硬件在環(huán)測(cè)試（Hardware in the Loop， HIL） 。

模型在環(huán)測(cè)試?yán)么笠?guī)模數(shù)據(jù)集對(duì)感知、 預(yù)測(cè)、 定位、 控制等核心算法模型進(jìn)行精確的評(píng)估， 通過(guò)模型評(píng)估后的各項(xiàng)指標(biāo)度量模型能力變化， 通過(guò)自動(dòng)化挖掘在早期暴露算法問(wèn)題和 BadCase， 避免遺留到后續(xù)測(cè)試過(guò)程。

軟件在環(huán)測(cè)試階段， 仿真測(cè)試是自動(dòng)駕駛測(cè)試體系的關(guān)鍵環(huán)節(jié)， 通過(guò)將海量的道路測(cè)試數(shù)據(jù)灌入仿真系統(tǒng)， 反復(fù)回歸驗(yàn)證新算法的效果。同時(shí)在仿真系統(tǒng)中構(gòu)造大量的極端場(chǎng)景，并且通過(guò)參數(shù)擴(kuò)展的方法將單一的場(chǎng)景自動(dòng)化生產(chǎn)規(guī)?；膱?chǎng)景， 以提高測(cè)試的覆蓋度。此外， 仿真平臺(tái)還有一套精細(xì)的度量體系， 可以自動(dòng)化地判斷仿真過(guò)程中發(fā)生的碰撞問(wèn)題、 違反交規(guī)問(wèn)題、 體感問(wèn)題、 路線不合理問(wèn)題。

硬件在環(huán)測(cè)試階段， 把軟件和硬件集成到一起， 以測(cè)試軟硬件系統(tǒng)的兼容性和可靠性。通常硬件的故障發(fā)生都有一定的概率， 帶有一定的偶然性， 在硬件在環(huán)測(cè)試階段基于真實(shí)和虛擬硬件結(jié)合方式進(jìn)行成千上萬(wàn)真實(shí)場(chǎng)景的還原測(cè)試， 并且 24 小時(shí)不間斷的對(duì)自動(dòng)駕駛系統(tǒng)施加壓力， 以模擬系統(tǒng)在不同資源極限條件下（比如：GPU 資源不足， CPU 使用率過(guò)高）的性能和穩(wěn)定性表現(xiàn)。同時(shí)在這個(gè)階段模擬了大量的硬件故障， 測(cè)試在硬件故障的情況下系統(tǒng)的反映， 如硬件失效、 斷電、 丟幀、 上下游接口異常等， 確保系統(tǒng)符合 ISO26262 功能安全要求。

車輛在環(huán)測(cè)試

車輛在環(huán)測(cè)試階段會(huì)先進(jìn)行基于臺(tái)架的測(cè)試， 在臺(tái)架上完成各項(xiàng)車輛線控功能、 性能和穩(wěn)定性測(cè)試， 以確保自動(dòng)駕駛系統(tǒng)可以按照意圖控制車輛。完成對(duì)車輛線控的測(cè)試之后 VIL環(huán)節(jié)會(huì)進(jìn)入封閉場(chǎng)地， 基于真實(shí)的道路構(gòu)建虛實(shí)結(jié)合的場(chǎng)景測(cè)試自動(dòng)駕駛系統(tǒng)在真實(shí)車輛上的表現(xiàn)。

道路在環(huán)測(cè)試

在離線測(cè)試和車輛在環(huán)測(cè)試階段通過(guò)后（每個(gè)環(huán)節(jié)都有嚴(yán)格的測(cè)試通過(guò)標(biāo)準(zhǔn)） ， 接下來(lái)進(jìn)入封閉場(chǎng)地內(nèi)構(gòu)建真實(shí)的場(chǎng)景來(lái)測(cè)試車輛的自動(dòng)駕駛各項(xiàng)能力和安全性。封閉測(cè)試場(chǎng)涵蓋了常見(jiàn)的城市道路及高速道路， 包括直行道路、 彎道、 路口、 坡路、 隧道及停車場(chǎng)等。另外，通過(guò)假人、 假車等測(cè)試設(shè)備構(gòu)造各種低頻場(chǎng)景。這類低頻場(chǎng)景在社會(huì)道路上存在， 但是出現(xiàn)的頻率較低， 在開(kāi)放道路上不易得到充分驗(yàn)證。例如逆行的自行車、 突然沖出的行人、 路段積水等場(chǎng)景。

開(kāi)放道路測(cè)試是道路在環(huán)測(cè)試的最終環(huán)節(jié)， 也是自動(dòng)駕駛車輛完成測(cè)試評(píng)估所必須經(jīng)過(guò)的重要環(huán)節(jié)。開(kāi)放道路測(cè)試是循序漸進(jìn)開(kāi)展的， 通常最新的系統(tǒng)部署在少量車上進(jìn)行測(cè)試，確認(rèn)安全后再部署到更大規(guī)模的車隊(duì)。通過(guò)部署規(guī)?；詣?dòng)駕駛車輛不斷在實(shí)際道路上進(jìn)行測(cè)試和驗(yàn)證， 形成實(shí)際路上場(chǎng)景和自動(dòng)駕駛能力不斷閉環(huán)， 使自動(dòng)駕駛車輛在智能度、 安全性等方面持續(xù)提升， 從而逐漸接近具備自動(dòng)駕駛車輛走進(jìn)千家萬(wàn)戶的能力。

審核編輯 ：李倩