量产的自动驾驶车型准入申请及试点的应对策略

2021年8月，工信部《关于加强智能网联汽车生产企业产品准入管理的意见》的发布引发行业热议。在《准入》文件中，明确提出只能驾驶应满足功能安全、预期功能安全、网络安全、软件升级、仿真及实车测试等各方面的要求。所有主机厂研发的自动驾驶功能最终都是希望获得准入牌照，这一过程涉及到太多关联部门的介入。包括公安部、工信部、中交部等官方部门的授权和认可，也包括诸如中国汽研、中汽中心这样的测试部门的验证测试，还包括对于省市工信厅对于准入试点城市相关的遴选和保障。

本文将主要想从几个方面讲讲自动驾驶准入过程中的难点，可能承担的风险和应对措施。其次，我们会详细讲解准入后阶段的监管策略。

根据当前发布的框架性《智能网联汽车生产企业及产品准入指南》，其准入的管理流程需要分两步走：

1.结合已有标准及指南，开展准入要素分析

由于关于自动驾驶的国家标准还处于草稿阶段，尚未发布，当前大多数主机厂都已经完成了高速代驾（HWP）、交通拥堵自动驾驶（TJP）、自动换道（ALC）等L3级功能量产，这类功能尚无可用于参考的国家标准，很多情况下这些主机厂通常会选择参考欧洲方面奔驰车入局的经验。由于业界都知道奔驰L3级自动驾驶车型已经通过准入，目前主要也是面向运营公司，并且是在限定的区域下开放自动驾驶功能。这为很多国内的主机厂入局自动驾驶准入提供了极大的参考价值，一部分主机厂有以欧洲市场作为试点的想法，通过参考R157的标准设计原则，他们希望能够更多的契合整个准入要求，甚至能够在欧洲首先通过准入上市，也为后面车企在国内的准入提供较好准备条件。

当前，关于自动驾驶国家标准主题参考的就是欧洲标准R157，其中相当多的内容要求和欧洲标准一致。但是实际开过程中，国内的厂商却很难达到完全满足其要求的情况。因此，需要结合自动驾驶国家发布的标准草稿，同步解析具体《智能网联汽车生产企业及产品准入管理办法》中可实施的要素。

主要体现在如下几个方面：

（1）自动驾驶系统设计：

R157规定ALKS在具备物理隔离且无行人及两轮车的高速公路（交通拥堵）场景，且运行速度不应高于60 km/h。该法规从系统安全、故障安全响应、人机界面、DSSAD(自动驾驶车辆数据存储系统)、信息安全及软件升级等方面对ALKS提出要求。

国内主机厂开发过程中，至少当前，往往在功能层面上就不能做到完全契合。比如当前实现的L3级自动驾驶功能整体涵盖了高速/城市快速路场景下的单车道功能以及多车道功能，其中自动导航驾驶（NOP），高速路自动驾驶（HWP）、交通拥堵自动驾驶（TJP)、自动换道（ALC）、自动上下匝道等功能，这些功能激活条件车速范围0-120km/h（对于0-60的速度段并没有做严格的区分），这点上说就是可能没有与R157完全对应的独立的速度段驱使。对于想要通过欧洲准入试点的车企，智驾软件需要按照R157可能做相应的下裁剪或者重新标定合适的速度以满足要求。目前，国内无论是准入指南还是自动驾驶标准草稿中，都已经取消了这一运行速度进行限制，并且也不限制是否增加多车道自动驾驶。因此，因此准入过程中很多主机厂会选择将旗下已经开发的多种自动驾驶功能均作为准入的功能。

当然，对于奔驰的自动驾驶系统来说，要求在指定的驾驶环境区域中，必须要求车辆事故责任是完全归属于驾驶员的。这点上，国内准入指南对责任的规划还存在一定的不确定性。比如，如果智驾车辆在检测到危险，报警后，驾驶员并未完全立即接管车辆，导致故障是否责任归属会由驾驶员承担，这也是不够明确的。

（2）自动驾驶功能开发：

① 感知能力方面：参照R157标准，国内适配国外场景需要求整个自动驾驶感知系统大面积重新开发，原因是国外的道路路沿、车道线、相关标识、机动车类型等同国内车道都有较大差异，需更新大量高精定位及导航数据适配国外道路实际情况。国内的高精定位地图也由于定位接口不一致，需要更替为国外高精度地图，地图接口软件和高精度定位软件都需要做适配性开发。当然，由于国外对道路数据采集法规较为严苛，在需要定向采集的情况下，国外数据获取难度会很大。

此外，对于整个感知能力来说，准入过程中最终要求的感知范围可能不仅仅是ODD范围内可预见的，甚至可能是很多极端场景，仍旧可以为智能驾驶车辆所处理，从整个指南所标注的要求看，还需要保证实在无法处理的场景，车企需通过用户手册或说明书类的文档进行提前宣贯。

② 规划控制方面：软件本身逻辑开发对于国内主机厂来说并不是技术瓶颈，可以按照要求基本100%实现，但依据R157法规要求，这块能力上会有相应的策略变化，可能需要重新标定并调整软件逻辑。比如，法规中针对ALKS明确限速在60kph以下使用，且跟车距离也有相关限制要求，并且不要求有自动换道等功能，这块上，国内主机厂开发过程中会集成更多的更能（比如高速段HWP、与60kph不一样的速度分界TJP、带有自动换道、自动上下匝道得NOP等）。

因此，在过准入过程中是否选择将所有相关功能都用于准入场景测试是主机厂可选的。当然，多功能多场景准入可以作为准入的加分项，但是通过准入过程的风险也是相对较高的。

③ 人机交互方面：R157要求实现有效的光学、触觉进行有效的报警。但是国内这块的报警机制往往千差万别，而且针对视觉报警这一项就有可能衍生出各种不同的版本。至于触觉报警，虽然没有硬性规定是哪一种，但是像类似方向盘震动、安全座椅震动和安全带震动在这类报警机制上定义却更是千差万别。

因此，我们对于准入人机交互的设计原则是尽可能多的在有限的时间内，“不择手段”的采取各种方法提示驾驶员危险的到来。利用驾驶功能体验、人机交互研究、人机接管的场景体系研究已成为政府、OEM、Tier1、自动驾驶公司、国内外高校等研究机构的重点研究问题和方向。

（3）预期功能安全：

参照最新准入指南中的要点，明确提出对功能安全、预期功能安全、网络安全等方面的要求上看，阻碍自动驾驶测试效果与能力水平的关键要素在于预期功能安全问题。我们知道预期功能安全目的是在开发之初解决由于各类场景所导致的安全风险。以基于模型的系统设计为基础，在UML设计Case的过程中，预期功能安全就是需要解决由场景导致的安全风险。

以奔驰L3上市所呈现的驾驶责任划分为例，奔驰要求在其识别的ODD范围内，所有的驾驶事故责任都是归属驾驶员的。但是这一点对于国内很多已经号称实现L3或准L3的车企来说却是十分保守的，从之前理想、小鹏这类国内比较先进的自动驾驶车企将自动驾驶系统改称高级驾驶辅助系统的情况中就可以看出来。国内主机厂对于自身的实际能力也不是100%有自信。有可能存在一些不可预知的意外，比如，在ODD内可能出现的各类突发状况，当这些状况出现的足够紧急，又是系统从未曾训练过时，那么将可能变得无法处理。自动驾驶系统本身的高度复杂性，导致了我们设计的功能本身就有局限性或缺陷，从而进一步导致安全事故的发生，预期功能安全的精准有效设计可以很好的解决这些问题。

功能安全和预期功能安全的设计、开发、测试成为企业无法回避的技术问题。随着《准入》正式文件和实施细则的出台，预期功能安全将无可厚非的成为强制性要求，我国也将成为同欧美国家更加严格的标注和法规接轨。

但是笔者了解到，对于当前急于通过准入的各家自动驾驶企业来说，很多都是在前期没有通过完整的预期功能安全设计的，这也就使得在通过准入过程中提交对应的申报材料显得尤为吃力。因为，大多是通过后补的方式进行，其设计的场景不一定完全适配整个开发的车型系统。

这里我们针对预期功能安全设计的研发提出以下几点建议：

① 建立并维持良好的安全文化，相关各部门就预期功能安全问题展开沟通和研究；

② 针对自身特点，建立合理的安全管理流程及安全异常解决机制。对Safety Plan、Safety Case和Safety /confirm/iation等文件中所涉及的内容详细记录在案；

③ 建立对于产品的后开发流程：

a) 关于产品的生产、运营、维护、使用等制定安全管理计划；

b) 提供生产现场的审查报告等。

④ 车企主导，供应商配合的方式一同制定接口协议（DIA），明确开发要求；

⑤ 车企主导供应商提供安全计划，以及感知、决策、执行系统的元件级的设计规范和评估报告。

（4）仿真以及实车测试

自动驾驶准入中的测试问题也是我们准入过程中的重点关注对象，对于准入指南中规定的驾驶自动化系统模拟仿真测试（一）-（七）类从模拟仿真测试中的典型场景要求、软硬件环境、工具链、测试类型、方法、设计运行范围下的参数组合等。这类典型的输出交付物主要涉及HIL（硬件在环）测试报告、MIL（模型在环）测试报告、SIL（软件在环）测试报告、VIL（整车在环）测试报告等。

对车企业的建议：

首先，模拟仿真测试对场景库提出更高要求，需要企业提前部署应用于仿真的场景库（该场景库具备典型性、连续性、场景覆盖性、场景合理预见性几个方面）。同时，企业应具备仿真工具平台，并开发仿真模型。过程中需要进行有效性验证，仿真测试与实车测试试验结果需进行一致性对比。企业进行体系化管理流程可追溯，建立测试管理平台。针对软件，结合故障注入或注入 SOTIF 预期功能安全场景库进行在环的测试，同样针对于硬件，可采用实时系统的硬件在环仿真来验证驾驶自动化系统的软硬件是否满足功能安全、预期功能安全的要求。

2、针对已经量产的准自动驾驶车型采取试点准入的方式发放牌照

（1）自动驾驶准入试点方案：

参考当前指南要素，涉及标准和各家主机厂的不同能力，目前尚无相关准确的消息发布出来，很多也只是在摸着石头过河。自动驾驶系统的研发、测试、生产等各环节，各家主机厂OEM需要也正在积极考虑探索一事一议的准入试行评审工作，包括提前准备相关的准入申请材料、试验车、试点城市、试点牌照等等。这里需要说明的是准入试点城市实际是需要大范围适配上自动驾驶道路测试的城市，其关键点就是具备基础设施、政策保障、安全监管等多个方面的条件。

以上自动驾驶车辆准入企业与其所选择试点的城市在准入过程中是强绑定的。准入试点城市需要为准入车企提供政策保障条件、基础设施条件、安全监管条件等几个大类。而对于试点准入的车企则需要在具备基础企业资质的情况下，具备包含设计验证能力、安全保障能力、安全监测能力等多方面能力。在两者进行完美适配后，就可以进行准入试点申报了。申报材料需要提交完整的包含企业基础资质、自动驾驶设计能力、试点城市相关信息等多方面的材料。随后，将由公安部或工信部进行能力和资质审查，遴选出符合条件的车企并进行公式。最后根据有条件准入原则，在限定的时间和区域条件下开展准入试点。

不难看出，各城市政策已经为自动驾驶规模化、无人化落地做好准备。北京、上海、广州、深圳、重庆、武汉、苏州等城市推出了重磅、丰富的补贴，鼓励企业进行技术创新、商业探索。30余个省市发布了智能网联汽车道路测试管理办法，也就意味着，这些城市已经为迎接企业开展自动驾驶道路测试示范运营做好了充分的准备。比如，截至2022年4月底，北京亦庄在自动驾驶示范运营上允许“主驾无安全员，副驾驶有安全员的Robotaxi商业化运营”。

（2）沙盒管理机制解读：

为了更好的配合准入试点相关工作，在后市场阶段对车辆应用的前沿技术进行深度安全测试。不同于工信部车辆准入前端管理，后市场阶段车辆管理属于市场监管总局的管理范围。且牵头工信部和公安部、交通运输部等交通规则主导部门于2022年4月整理出了《关于试行汽车安全沙盒监管的通告》，通告中明确了鼓励企业在汽车产业前沿进行技术创新同时，确保智能汽车由于不够完全成熟可能给驾驶员带来的一系列安全风险。通过在后市场阶段针对车辆应用的前沿技术进行深度安全测试的机制，引导企业查找问题、改进设计、降低风险，最终形成了汽车安全沙盒监管机制。

沙盒管理范围

在部分地区、部分城区试行开展，确保制度适度、安全、可控。采用先行先试方式，总结监管和测试经验。对于车辆中使用环境感知、智能决策、协同控制等前沿技术，或实现各级别自动驾驶、远程升级等新功能新模式都属于鼓励发展创新的车型。且对于车型需要满足工信部准入和3C认证的车辆，在取得《道路机动车辆生产企业及产品公告》等市场准入条件后，可以满足沙盒管理的范围要求。从这一点上讲，沙盒管理机制是整个准入过程的后续补充，对于准入车辆的适时运营起到了很好的管理规范作用。

如上图所示，沙盒监管主要包括被动监管和主动监管两大部分。针对新技术、新功能新模式的汽车产品，由当前的被动监管向主动监管转变。在鼓励创新、控制风险的前提下，通过大数据平台等方式有效管理，在大量用户投诉和舆情发生之前，进行风险识别。

沙盒工作流程

沙盒工作流程部分中，明确规定了“企业就前沿技术或新功能模式申请进入沙盒监管，需要经过申请、评估、测试、报告、退出等五个阶段”。这其中主要涉及市场监督管理总局对整个监管过程的把控，车企主要提起申请、配合测试并交付报告，最后根据实际测试的内容判断是否完成测试，达到预期，然后自动退出。

沙盒监管原则

对于沙盒监管中第四部分涉及“包容审慎监管”部分，提出总局负责搭建监管服务云平台，对监管对象采取多元化管理，并明确了企业责任。监管云平台后续将对测试车辆相关各项参数（如行驶轨迹、车身参数、车辆状态、测试功能）进行实时监控。这里需要主要注意的是，国内的沙盒机制与韩国、新加坡这些国家沙盒机制有所不同，我国对于企业安全主体责任进行了明确的定义，要求在沙盒监管周期和范围内，车企车辆发生事故，或企业本身违反现行法律法规行为的，车企不能免除相关责任。

其他

对于前面的沙盒监管机制实际是有相应的组织保障机构的，明确了除总局外，还有将工信部、交通部、应急、海关等部分协同，并将联合外部技术计够进行服务支持，还将组织专家委员会加速政策落地。

其中，市场监督管理总局与工信部形成前端+后端的产品管理联动，与海关总署加强进口车测试管理，同时与应急部联动增强事故处理能力。通过行业权威机构负责技术评估和测试服务。后续将有政府、行业机构、企业代表等组成专家委员会，负责审议沙盒测试方案等。实时指南和配套措施将进一步推动监管方案落地。

总结

本文就当前为行业内所热议的准入话题展开分析，讲述了从指南、标准渗透到整个准入过程的要素分析，并针对一些重难点提出解决方案。其次，有效的说明了当前实施准入的整个过程在于以沙盒的方式开展试行准入，并分析了沙盒机制将带来的机遇与挑战，各家主机厂应该如何应对。整体来说，沙盒管理政策的实施，对消费者权益保障，企业技术创新、政府主动监管均有利。对于未来包含一系列前沿技术（智能感知、决策、控制等）技术的自动驾驶车辆通过准入是一个很好的参考。