6 保障要求

6.1 安全保障要求

6.1.1 一般要求

• 车辆制造商应建立、实施 SMS（安全保障要求），并记录 SMS 相关的过程和活动。

6.1.2 安全方针

• 安全方针应概述车辆制造商为实现预期的安全成果所设立的目标。
• 车辆制造商应提供证据，证明其安全方针落实了以下方面：
• 安全方针与原则；
• 组织的安全目标，以及制定安全档案中所用安全性能指标的过程；
• 考虑法律法规、标准、最佳实践指南以及 ADS 应用场景，建立适用于 SMS 的架构，并将其组织结构、过程及工作成果对应到 SMS 中；
• 安全文化；
• 安全管理，包括管理承诺、清晰的责任划分及岗位职责；
• 质量管理体系。

6.1.3 风险管理

• SMS 应包括一套管理过程，用于识别、评估并缓解组织、人员和技术层面的风险，并体现整体风险管理过程、风险缓解措施以及相关风险之间的关联。
• 车辆制造商应记录其风险管理过程和活动，包括以下内容：
• 风险识别；
• 风险分析；
• 风险评估；
• 风险处置；
• 确保持续更新风险评估的过程；
• 对组织的安全绩效及风险控制有效性的评审过程。

6.1.4 安全保证

• 车辆制造商应证明定期进行独立的内部检查和外部检验，以确保 SMS 的过程持续执行。
• 车辆制造商应与参与 ADS 开发、制造或使用部署阶段的任何组织（例如，签约供应商、服务提供商或车辆制造商子组织）建立适当的工作机制（例如，合同管理、质量管理体系和开发接口协议）。车辆制造商应记录其过程和活动，包括以下方面：
• 供应链管理方针；
• 供应链风险的管控机制；
• 对供应商 SMS 的评估及相应审核过程；
• 建立协议（例如，合同）的过程，以确保开发、生产和部署后阶段的安全；
• 分布式安全活动的过程；
• 具备向相关方提供安全相关信息的过程，以证明履行其法律义务。
• SMS 文档应根据 SMS 过程的任何相关变更及时更新。在审核和变更 SMS 时，应使用差距分析，在制定更合适的新 SMS 过程之前检查当前的安全文化，以确保问题得到充分解决。
• 车辆制造商应建立过程，以实现以下目标：
• 确保 SMS 记录的所有实践和活动得以执行；
• 确保对相关要求的符合性进行独立检查，至少检查方不是待查数据提供方；
• 确保对 SMS 进行持续评估，使其保持有效。
• 车辆制造商应定义适当的 KPI（关键性能指标），以衡量 SMS 在 ADS 全生命周期中的有效性。注：全生命周期一般包括开发、生产和部署后阶段。

6.1.5 安全提升

• SMS 应包括持续改进的过程。SMS 文档的更改应按要求上报。
• 车辆制造商应建立并维护以下机制：
• 组织内部关于安全事项的有效沟通机制；
• 与组织外部的信息共享机制；
• 关于 SMS 的培训计划。

6.1.6 设计与开发管理

• SMS 应包括在设计与开发阶段部署安全方针的证据，包括以下方面：
• 设计与开发阶段相关人员的角色和职责；
• 负责做出影响安全决策人员的资质和经验；
• 在设计和生产活动之间的角色、责任和信息传递的协调。
• 车辆制造商应执行相应过程和活动，以确保设计与开发阶段的鲁棒性，包括以下方面：
• 组织如何开展所有设计与开发活动的总体描述；
• 车辆或 ADS 的设计、开发、集成和实现，以及安全档案相关过程和活动，包括但不限于以下内容：
1. 需求管理（例如，需求获取与确认）；
2. 实车试验条件；
3. 仿真试验条件；
4. 工具管理；
5. 系统集成；
6. 软件开发保障；
7. 硬件开发保障；
8. 功能安全与 SOTIF（预期功能安全）管理，包括对风险评估及风险间交互的持续评估与更新，包括相关分析方法（例如，FMEA、FTA、STPA 或任何适用于功能安全和 SOTIF 的其他方法）；
9. 人为因素管理，包括以人为本的设计安全相关交互设计过程。
• 变更管理过程，包括但不限于以下内容：
1. 主要设计决策；
2. ADS 设计修改；
3. 负责做出影响安全决策的关键人员变动；
4. 用于 ADS 安全验证所采用的工具和阈值。
• 车辆制造商应在实现功能安全、SOTIF、网络安全以及车辆其他安全的相关方（例如，外部供应商、车辆制造商内部专业部门）之间具备有效的沟通渠道。
• SMS 应包括用于制定安全档案中安全性能指标（例如，SOTIF 中的接受准则和功能安全中的 FIT 值、PMHF 值）的过程。

6.1.7 生产管理

• 车辆制造商应在 SMS 中建立并记录生产过程和活动。该记录至少应涵盖以下方面：
• 质量管理体系；
• 对车辆制造商执行所有生产职能的描述，包括工作条件、过程运行环境、设备和工具的管理。
• 车辆制造商应在 SMS 中建立并记录其分布式生产过程及活动。这些过程和活动应包括：
• 车辆制造商与供应链中涉及的所有其他组织（例如，供应商、合作伙伴或分包商）之间的合作机制；
• 供应链涉及的其他组织所生产子系统或组件的验收准则，或将生产保障要求部署到供应链中。

6.1.8 部署后安全管理

• 车辆制造商应具备安全监测与管理的能力。

6.2 试验条件

6.2.1 仿真试验

6.2.1.1 一般要求

• 车辆制造商应通过证明各仿真工具链符合 6.2.1，以证实适用于仿真试验。

6.2.1.2 数据管理

6.2.1.2.1 一般要求

• 在仿真工具链的全生命周期内，车辆制造商应管理用于开发、验证、确认和更新仿真工具链的数据。车辆制造商应考虑该数据的完整性、准确性和一致性。
• 车辆制造商应记录用于确认仿真工具链的数据。
• 当不受车辆制造商控制的其他组织的数据或工具集成至仿真工具链时，车辆制造商应说明为确保相应数据或工具的质量和完整性所采取的措施。
• 车辆制造商应量化仿真工具链及其输出中因数据质量（例如，数据覆盖率、信噪比和传感器的不确定性 / 偏差 / 采样率）而产生的不确定性。

6.2.1.2.2 输入数据及仿真工具链参数的管理

• 车辆制造商应记录用于验证和确认仿真工具链的输入数据，记录文档至少应说明：

• 输入数据的重要质量特性；
• 输入数据覆盖了仿真试验拟评估的 ADS 功能；
• 用于拟合仿真工具链相关参数的校准程序；
• 仿真工具链新版本发布时，数据或参数变化的原因。

6.2.1.2.3 输出数据的管理

• 车辆制造商应记录用于确认仿真工具链的输出数据。
• 每条输出记录应能追溯到生成该输出的输入数据。
• 车辆制造商应对输出数据进行统计分析，并记录通过该分析得出的所有重要质量特性。
• 车辆制造商应证明输出数据的质量足以支持以下工作：
• 确认仿真工具链及其组件；
• 支持对仿真工具链及其组件进行一致性或合理性检查；
• 生成支撑 ADS 安全档案的证据。
• 若仿真工具链中存在随机模型，关于随机模型的管理，车辆制造商应符合以下要求：
• 描述仿真工具链输出的方差；
• 确保仿真工具链能够进行确定性地重复执行。当确定性不能被保证时，车辆制造商应提供证据证明其对于可信度的影响是可以被接受的。注：随机模型是指涉及或包括与偶然性或概率相关的一个或多个随机变量的模型。

6.2.1.3 人员能力

• 车辆制造商应记录并提供以下人员能力胜任的理由：
• 开发仿真工具链及其组件的人员；
• 评估仿真工具链及其组件的人员；注：评估包括管理、分析、验证、确认。
• 使用仿真工具链对 ADS 进行确认试验的人员。
• 车辆制造商应建立并实施相关过程和程序，以识别并保持开发、评估和使用仿真工具链所需的技能、知识和经验，至少应建立、维护并记录以下过程：
• 识别和评估其建模与仿真活动所需的必要能力；
• 培训人员以使其有能力执行建模与仿真活动。
• 车辆制造商应存储参与仿真工具链开发、评估和使用的人员记录，证明他们已接受必要的培训，且被认为具备完成需要的建模与仿真活动的能力。
• 车辆制造商应与仿真工具链相关的支持方建立适当工作机制，以确保这些支持方人员具备完成所分配任务的相应能力。
• 车辆制造商与支持方建立的工作机制应符合 6.1.4.2 和 6.1.6.3。

6.2.1.4 发布管理

• 车辆制造商应在仿真工具链的整个生命周期内管理和维护用于仿真试验的仿真工具链，管理和维护应持续到 ADS 部署后阶段结束。
• 车辆制造商应管理和记录仿真工具链的发布管理过程，至少应记录以下内容：
• 每次仿真工具链发布相关修改的描述；
• 所有相关软件（例如，特定软件产品、名称和版本）和硬件配置的信息；
• 仿真工具链验收和发布的内部评审活动。

6.2.1.5 仿真工具链假设、已知限制和不确定性量化

• 车辆制造商应描述指导仿真工具链设计的建模假设和考虑因素。
• 车辆制造商应提供以下信息：
• 开发每个仿真工具链及其组件期间所做的假设，以及这些假设对其范围和适用性的限制；
• 每个仿真工具链及其组件保真度水平的选择依据。注：保真度是指模型与建模对象的相似程度。
• 车辆制造商应证明与仿真工具链相关的公差是适当的，并符合验收试验和验收准则。
• 车辆制造商应详细说明每个仿真工具链及其组件中的不确定性来源，并评估其对试验结果的影响。

6.2.1.6 仿真工具链适用范围

• 车辆制造商应记录每个仿真工具链的适用范围，并确定其局限性。
• 车辆制造商应证明仿真工具链能在其定义的适用范围内使用。
• 仿真工具链适用范围应参考 ODC，并确定其适用于 ODC 的任何限制条件。
• 车辆制造商应证明每个仿真工具链如何仿真相关的物理现象，并符合必要的精度准则。
• 车辆制造商应提供用于确认仿真工具链的试验项目清单、相应参数和已知限制。

6.2.1.7 仿真工具链关键性分析

• 车辆制造商应审查仿真工具链的误差估计，以评估误差估计的关键性以及对安全档案中声明的影响。

6.2.1.8 仿真工具链验证

6.2.1.8.1 一般要求

• 车辆制造商应证明仿真工具链不会对未经明确试验的有效输入表现出不现实的行为。注：有效输入指符合仿真工具链预设的规则和范围，以触发其正常响应的输入数据。

6.2.1.8.2 仿真工具链代码验证

• 车辆制造商应记录评估每个仿真工具链及其组件时所用代码验证技术（例如，静态 / 动态代码验证、收敛性分析）的执行情况。
• 车辆制造商应证明已充分探索输入参数空间，以确定是否存在会导致仿真工具链表现出不稳定或不现实行为的参数组合。
• 车辆制造商应执行仿真工具链代码的合理性和一致性检查程序，并提交相关结果信息，以证明仿真工具链的鲁棒性。

6.2.1.8.3 仿真工具链计算验证

• 车辆制造商应记录数值误差（例如，离散误差、舍入误差、迭代程序收敛误差）的估计。
• 车辆制造商应审查分析结果，并证明对数值误差已进行充分理解和限制，以确保仿真工具链能用于仿真试验。

6.2.1.8.4 仿真工具链敏感性分析

• 车辆制造商应证明已通过适当的敏感性分析技术确定对仿真工具链输出影响最关键的输入数据和参数，以表征整个仿真工具链输出的不确定性。
• 车辆制造商应证明已采用鲁棒校准程序为所有仿真参数（特别是最关键参数）分配适当值，以确保仿真工具链能用于模拟相关真实系统。

6.2.1.9 仿真工具链确认

• 车辆制造商应根据定量指标进行确认分析，以确定每个仿真工具链与其所表征的真实系统的准确程度。
• 车辆制造商应提供仿真工具链输出结果与实车试验结果一致且相关的证据。
• 车辆制造商应基于一组具备充分代表性的试验进行仿真工具链确认，以证实仿真工具链能在其适用范围内使用的声明。
• 车辆制造商应定义用于比较实车试验结果和仿真工具链输出结果的性能观测量。
• 车辆制造商应使用适当的统计方法比较实车试验结果和仿真工具链的相应输出。
• 车辆制造商应在每个仿真工具链及其组件的开发过程中规定验收试验和验收准则，并证明已符合相应验收准则。
• 车辆制造商应定义用于每个仿真工具链确认的方法和试验，至少包括以下一个或多个：
• 子系统确认（例如，环境模型、传感器模型或车辆动力学模型）；
• 车辆系统确认（车辆系统指车辆动力学模型与环境模型的结合）；
• 传感器系统确认（传感器系统指传感器模型与环境模型的结合）；
• 集成系统确认（集成系统指传感器模型与受车辆动力学模型影响的环境模型的结合）。
• 车辆制造商应明确仿真工具链的适用范围与 ODC 的匹配程度。
• 车辆制造商应证明已符合仿真工具链开发过程中定义的精度准则。
• 车辆制造商应证明已实现与确认活动相关的过程。
• 车辆制造商应记录不确定性特征分析结果和仿真工具链使用方法，以及在用于仿真试验时采用的安全裕度。注：安全裕度指利用仿真工具链进行仿真试验时，为了补偿其不确定性等误差而有意施加的额外余量。
• 车辆制造商应证明：
• 具备估计各仿真工具链关键输入的方法；
• 估计方法已应用；
• 估计结果已记录。
• 车辆制造商应识别每个仿真工具链及其组件中的关键参数及关键参数的置信区间。
• 车辆制造商应证明基于仿真工具链的假设已对每个仿真工具链及其组件的不确定性完成了适当的表征。
• 车辆制造商应证明已区分仿真工具链相关的偶然不确定性和认知不确定性。

6.2.2 场地试验

• 车辆制造商应证明场地试验的设施、环境和能力与场地试验的预期用途及其在整体试验方案中的作用相匹配，并能收集支撑安全档案的证据。此外，车辆制造商还应证明：

• 所开展的场地试验包括可体现 ODC 和预期运行工况的静态和动态元素；
• 场地试验期间使用的设备已定期进行检查、维护和校准，以确保测量结果具备足够的准确度和精度。

6.2.3 道路试验

• 车辆制造商应证明道路试验的道路、设施、环境和能力与道路试验的预期用途及其在整体试验方案中的作用相匹配，并能收集支撑安全档案的证据。此外，车辆制造商还应证明：

• 所选试验路线能使 ADS 有足够概率遇到以下场景：
1. 大量 ORU（其他道路使用者）；
2. 少见的道路基础设施、非典型道路条件、非典型环境条件。
• 道路试验期间使用的设备已定期进行检查、维护和校准，以确保测量结果具备足够的准确度和精度。

欢迎同行自动驾驶行业交流群(非技术人员勿扰)

获取PDF全文,请扫描加群, 如果无法正常加入, 请联系小编