建言工信部《智能网联汽车 自动驾驶系统安全要求(报批稿)》

建言工信部《智能网联汽车 自动驾驶系统安全要求（报批稿）》

任雁冰，15902025918

工信部6月16日发布了关于公开征求《智能网联汽车 自动驾驶系统安全要求》等2项强制性国家要求（报批稿）意见的公示，公示时间6月17日至24，如有不同意见，可在公示期间填写《强制性国家标准反馈意见表》。这对智能船舶的发展也具有重要的参考价值。

我今天（20日）对《智能网联汽车 自动驾驶系统安全要求（报批稿）》D.2.4.2.4条提出了修改意见并向工信部指定邮箱发送了电子邮件。

D.2.4.2.4全文：在 ADS 运行过程中发生安全相关故障时，安全概念应描述为符合安全目标至少采用以下一种或多种安全措施（含外部措施）：

a）使用ADS 的部分系统实现 ADS 后援响应；

注：描述的内容包括激活该模式的条件 (例如，失效类型)、在此模式下自动驾驶功能行为和能力 (例如，到达 MRC)、向后援用户发出预警的策略（如适用）。

b）使用独立系统实现冗余设计；

注：描述的内容包括独立系统实现的冗余、切换机制的原则、用于确定切换的逻辑架构、该措施的局限性。

c）执行相同功能的多样性系统设计；

注：描述的内容包括多样性系统实现的冗余、切换机制的原则、用于确定切换的逻辑架构、该措施的局限性。

d）限制部分或全部自动驾驶功能。

注：描述的内容包括按照本文件的相关规定来执行此操作的方法、与自动驾驶功能相关的所有输出控制信号的抑制策略。

修改意见：将“在ADS运行过程中发生安全相关故障时，安全概念应描述为符合安全目标至少采用一种或多种安全措施（含外部措施）”修改为“在ADS运行过程中发生安全相关故障时，安全概念应描述为符合安全目标至少采用两种或多种安全措施（含外部措施）”。

理由一：如该标准允许在ADS运行过程中发生安全相关故障时采用一种安全措施，那么车辆制造商出于成本考虑将仅采取最低限度的一种安全措施，即措施“a)使用ADS的部分系统实现ADS后援响应”，而不会采取成本更高的措施，如“b）使用独立系统实现冗余设计”和“c）执行相同功能的多样性系统设计”，导致L3和L4级驾驶鲁棒性不够充分。

理由二：仅采用措施“a）使用ADS的部分系统实现ADS后援响应”不能实质性解决ADS运行过程中发生的相关故障，而只是将安全责任推卸给车辆使用者。与此相比，如强制性增加措施b)或措施c），则可保证在ADS运行过程中发生安全相关故障时另有一套异构冗余系统运行，使车辆继续处于L3或L4级驾驶状态，有效增强其鲁棒性，只有在异构冗余系统也发生故障时才使车辆使用者介入，作为兜底。

理由三：强制性增加措施b）或措施c)既可以更充分保证L3或L4级驾驶的鲁棒性，也可以通过较低的车辆制造成本显著提升社会安全价值，预付更多人身伤亡和财产损失，不能因过度“照顾”对L3和L4级车辆安全标准要求低的车辆制造商而损害全社会安全水平，不能因小失大，因短期利益而损害长期利益。更重要是，这也可以明显增强我国L3和L4级车辆的国际竞争力。