《自动驾驶系统安全新规》2027年7月1实施

新规《智能网联汽车自动驾驶系统安全要求》将代替2024年首次发布为GB/T 44721—2024《智能网联汽车 自动驾驶系统通用技术要求》。

以下是新规的主要章节内容：

第5章 ADS 技术要求；

第6章 保障要求；

第7章 保障要求检验；

第8章 安全档案检验；

5 ADS 技术要求

5.1 DDT 执行

5.1.1 一般要求

5.1.1.1 ADS的安全水平应至少达到正在承担驾驶任务的合格且专注驾驶人的水平。

注： 合格且专注指符合相关法律法规规定的驾驶水平。

5.1.1.2 ADS 不应对用户和 ORU 造成不合理的安全风险。

5.1.1.3 ADS 应识别当前情况是否符合自动驾驶功能的 ODC。

5.1.1.4 在激活状态下，ADS 应执行全部 DDT。

注： 当坐在驾驶位的车内用户进行干预时，车内用户对车辆横向运动和/或纵向运动的控制可能优先于ADS。

5.1.1.5 ADS 应执行合理的控制策略应对感知系统的性能衰退。

5.1.1.6 对于 3 级自动驾驶功能，若其 ODD 包括高速公路和/或城市快速路以外的道路，ADS应至少具备车道巡航、换道控制和交叉路口（除环形路口外）通行的能力。

注：仅在专用车道内运行的快速公共汽车交通可能不具备换道控制的能力。

5.1.1.7 对于 4 级自动驾驶功能，若其 ODD 仅包括高速公路和/或城市快速路，ADS 应至少具备车道巡航、换道控制和为绕行前方障碍物而部分或全部驶入相邻车道的能力；若其 ODD 还包括高速公路和/或城市快速路以外的道路，ADS 应至少具备车道巡航、换道控制、交叉路口（除环形路口外）通行、为绕行前方障碍物而部分或全部驶入相邻车道、倒车和掉头的能力。

5.1.2 标称场景下的 DDT 执行

5.1.2.1 ADS 的驾驶行为不应导致碰撞。

5.1.2.2 ADS 应避免与安全相关目标发生碰撞。

注：安全相关目标指若发生碰撞可能会对车辆造成非轻微损坏，或可能对ORU、用户或基础设施构成安全风险的目标。

5.1.2.3 根据安全风险，ADS 应调整其驾驶行为，应至少包括：

a) 预判驾驶环境中的风险，以降低遇到风险场景的可能性；

b) 根据安全风险调整行驶速度；

c) 控制车辆的纵向和横向运动以与 ORU 保持适当的距离。

5.1.2.4 ADS 应以合理的控制策略应对无法充分探测区域内存在的安全风险。

注： 无法充分探测区域如由ORU或障碍物遮挡造成的盲区、道路拓扑或形状造成的盲区等。

5.1.2.5 ADS 应探测与响应和其执行 DDT 相关的目标和事件。

5.1.2.6 ADS 应与 ORU 安全交互，应至少包括：

a) 展现预期行为，保持稳定的驾驶行为；

b) 进行有效的信息交互（例如，转向信号灯、制动灯等）。

5.1.2.7 对于 4 级自动驾驶功能，若乘客按照 C.3.1.2 的方法请求停车，则 ADS 应使车辆安全静止。

5.1.2.8 根据安全风险，ADS 应避免不合理地扰乱交通流而导致通行效率下降。

5.1.2.9 ADS 执行 DDT 应符合道路通行规定。

5.1.2.10 ADS 应探测与响应享有优先通行权的车辆（例如，执行紧急任务的警车、消防车、救护车、工程救险车），当妨碍享有优先通行权的车辆通行时，应至少符合以下要求：

a) 对于 3 级自动驾驶功能，执行让行控制或执行 ADS 后援响应；

b) 对于 4 级自动驾驶功能，执行让行控制。

5.1.2.11 ADS 应探测与响应交通警察现场指挥，应至少符合以下要求：

a) 对于 3 级自动驾驶功能，按照交通警察现场指挥通行或执行 ADS 后援响应；

b) 对于 4 级自动驾驶功能，按照交通警察现场指挥通行。

5.1.3 风险场景下的 DDT 执行

5.1.3.1 只要合理可行，ADS 在风险场景下执行 DDT 应符合 5.1.2 的要求，最小化整体安全风险。

5.1.3.2 当自动驾驶功能处于激活状态时，当碰撞不可避免时，除碰撞导致 ADS 失去对车辆的运动控制外，ADS 应降低事故伤害或损失。

注： 碰撞是否可避免以合格且专注正在承担驾驶任务的驾驶人的水平为基线。

5.1.3.3 当自动驾驶功能处于激活状态时，当检测到发生碰撞后，除碰撞导致 ADS 失去对车辆的制动控制外，ADS 应使车辆静止。

5.1.4 失效场景下的 DDT 执行

5.1.4.1 只要合理可行，ADS 在失效场景下执行 DDT 应符合 5.1.2 的要求，最小化整体安全风险。

5.1.4.2 ADS 应探测影响其在 ODD 内执行 DDT 能力的故障和功能异常。

5.1.4.3 当发生故障时，ADS 应符合以下任一要求。

a) 若故障使 ADS 不能安全地执行 DDT，执行 ADS 后援响应且禁止激活受影响的其他自动驾驶功能；若执行 MRM，符合 5.1.6 的要求。

b) 若 ADS 仍能安全地执行 DDT，根据故障的严重程度调整执行 DDT 的能力。

5.1.5 不符合 ODC 场景下的 DDT 执行

5.1.5.1 ADS 应能安全响应不符合 ODC 的情况。对于可预见的不符合 ODC 的情况，ADS 还应能预判。

5.1.5.2 当自动驾驶功能未处于激活状态时，若存在不符合 ODC 的情况，则相应自动驾驶功能不应被激活。

5.1.5.3 当自动驾驶功能处于激活状态时，若存在不符合 ODC 的情况，ADS 应执行 ADS 后援响应。

若执行 MRM，应符合 5.1.6 的要求。

5.1.5.4 ADS 在执行 ADS 后援响应过程中，只要合理可行，应符合以下要求：

a) 在标称场景下，5.1.2 的要求继续适用；

b) 在风险场景下，5.1.3 的要求继续适用；

c) 在失效场景下，5.1.4 的要求继续适用。

5.1.6 最小风险策略

5.1.6.1 对于 3 级自动驾驶功能，若后援用户未完成接管或发生安全档案中描述的直接执行 MRM 的情况，ADS 应执行 MRM 使车辆达到 MRC，且应符合以下要求：

a) 具备执行换道控制的能力；

b) 最小化对用户和 ORU 的安全风险；

c) 目标将车辆移至不妨碍交通的道路边侧安全静止，当车辆严重失效或 ADS严重失效导致无法安全移至道路边侧，至少使车辆在本车道安全静止，在执行 MRM 过程中和使车辆达到 MRC后，ADS 不禁止后援用户干预和退出；

d) 在 ADS 执行 MRM 过程中和使车辆达到 MRC 后合理使用危险警告信号；

e) 当 ADS 使车辆达到 MRC 后，仅在车辆重新启动动力系统（发动机自动启停除外）后，ADS才能被激活。

5.1.6.2 对于 4 级自动驾驶功能，若发生安全档案中描述的执行 MRM 的情况，ADS 应执行 MRM 使车辆达到 MRC，且应符合以下要求：

a) 具备执行换道控制的能力；

b) 最小化对用户和 ORU 的安全风险；

c) 目标将车辆移至不妨碍交通的安全区域静止，至少将车辆移至不妨碍交通的道路边侧安全静止；

d) 当车辆严重失效导致无法安全移至道路边侧，至少使车辆在本车道安全静止；

e) 在 ADS 执行 MRM 过程中和使车辆达到 MRC 后合理使用危险警告信号。

5.2 人机交互

5.2.1 一般要求

5.2.1.1 ADS 应确保自动驾驶功能被安全激活和退出。

5.2.1.2 车辆每次动力系统启动后（发动机自动启停除外），ADS 不应自动激活。

5.2.1.3 ADS 的安全相关提示应符合以下要求：

a) 在所有 ADS 运行状态下都能被目标的车内用户注意到；

b) 易于理解且无歧义；

c) 在必要时采用多种提示模式（例如，光学、声学和触觉）。

5.2.1.4 当执行 ADS 后援响应时，ADS 应向车内用户持续发出执行 ADS 后援响应的提示信号。

5.2.1.5 若ADS影响车门控制，ADS 应确保车内用户对车门的操作优先于 ADS。

5.2.1.6 当自动驾驶功能处于激活状态时，当检测到发生碰撞时，ADS 应向车内用户发出提示；该提示应至少持续至 ADS 退出完成或经用户确认。

5.2.1.7 若自动泊车功能与自动驾驶功能（非自动泊车功能）共用人机交互方式，相关人机交互方式及其合理性应在安全档案中予以说明。

注： 共用人机交互方式可能包括专用的操纵方式、系统状态提示等。

5.2.2 允许行驶中退出至人工驾驶的自动驾驶功能

5.2.2.1 一般要求

5.2.2.1.1 ADS 的设计应能防止可合理预见的车内用户误用。

5.2.2.1.2 ADS 应配备供车内用户激活和退出的专用操纵方式。

注1：专用操纵方式如专用的操纵件或对操纵件的专用操纵方法等。

注2：APS可能共用相同的激活和退出专用操纵方式。

5.2.2.1.3 专用于 ADS 的车辆操纵件应清晰标识、易于区分且仅响应与之适配的操作。

5.2.2.1.4 ADS 应指示自动驾驶功能是否可被激活。

注：当APS处于激活状态下，同驾驶自动化级别的其他自动驾驶功能可能无需指示是否可被激活。

5.2.2.1.5 当自动驾驶功能处于激活状态时，符合以下要求。

a) 与人工执行 DDT 相关的操纵件应被合理控制以防止对 ADS 执行 DDT 造成不安全的干扰，若采用抑制方式，符合以下要求：

1) ADS 应具备相应控制策略，以避免出现控制权模糊或对 DDT 产生非预期影响；

2) 当坐在驾驶位的车内用户对转向控制和/或制动控制的干预超过防止误用而设计的合理阈值时，ADS 应发出干预提示并按照5.2.2.3执行退出策略；

3) 对操纵件超过抑制阈值的干预不应是触发 ADS 执行退出策略的主要方式，且该阈值应在安全档案中予以说明。

b) 对于3级自动驾驶功能，ADS 不应导致前方视野受限；对于 4 级自动驾驶功能，若 ADS 导致前方视野受限，当车内用户执行 DDT 时，ADS 应将前方视野立即恢复至适合人工驾驶的状态；

c) 若非 ADS 导致前方视野受限，当车内用户执行 DDT 时，ADS 目标应执行合理控制策略恢复前方视野至适合人工驾驶的状态。

5.2.2.1.6 对于坐在驾驶位的车内用户干预转向控制和/或制动控制的情况，若提供干预后不执行退出策略的设置且车内用户选择该设置，ADS 应提示相关安全风险，并在干预期间发出干预提示。

5.2.2.1.7 当自动驾驶功能处于激活状态时，应至少有一种退出的操纵方式对坐在驾驶位的车内用户保持可见。

5.2.2.1.8 当自动驾驶功能处于激活状态时，ADS 应持续向车内用户提示以下信息：

a) ADS 状态信息；

b) 因 ADS 失效而导致的 DDT 执行调整情况。

5.2.2.1.9 当 3 级自动驾驶功能处于激活状态时，ADS 应符合以下要求：

a) 持续评估后援用户是否具备接管能力并符合附录 A；

b) 当检测到后援用户不具备接管能力时，执行有效控制策略以使其恢复接管能力；

c) 当不能使后援用户安全地恢复接管能力时，执行 ADS 后援响应并使车辆达到 MRC；

d) 若发出介入请求，确保预留充分时间，以便后援用户感知到介入请求并安全接管 DDT。

5.2.2.2 自动驾驶功能激活

5.2.2.2.1 当 ADS 处于就绪状态时，应持续向车内用户直观地提示。

5.2.2.2.2 当车内用户尝试激活自动驾驶功能时，应向车内用户及时提示是否成功激活的信息。

5.2.2.2.3 ADS 应按照 5.3.3 的要求确认坐在驾驶位的车内用户完成 ADS 的使用培训，并按照 5.3.5的要求确认坐在驾驶位的车内用户已阅读并理解使用说明后才允许进入激活状态。

5.2.2.2.4 当 3 级自动驾驶功能激活时，ADS 应立即且明确提示后援用户仍需准备响应介入请求。

5.2.2.2.5 ADS 在从 4 级自动驾驶功能向 3 级自动驾驶功能切换前，ADS 应获得坐在驾驶位的车内用户同意其担任后援用户的确认。

5.2.2.2.6 若允许自动泊车功能向自动驾驶功能（非自动泊车功能）切换，安全切换策略应在安全档案中予以说明，并符合以下要求：

a) 若允许自动泊车功能向同级别的自动驾驶功能（非自动泊车功能）切换且无需车内用户确认，切换时 ADS 应提示相关信息；

b) 若允许 3 级自动泊车功能向 4 级自动驾驶功能（非自动泊车功能）切换且无需车内用户确认，切换时 ADS 应提示相关信息；

c) 若允许 4 级自动泊车功能向 3 级自动驾驶功能（非自动泊车功能）切换，每次切换前 ADS 应符合以下要求：

1) 符合 3 级自动驾驶功能（非自动泊车功能）的激活条件；

2) 获得坐在驾驶位的车内用户同意其担任后援用户的确认；

3) 向车内用户提示切换相关信息。

5.2.2.3 退出至人工驾驶

5.2.2.3.1 车内用户发起 ADS 退出请求后，ADS 应执行退出策略，将 DDT 控制权安全地移交给坐在驾驶位的车内用户。

5.2.2.3.2 ADS 应响应车内用户发起的 ADS 退出请求。若 ADS 未判定车内用户坐在驾驶位，ADS不应启动退出策略。若 ADS 暂缓退出，则应向车内用户提示该情况。

注： 当因ADS退出可能造成不安全时，ADS可能暂缓退出。

5.2.2.3.3 ADS 应在退出完成前评估坐在驾驶位的车内用户是否做好充分准备以恢复执行 DDT。除坐在驾驶位的车内用户对转向控制和/或制动控制的干预超过防止误用而设计的合理阈值外，至少应符合以下全部条件，才视为车内用户做好充分准备以恢复执行 DDT：

a) 手握转向盘；

b) 视线注视驾驶任务相关区域，且持续时长足以支持安全恢复执行 DDT。

5.2.2.3.4 针对 5.2.2.3.3 b）的要求，当视线监测结果暂不可用时，若采用其他措施替代视线监测，这些措施应在安全档案中予以说明。

5.2.2.3.5自动驾驶功能应保持激活状态直至退出完成或使车辆达到 MRC。

5.2.2.3.6 当自动驾驶功能退出完成时，ADS 应向车内用户明确提示自动驾驶功能已退出。

5.2.2.3.7 当自动驾驶功能退出完成时，车辆控制权应移交给驾驶人且不应导致：

a) 应急辅助系统自动关闭；

b) 部分驾驶辅助系统或组合驾驶辅助系统自动激活。

注：应急辅助系统指GB/T 40429—2021定义的0级驾驶自动化系统；部分驾驶辅助系统指GB/T 40429—2021定义的1级驾驶自动化系统；组合驾驶辅助系统指GB/T 40429—2021定义的2级驾驶自动化系统。

5.2.2.3.8 在 ADS 退出期间，除实体操纵件被车内用户手动调整外，与人工执行 DDT 相关的操纵件、外部环境的前方视野装置、间接视野装置、指示器、警报信号和信号装置应设置为适合人工驾驶的状态。

5.2.2.3.9 若 ADS 控制锁止装置（例如，车门锁止装置），在 ADS 退出完成后不应再影响锁止装置或与其相关的控制装置。

5.2.3 不允许行驶中退出至人工驾驶的自动驾驶功能

5.2.3.1 ADS 应向乘客提供与安全相关的信息。

5.2.3.2 当自动驾驶功能处于激活状态时，若出现对乘客有安全风险的情况（例如，安全带未系好、乘客未就座），ADS应按照安全档案中描述的控制策略作出响应。

5.2.3.3 若装备ADS的车辆配备有为人工驾驶提供的操纵件（例如，转向、行车制动、驻车制动、加速和照明等操纵件），其操纵件相关设计应能防止在 ADS 执行 DDT 时对 DDT 产生任何影响，或应采取合理的防护措施防止为人工驾驶提供的操纵件被接触。

5.3 用户告知

5.3.1 对于装备 ADS 的车辆，除机动车产品使用说明书外，车辆制造商还应通过公开可获取的方式向用户提供关于 ADS 的使用说明。

注： 公开可获取的方式如通过车辆制造商官方网站、车载显示终端、移动智能终端等获取ADS的使用说明。

5.3.2 使用说明的表述应易于用户阅读、理解和操作，且应至少包括以下内容：

a) 自动驾驶功能及其能力、驾驶自动化等级和局限性的说明；

b) 当 ADS 遇到不可避免碰撞的风险场景时，其控制策略的说明；

c) 自动驾驶功能的激活、退出、接管（适用于 3 级自动驾驶功能）、干预、最小风险策略的说明，包括接管和干预的区别（适用于 3 级自动驾驶功能）、退出方式的推荐使用顺序等；

d) 用户角色转换机制和过程的说明；

注： 用户角色转换如用户激活ADS、用户发起的ADS退出、用户响应介入请求、ADS在从4级自动驾驶功能向3级自动驾驶功能切换时用户角色转变等。

e) 针对 3 级自动驾驶功能，介入请求发出后，预留给后援用户接管的时间及需要后援用户执行操作的说明；

f) 自动驾驶功能激活状态下，允许用户开展的非驾驶相关活动及相关风险的说明；

g) 自动驾驶功能的相关状态及状态转换的说明，以及相关状态提示信号的说明，包括光学、声学和触觉等；

注： 常见状态如就绪状态、激活状态、执行MRM状态等。

h) ADS 发生故障后，其执行 DDT 能力变化的说明；

i) 若配备人工驾驶的操纵件（例如，转向、行车制动、驻车制动、加速和照明等操纵件），提供关于自动驾驶功能如何响应用户对操纵件输入的说明；

j) 若存在可能减弱或抑制用户干预的情况，相关情况及对 ADS 执行 DDT 影响的说明；

k) 针对 4 级自动驾驶功能，提供乘客请求停车方法的说明；

l) 用户在使用 ADS 前，需采取的任何额外安全预防措施（例如，查验 ADS 传感器是否被遮挡）的说明；

m) 当使用 ADS 发生交通事故时，用户应急处置建议的说明；

n)为保障ADS安全运行所需的维护操作的相关说明（例如，定期检修等）；

o) 对于支持多用户管理的车辆，相关风险和建议的说明（例如，车辆移交前提示登出当前账号）；

p) 对于可在挂接挂车的情况下激活 ADS 的车辆，对 ADS 所适配的挂车要求的说明（例如，外廓尺寸、最大允许总质量和制动性能等）以及使用 ADS 的相关风险说明（例如，需要用户确保挂车符合车辆制造商说明的要求）。

5.3.3 除不允许行驶中退出至人工驾驶的自动驾驶功能外，车辆每次重新启动动力系统（发动机自动启停除外），应至少通过以下一种方式确认坐在驾驶位的车内用户是否完成 ADS 使用培训：

a) 对坐在驾驶位的车内用户进行 ADS 的使用培训并确认完成；

b) 生物识别；

c) 在车辆处于静止状态下账号登录。

5.3.4 当采用 5.3.3 c）的方式时，ADS 应通过驾驶人输入数字或其他形式密码的方式确认其是否完成ADS 的使用培训。

注： 其他形式密码如输入字母、手势密码等。

5.3.5 除不允许行驶中退出至人工驾驶的自动驾驶功能外，车辆应向坐在驾驶位的车内用户提供已阅读并理解使用说明的确认方式，且应符合以下要求：

a) 仅在车辆处于静止状态时允许进行确认；

b)所提供的确认方式包括长按保持或至少两个有目的操作（例如，双击等）；

c) 若因软件升级导致使用说明发生变化，则在下一次激活前向坐在驾驶位的车内用户提供确认方式；

d) 当检测到最迟 30 天坐在驾驶位的车内用户未进行确认，则在下一次激活前向坐在驾驶位的车内用户提供确认方式。

5.4 其他要求

5.4.1 装备 ADS 的车辆应装备符合 GB 44497 要求的 DSSAD。

5.4.2 ADS 应接收和管理来自其他的车辆系统的信号。上述信号的清单及其管理方式，应在安全档案中描述。

5.4.3 当 4 级自动驾驶功能处于激活状态时，ADS 应按照安全档案中描述的方式执行原本应由驾驶人完成的非 DDT 相关操作。若 ADS 不执行此类必要操作，安全档案中应说明这些操作是如何执行的。

5.4.4 对于可在挂接挂车的情况下激活 ADS 的车辆，车辆制造商应证明与挂车相关的实施策略符合本文件的安全要求。

5.4.5 对于3级自动驾驶功能，若其 ODC 包括高速公路和/或城市快速路，除符合本章要求，还应符合附录 B 的要求。

5.4.6 对于4级自动驾驶功能，除符合本章要求，还应符合附录 C 的要求。

6 保障要求

6.1 安全保障要求

6.1.1 一般要求

车辆制造商应建立、实施SMS，并记录SMS相关的过程和活动。

6.1.2 安全方针

6.1.2.1 安全方针应概述车辆制造商为实现预期的安全成果所设立的目标。

6.1.2.2 车辆制造商应提供证据，证明其安全方针落实了以下方面：

a) 安全方针与原则；

b) 组织的安全目标，以及制定安全档案中所用安全性能指标的过程；

c)考虑法律法规（例如，道路通行规定）、标准、最佳实践指南以及 ADS 应用场景，建立适用于 SMS 的架构，并将其组织架构、过程及工作成果对应到 SMS 中；

d) 安全文化；

e) 安全管理，包括管理承诺、清晰的责任划分及岗位职责；

f) 质量管理体系。

6.1.3 风险管理

6.1.3.1 SMS应包括一套整体风险管理过程，用于识别、评估并缓解组织、人员和技术层面的风险，并体现风险缓解措施、相关风险之间的关联。

6.1.3.2 车辆制造商应记录其风险管理过程和活动，包括以下内容：

a) 风险识别；

b) 风险分析；

c) 风险评估；

d) 风险处置；

e) 确保持续更新风险评估的过程；

f) 对组织的安全绩效及风险控制有效性的评审过程。

6.1.4 安全保证

6.1.4.1 车辆制造商应证明定期进行独立的内审和外部检验，以确保 SMS 的过程持续执行。

6.1.4.2 车辆制造商应与参与 ADS 开发、制造或部署后阶段的任何组织（例如，签约供应商、服务提供商或车辆制造商子组织）建立适当的工作机制（例如，合同管理、质量管理体系和开发接口协议）。车辆制造商应记录其过程和活动，包括以下方面：

a) 供应链管理方针；

b) 供应链风险的管控机制；

c) 对供应商 SMS 的评估及相应审核过程；

d) 建立协议（例如，合同）的过程，以确保开发、生产和部署后阶段的安全；

e) 分布式安全活动的过程；

f) 具备向相关方提供安全相关信息的过程，以证明履行其法律义务。

6.1.4.3 SMS 文档应根据 SMS 的任何相关变更定期更新。在审核和变更 SMS 时，应使用差距分析；在制定更合适的新 SMS 之前，应查验当前的安全文化，以确保问题得到充分解决。

6.1.4.4 车辆制造商应建立过程，以实现以下目标：

a) 确保 SMS 记录的所有实践和活动得以执行；

b) 确保对相关要求的符合性进行独立查验，至少查验方不是待查数据提供方；

c) 确保对 SMS 进行持续评估，使其保持有效。

6.1.4.5 车辆制造商应定义适当的 KPI，以衡量 SMS 在 ADS 全生命周期中的有效性。

注： 全生命周期一般包括开发、生产和部署后阶段。

6.1.5 安全提升

6.1.5.1 SMS 应包括持续改进的过程。SMS 文档的更改应按要求上报。

6.1.5.2 车辆制造商应建立并维护以下机制：

a) 内部关于安全事项的有效沟通机制；

b) 与外部的信息共享机制；

c) 关于 SMS 的培训计划。

6.1.6 设计与开发管理

6.1.6.1 SMS 应包括在设计与开发阶段落实安全方针的证明，包括以下方面：

a) 设计与开发阶段相关人员的角色和职责；

b) 负责做出影响安全决策人员的资质和经验；

c) 在设计和生产活动之间的角色、责任和信息传递的协调。

6.1.6.2 车辆制造商应执行相应过程和活动，以确保设计与开发阶段的鲁棒性，包括以下方面：

a) 组织如何开展所有设计与开发活动的总体描述；

b) 装备 ADS 的车辆中与 ADS 相关的设计、开发、集成和实现，以及安全档案相关过程和活动，包括但不限于以下内容：

1) 需求管理（例如，需求获取与确认）；

2) 实车试验条件；

3) 仿真试验条件；

4) 工具管理；

5) 系统集成；

6) 软件开发保障；

7) 硬件开发保障；

8) 功能安全与 SOTIF 管理，包括对风险评估及风险间交互的持续评估与更新，包括相关分析方法（例如，FMEA、FTA、STPA 或任何适用于功能安全和 SOTIF 的其他方法）；

9) 人为因素管理，包括以人为本的设计安全相关交互设计过程。

c) 变更管理过程，包括但不限于以下内容：

1) 主要设计决策；

2) ADS 设计修改；

3) 负责做出影响安全决策的关键人员变动；

4) 用于 ADS 安全验证所采用的工具和关键参数。

6.1.6.3 车辆制造商应在实现功能安全、SOTIF、网络安全以及车辆其他安全的相关方（例如，外部供应商、车辆制造商内部专业部门）之间建立有效的沟通机制。

6.1.6.4 SMS 应包括用于制定安全档案中安全性能指标（例如，SOTIF 中的接受准则和功能安全中的FIT值、PMHF值）的过程。

6.1.7 生产管理

6.1.7.1 车辆制造商应在 SMS 中建立并记录生产过程和活动。该记录至少应涵盖以下方面：

a) 质量管理体系；

b)对车辆制造商执行所有生产职能的描述，包括工作条件、过程运行环境、设备和工具的管理。

6.1.7.2 车辆制造商应在 SMS 中建立并记录其分布式生产过程及活动。这些过程和活动应包括：

a) 车辆制造商与供应链中涉及的所有其他组织（例如，供应商、合作伙伴或分包商）之间的合作机制；

b) 供应链涉及的其他组织所生产子系统或组件的验收准则，或将生产保障要求部署到供应链中。

6.1.8 部署后安全管理车辆制造商应具备安全监测与管理的能力。

6.2 试验条件

6.2.1 仿真试验

6.2.1.1 一般要求

车辆制造商应证明各仿真工具链符合6.2.1.2~6.2.1.9的要求，以证实适用于仿真试验。

6.2.1.2 数据管理

6.2.1.2.1 一般要求

6.2.1.2.1.1 在ADS的全生命周期内，车辆制造商应管理用于验证、确认和更新仿真工具链的相关数据。车辆制造商应考虑该数据的完整性、准确性和一致性。

6.2.1.2.1.2 车辆制造商应记录用于确认仿真工具链的数据。

6.2.1.2.1.3  当不受车辆制造商控制的其他组织的数据或工具集成至仿真工具链时，车辆制造商应说明为确保相应数据或工具的质量和完整性所采取的措施。

6.2.1.2.1.4 车辆制造商应量化仿真工具链及其输出中因数据质量（例如，数据覆盖率、信噪比和传感器的不确定性/偏差/采样率）而产生的不确定性。

6.2.1.2.2 输入数据及仿真工具链参数的管理车辆制造商应记录用于验证和确认仿真工具链的输入数据，记录文档至少应说明：

a) 输入数据的重要质量特性；

b) 输入数据覆盖了仿真试验拟评估的自动驾驶功能；

c) 用于拟合仿真工具链相关参数的校准程序；

d) 仿真工具链新版本发布时，数据或参数变化的原因。

6.2.1.2.3 输出数据的管理

6.2.1.2.3.1 车辆制造商应记录用于确认仿真工具链的输出数据。每条输出记录应能追溯到生成该输出的输入数据。

6.2.1.2.3.2 车辆制造商应对输出数据进行统计分析，并记录通过该分析得出的所有重要质量特性。

6.2.1.2.3.3 车辆制造商应证明输出数据的质量足以支持以下工作：

a) 确认仿真工具链及其组件；

b) 支持对仿真工具链及其组件进行一致性或合理性查验；

c) 生成支撑安全档案的证据。

6.2.1.2.3.4 若仿真工具链中存在随机模型，关于随机模型的管理，车辆制造商应符合以下要求：

a) 描述仿真工具链输出的方差；

b) 确保仿真工具链能够进行确定性地重复执行。当确定性不能被保证时，车辆制造商提供证据证明其对于可信度的影响是可以被接受的。

注1：随机模型是指涉及或包括与偶然性或概率相关的一个或多个随机变量的模型。

注2：确定性地重复执行是指在相同输入、相同配置、相同版本的条件下，多次运行仿真，最终输出结果能够稳定落在预先定义的要求或指标范围内。

6.2.1.3 人员能力

6.2.1.3.1 车辆制造商应记录并提供以下人员能力胜任的理由：

a) 开发仿真工具链及其组件的人员；

b) 评估仿真工具链及其组件的人员；

注： 评估包括管理、分析、验证、确认。

c) 使用仿真工具链对 ADS 进行确认试验的人员。

6.2.1.3.2 车辆制造商应建立并实施相关过程和程序，以识别并保持开发、评估和使用仿真工具链所需的技能、知识和经验，至少应建立、维护并记录以下过程：

a) 识别和评估建模与仿真活动所需的必要人员能力；

b) 培训人员以使其有能力执行建模与仿真活动。

6.2.1.3.3车辆制造商应存储参与仿真工具链开发、评估和使用的人员记录，证明他们已接受必要的培训，且被认为具备完成需要的建模与仿真活动的能力。

6.2.1.3.4 车辆制造商应与仿真工具链相关的支持方建立适当工作机制，以确保这些支持方人员具备完成所分配任务的相应能力。

6.2.1.3.5 车辆制造商与支持方建立的工作机制应符合 6.1.4.2 和 6.1.6.3 的要求。

6.2.1.4 发布管理

6.2.1.4.1 在仿真工具链的整个生命周期内，车辆制造商应管理和维护用于仿真试验的仿真工具链。对于仿真工具链的管理和维护应直至 ADS 部署后阶段结束。

6.2.1.4.2 车辆制造商应管理和记录仿真工具链的发布管理过程，至少应记录以下内容：

a) 每次仿真工具链发布相关修改的描述；

b)所有相关软件（例如，特定软件产品、名称和版本）和硬件配置的信息；

c) 仿真工具链验收和发布的内部评审活动。

6.2.1.5 仿真工具链假设、已知限制和不确定性量化

6.2.1.5.1 车辆制造商应描述指导仿真工具链设计的建模假设和考虑因素。

6.2.1.5.2 车辆制造商应提供以下信息：

a) 开发每个仿真工具链及其组件期间所做的假设，以及这些假设对其范围和适用性的限制；

b) 每个仿真工具链及其组件保真度水平的选择依据。

注： 保真度是指模型与建模对象的相似程度。

6.2.1.5.3 车辆制造商应证明与仿真工具链相关的公差是适当的，并符合验收试验和验收准则。

6.2.1.5.4 车辆制造商应详细说明每个仿真工具链及其组件中的不确定性来源，并评估其对试验结果的影响。

6.2.1.6 仿真工具链适用范围

6.2.1.6.1车辆制造商应记录每个仿真工具链的适用范围，并确定其局限性。

6.2.1.6.2 车辆制造商应证明仿真工具链能在其定义的适用范围内使用。

6.2.1.6.3 仿真工具链适用范围应参考ODC，并确定其适用于ODC 的任何限制条件。

6.2.1.6.4 车辆制造商应证明每个仿真工具链如何仿真相关的物理现象，并符合必要的准确度水平。

6.2.1.6.5 车辆制造商应提供用于确认仿真工具链的试验项目清单、相应参数和已知限制。

6.2.1.7 仿真工具链关键性分析

车辆制造商应评估仿真工具链的关键性以及其对安全档案中声明的影响。

6.2.1.8 仿真工具链验证

6.2.1.8.1 一般要求

车辆制造商应证明仿真工具链不会对未经明确试验的有效输入表现出不现实的行为。

注：有效输入指符合仿真工具链预设的规则和范围，以触发其正常响应的输入数据。

6.2.1.8.2 仿真工具链代码验证

6.2.1.8.2.1 车辆制造商应记录评估每个仿真工具链及其组件时所用代码验证技术（例如，静态/动态代码验证、收敛性分析）的执行情况。

6.2.1.8.2.2 车辆制造商应证明已充分探索输入参数空间，以确定是否存在会导致仿真工具链表现出不稳定或不现实行为的参数组合。

6.2.1.8.2.3 车辆制造商应执行仿真工具链代码的合理性和一致性查验程序，并提交相关结果信息，以证明仿真工具链的鲁棒性。

6.2.1.8.3 仿真工具链计算验证

6.2.1.8.3.1 车辆制造商应记录数值误差（例如，离散误差、舍入误差、迭代程序收敛误差）的估计。

6.2.1.8.3.2 车辆制造商应审查分析结果，并证明对数值误差已进行充分理解和限制，以确保仿真工具链能用于仿真试验。

6.2.1.8.4 仿真工具链敏感性分析

6.2.1.8.4.1 车辆制造商应证明已通过适当的敏感性分析技术确定对仿真工具链输出影响最关键的输入数据和参数，以表征整个仿真工具链输出的不确定性。

6.2.1.8.4.2 车辆制造商应证明已采用鲁棒校准程序为所有仿真参数（特别是最关键参数）分配适当的数值。

6.2.1.9 仿真工具链确认

6.2.1.9.1 车辆制造商应根据定量指标进行确认分析，以确定每个仿真工具链与其所表征的真实系统的准确程度。

6.2.1.9.2 车辆制造商应提供仿真工具链输出结果与实车试验结果具有一致性和相关性的证据。

6.2.1.9.3 车辆制造商应基于一组具备充分代表性的试验进行仿真工具链确认，以证实仿真工具链能在其适用范围内使用。

6.2.1.9.4 车辆制造商应定义用于比较实车试验结果和仿真工具链输出结果的性能观测量。

6.2.1.9.5 车辆制造商应使用适当的统计方法比较实车试验结果和仿真工具链的相应输出。

6.2.1.9.6 车辆制造商应在每个仿真工具链及其组件的开发过程中规定验收试验和验收准则，并证明已符合相应验收准则。

6.2.1.9.7 车辆制造商应根据仿真试验用途定义用于每个仿真工具链确认的方法和试验，至少包括以下一个或多个：

a) 子系统确认（例如，环境模型、传感器模型或车辆动力学模型）；

b) 车辆系统确认（车辆系统指车辆动力学模型与环境模型的结合）；

c) 传感器系统确认（传感器系统指传感器模型与环境模型的结合）；

d) 集成系统确认（集成系统指传感器模型与受车辆动力学模型影响的环境模型的结合，或传感器模型、车辆动力学模型与环境模型的结合）。

6.2.1.9.8 车辆制造商应明确仿真工具链的适用范围与 ODC 的匹配程度。

6.2.1.9.9 车辆制造商应证明已符合仿真工具链开发过程中定义的准确度准则。

6.2.1.9.10 车辆制造商应证明已落实与确认活动相关的过程。

6.2.1.9.11 车辆制造商应记录不确定性特征分析结果和仿真工具链使用方法，以及在用于仿真试验时采用的安全裕度。

注： 安全裕度指利用仿真工具链进行仿真试验时，为了补偿其不确定性等误差而有意施加的额外余量。

6.2.1.9.12 车辆制造商应证明：

a) 具备估计各仿真工具链关键输入的方法；

b) 估计方法已应用；

c) 估计结果已记录。

6.2.1.9.13 车辆制造商应识别每个仿真工具链及其组件中的关键参数。在适当情况下，关键参数应给出限定范围或给出参数分布的相关特征量或者统计量。

6.2.1.9.14 车辆制造商应证明基于仿真工具链的假设已对每个仿真工具链及其组件的不确定性完成了适当的表征。

6.2.1.9.15 车辆制造商应证明已区分仿真工具链相关的偶然不确定性和认知不确定性。

注1：偶然不确定性指数据信息中的固有噪声。

注2：认知不确定性指由于对建模过程的知识缺乏所导致的不确定性。

6.2.2 场地试验

车辆制造商应证明场地试验的设施、环境和能力与场地试验的预期用途及其在整体试验方案中的作用相匹配，并能收集支撑安全档案的证据。此外，车辆制造商还应证明：

a) 所开展的场地试验包括可体现ODC和预期运行工况的静态和动态元素；

b) 场地试验期间使用的设备已定期进行查验、维护和校准，以确保测量结果具备足够的准确度和精度。

6.2.3 道路试验

车辆制造商应证明道路试验的道路、设施、环境和能力与道路试验的预期用途及其在整体试验方案中的作用相匹配，并能收集支撑安全档案的证据。此外，车辆制造商还应证明：

a) 所选试验路线能使 ADS 有足够概率遇到以下场景：

1) 大量 ORU；

2) 少见的道路基础设施、非典型道路条件、非典型环境条件。

b) 道路试验期间使用的设备已定期进行查验、维护和校准，以确保测量结果具备足够的准确度和精度。

7 保障要求检验

7.1 安全保障要求检验

7.1.1 一般要求

7.1.1.1 检验人员应检验车辆制造商的 SMS 符合 6.1 的要求。

7.1.1.2 检验人员应对车辆制造商的 SMS 进行检验，检验车辆制造商在管理安全风险及确保 ADS 全生命周期（开发、生产、部署后阶段）安全相关的过程具备鲁棒性。

7.1.1.3 检验人员应评估车辆制造商监测 SMS 活动过程的鲁棒性，并应评估车辆制造商采取适当的纠正或预防措施解决所有安全问题的能力。

7.1.2 安全方针检验

检验人员应检验车辆制造商的安全方针符合6.1.2的要求，并涵盖以下方面：

a) SMS 建立、运行和维护所依据的原则和目标；

b) 适合组织需求的组织架构、安全管理要素；

c) 安全承诺的声明；

d) 引导组织内相关人员融入安全文化的措施和方法。

7.1.3 风险管理检验

检验人员应检验车辆制造商的风险管理过程符合6.1.3的要求，并涵盖以下方面：

a) 已具备应对和预防风险的措施；

b) 风险包括但不限于：

1) ADS 本身的风险；

2) 在 ADS 全生命周期中所识别的风险，包括参与方的风险；

3) 影响 SMS 有效性的组织或人员产生的风险；

4) 影响 ADS 安全性的组织或人员产生的风险。

c) 风险管理过程和活动覆盖 ADS 整个生命周期并被实施。

7.1.4 安全保证检验

检验人员应检验车辆制造商的安全保证过程符合6.1.4的要求，并涵盖以下方面：

a) 定期进行独立的内审和外部检验；

b) 供应链以及可能影响 ADS 安全的相关组织的管理过程；

c) 已具备的变更管理过程；

d) 已具备纠正措施过程，以维持可接受的安全水平；

e) 适用于 ADS 和 SMS 的纠正措施；

f) 已具备衡量 KPI 的监测实践；

g) 适用于 ADS 和 SMS 的监测实践；

h) 已设立履行合规评估和审核工作的独立职能。

7.1.5 安全提升检验

检验人员应检验车辆制造商的安全提升过程符合6.1.5的要求，并涵盖以下方面：

a) 能履行职责人员的能力水平；

b) 提高人员能力的培训过程；

c) 内外部的安全沟通途径；

d) 持续改进的过程。

7.1.6 设计与开发管理检验

检验人员应检验车辆制造商的设计与开发过程符合6.1.6的要求，并涵盖以下方面：

a) 设计与开发阶段的管理过程；

b) 安全方针、风险管理、安全保证和安全提升在设计与开发过程中应用的证明文档。

7.1.7 生产管理检验

检验人员应检验车辆制造商的生产管理过程符合6.1.7的要求，并涵盖以下方面：

a) 生产阶段的管理过程；

b) 安全方针、风险管理、安全保证和安全提升在生产管理过程中应用的证明文档。

7.1.8 部署后安全管理检验

检验人员应检验车辆制造商安全监测与管理的能力符合6.1.8的要求。

7.2 试验条件检验

7.2.1 仿真试验条件检验

7.2.1.1 检验人员应检验车辆制造商的仿真试验条件符合 6.2.1 的要求并适合开展仿真试验。

注： 检验人员可能要求车辆制造商展示仿真工具链的执行及结果的生成。

7.2.1.2 检验人员应确认检验的结果及额外试验（如有）的结果与车辆制造商提供的信息的一致性。

注： 检验人员可能要求开展额外的试验。

7.2.2 场地试验条件检验

检验人员应检验车辆制造商的场地试验条件符合6.2.2的要求并适合开展场地试验。

注： 检验人员可能要求车辆制造商开展部分场地试验。

7.2.3 道路试验条件检验

检验人员应检验车辆制造商的道路试验条件符合6.2.3的要求并适合开展道路试验。

注： 检验人员可能要求车辆制造商开展部分道路试验。

8 安全档案检验

8.1 一般要求 

检验人员应检验由车辆制造商根据附录D提供的安全档案。

8.2 内容检验

8.2.1 检验人员应检验车辆制造商的安全档案的完整性，安全档案的完整性应至少符合以下要求：

a) 系统描述符合 D.1 的要求；

b) 安全概念一致且完整符合 D.2 的要求；

c) 声明、论据和证据至少符合以下要求：

1) 依据 D.3.1.2，所涉及的每项要求均通过一个或多个声明得到阐释；

2) 依据 D.2.1.1、D.2.6.1.1、D.3.1.3，声明的集合能够证明 ADS 不存在不合理风险；

3) 依据 D.3.1.1 a），每个声明均有一个或多个论据支持；

4) 依据 D.3.1.1 b），每个论据均有一个或多个证据支持；

5) 依据 D.2.6.1.1，车辆制造商已记录与声明相关的指标及验收准则；

6) 依据 D.3.1.1 c），对声明、论据和证据进行唯一地标识；

7) 依据 D.3.1.6，从要求到证据的前后追溯性；

8) D.3.1.4 和 D.3.1.7~D.3.1.9。

注： 检验人员可能要求提供支持性文件或协助复现证据。

8.2.2 检验人员应检验车辆制造商的安全档案的鲁棒性，安全档案的鲁棒性应至少符合以下要求：

a) 安全概念中所有已识别的风险全部被降低、缓解或接受，并且总体残余风险（定性或定量）低于不合理的风险阈值；

b) ADS 及其功能开发、验证和确认的完整性等级足以将风险降至不合理风险阈值以下；

c) 车辆制造商已采取措施限制由 ADS 或与其交互的其他的车辆系统导致的潜在非预期功能；

d) 依据 D.3.2.1，获取证据的试验条件均达到可接受的可信度水平，且在参数变化时表现稳定；

e) 依据 D.3.2.5.1，试验证据来源于经过充分描述的仿真试验、场地试验和道路试验的组合，并表明试验方法间结果的一致性；

f) 依据 8.3，提供的证据可复现，且安全目标保持一致；

g)证据合理覆盖预期运行区域内可预见的运行条件和事件，符合 D.2.5.2.7 和 D.2.5.2.8 的要求，包括在 ODD 内及可能超出 ODD 的情况；

h) 依据 D.4，车辆制造商已开展一项或多项内审，并针对发现的问题采取整改措施。

注： 检验人员可能要求提供支持性文件或协助复现证据。

8.3 试验活动检验

8.3.1 一般要求

8.3.1.1 检验人员应检验车辆制造商采用的试验方法适用于证明安全档案以及性能或功能要求符合性。

8.3.1.2 检验人员应检验试验（仿真试验、场地试验、道路试验等）结果的综合覆盖范围足以支撑安全档案的声明。

8.3.2 场景及其管理检验

8.3.2.1检验人员应检验车辆制造商采用并记录适当的过程，以得出与 ADS 的 ODC 及安全档案相关的 ADS 行为能力。

8.3.2.2 检验人员应检验车辆制造商识别和生成场景的方法及过程适当并符合 D.3.2.2.2 的要求。

8.3.2.3 检验人员应检验车辆制造商识别和生成的场景符合 D.3.2.2.3 的要求。

8.3.2.4 检验人员应检验车辆制造商在选择具体场景时符合 D.3.2.2.4 的要求。

8.3.3 试验过程检验

检验人员应检验车辆制造商的试验过程符合D.3.2.3.1和D.3.2.3.2的要求。

8.3.4 试验证据检验

8.3.4.1 一般要求

8.3.4.1.1 检验人员应检验车辆制造商在证明安全档案时使用不同试验方法提供的证据，试验方法包括：

a) 仿真试验；

b) 场地试验；

c) 道路试验。

8.3.4.1.2 检验人员应检验车辆制造商提供的用于证明 ADS 执行 DDT 能力的证据。

8.3.4.1.3 检验人员应检验车辆制造商提供的用于证明 ADS 与用户安全交互能力的证据。

8.3.4.1.4 检验人员应检验与ADS交互相关的特定试验用例符合 D.3.2.5.5 的要求。

8.3.4.1.5 检验人员应检验所开展的试验项目适用于作为支持安全档案的证据，包括覆盖范围、一致性和相关性等方面。

8.3.4.1.6 检验人员应检验试验结果能证明 ADS 在执行 DDT 时的行为能力符合 D.3.2.4.2 的要求。

8.3.4.2 仿真试验证据的检验

8.3.4.2.1 检验人员应检验车辆制造商开展的仿真试验，仿真试验应依据 6.2.1 的要求在仿真工具链中充分考虑了假设、准确性和不确定性等因素。检验人员应检验仿真试验结果体现上述考量因素。

8.3.4.2.2 检验人员应检验任何使用包括随机元素的仿真工具链开展的仿真试验均已考虑试验结果中可能存在的不确定性。

8.3.4.2.3 检验人员应检验仿真试验已包括风险场景及低概率事件，符合 D.3.2.5.2 的要求。

8.3.4.3 场地试验证据的检验

8.3.4.3.1 检验人员应检验车辆制造商为支持安全档案所提供的场地试验证据。

8.3.4.3.2 检验人员应检验场地试验的场景符合 D.3.2.5.3 的要求。

8.3.4.4 道路试验证据的检验

检验人员应检验车辆制造商为支持安全档案所提供的道路试验证据符合D.3.2.5.4的要求。