基于自然驾驶与事故数据分析的L3级以上自动驾驶系统技术要求评估

原文 : Assessment of Technical Requirements for Level 3 and Beyond Automated Driving Systems based on Naturalistic Driving and Accident Data Analysis

翻译：卢萍、阚博然

译文审核：丁佳俊

SAE L3及更高级别的自动驾驶系统允许将驾驶任务和责任转移给车辆及其自动化系统。开发和实际运行中的一个重要挑战是在功能、可用性和安全性之间取得平衡，因为有充足的准备时间，人类驾驶员只需要保证其能够正常接管车辆。因此，自动驾驶需要传感器、算法和执行器的增强能力。本文着重于改善自动驾驶汽车的安全性和驾驶舒适性，并与仅有驾驶员或辅助驾驶相比，讨论了即将出现的技术要求。

本文使用并改进了ADAS的最新前瞻性效能评估方法，以预估自动驾驶系统的事故避免潜力。此分析的数据来源包括“战略公路研究计划2”（SHRP2）和德国交通事故详细数据库（GIDAS）。

对于高速公路，将对示例自动驾驶功能进行前瞻性评估，并使用碰撞、近碰和基准数据展示其对交通安全和驾驶舒适性的影响。进而提取出相应自动驾驶系统的相关技术要求。通过实例用例，展示了对系统功能、可用性和安全性可能产生的影响。此外，还讨论了在手动驾驶时，安装高性能传感器对于L3及更高级别自动驾驶系统的安全潜力。

01  引言

在文献中，对于定义自动化级别有不同的方法。在国际上，SAE J3016 [Sae18] 是其中最普遍的，因此在接下来的分析中将被使用。SAE J3016 概述了六个自动化级别，从0级（无驾驶自动化）到5级（完全驾驶自动化）。

本文中，系统自动化被定义为从L3（有条件自动化）开始，其中自动驾驶系统（ADS）在运行设计域（ODD）内执行整个动态驾驶任务（DDT）。在L3级，当系统发生错误或接近ODD边界时，ADS会发送过渡要求给准备接管的用户，以便其接管动态驾驶任务（DDT）。如果驾驶员未能适当地作出响应，自动驾驶系统可能会采取故障缓解策略。在更高级别的自动化级别（L4和L5），自动驾驶系统会采取系统响应来执行动态驾驶任务（DDT）的备用措施。

在开发L0级-L2级的系统时，由于驾驶员可以立即接管，因此没有最低系统要求。因此，可以采用自下而上的方法。通过逐步解决更复杂的场景，逐步开发手动驾驶的主动安全系统的事故预防潜力。

相比之下，在L3及以上的自动驾驶系统中，驾驶员/用户不会立即对车辆进行操控。因此，自下而上的方法不适用。采用自上而下的方法，可以通过根据系统功能限制操作设计域来确定相应的系统效能。为此，必须从不同的应用案例中推导出相应的系统要求。因此，有必要建立一个全新的开发流程，不仅基于碰撞数据，还基于关键情况（近碰）和正常驾驶情况（基准）。

本文的结构如下：首先，讨论了ADS事故预防潜力和技术要求的相关工作。在接下来的部分中，对本文的文献和研究问题进行了批判性回顾。“方法和数据源”一节介绍了基于自然驾驶和事故数据分析舒适度和安全增益的应用方法。“结果”章节结果介绍了ADS不同性能对安全性、可用性和功能性的影响。最后，讨论了结果和相应的局限性，并提出了展望。

02  相关工作与文献综述

在过去的几十年里，通过加强安全措施，如改善被动安全和基础设施，高收入国家减少了人身伤害[Who15]。此外，消费者保护、保险组织和监管机构越来越多地需要主动安全系统，如自动紧急制动[Eur19]、[Gdv18]、[UNa14]。这些类型的系统显示出事故频率、身体伤害和总体损失的显著降低[Doy15，Fil15，Rat15，Hld11-Hld15b]。

当前的安全系统，如自动紧急制动AEB，是按照自下而上的开发过程设计的（图1）。在这种方法中，从追尾车与当前车碰撞场景到当前和未来的功能，如行人、骑自行车者和电动两轮车的紧急制动，包括交叉口和交叉口场景，系统功能和相应的现实世界事故预防能力不断得到改进。为了开发自动驾驶系统（对应于L3级至L5级），这种流程不再适用，因为驾驶员不能立即接管。

在本文中，开发了一种新的方法，使用自上而下的开发过程来评估L3级及以上的自动驾驶系统。这样的过程提供了根据先前建立的某些驾驶场景的技术系统要求的系统可用性的调整。

定义未来安全系统技术要求的典型方法包括以下步骤[Wis13，Wis13a，Edw14，Sei14]：

● 真实世界临界碰撞事故分析；

● 事故数据与情景的聚类和加权；

● 基于集群事故场景推导测试场景和程序；

● 特定功能的开发、测试和实际验证。

图1 主动安全或辅助功能自下而上的示意图

德国保险协会对2035年之前自动驾驶功能对预期索赔支出的影响进行了分析[GDV17]。在该研究中，从系统相关性、系统效率、利用率和市场渗透率计算了相应系统的货币减少量。系统相关性是使用事故数据确定的，并描述了系统能够解决的崩溃次数。由于并非每一个可寻址的事故都是可预防的，因此定义了系统效率。为了考虑到该系统可能不是在每种驾驶条件下都是活动的，也不是在每辆车中都存在，引入了利用率和市场渗透率。可以通过调整系统效率来解决不同的系统功能和相应的要求（例如，在不利天气条件下驾驶、执行变道等）。然而，使用所提出的方法，系统效率在很大程度上取决于专家估计。为了评估系统可用性方面的系统需求，还必须对正常驾驶情况（基线）进行分析。

关于L3+系统的系统需求，文献中仅介绍了通用方法，例如在[dv18]中。Unfallforschung derVersicher [Udv18]引入了自动驾驶的通用要求。然而，这些不允许解决对系统功能、系统安全性和系统可用性的影响。

03  目的和目标

当前L3级自动化系统的评估方法有许多局限性。最先进的有效性评估基于碰撞数据。应该考虑的另一个方面是驾驶员可以通过将驾驶任务转移到该系统而从使用这种自动驾驶系统中获得额外的舒适度，因此，可以减少驾驶员的工作量。通过解决接近碰撞的情况，还可以预期进一步的安全效益。很大一部分未遂事故表明，人类能够充分处理危急情况。这些问题也必须通过L3级自动化系统来解决。为了回答这些研究问题除了碰撞数据外，还需要基线事件的驾驶数据。由于当前使用的数据库仅包括碰撞数据，因此需要调查其他数据库设置。

以前的分析包括对通用系统的潜在评估，而没有确定系统需求。对L3级系统的评估需要对系统的功能、安全性和可用性要求进行详细分析。

这就提出了以下研究问题:

● 不同自动驾驶功能的事故预防潜力是什么?

● 如何评估驾驶员的舒适度?

● 各种功能如何影响驾驶员的舒适度?

04  方法和数据源

我们分析的数据来源是战略公路研究计划（SHRP2）自然驾驶数据库。该数据源包括4300年的累计驾驶数据、约3400名参与者和3300辆参与者车辆[Han16]。这项研究在美国的六个不同城市进行。安装的数据测量系统存储了各种时间序列数据，如速度或转向角[Vtt16]。此外，还提供了手动编码的事件数据和场景视频。在数据集中，总共存在1465起撞车事故、2710起未遂撞车事故和20000个平衡样本基线。

在第一步中，根据可用的NDS，SHRP2数据分析不同的情况，如地点、碰撞严重程度或事故前动作。在本分析中，我们将重点关注州际公路/支路/分区公路的自动驾驶功能。因此，没有分开行驶方向和交通信号的街道被排除在外。基于SHRP2内的碰撞和近碰撞事件，确定普通HWP的事故预防潜力。

接下来的步骤描述了不同技术要求、其规范和边界条件对功能、可用性和安全性的影响。由于人工驱动程序不能立即用于冗余，因此需要并提出一种新的方法。采用自上而下的方法来确定不同边界条件和相应技术要求对自动化系统可用性的影响（图2）。在每一步中，自上而下的方法都描述了技术要求对作战设计领域的影响，由于并非所有边界条件都是可控的，实际实施将不包括通用HWP的运行设计域（ODD）。示例性边界条件包括:

● 天气和地表条件；

● 地点，例如行驶方向分开且没有交通信号的高速公路；

● 驱动速度；

● 案例，例如变道、超车；

● 交通管制，例如收费站或警察。

将SHRP2的数据作为基线，可以分析特定的技术实施是否涵盖数据库中的特定场导，这可以判断自动驾驶功能的舒适性优势 -- 在各种边界条件下，特定功能可以覆盖多少驾驶事件？可以采用类似的方法来分析碰撞和未遂碰撞的比例，以确定特定自动驾驶系统的事故预防潜力。因此，对于HWP的不同功能，如变道、进出高速公路或在不利天气条件下驾驶，必须考虑可用性和安全性之间的平衡。

如果当前的技术解决方案无法处理基线场最或管理现有的碰撞/未遂碰撞，则必须连续减少自动驾驶系统的操作设计域，直到达到可接受的状态。基于SHRP2数据，对于HWP的不同系统规范，将显示各种边界条件对舒适优势或去全效益的影响。

为了将SHRP2数据与德国事故数据进行比较，德国深入事故研究（GIDAS）[Erbs08]用于分析德国高速公路上的事故。这个数据库的优点是可 以获得事故中每一个人的信息。因此，进行了分析，并提取了所有相关乘用车的所需数据，符合特定的过滤标准。使用了2018年6月的GIDAS数据集， 仅包括重建和完全编码的事故。

图2 自上而下的方法展示了技术要求对自动驾驶功能的操作设计领域和舒适性优势的影响

05  结果

在SHRP2自然驾驶研究中，有1465起事故、2710起近乎撞车事故和2万起基线事件可用。图3a)显示了各自地区的相对分布情况。在该图中，位置按碰撞次数降序排列。近48%的碰撞（包括低风险的轮胎撞击）发生在商业和工业区。然而，参与者只有32%的时间在这些地区开车。相比之下，只有5%的碰撞发生在没有交通信号的州际公路/旁路/分隔高速公路上，在这些地方发生了大量的近乎碰撞（21%），尤其是基线事件（27%）。在这种街道类型中，发生的碰撞较少，但人类驾驶员成功地减轻了大量关键的近似碰撞事件。此外，在交通方向分离且没有交通信号的街道上发生的基线事件比例很高。因此，HWP可能会提供较高的舒适性优势。

图3b)显示了受地点影响的碰撞严重程度的相对比例。在州际公路/旁路/分隔高速公路上发生了更严重和警方报告的撞车事故。在没有交通信号但行车方向划分的街道上，26%的事故是严重的，25%的事故是警方报告的，而大多数事故发生在商业/工业街道上，12%的事故是严重的，17%的事故是警方报告的。

总之，与商业/工业、住宅或学校等地方相比，在没有交通信号的州际公路/旁路/分隔高速公路上发生的事故更少。这一结果与现有关于普通HWP的潜在安全效益的研究相似[Gdv17]。相比之下，这一NDS分析表明，在交通方向分离且没有交通信号的街道上，发生近乎撞车事故的比例相对较高。人类驾驶员很好地处理了这些关键事件，因此自动化系统需要通过避免此类接近碰撞或通过预测驾驶来在这些场景中表现同样出色。此外，高速公路/州际公路的避碰将在很大程度上减少严重碰撞。总的来说，对于一个普通HWP来说，对关键事件、碰撞严重程度和事故减少潜力都有很大的积极影响。对于本文的进一步分析，我们将重点放在州际公路/旁路/分隔高速公路用例的自动驾驶功能上，不包括没有独立驾驶方向和交通信号的街道。

图3 a)取决于地点的碰撞、接近碰撞和基线事件的相对比例

b)取决于地点的碰撞严重程度的相对比例

下一步，我们将重点研究在没有交通信号的州际公路/旁路/分隔高速公路上的事故前操作分析。该变量描述了在事件发生之前或发生时的动作或驾驶操作类型[Vtt16]。

在这一类别中，我们的数据集中包括79起撞车事故（5.4%）、577起近乎撞车事故（21.3%）和5367起（26.8%）基线事件。图4描绘了事故前操作在事故、接近事故和基线事件中的相对比例。66%的时间受试者以恒定速度直线行驶。在这种情况下，更少的撞车（43%）和接近撞车（42%）发生。人类驾驶员面临的关键场景有:加速时直行、在车道上减速、（有意或无意）变道以及合并。在这些情况下，碰撞和接近碰撞的相对比例高于现有的基线事件。

此外，交通车道 上的事故前操作 减速 显示出一个有趣的相关性:在这种情况下，相对于碰撞（11%），发生了更多的接近碰撞（19%）。这可能是由于驾驶员通过适当的规避操作避免了事故的发生。

根据已有的时间序列数据，分析了各事件的初速度。图5显示了在没有交通信号的州际/旁路/分隔高速公路上，不同事件类型影响下的速度分布。在所有基线事件中，5.7%的时间速度低于60km/h, 36.8%的时间速度低于100 km/h, 97.9%的时间速度低于130 km/h。这一分析包括了进出坡道。因此，如果L3+系统能够处理所有边界条件-例如不利天气，收费站，坡道-高达130公里/小时的速度，则可以覆盖97.9%的基线驾驶时间。在50至110公里/小时之间，与基线事件相比，发生了更多的近乎碰撞和碰撞事件。这与对事故前操作的分析相对应（图4）：在加速、减速或过弯时发生的碰撞和接近碰撞的比例很高。

图4 对于没有交通信号的州际公路/旁路/分隔高速公路，事故前操作的相对比例

图5 没有交通信号的州际公路/旁路//分隔高速公路的速度分布

图6显示了HWP不同功能的可用性，以及边界条件和技术要求的影响。因此，基线事件从普通HWP开始评估（=100%所有在SHRP2 NDS内的州际公路/旁路/分隔高速公路上没有交通信号的行程都可以由HWP覆盖）。因此，各种事件和情况必须由相应的L3+级系统处理，因为不能指望人类驾驶员作为后备人员及时可用。

在接下来的步骤中，我们将分析不同的边界条件和技术要求对可用性的影响。因此，可以分析边界条件/技术要求的级联以及对自动化系统取代人工驾驶的影响。如果一个系统不能处理有看门人、官员或收费站等交通管制的情况，则99.7%的自然驾驶时间可能仍然包括在内。此外，如果操作设计领域受到不利天气条件的限制，则可用性从99.7%降低到98.5%。边界条件/技术要求，如出口或入口坡道上的自动驾驶，车道变化（检测后方或侧面交通）和施工区域（不同/狭窄的驾驶路径）对用户的舒适性优势显示出更高的影响。如果这些场景无法由自动化系统管理，由于自动化带来的舒适优势仍然是驾驶时间的82.6%。如果将最高车速额外限制在130公里/小时，则可用性降至80.8%。进一步将速度降低到100公里/小时会导致可用性的大幅下降（27.3%）。最高车速为60公里/小时，前方车辆（此处定义为交通堵塞）的存在导致可用性下降3.9%。

图6 在边界条件和技术要求的影响下，对HWP不同功能的可用性进行自上而下的评估

除此之外，由于避免或减少（接近）碰撞的临界性，自动驾驶功能具有潜在的安全效益。在没有交通信号的州际公路/旁路/分隔高速公路上，发生了79起撞车事故（5.4%），577起撞车事故（21.3%）和5367起（26.8%）基线事件。对于普通的HWP来说，假设这些碰撞和接近碰撞是可以避免的。图7分析了不同类型的操作设计域对安全性和可用性的影响。这一分析表明，天气、出口/入口或施工区域等边界条件对自动驾驶功能的安全效益有很大影响。如果不能解决这些问题，安全潜力将下降到63%的可寻址碰撞和65%的接近碰撞。与基线相比事件（83%的可用性）在这样的条件下发生了更关键的事件。此外，低速自动驾驶功能（交通堵塞，60和80公里/小时）与基线事件相比具有更高的安全潜力。一个交通堵塞HWP能够解决9%的撞车事故和8%的近乎撞车事故，而该功能只能在3.9%的基线事件中提供。因此，与可用性相比，即使是通用的交通拥堵功能对交通安全的影响也更大。

图7 对HWP不同功能的安全潜力

进行自上而下的评估

为了分析对避碰的影响，还对GIDAS数据进行了研究。我们的研究共纳入了高速公路或类似道路（没有十字路口和红绿灯的独立道路）上的3052辆乘用车。所有车辆的集合构成了高速公路和类似道路系统的100%安全潜力。与之前一样，分析了不同边界条件和技术要求的自上而下的方法对安全潜力的影响。数据库中没有关于看守人、官员或收费站等交通管制情况的相关信息。因此，事故预防的潜力并没有减少。在没有不利天气条件的情况下，安全潜力降低到94%。在下一步中，在出口/入口坡道上行驶、进行车道变化、合并机动或通过施工区域的车辆被排除在外。因此，系统效益降低到83%。当车辆在情况变得危急之前的速度低于130公里/小时时，增益为68%。在交通堵塞时，有其他车辆在场而系统的运行速度最高为60公里/小时，相关效益约为9%。所有应用的步骤如图8所示。与NDS数据集相比，GIDAS分析了各自类型道路上的所有车辆。这导致了基于车辆的焦点。

06  讨论与限制

前一节已经展示了自动驾驶功能的潜在安全效益。此外，在手动驾驶过程中避免人为失误（如损伤、注意力不集中）导致的事故，提高了安全性和舒适性。

为L3+级功能安装的高性能传感器还可用于改进手动或辅助驾驶的主动安全系统。在NDS内，类似的碰撞也发生在州际公路/旁道/有交通信号的分隔高速公路上。因此，利用这些传感器可以提高最先进主动安全系统的操作范围和性能。

通过使用NDS的数据，我们的分析需要考虑到一些局限性。一方面，只有参与者车辆的时间序列数据是已知的。相比之下，在GIDAS中，事故是为所有相关人员重建的。

图8 在边界条件和技术要求的影响下，对HWP不同功能的安全潜力进行自上而下的评估

另一方面，对于某些事件，特定的时间序列数据（例如速度）不包括在内。在此分析中，排除了数据缺失的事件。

为了研究安全性和舒适性增益，假设自动驾驶功能可以考虑碰撞、接近碰撞和基线事件。此外，NDS数据库在没有交通信号的州际/旁路/分隔高速公路上的碰撞方面相当有限（n=79）。

除此之外，其他交通参与者的不当行为还没有包括在我们的分析中。一个例子可能是在变道过程中发生的碰撞，这是由接近的车辆超速引起的。

07  结论和展望

对于自动驾驶系统来说，在功能、可用性和安全性之间取得平衡，是现实世界部署时面临的关键挑战。因此，本文提出了一种基于自然驾驶数据的前瞻性有效性评估。对于L3级及以上系统的自上而下的开发过程，对即将到来的自动驾驶功能的技术要求进行评估是必不可少的。

本文提出了一种评估和量化这种影响的新方法。所进行的分析表明，由于26.8%的分析基线事件是高速公路驾驶，因此普通HWP可以显著提高驾驶员舒适度。特别是对严重公路碰撞事故的预防，带来了很高的安全潜力。此外，高速公路上高比例的撞车事故表明，即使对人类驾驶员来说，驾驶任务也相当艰巨。对GIDAS数据库中碰撞的分析显示了可比较的结果，并允许为HWP创造一系列安全效益。

总而言之，所进行的分析能够区分客户舒适度的各种运行设计域（ODD），并降低因避免碰撞或接近碰撞而导致的临界性。