自动驾驶合规宝典23～ADS在役监控系统

1.什么是ADS在役监控系统

2.ISMR验证支柱

3.ISMR的目标和流程

1.什么是ADS在役监控系统

ADS（Autonomous Driving System）在役监控系统是一种专门用于对已经部署并投入实际道路运行的自动驾驶车辆进行持续性能监控和安全评估的系统。该系统旨在收集和分析代表在役ADS性能的各种信息，以便及时发现并解决潜在的安全问题，确保自动驾驶车辆在各种运行条件下都能保持高度的安全性。

ADS在役监控系统通常包括以下几个关键组件：

数据采集模块：负责实时收集自动驾驶车辆在运行过程中产生的各种数据，包括车辆状态、传感器数据、决策过程信息等。

数据分析模块：对采集到的数据进行深入分析，识别任何可能表明ADS性能下降或存在安全风险的迹象。

警报和通知系统：一旦发现潜在的安全问题或性能下降，系统会立即触发警报，并通知相关的制造商、运营商或监管机构。

报告生成模块：根据监控结果，自动生成详细的报告，包括：

（i）在役ADS车辆的基本信息，包括车辆型号、部署区域、运行时间等；

（ii）监控过程中发现的安全问题和潜在风险评估；

（iii）已采取的补救措施和未来的改进措施；

（iv）ADS性能与最初认证测试结果的对比分析；

（v）ADS的使用对道路安全影响的评估结果。

用户界面：提供一个直观的用户界面，使制造商、运营商和监管机构能够轻松地访问监控数据、查看报告并跟踪问题的解决进度。

通过实施ADS在役监控系统，制造商可以更好地了解其自动驾驶车辆在实际运行中的表现，及时发现并解决潜在的安全问题，从而不断提高自动驾驶技术的安全性和可靠性。同时，这也有助于增强公众和监管机构对自动驾驶技术的信任和信心。

2.ISMR验证支柱

在役监测和报告ISMR（In-Service Monitoring and Reporting）是一种验证方法论，是自动驾驶系统安全性多支柱验证方法的一部分。它解决了引入市场后，自动驾驶车辆的在役安全问题。

原则上，役监测和报告ISMR不像前面介绍的其他方法（审核、仿真、轨道、真实路试）那样是一个上市前的验证工具，但它仍然可以（尤其是监控部分）用于验证ADS的安全符合性要求。ISMR主要设计用于提供ADS上市后在役安全性能的证据，识别并展示ADS安全性能的漂移或偏差，并找到ADS失效的区域。而不是像仿真测试、场地内轨道测试和真实道路测试一样，需要在ADS上市前提供安全性能的证据。

根据现行标准，审核支柱、仿真测试支柱、场地内轨道测试支柱和真实道路测试支柱是为了评估ADS是否安全，以决定是否将其引入市场。

而在役监测和报告支柱是为了在ADS服役期间收集更多证据，以证明在ADS引入市场后仍然是安全的，即：使用ADS不会带来不合理的安全风险。

役监测和报告ISMR支柱描述了如何监测在役ADS的动态性质，然后提供反馈，以确保ADS的安全性不断提高。它依靠在真实运营环境中实地收集车队数据来评估ADS在道路上运行时是否仍然安全。这种数据采集还可以提供信息，帮助为交通场景库开发新的测试场景或现有场景的新变体，使整个ADS生态能够从重大ADS事故/事件中不断学习、不断优化。

ISMR要求ADS制造商收集和分析与其在役ADS相关的安全相关信息，并向监管当局报告与安全相关的问题、事件和性能指标。

在ADS的整个生命周期内，ADS的安全性能仍然是ADS制造商的责任。

在役监测和报告ISMR是一种机制，制造商向监管当局提供有关ADS的信息，以补充可能从其他来源（保险理赔、第三方认证机构等）收集的信息。

ISMR支柱可以通过在役监控支持建立反馈循环：车辆在役安全状态可以作为证据支撑制造商在上市前进行的验证。

ISMR支柱能够识别：公共道路上与在役ADS相关的不合理风险，并评估其在实际操作中的安全性能。

3. ISMR的目标和流程

3.1 ISMR支柱的目标

ISMR支柱的目标是通过收集、处理和传播相关安全信息，为改善道路安全做出贡献。

ISMR旨在实现三个主要目标：

（a）确定需要解决的与ADS安全性能有关的风险，包括不遵守ADS安全要求的情况（目标1）；

（b）当ADS在意外情况下无法安全运行时，通过捕获信息来支持开发可测试的交通场景（目标2）；

（c）分享事件、事故信息和建议，以促进ADS安全性能的持续改进（目标3）。

只有足够多的ADS车辆在使用中遇到足够多的交通和环境条件时，才能确认ADS实际的安全水平。因此，必须建立一个由ISMR促进的反馈循环。

在役检测收集的数据将用于评估和审查ADS制造商的安全案例，并验证用于引入市场的信息（ADS认证期间其它支柱收集的信息）。

ISMR的实操经验反馈将允许对ADS准入的监管要求和验证方法进行事后评估，在役监控中发现的ADS准入监管要求和验证方法相关任何问题，都需要立刻进行整改，并通知全球ADS生态。

在现实世界的ADS操作中，可能会发现意想不到的情况、风险和危害，这些信息可以用来为未来的交通场景库开发新的场景。

在ADS车辆上市的早期阶段，整个社会都必须从ADS的安全关键场景中学习。因此，必须有一个机制，使国际监管和监测研究机构提供的信息及其分析的建议能够与全球ADS生态分享。这将使其他人能够迅速做出反应，减少或防止这种安全关键场景再次发生。

除此之外，ISMR还有更广泛的应用。例如，利用ADS在现实世界条件下的表现信息可以帮助增强或修改场地内轨道测试。此外，关于用户交互指标的ISMR可以提供有用的信息，以改善ADS的HMI、可用性和相关人员（驾驶员、安全员、远程操作员、乘客）的教育。

在役监控系统收集、处理和传播与ADS安全性能相关的信息也将有助于评估ADS对道路网络安全的影响，同时ISMR收集的信息也可用于向公众分享ADS的安全益处，提振公众对ADS的信心。

3.2 监测、报告和调查

监测是指制造商进行的整体数据采集和分析，旨在从数据中提取安全相关信息。它主要涉及在正常ADS运行期间收集相关数据元素，以积极主动地提供ADS在役安全性能的证据。

报告适用于危及或如果不纠正将危及车辆、其乘员或任何其他人的事件，更确切地说，是对与ADS安全性能相关的所有事件的报告。报告构成了基于事件的数据采集方法论，由一组事件的发生触发。

除了制造商自己的监测和报告外，ISMR支柱还需要第三方独立机构的安全调查进行补充，第三方独立机构至少要进行关键事件的安全调查。

3.3 ISMR流程

在ADS上市部署之前，ADS车辆制造商应建立流程来证明其有效执行ISMR的能力。这些流程应该是制造商安全管理系统SMS的一部分。

ISMR的流程应展示以下能力：

（a）监测ADS引起的紧急和非紧急事件；

（b）在运营阶段管理潜在的安全相关漏洞；

（c）在安全相关事件发生时向监管当局报告；

（d）确认是否符合制造商定义的安全案例；

（e）分享从事件和险情分析中获得的经验教训；

（f）为汽车安全的持续改进做出贡献。

ADS制造商应定义适当的关键绩效指标（KPI）来衡量ISMR活动对ADS安全操作的正向影响。

ADS制造商为管理在役运行期间ADS的安全而实施的流程，例如管理交通规则和基础设施的变化，不属于ISMR支柱，这应通过审计支柱进行评估。