谈谈汽车自动驾驶系统安全性的“三驾马车”

文|中国软件评测中心智能网联汽车测试实验室

近年来，汽车自动驾驶发展如火如荼，国内外纷纷把自动驾驶、智能汽车作为国家重要发展战略目标，各国汽车厂商、IT企业纷纷发力自动驾驶邻域。然而在自动驾驶技术发展的同时，在其相关领域的安全事件频发，引起了社会各界的广泛关注，汽车自动驾驶系统的安全性越来越被人们重视。

尽管人们纷纷议论和讨论自动驾驶系统的安全问题，然而实际上大家所关注的安全并不简单的是同一件事，而是一个很宽泛的概念。对于汽车自动驾驶系统正向研发人员来说，自动驾驶系统的安全主要指的是驾驶行为安全，因为一旦自动驾驶系统的驾驶能力和驾驶模式不能满足当前道路环境条件的驾驶需求，就可能造成汽车事故的发生；对于电子电气技术人员来说，自动驾驶系统的安全主要指的是功能安全，因为一旦自动驾驶系统在汽车处于危险状况时不能按照设计采取安全措施或者安全措施无法执行，将给相关人员的人身和财产带来极大的安全问题；对于IT技术人员来说，自动驾驶系统的安全主要指的是信息安全，因为一旦自动驾驶系统被黑客接管，也将会给相关人员的人身、财产和信息带来极大的安全问题。

中国软件评测中心智能网联汽车测试实验室专家认为，这里涉及三个安全概念：驾驶行为安全、功能安全和信息安全。实际上这三个安全概念并不是相互独立的概念，而是互相有重叠的部分，例如当功能安全和信息安全影响和削弱自动驾驶系统的关键驾驶部件时，将导致自动驾驶系统驾驶行为不安全（驾驶能力不能满足驾驶任务需求）；又如当信息安全影响自动驾驶系统安全措施时，将导致功能安全问题的产生。

虽然有所重叠，但这三个概念各有侧重。驾驶行为安全侧重于自动驾驶系统的能力是否满足驾驶任务需求，尤其是危险条件下的驾驶任务需求；功能安全侧重于相关设计能否保障自动驾驶系统不受随机硬件失效影响按照设计正确地发挥应有的驾驶能力；信息安全侧重于相关设计能否保障自动驾驶系统免受外界入侵攻击或使攻击不影响应有驾驶能力的发挥。有意思的是，这三个侧重正好涵盖了确保自动驾驶系统安全可靠的三个层次。以自动驾驶系统在某危险情况下为例，当自动驾驶汽车行进过程中，前车有重物跌落，安全可靠要求是自动驾驶系统能够有效避开跌落物体——自动驾驶系统应具备能力在相对车速X米/秒、物体相对位置Y米时，控制转向轮转向角Z度。安全的第一层次为自动驾驶系统应满足此驾驶能力需求——自动驾驶系统的驾驶行为不会导致汽车在小于Y米后再进行转向，也就是说首先要确保其驾驶行为的安全；在满足第一层次前提下，安全的第二层次为自动驾驶系统应保障硬件的随机失效不会影响驾驶能力的发挥——自动驾驶系统在大于Y米进行转向时没有因为随机硬件失效导致转向未完成；在满足第二层次前提下，安全的第三层次为自动驾驶系统应保障驾驶能力的发挥不受黑客攻击影响——自动驾驶系统能在大于Y米进行转向、所有部件可实现应有功能的前提下不发生因黑客攻击导致的转向距离滞后。

经过中国软件评测中心智能网联汽车测试实验室的多项数据显示，对于自动驾驶系统而言，驾驶行为安全、功能安全和信息安全都十分关键，是其安全的重点组成部分。三者中，驾驶行为安全可以说是自动驾驶汽车安全的基础，只有在驾驶行为安全的基础上功能安全和信息安全才有意义，这也是目前国内外自动驾驶研发厂商集中力量解决的关键问题。