自动驾驶数据记录系统标准现状及测试研究

俞彦辉，张晓辉，吴含冰

（1.中汽研汽车检验中心（天津）有限公司；2.中国汽车技术研究中心有限公司，天津 300300）

从市场层面分析，技术储备趋向成熟，通过对国内红旗、上汽、长安等传统整车企业和小鹏、威马等造车新势力企业的调研，2021-2022年将是主流汽车制造商L3级自动驾驶车型量产元年，L3级自动驾驶的量产引发广泛关注，自动驾驶汽车已经成为全球汽车产业发展的战略方向。随着智能网联汽车由概念性研究到市场化应用的转变，安全性建设至关重要，亟需构建智能汽车产品监管体系、法规标准体系。

从法律层面分析，涉及到高级辅助驾驶汽车的交通事故数量不断增多。2021年起，部分企业的L3级自动驾驶汽车即将量产，但是L3落地还面临法律风险，随着驾驶员双手和双脚的放开，车辆在驾驶和安全保护上承担更多责任，违章和事故等行为的责任主体由驾驶员变更为驾驶员和车辆系统，造成违法行为相关因素的收集和分析愈发复杂，法律责任界定存在很大困难。

从伦理层面分析，根据SAE-J3016标准［1］和国家标准《汽车驾驶自动化分级》对驾驶自动化分级的要求，目前的L3级自动驾驶汽车在运行过程中会出现系统请求驾驶员接管、人机共驾行为，一旦自动驾驶汽车出现交通事故，自动驾驶系统可能作为责任主体并承担法律责任，因此责任判定过程不能继续按照传统方法进行认定。如何获取自动驾驶过程客观、准确的数据，如何利用数据进行事故和违法事件重建分析，自动驾驶数据记录系统（DSSAD）标准的研究就尤为重要。

1 自动驾驶数据记录系统标准研究现状

基于上述需求，国际相关标准法规部门组织以及多国政府都已启动若干工作组对DSSAD进行标准研究制定。2019年6月，世界车辆法规协调论坛WP.29下的自动驾驶与网联车辆工作组GRVA工作组成立EDR/DSSAD非正式工作组展开标准研究，首先将DSSAD作为自动车道保持系统（Automated Lane Keeping System，ALKS）的技术条款，并在2020年6月发布的ALKS法规第八章明确提出并规定了DSSAD应该具备的相关功能［2］；国际标准化组织ISO也将DSSAD作为研究方向，明确了功能要求与标准制定计划。此外日本、新加坡、韩国、SAE等一些国家及组织也启动制定相应标准要求［3］。

我国高度重视智能网联汽车相关技术及产业发展，工业和信息化部、发展改革委、科技部、公安部、交通部等主管政府部门，实施了多项国家科技重大专项、产业化专项等项目，出台了《智能网联汽车道路测试管理规范（试行）》等管理办法，支持智能网联汽车关键技术研发、应用和示范推广。《智能网联汽车道路测试管理规范（试行）》要求测试车辆具备车辆状态记录、存储及在线监控功能，自动记录和存储下列各项信息在车辆事故或失效状况发生前至少90s的数据。中关村智通智能交通产业联盟也制定了T/CMAX43001-2019《自动驾驶车辆道路测试数据采集要求》团体标准［4］。

国家标准层面，工信部，国家标准委联合印发的《国家车联网产业标准体系建设指南（智能网联汽车）》中［5］，提出智能网联汽车领域标准共计95项，其中“305-2：自动驾驶记录装置要求及评价方法”是目前智能网联汽车领域重要的强制性标准［6］。2021年8月，工信部发布了《工业和信息化部关于加强智能网联汽车生产企业及产品准入管理的意见》103号文件，其中第七条第三项明确规定智能网联汽车产品应具有事件数据记录系统和自动驾驶数据记录系统功能。

2 自动驾驶数据记录系统技术研究

2.1 自动驾驶数据记录系统定义及工作原理

自动驾驶数据记录系统DSSAD（Data Storage System for Automated Driving）是指在具备3级及以上自动驾驶系统的车辆上装备的，在自动驾驶系统激活期间具备监测、采集、记录和存储数据功能，并支持数据读取的系统。

通过调研目前不同主机厂及其自动驾驶产品［7］及产业中自动驾驶数据存储方案，根据实现方式可将DSSAD分为两种：①通过单独的数据记录器装置对自动驾驶关键数据进行记录，并进行有一定优先级的数据覆盖存储；②将数据记录模块集成在域控制器内，通过与各控制器的通信对感知、决策、控制信号进行存储。

第1种实现方式的DSSAD控制器读取车内相应的各类信息并通过DSSAD控制器内规划的触发事件逻辑进行实时监测，当车辆周围环境、车辆状态、驾驶员行为等满足触发事件条件时，DSSAD控制器触发记录并将关键信息记录于DSSAD内部数据存储单元中。

图1 集成于域控制器的DSSAD结构图

第2种实现方式的DSSAD控制器实现原理如图1所示。DSSAD控制器集成于自动驾驶中央控制器内部，并与其他控制器单元通过总线连接通信，根据规划的触发事件逻辑进行实时监测，当满足触发事件条件时，进行逻辑触发并通过总线向各控制器发送数据记录锁存信号。各控制器在接收到此信号后根据设计要求将关键数据信息记录。

2.2 自动驾驶数据记录系统与汽车事件数据记录系统（EDR）的关系

EDR俗称汽车的“黑匣子”，目前在大部分的量产车上都有安装，根据法规要求从2021年起要求强制安装［9］。与DSSAD不同，一般EDR系统集成在气囊控制器模块中，通过碰撞事件触发，并记录储存碰撞前后车辆相关信息，包括车速、挡位、油门制动踏板开度等信息。EDR系统的信号流及控制逻辑如图2所示。

图2 EDR结构逻辑图

与DSSAD相比，EDR侧重于记录碰撞事件发生时车辆的相关数据，一方面可以客观判断碰撞事件产生的原因，保障司法公正；另一方面可以为改善车辆安全系统提供依据，避免类似碰撞事件的发生。而对于自动驾驶汽车，由于驾驶主体在事故过程中存在不确定性，EDR尚不能支撑执法鉴定部门的责任认定需求，而且EDR和DSSAD在系统功能设计、数据技术要求方面都有区别。

本文通过对联合国WP.29 GRVA工作组等国内外组织机构对于EDR和DSSAD规定的梳理，对两项装置从不同方面进行对比，详细对比信息见表1［10］。

2.3 自动驾驶数据记录系统数据记录存储要求

2.3.1 数据记录元素

数据记录功能是自动驾驶数据记录系统最基本、最重要的功能。根据联合国ALKS法规定义的记录时间结合我国自动驾驶路线的实际需求，将DSSAD记录的数据元素分类整理归纳如表2所示。

2.3.2 数据存储机制

根据DSSAD在事故鉴定、责任分析中的作用，将DSSAD存储区域分为两类，分别为关键安全事件存储区和非关键安全事件存储区，不同存储区之间的存储覆盖机制独立。

关键安全事件存储区和非关键安全事件存储区的数据记录均为特定事件“触发式”记录，即自动驾驶系统激活运行期间，当车辆系统状态、驾驶员状态或周围环境信息满足触发条件时，DSSAD应按照标准要求的精度、频率、时长等记录规定的关键信息。

表1 EDR-DSSAD对比表

表2 DSSAD数据记录元素表

关键安全事件分为碰撞事件和有碰撞风险事件。其中碰撞事件的触发条件分为以下两类：①EDR标准中规定的触发条件，即当车辆横向或纵向上150ms时间区间内速度变化不小于8km/h时，认为发生碰撞；②非可逆约束装置即安全气囊展开。有碰撞风险事件的触发条件为自动驾驶系统请求的纵向减速度大于5m/s2。发生关键安全事件时DSSAD应自动存储触发时间前后规定时长内表2规定的关键信息，存储容量需满足5次关键安全事件的数据存储要求。当发生车辆横向或纵向上150ms时间区间内速度变化不小于25km/h或安全气囊展开的碰撞事件时，该类时间被判定为锁定事件，即锁定事件记录的数据不应被后续事件覆盖，其他类型的事件按照FIFO规则进行循环覆盖。

非关键安全事件包括以下6类：自动驾驶系统激活和退出、发生接管操作、自动驾驶系统达到最小风险状态、自动驾驶系统发生严重故障、车辆发生严重故障。每类事件的触发条件可参考正在制定的推荐性国家标准《自动驾驶通用技术要求》。非关键安全事件存储区存储容量需满足记录2500次非关键安全事件发生的时间戳及事件类型，并按照FIFO规则进行循环覆盖。

2.4 DSSAD其他功能要求

2.4.1 数据读取功能要求

数据读取功能要求DSSAD存储的数据信息应仅能够通过授权的工具或接口进行读取，并具备数据读取的权限控制策略。还应保证存储的数据被读取或提取后能够被解析为可读报告，解析后的数据与车辆发出的数据具备数据一致性。

2.4.2 人机交互功能要求

DSSAD需要与自动驾驶系统进行通信，告知DSSAD自检及开/关状态、存储容量使用/剩余状态、DSSAD模块可用性状态等。通过上述功能告知驾驶员DSSAD系统是否可以正常工作。若DSSAD系统出现故障，应通过故障报警的方式及时告知用户。

2.4.3 数据安全功能要求

数据安全功能要求DSSAD需具备较高的数据安全性，可防止外界删除、篡改等未经授权的恶意毁坏记录存储信息的操作。

2.4.4 其他要求

DSSAD模块需满足相应的车规级标准要求中的电气负荷、环境负荷、机械性能负荷、IP防护性能等级、EMC防护要求以及联网功能的数据上传、平台接入和信息安全等要求。

3 自动驾驶数据记录系统测试方法研究

3.1 自动驾驶数据记录系统测试验证必要性分析

DSSAD记录数据的完整性、准确性、不可否认性，对于事后调查取证的可信性至关重要，保证系统的功能离不开试验验证的支撑。

实车层面的测试，主要对自动驾驶数据记录系统与整车集成性能和可靠性进行验证，包括数据在采集、传输、记录和读取整个流程的一致性，通过对比真实状态及试验设备测量值与自动驾驶数据记录系统记录数据进行验证。系统层面的测试，可以对需要在危险工况下验证的系统要求，如碰撞发生时的数据记录；需要通过长时间进行验证的系统要求，如存储容量、存储机制的验证；需要对系统进行较底层的性能验证，如数据记录同步性、记录读取协议一致性、数据加密等。通过测试台架仿真自动驾驶数据记录系统与外部的信号交互进行测试。表3对台架与实车测试分别从测试场景覆盖、验证功能区别以及不同测试特征进行对比［11］。

表3 台架测试与实车测试对比表

3.2 自动驾驶数据记录系统测试验证基础

台架测试方面，可基于ASM、Carmaker等仿真软件，dSPACE和IPG硬件在环仿真测试系统，雷达回波模拟器和摄像头黑箱/视频信号注入模块等传感器信号仿真台架，各类型IO及总线接口，对自动驾驶的感知系统、决策系统、执行系统的数据进行仿真［12-13］。

标准参考方面，随着车载记录技术的发展和相关标准体系的健全，自动驾驶数据记录系统的测试也已有相关标准可以参考。实车层面的触发记录可以通过GB 11551《汽车正面碰撞的乘员保护》、GB17354《汽车前、后端保护装置》、GB/T 24550《汽车对行人的碰撞保护》、FMVSS 208 《乘员碰撞保护》、GB/T《乘用车自动紧急制动系统（AEBS）性能要求和试验方法》等标准试验方法或特殊触发方法实现，系统层面的触发记录大多通过基于车辆通信总线信号实现，可以通过测试台架发送特定触发信号的方法实现触发。车规级可靠性测试需满足GB/T 28046《道路车辆 电气及电子设备的环境条件和试验》等标准的要求；如涉及数据安全性，防篡改的要求，可参考SAE J3061《信息物理汽车系统网络安全指南》，ISO/SAE 21434《道路车辆-网络安全工程》及相应正在起草的国家标准；如涉及记录图像品质的要求，可参考GB/T38892《车载视频行驶记录系统》；如涉及网络上传，可参考GB/T 32960.2《电动汽车远程服务与管理系统技术规范 第2部分：车载终端》的要求。同时应结合自动驾驶数据记录系统的产品实际实现形式进行测试方法的设计。

3.3 自动驾驶数据记录系统测试验证方案

根据2.1节中DSSAD工作原理的介绍，对于目前自动驾驶汽车使用较多的两种实现方案，实车层面的测试无差异，但在系统层面的台架测试验证工作开展却有所不同［14］。本节主要对DSSAD两种实现方案的台架测试进行分析。

3.3.1 单独数据存储器DSSAD的台架测试方案

对于配置单独数据存储单元的自动驾驶数据记录系统，由于关键数据信息集中存储于单独设置的存储单元，并通过时间信息进行对齐处理，故可通过台架测试箱对DSSAD控制器发送模拟触发信号，模拟触发事件的发生，进行一定次数、不同优先级事件的模拟触发记录。在完成记录后，对存储数据通过数据回放的方法进行回播，对比模拟信号流与DSSAD记录事件信息的区别，判断DSSAD记录功能、触发功能、数据同步以及一致性功能是否满足设计要求。

3.3.2 集成于域控制器DSSAD的台架测试方案

对于集成在域控制器形式的DSSAD，需要将关键信息来源的控制器单元信号进行联合台架测试，涉及到信号协议转换以及通信接口开放问题，测试结构与实现难度均比单独数据存储DSSAD的方案要复杂。具体台架测试示意图如图3所示。

图3 台架试验方案原理图

图3中自动驾驶控制器运行于硬件在环测试系统中，进行域控制器的仿真测试。通过传感器信号仿真台架以及车辆其他总线信息的模拟输入，对车周围环境和车辆运行的预期情况进行模拟，验证集成于域控制器DSSAD的触发事件记录功能［15］。

3.4 自动驾驶数据记录系统测试验证项目

对自动驾驶数据记录系统的测试评价应当结合其数据记录的工作逻辑，在试验环境以及实车环境下实现自动驾驶数据记录系统的触发记录，并针对DSSAD的各项功能要求均应设计对应的测试验证，并需满足功能验证的完整性。本节根据台架测试与实车测试的不同特征，介绍测试验证项目的实现方式与测试方法。

3.4.1 实车测试验证项目

在实车层面开展DSSAD状态转换触发测试、人机交互测试与DSSAD读取功能测试。

1）DSSAD状态转换触发测试

验证DSSAD系统可完整准确记录转移过程关键信息。通过在封闭场地内搭建测试场景，开启自动驾驶模式并通过不同触发场景，触发自动驾驶状态变化，记录客观参考数据，与DSSAD记录关键信息进行对比验证。

2）DSSAD人机交互测试

验证DSSAD人机交互功能设计是否满足标准要求。通过在实车上对DSSAD可用状态进行观察，是否可表明DSSAD系统存储容量、自检状态等信息。

3）DSSAD读取功能测试

验证DSSAD数据读取接口是否满足标准要求。通过自动驾驶场景触发并记录，利用标准接口对DSSAD内存储数据进行读取，验证数据的可读性。

3.4.2 台架测试验证项目

在台架层面开展DSSAD状态转换触发测试、数据一致性测试以及DSSAD数据存储功能测试。

1）DSSAD状态转换触发测试

验证DSSAD数据记录的触发功能，对于3.3.1节实车验证难以覆盖的场景开展台架测试，如EDR触发、自动驾驶系统故障以及一些危险场景。通过模拟真值场景的信号注入，触发DSSAD记录场景关键信息，验证DSSAD是否能够准确触发并完整记录相关数据记录。

2）DSSAD数据存储功能测试

验证DSSAD的数据存储容量、存储覆盖机制。通过仿真模拟信号重复注入快速触发DSSDA存储，验证DSSAD内部存储容量是否与制造商DSSAD标称容量一致；对达到存储上限的DSSAD注入新的事件数据，验证其覆盖存储机制［12］。

3）DSSAD数据一致性测试

验证DSSAD数据记录的准确性与同步性。通过数据回播的方式读取记录装置内的关键信息，比较DSSAD记录信息与真值场景数据，验证DSSAD数据一致性［13］。

4 结论

高等级驾驶自动化系统提高了行驶安全性，但同时引入了责任划分的伦理性问题，制约着智能汽车产业的进一步发展。伦理问题的解决必须通过自动驾驶汽车数据记录系统标准的制定执行。本文对自动驾驶汽车数据记录系统标准的研究现状以及测试验证方案进行论述分析，提出了一种面向L3级及以上自动驾驶汽车的数据记录系统，建立了自动驾驶数据记录系统的测试评价方法，从自动驾驶数据记录系统的关键技术研究、产品研发技术和测试评价展开了全链条研究。