Aurora自动驾驶安全案例框架_历史上今天-电子工程世界

分享到: 微博; QQ; 微信; LinkedIn

自动驾驶公司Aurora于2021年8月推出了有史以来第一个适用于自动驾驶卡车和乘用车的安全案例框架（Safety Case Framework)初始版本，解决了自动驾驶卡车和乘用车的安全问题。这使Aurora成为目前业内唯一一家公开分享其安全案例框架的自动驾驶公司。本文介绍Aurora自动驾驶安全框架的行业意义、5个安全原则、以及应用。

安全案例框架的意义

Aurora使用基于安全案例的方法，评估自动驾驶车辆何时能够安全地在公共道路上行驶，并评估它们是否不会对机动车安全造成不合理的风险。

安全案例框架是安全取消安全驾驶员的最有效途径，对于任何希望在没有安全驾驶员的情况下运营并安全交付大规模商用自动驾驶车辆的公司来说，它都是必不可少的组成部分。Aurora安全案例框架评估了车辆的整个开发生命周期，够加快部署的速度，并确定何时可以接受自动驾驶车辆在公共道路上的安全性。

Aurora将安全视为一个持续的过程，而不是一个静态的待办事项清单，基于证据的方法在内部和外部都至关重要。在公司内部，安全案例框架是我们如何根据内部标准不断审查证据和评估Aurora driver的表现和发展，以确保我们有信心在有或没有车辆操作员的情况下将自动驾驶车辆上路。在外部，安全案例框架使我们能够有效地与合作伙伴、客户、监管机构和公众分享我们的方法和进展。这种透明度有助于建立信任，这在部署任何新技术时都很重要。

Aurora安全案例框架介绍

Aurora采用了基于安全案例的方法，因为这是展示和解释Aurora如何确定自动驾驶车辆在公共道路上运行的可接受安全性的最合理和最有效的方式。该框架的核心是一个结构化的论点，并有证据证明为什么我们的车辆是可接受的安全。自动驾驶车辆中的许多要素之间存在复杂的相互作用和关系。没有任何一项单一证据能够证明安全的整体性。基于安全案例的方法以合乎逻辑的方式将这证据与主张两个基本概念结合在一起，以有效地展示我们为确定车辆在公共道路上安全行驶所做的工作。

Aurora开发该框架的目的是为了帮助评估Aurora卡车运输和客运产品的整个开发生命周期，以便向合作伙伴和客户提供安全且可扩展的产品。

Aurora安全案例框架结合了政府组织的指南、安全关键行业的最佳实践、非强制性行业标准和联盟、学术研究以及组织在自身工作中所学到的知识。在自动驾驶汽车行业中，它是开发在公共道路上安全行驶的自动驾驶车辆并将这些车辆交付给合作伙伴、客户和公众的重要工具。

Aurora的安全案例框架覆盖了对评估公共道路上自动驾驶车辆的安全开发、测试和运行至关重要的不同要素。该框架的设计涵盖了与车辆操作员的测试，也包括没有操作员的测试。同时，它是为适应环境而构建的，因此可以根据不同的场景和环境对其进行定制。能够将安全案例声明改编为适用于不同的车辆平台、有操作员的车辆、试车跑道上的车辆以及公共道路上的车辆。

Aurora的安全案例框架有助于评估Aurora driver的设计和开发，并与产品开发路线图保持一致。对于每个主要的产品里程碑，我们将检查哪些声明是相关的，并开发相应的证据。声明是我们正在做出的一种论断，例如“G3.1安全性能指标被测量、分析并用于监控安全性。” Aurora正在内部积极开发的适当证据将被定制以证实每个单独的声明，可能包括测试结果、同行评审、，审计或评估。

目前只是第一个版本，随着不断学习并将测试操作扩展到新的环境和平台，Aurora的框架将不断发展。这Aurora正在分享框架的前4个级别，因为Aurora的合作伙伴、客户和公众了解为什么我们对交付Aurora driver的进展充满信心是很重要的。进一步开发将遵循一个迭代过程，随着框架的发展，Aurora将继续分享它的更新。

最高级别目标

Aurora安全案例框架围绕着“我们的自动驾驶车辆在公共道路上运行是可接受的安全性”这一最高级别的声明展开。使用整个安全案例来证实这一最高级别的声明，并将这一主张分解为五个安全原则或子原则。

G1：精通/Proficient

自动驾驶车辆在正常运行期间具备可接受的安全。

除非具备适当的熟练程度，否则自动驾驶车辆在公共道路上行驶是不安全的。熟练程度包括开发产品所需的设计、工程和测试。本安全原则包含自动驾驶车辆标称、非标称及边界案例（corner cases）情况下的自动驾驶车辆性能要求。

G2：故障安全/Fail-safe

自动驾驶车辆在出现故障和失效时具备可接受的安全。

故障安全原则解决了自动驾驶车辆在出现失效和故障时的行为。没有一个系统是百分之百完美的，部件有时会磨损或出现过早故障。Aurora driver旨在检测并安全地缓和这些故障。此安全原则包含车辆内置的所有故障检测、缓和和通知。

G3：不断改进/Continuously improving

对构成不合理安全风险的所有已识别潜在安全问题进行评估，并采取适当的纠正和预防措施予以解决。

持续改进原则概述了如何将持续改进的概念融入到系统的开发中。自动驾驶车辆配备有传感器，一组自动驾驶车辆仅从一天的运行中就捕获大量数据。我们能够利用这些数据的力量实现持续改进。该现场数据为综合数据分析工作提供数据，该工作计算安全性能指标，并考虑设计和开发期间收集的数据。这种系统收集和分析数据的方法使我们能够发现趋势、均值回归和紧急行为。Aurora还采取积极主动的方法进行持续改进，使用风险识别技术积极主动地识别风险。

G4：有弹性的/Resilient

在可合理预见的误用和不可避免的事件情况下，自动驾驶车辆具备可接受的安全。

自动驾驶车辆设计用于在公共道路上安全行驶，但这并不能将其与恶意行为者或不可避免的事件隔离开来。弹性原则展示了Aurora driver如何能够承受不良事件和故意误用和滥用。

G5：值得信赖的/Trustworthy

自动驾驶企业应是值得信赖的。

Aurora的自动驾驶汽车可能是熟练的、故障安全的、不断改进的和有弹性的，但如果没有公众和政府监管机构的信任，我们就无法完全实现我们的最高要求。值得信赖的安全原则涉及Aurora计划如何通过公众、政府和利益相关者的参与、安全透明度、安全文化以及外部审查和咨询活动获得信任。

安全原则的分解

顶级声明是根据涵盖安全操作范围的安全原则定义的，使用广度优先、深度第二的方法分解每个安全原则。

每个安全原则都被分解为中间论点、上下文和策略的层次。最低级别的声明最终由我们的员工提供的证据予以满足。这种方法可以将每个安全论点作为逻辑分解进行追踪，从广义概念到支持声明的具体有形证据。

安全原则分解示例

用于支持声明的证据有两种形式——产品证据和过程证据。产品证据包括可交付成果，如技术规范、测试计划和测试结果。过程相关证据表明，产品证据是以系统的方式生成的，具有足够的严谨性、审查性和独立性。这些证据可能包括非正式的内部审计报告，确认我们正在遵循既定流程。这两种类型的证据都需要充分处理安全案例中的声明。

框架的应用

安全案例框架是一个工具，Aurora使用它来通知数百名Aurora员工在开发Aurora driver的过程中的日常活动。

安全案例框架旨在适应不同的车辆、场景和环境。我们将使用安全案例框架创建一个特定的安全案例，注意在每个实例中定义其特定的上下文和应用。将框架视为生成各种特定安全案例的通用蓝图。例如，为特定车辆和车辆配置（卡车和乘用车平台）以及特定运行设计域（例如公路）创建安全案例。因此，将有多个单独的安全案例，涵盖各种配置、平台和操作领域，而不是涵盖我们自动驾驶车辆所有用途的单一安全案例。

还将根据我们是否在道路上测试、车辆操作员是否监控Aurora driver、是否在没有操作员的私人封闭车道上或者是在没有操作员的公共道路上，来定制安全案例。鉴于这种情况，某些原则不适用于无车辆操作员的情况。因此，虽然安全案例框架可能是通用的，但裁剪是必不可少的。

制造商用自动驾驶汽车是一项复杂的工程。Aurora的安全案例框架是一个强大的工具，可用于定义和管理这一复杂挑战。该框架还可用于以理性和逻辑的方式传达假设和意图，以帮助读者理解和消化固有的复杂性。与许多其他工具一样，结果最终取决于用户如何使用框架。

附件：《Aurora自动驾驶安全案例框架》

英文

参考中文

G1:Proficient:

The self-driving vehicle is acceptably safe during nominal operation

G1：精通：

自动驾驶车辆在正常操作期间具备可接受的安全：

G1.1:The self-driving enterprise uses appropriate development processes for a complex safety critical system

G1.1：自动驾驶企业对复杂的安全关键系统使用适当的开发流程

G1.1.1.1.1:Systems engineering follows a defined process

G1.1.1.1.1：系统工程遵循规定的过程

G1.1.1.1.2:Systems engineers are trained and continually educated on the systems engineering process

G1.1.1.1.2：系统工程师接受系统工程过程的培训和持续教育

G1.1.1.1.3:Systems engineering process compliance audits are completed for all appropriate functions / sub-systems

G1.1.1.1.3：完成所有适当功能/子系统的系统工程过程合规性审核

G1.1.1.1.4:The Systems engineering process is appropriate for safety critical design

G1.1.1.1.4：系统工程过程适用于安全关键设计

G1.1.1.1:Systems engineering process is established, standardized across engineering, and there is evidence that the process is being used:S1.1.1:Risk is reduced through a defined process approach

G1.1.1.1：建立系统工程过程，并在整个工程中标准化，有证据表明该过程正在使用：S1.1.1：通过已定义的过程方法降低风险

G1.1.1.2.1:Hardware engineering follows a defined process

G1.1.1.2.1：硬件工程遵循规定的过程

G1.1.1.2.2:Hardware engineers are trained and continually educated on the hardware engineering process

G1.1.1.2.2：硬件工程师接受硬件工程过程的培训和持续教育

G1.1.1.2.3:Hardware development process compliance audits are completed for all appropriate functions / sub-systems.

G1.1.1.2.3：完成所有适当功能/子系统的硬件开发过程合规性审核。

G1.1.1.2.4:The Hardware development process is appropriate for safety critical design

G1.1.1.2.4：硬件开发过程适用于安全关键设计

G1.1.1.2:Hardware development process is established, standardized across engineering, and there is evidence that the process is being used.

G1.1.1.2：硬件开发过程已建立，并在整个工程中标准化，并且有证据表明该过程正在使用。

G1.1.1.3.1:Manufacturing follows a defined process

G1.1.1.3.1：制造遵循规定的过程

G1.1.1.3.2:Manufacturing and production processes are established for externally sourced system hardware

G1.1.1.3.2：为外部采购的系统硬件建立制造和生产流程

G1.1.1.3.3:Manufacturing engineers are trained and continually educated on the manufacturing process

G1.1.1.3.3：制造工程师接受制造工艺方面的培训和持续教育

G1.1.1.3.4:Manufacturing process compliance audits are completed for all appropriate functions

G1.1.1.3.4：完成所有适当功能的制造过程合规性审核

G1.1.1.3.5:The manufacturing process is appropriate for safety critical design

G1.1.1.3.5：制造工艺适用于安全关键设计

G1.1.1.3:Manufacturing process is established, standardized, and there is evidence the process is being used

G1.1.1.3：制造工艺已建立、标准化，且有证据表明该工艺正在使用

G1.1.1.4.1:Maintenance and service follows a defined process

G1.1.1.4.1：维护和保养遵循规定的流程

G1.1.1.4.2:Maintenance and service personnel are trained and continually educated on the process

G1.1.1.4.2：对维护和服务人员进行工艺培训和持续教育

G1.1.1.4.3:Maintenance and service process compliance audits are completed for all appropriate functions

G1.1.1.4.3：完成所有适当功能的维护和服务过程合规性审核

G1.1.1.4.4:The maintenance process is appropriate for safety critical design

G1.1.1.4.4：维护过程适用于安全关键设计

G1.1.1.4:Maintenance / Service processes is established, standardized, and there is evidence the process is being used.

G1.1.1.4：维护/服务流程已建立、标准化，且有证据表明该流程正在使用。

G1.1.1.5.1:Software engineering follows a defined process

G1.1.1.5.1：软件工程遵循定义的过程

G1.1.1.5.2:Software engineers are trained and continually educated on the software development process

G1.1.1.5.2：软件工程师接受有关软件开发过程的培训和持续教育

G1.1.1.5.3:Software development process compliance audits are completed for all appropriate functions / sub-systems.

G1.1.1.5.3：完成所有适当功能/子系统的软件开发过程合规性审核。

G1.1.1.5.4:The software development process is appropriate for safety critical design

G1.1.1.5.4：软件开发过程适用于安全关键设计

G1.1.1.5:Software development process is established, standardized across engineering, and there is evidence that the process is being used.

G1.1.1.5：软件开发过程已建立，并在整个工程中标准化，并且有证据表明该过程正在使用。

G1.1.1.6.1:Quality management follows a defined process

G1.1.1.6.1：质量管理遵循规定的过程

G1.1.1.6.2:Quality management measures are effective in controlling quality

G1.1.1.6.2：质量管理措施有效控制质量

G1.1.1.6.3:Quality management ensures all defined processes are followed

G1.1.1.6.3：质量管理确保遵循所有规定的过程

G1.1.1.6.4:The quality management process is appropriate for safety critical design

G1.1.1.6.4：质量管理过程适用于安全关键设计

G1.1.1.6:Quality management process is established, effective, standardized across engineering, and there is evidence that the process is being used

G1.1.1.6：质量管理过程已在整个工程中建立、有效、标准化，并且有证据表明该过程正在使用

G1.1.1.7.1:Supply chain teams follow a defined process

G1.1.1.7.1：供应链团队遵循定义的流程

G1.1.1.7.2:Supply chain staff are trained and continually educated on the process

G1.1.1.7.2：对供应链员工进行流程培训和持续教育

G1.1.1.7.3:Supply chain process compliance audits are completed for all appropriate functions / sub-systems

G1.1.1.7.3：完成所有适当功能/子系统的供应链流程合规性审核

G1.1.1.7.4:The supply chain process is appropriate for safety critical design

G1.1.1.7.4：供应链流程适用于安全关键设计

G1.1.1.7:Supply chain processes is established, standardized, and there is evidence the process is being used.

G1.1.1.7：供应链流程已建立、标准化，且有证据表明该流程正在使用。

G1.1.1.8.1:Vehicle operations teams follow a defined process

G1.1.1.8.1：车辆运行团队遵循规定的流程

G1.1.1.8.2:Vehicle operations personnel are trained and continually educated on the process

G1.1.1.8.2：对车辆操作人员进行培训，并持续对其进行流程教育

G1.1.1.8.3:Vehicle operations process compliance audits are completed for all appropriate functions

G1.1.1.8.3：完成所有适当功能的车辆运行过程合规性审核

G1.1.1.8.4:The vehicle operations process is appropriate for safety critical design

G1.1.1.8.4：车辆运行过程适用于安全关键设计

G1.1.1.8:Vehicle operations processes is established, standardized, and there is evidence the process is being used.

G1.1.1.8：车辆操作流程已建立、标准化，且有证据表明该流程正在使用。

G1.1.1.9.1:System safety engineering follows a defined process

G1.1.1.9.1：系统安全工程遵循规定的过程

G1.1.1.9.2:System safety engineers are trained and continually educated on the system safety development process

G1.1.1.9.2：系统安全工程师接受有关系统安全开发过程的培训和持续教育

G1.1.1.9.3:System safety process compliance audits are conducted

G1.1.1.9.3：进行系统安全过程合规性审核

G1.1.1.9.4:The system safety engineering process is appropriate for safety critical design

G1.1.1.9.4：系统安全工程过程适用于安全关键设计

G1.1.1.9:System safety engineering process is established, standardized across engineering, and there is evidence that the process is being used.

G1.1.1.9：建立系统安全工程过程，并在整个工程中标准化，有证据表明该过程正在使用。

G1.2:The self-driving vehicle is acceptably performant to operate in the defined ODD

G1.2：自动驾驶车辆在规定的ODD内运行的性能合格

G1.2.1.1.1:The product requirements address all lifecycle stages of the product.

G1.2.1.1.1：产品要求涉及产品的所有生命周期阶段。

G1.2.1.1.2:The product requirements define the concept of operations for the product

G1.2.1.1.2：产品要求定义了产品的操作概念

G1.2.1.1.3:The product requirements define the conceptual operational design domain in which the product will operate in

G1.2.1.1.3：产品要求定义了产品将在其中运行的概念运行设计域(conceptual operational design domain)

[1] [2] [3] [4]

关键字：Aurora 自动驾驶安全框架引用地址：Aurora自动驾驶安全案例框架

上一篇：英飞凌与TTTech Auto合作开发高度自动化驾驶安全操作架构
下一篇：丰田合成开发出行人保护气囊

推荐阅读

2018年10月28日 | 无人机教学控制新时代的到来

　　人工智能时代，作为重要代言者之一，加强无人机相关的教学、教育与我国大教育战略政策相契合。前些日召开的2018人工智能大会上，一款多旋翼无人机在立体空间内进行的飞行模拟实验吸引了众多观众的眼球。此次演示主要是向人们展示国内无人机高校教学及科研过程中，该平台完全能够满足无人机教学及科研需求，且比国外技术更为全面化、系统化，摈弃了过...

2019年10月28日 | win10下使用Energia开发MSP430F5529LP 基本流程及遇到的问题

energia.nu上下载energia安装驱动，部分电脑可能要禁用数字签名，常规操作不多说，官网上也有禁用数字签名的方法。都装好后打开energia，页面几乎和arduino一样，就是红得晃眼睛。什么东西都不写，先编译一下，就报错大概意思是一个文件中的浮点数常量超出double范围从来没见过这种错误，检查了一下自己安装的64位也没啥问题，到处找方法，论坛贴吧资...

2020年10月28日 | 点频信号源

一般来说，点频信号源由三部分组成：1. 参考源部分：决定整个信号源频率稳定度；2. 频率合成部分：决定输出信号频率参数；3. 输出功率控制部分：决定输出信号功率参数图6 信号源组成框图合成满足各项指标要求信号的技术称为频率合成技术，对信号频率进行合成的方式主要有三种：1.直接频率合成利用振荡器直接输出要求的频率信号，晶体振荡器因其Q值高而...

2021年10月28日 | 小米12/Pro两款骁龙898旗舰手机：新屏幕、新影像规格

　此前消息称，小米有望于 2021 年末或者 2022 年初举办发布会，正式推出小米 12 系列新旗舰手机，预计会首发高通骁龙 898 SoC。　　据微博博主 @数码闲聊站称，小米两款 SM8450 迭代真旗舰都备案了，2201122C 和 2203121C，新屏幕新影像规格新快充方案…，可能就是小米 12 系列要来了。　　骁龙 898 芯片预计采用三星 4nm 工艺制...

史海拾趣

芯联(CHIPLINK)公司的发展小趣事

在芯片短缺的大背景下，一家名为芯联集成的公司凭借其敏锐的市场洞察力和快速响应能力，迅速调整战略，专注于车规级IGBT芯片和模组的代工生产。公司凭借高效的生产能力和严格的质量控制，迅速获得了多家头部新能源车企的认可，成为他们的合作伙伴。这一举措不仅帮助芯联集成度过了行业低谷，还使其在短时间内实现了跨越式发展。

Elma Electronic Inc公司的发展小趣事

Elma在美国和美洲拥有广泛的客户群，覆盖电信、工业控制、医疗电子、国防和航空航天等多个行业。其产品线包括外壳、背板、系统平台、机柜、高品质开关和编码器等多种零件，能够满足不同行业客户的多样化需求。这种跨行业的布局使得Elma能够在多个领域保持竞争力。

GarrettCom公司的发展小趣事

转折：2006年，GarrettCom迎来了一个重要的转折点——收购变电站网络产品领导者DYMEC公司。这一收购不仅增强了GarrettCom在变电站自动化领域的实力，还为其带来了更多的技术资源和市场份额。

影响：通过整合DYMEC的技术和产品，GarrettCom进一步巩固了其在变电站网络通信技术方面的领先地位。公司的产品和解决方案被广泛应用于全球各地的变电站项目中，为电力系统的稳定运行提供了坚实的通信保障。

EUPEC [eupec GmbH]公司的发展小趣事

EUPEC一直致力于技术创新和研发，不断推动电力半导体技术的进步。在多个关键领域，EUPEC都取得了重要的技术突破，如提高电力转换效率、降低能耗等。这些技术突破不仅提升了EUPEC产品的竞争力，也为客户带来了实实在在的经济效益。同时，EUPEC还积极拓展国际市场，产品广泛应用于电解铝、高压直流输电、软启动、直流传动、高压无功补偿设备等领域。

艾谱科(Epticore)公司的发展小趣事

随着公司的发展壮大，艾谱科开始关注社会责任。公司积极参与环保事业，采用环保材料和绿色生产工艺，减少对环境的影响。此外，艾谱科还积极参与公益慈善活动，为社会做出了积极贡献。这种积极履行社会责任的行为，进一步提升了公司的社会形象和声誉。

DFI公司的发展小趣事

随着市场竞争的加剧，DFI意识到单一产品的竞争力有限。因此，公司开始寻求垂直整合的机会，与罗升等公司合作，共同开发智能制造的全面性解决方案。这一举措不仅使DFI能够提供更完整的产品线，还增强了其在行业中的竞争力。通过与合作伙伴的紧密合作，DFI成功推出了一系列具有竞争力的智能制造解决方案，赢得了市场的广泛认可。

问答坊 | AI 解惑

嵌入式Linux系统CGI程序设计技术 1 概述随着互联网应用的普及，越来越多的信息化产品需要接入互联网通过Web页面进行远程访问。嵌入式Web系统提供了一种经济、实用的互联网嵌入式接入方案。这里结合一种嵌入式Web Server BOA来介绍嵌入式Linux系统下的CGI程序设计技术。 2 Web Serv ...… 查看全部问答∨	求助：基于FPGA的读卡器系统设计本帖最后由 paulhyde 于 2014-9-15 09:51 编辑 :\'( 麻烦各位帮帮忙！要求用DE2，目前我查得到的资料太少，有哪位有经验请帮我一下，谢谢！ … 查看全部问答∨
世界著名汽车品牌标识演化历史-------别克别克 Buick 要想了解别克品牌的来源，就不能不谈苏格兰裔美国发明家大卫·邓巴·别克（David Dunbar Buick），请记住，是这个高中都没有毕业的人，发明了现在通用的顶置气门发动机布置方式。邓巴·别克还只有15岁的时候，便辍学 ...… 查看全部问答∨	专题一：语音芯片带动汽车电子以及家电行业的繁荣历史本帖最后由 jameswangsynnex 于 2015-3-3 20:01 编辑自从西方工业革命以来，蒸汽机成为第一代推动西方整个工业行业的真正动力，科技的迅速发展至今，各行各业已经变得丰富多彩。电子产品的出现更是令现代世界更加绚烂多姿，成为装饰现代生活的重 ...… 查看全部问答∨
指纹自动识别系统中1：1与1：N的区别应用系统利用指纹识别技术可以分为两类，即验证(Verification)和辨识(Identification)。验证就是通过把一个现场采集到的指纹与一个己经登记的指纹进行一对一的比对（one-to-one matching），来确认身份的过程。　　作为验证的前提条件，他或她的 ...… 查看全部问答∨	12864 16824的资料… 查看全部问答∨
全国大学生电子设计竞赛更名了本帖最后由 paulhyde 于 2014-9-15 09:38 编辑全国大学生电子设计竞赛自2009年起正式冠名为NEC电子杯全国大学生电子设计竞赛全国大学生电子设计竞赛，英文简称NUEDC，是由教育部高等教育司和工业信息化部人教司（前身为信息产业部人事司）共同 ...… 查看全部问答∨	请问下面的这个电路图出自什么文章或者有无被申请专利啊？请问下面的这个电路图出自什么文章或者有无被申请专利啊？ … 查看全部问答∨
请问ST网站上下载的UM0424中KEIL的几个USB例程有试成功的没？我用的是KEIL FOR ARM MDK 3.11编译UM0434解开后里面的KEIL MDK里面的几个例程，直接双击项目文件打开的，想实验下USB功能，我用的板子是ST的那个评估板，先是用的虚拟串口那个项目，打开后 ...… 查看全部问答∨	AD9286前端电路现在用AD9286做采样，信号20MHz至100MHz，目前使用的是手册上推荐的RF变压器做前端信号处理。麻烦各位高人指点一下：是不是有更适合我用的前端电路，谢谢！… 查看全部问答∨

小广播

2021年10月28日 | Aurora自动驾驶安全案例框架