1. 欧盟ADS法规草案深度解析：自动驾驶的“准生证”与“紧箍咒”
作为一名长期关注智能汽车法规与技术的从业者，我习惯性地会去追踪全球主要市场的政策动向。2022年4月，欧盟委员会发布的那份长达70页的《配备自动驾驶系统的车辆型式认证法规草案》，无疑是一枚重磅炸弹。这份文件远不止是一份简单的“征求意见稿”，它实质上是为未来在欧洲道路上行驶的L3及以上级别自动驾驶汽车（AV）勾勒出了一套极其详尽、近乎严苛的“准生”标准。它回答了业界最核心的两个问题：一辆车需要具备怎样的能力才能被视为“安全”的自动驾驶汽车？以及，监管机构将如何验证它确实具备了这些能力？这份草案将性能要求与合规评估拆解为两个独立又紧密关联的部分，其逻辑之严密、考量之周全，标志着自动驾驶监管从技术探讨迈入了实质性的立法操作阶段，对全球主机厂和科技公司而言，都是必须吃透的“游戏规则”。
2. 法规核心框架：从“能力要求”到“验证方法”的双重锁定
欧盟这份ADS法规草案的结构非常清晰，其核心可以概括为“要求”与“验证”两大支柱，分别对应着法规的附件二和附件三。这种设计体现了典型的“目标导向”和“过程控制”相结合的监管思路，不仅告诉你终点线在哪里，还严格规定了通往终点的跑道和裁判规则。
2.1 ADS性能要求：定义自动驾驶的“安全基线”
性能要求部分虽然篇幅相对较短（约10页），但字字珠玑，它定义了自动驾驶系统（ADS）必须达到的“安全基线”。这不仅仅是功能清单，更是安全哲学的具体化。其核心思想是，ADS必须能够在特定的运行设计域（ODD）内，完整、安全地执行动态驾驶任务（DDT），并妥善处理从常态到极端的所有状况。
动态驾驶任务（DDT）与运行设计域（ODD）的耦合关系：这是理解所有要求的基石。DDT包含了横向（转向）和纵向（加速/制动）的车辆运动控制，以及通过感知系统（OEDR）对驾驶环境的监控与响应。而ODD则严格限定了ADS可以执行DDT的条件边界，比如天气（无暴雨、暴雪）、道路类型（高速公路、城市快速路）、地理围栏、时速范围等。法规要求制造商必须明确定义ODD，并且ADS必须具备实时监测ODD边界的能力。一旦车辆即将或已经超出ODD，系统必须启动最小风险状态（MRC）。
最小风险状态（MRC）与最小风险策略（MRM）的核心地位：MRC是ADS在无法继续承担DDT时，必须达到的安全状态，通常是指车辆在安全位置完全停止。而MRM则是实现MRC所执行的一系列动作，法规特别强调了其平顺性，要求目标减速度通常不大于4 m/s²（约0.4g），以避免给乘员带来不适或引发后方追尾。只有在ADS自检或远程操作员确认风险解除后，车辆才能离开MRC。这一机制是ADS安全冗余设计的最终体现，也是防止系统“摆烂”造成危险的关键。
2.2 ADS合规评估：如何证明你“真的行”？
如果说性能要求是“考纲”，那么长达50页的合规评估部分就是详细的“考评实施方案”。其篇幅是性能要求的五倍，这本身就传递了一个强烈信号：欧盟监管机构认为，证明一辆车安全的过程，其复杂性和重要性不亚于甚至超过设计这辆车。这部分内容为型式认证机构提供了完整的审计、评估和测试框架。
评估的五大维度：
- ODD场景评估：首先审查制造商定义的ODD是否合理、完整。评估方会考察该ODD涵盖的各种道路类型（城市、乡村、高速）以及典型驾驶场景（变道、汇入车流、交叉路口通行等）的覆盖度。
- 设计概念与文档审计：这是“案头工作”的重头戏。认证机构将全面审计制造商提交的所有ADS设计文档，包括系统架构、安全分析报告（如HARA, FMEA）、传感器融合策略、决策逻辑等。同时，制造商的整体功能安全管理体系也将被审核，以确保其具备持续保障安全的能力。
- 实车驾驶测试：这是最直观的环节，但绝非简单的“路考”。法规要求进行一系列“通过/不通过”式的测试，在多样化的驾驶情境中评估ADS的安全性。这些测试场景基于ODD和常见的临界场景设计。
- 建模与仿真（M&S）能力评估：鉴于无法在真实世界中穷尽所有测试场景（尤其是极端危险场景），制造商使用的仿真模型和虚拟测试环境的能力将被重点评估。监管机构需要确认其M&S系统的保真度、验证有效性以及测试用例的覆盖充分性。
- 上市后监督与报告：型式认证不是“一劳永逸”。制造商必须建立机制，持续追踪已上市车辆ADS的性能数据，并按规定向认证机构报告。这包括软件更新记录、事件数据、ODD边界触发情况等，以确保车辆在全生命周期内持续符合安全要求。
注意：从这五大维度可以看出，欧盟的合规评估是一个贯穿产品全生命周期（设计、验证、生产、运营）的持续过程。企业不能再以“通过测试”为终极目标，而必须构建一套与之匹配的、可审计的完整研发与数据管理体系。这对于传统车企的组织流程将是巨大挑战。
3. 五大核心交通场景：ADS能力的“实战化”检验标准
法规草案没有空谈技术指标，而是通过定义五类具体的交通场景，将抽象的安全要求转化为ADS必须应对的“实战”考验。这种场景驱动的描述方式，使得技术要求变得非常具体和可检验。
3.1 常态交通场景：安全、流畅与预见性驾驶
在此场景下，ADS需在ODD内完美执行全部DDT。这远不止是“保持车道”和“跟车”，它要求系统：
- 行为拟人化与安全性：以安全车速行驶，保持与前车及周围交通参与者的合理距离。法规特别强调，ADS的行为必须根据安全风险动态调整，并且将保护人的生命置于最高优先级。
- 具备预见性交互能力：ADS不能只对眼前情况做出反应，必须能预测其他道路使用者（摩托车、自行车、行人）的可能行为，并提前采取缓和措施。例如，在通过人行横道时，即使行人尚未踏入车道，系统也应提前做好减速准备。
- 复杂环境感知与应对：必须能识别并妥善应对交通事故现场、交通拥堵、道路施工、执法人员指挥、紧急车辆、各类交通标志标线以及雨雪雾等环境变化。这意味着感知和决策算法需要有极高的鲁棒性和场景泛化能力。
3.2 临界交通场景与伦理困境的官方回应
当遇到碰撞风险高、时间紧迫的紧急情况时，ADS进入“紧急操作”模式。法规要求ADS必须能应对ODD内所有可合理预见的临界场景，并自动执行紧急操作以避免碰撞或最小化伤害。 这部分最引人注目的是，草案尝试对经典的“电车难题”给出了法律层面的回应。它明确了两条原则：
- 禁止基于个人特征的权衡：当面临不可避免的、涉及人命的选择风险时，ADS的决策算法不得基于任何个人特征（如年龄、性别等）进行权重分配。
- 车外生命优先：对车外人员生命的保护，不得次于对车内乘员生命的保护。 这两条规定极具突破性，首次在官方立法草案中触及了自动驾驶的伦理算法核心。它实质上禁止了在算法中嵌入可能带有歧视性或功利主义的“价值排序”，并确立了“生命平等”和“弱势道路使用者优先”的基本伦理导向。虽然在实际极端瞬间的算法实现上仍有巨大挑战，但这为研发划定了一条明确的红线。
3.3 ODD边界与系统失效的应对策略
ODD边界处理：ADS必须像一位恪尽职守的飞行员一样，时刻清楚自己的“飞行包线”。当监测到一项或多项ODD条件（如暴雨导致能见度低于阈值、车辆驶出地理围栏）不再满足时，系统不应勉强运行，而必须启动MRM，平稳停车至MRC，并同时向操作员（如有）发出警告。制造商有责任清晰定义这些边界条件。
系统失效场景：ADS需要对自身和车辆底盘的故障具备诊断和响应能力。对于不影响性能的轻微故障，需持续监控；对于导致DDT无法执行的严重故障，则必须启动安全降级策略，执行MRM以达到MRC。这要求ADS具有高度的冗余设计和故障隔离能力。
3.4 人机交互与手动驾驶模式
法规承认了“人”在自动驾驶系统中的角色。要求ADS必须向乘员提供安全操作所需的信息。如果远程操作员（遥控驾驶）是安全方案的一部分，车辆必须提供音视频通话手段。更重要的是，乘员必须有权随时请求启动MRM来停止自动驾驶。 如果车辆允许手动驾驶（例如用于维护或驶离MRC后的路段），那么必须配备符合安全标准的驾驶员操控装置。当手动驾驶车速高于6km/h时，该车辆将被视为“双模式车辆”，其认证要求会更加复杂，因为需要同时考虑人工和自动模式下的安全交互。
4. 功能安全、网络安全与数据记录：构建可信的自动驾驶系统基石
4.1 功能安全与持续合规
法规要求制造商必须在ADS的设计开发过程中，充分论证其对功能安全和运行安全的考量。一个关键点是，草案提出了一个可量化的运行安全目标参考：建议的接受标准之一是，ADS的运营死亡率不高于当前欧盟巴士、卡车和轿车的平均水平，即每千万运营小时发生不超过1起死亡事故（10^-7/小时）。这为ADS的安全性设定了一个极高的、可衡量的标杆。 此外，制造商必须管理ADS全生命周期的安全与合规，包括应对传感器磨损、新的交通场景出现等变化。车辆还需接受定期的道路适应性测试，通过车载诊断接口验证其软件完整性和功能状态。
4.2 网络安全与软件升级
草案明确要求所有ADS必须依据联合国UN R155法规，具备防御网络攻击的能力，防止未经授权的访问。这意味着从车辆架构设计之初，就必须遵循“安全-by-design”原则，融入入侵检测、安全通信、硬件安全模块等机制。 同时，法规大力支持空中软件升级（OTA），要求ADS必须支持软件更新，并详细记录每个软件版本与车辆事件的关系。这为持续改进和漏洞修复提供了便利，但法规也明确指出，当软硬件功能发生重大变更时，可能需要进行新的型式认证，防止企业通过OTA绕过监管进行实质性改动。
4.3 事件数据记录器：自动驾驶的“黑匣子”
EDR对于事故调查和系统改进至关重要。草案列出了11类必须记录的事件，包括ADS激活/停用、与远程操作员的交互请求、紧急操作启停、碰撞检测、MRM触发等。对于每个事件，必须记录发生原因、日期、GPS位置、精确到秒的时间戳以及当前的软件版本号。 EDR本身必须被安装在能经受碰撞考验的位置，并且其设计必须具备防篡改特性。这些数据将是厘清事故责任、优化算法不可或缺的证据。
5. 制造商的操作手册与合规挑战
法规要求制造商必须提交一份详尽的《操作手册》，作为型式认证申请的一部分。这份手册的受众极广，包括车主、乘员、运输服务运营商、随车操作员、远程操作员以及各国监管机构。其内容必须涵盖：
- 功能描述与技术措施：详细说明ADS的功能和为确保安全所需的技术检查、车辆维护要求。
- 操作限制：明确列出所有限制条件，如最高时速、是否需专用车道、与环境交通的物理隔离要求、允许的环境条件等。
- 安全操作措施：明确是否需要以及如何配置随车或远程操作员。 这份手册将成为所有相关方理解和使用自动驾驶车辆的“权威指南”，也是监管机构监督车辆是否在限定条件下被使用的重要依据。
实操心得与挑战：通读整个草案，我的体会是，欧盟正在试图建立一套比现有汽车产品认证复杂得多的体系。它不仅仅是对“产品”的认证，更是对“研发体系”、“安全文化”和“数据能力”的认证。对于车企和科技公司而言，满足性能要求或许可以通过技术攻关实现，但构建一套能经得起长达50页合规评估流程审视的完整开发、验证和数据管理体系，所需的组织变革和资源投入可能更为巨大。这份草案如同一面镜子，照出了企业在迈向高阶自动驾驶商业化道路上，除了技术之外的“软实力”短板。如何将安全要求无缝融入敏捷的软件迭代开发流程，如何构建高置信度的仿真测试体系，如何建立全生命周期的数据闭环，这些都是摆在所有玩家面前的必答题。
