如何定义和衡量安全性，是自动驾驶汽车（AV）大规模普及面临的主要挑战之一；
开发者、监管机构、安全组织和联盟已提出多种解决方案和安全标准以应对这一问题；
现有解决方案在应对该技术中所包含的各种未知因素方面能力有限，或基于传统汽车安全法规。
自动驾驶汽车（AV）行业尚未就衡量AV技术成熟度的单一方法达成共识，AV企业对于应使用哪些指标来表明系统安全性，各方提出了一系列不同的方法。
随着自动驾驶汽车项目逐步发展到全面部署，目标是实现广泛普及，以便自动驾驶汽车的效益（包括改善道路安全、出行便利性和可持续性）能够在广泛范围内实现。研究表明，公众对自动驾驶汽车普及的支持取决于其安全性如何，而非其经济影响；或其可能收集的数据所引发的隐私担忧。
在开展测试的地区，企业和地方政府已向公众表示自动驾驶汽车是安全的，尽管研究人员一致认为，可靠的碰撞和险情数据“无法提供有关安全性的信息”。在这种认知混乱的情况下，公众依然对自动驾驶汽车持有理所当然的怀疑态度。
当今的解决方案过于片面
现有的许多安全性衡量方案都有一个共同特点：它们是小系统方法；换言之，它们仅从单一视角、方法或指标来评估自动驾驶汽车的安全性。狭义地界定自动驾驶汽车安全性可以简化监管决策，但与此同时，也可能因忽视自动驾驶技术新兴、复杂且非确定性的特性而产生盲区。
所需要的是一种既切实可行又全面综合的安全方法
着眼大局
为应对这些挑战，AV Combinator提出了《自动驾驶汽车模块化安全套件白皮书》。AV Combinator是一个由斯坦福大学研究人员组成的团队，源于“Hacking 4 Defense”项目，旨在弥合政策制定者与自动驾驶企业之间的沟通鸿沟。基于对行业领袖以及联邦和地方政府官员的访谈，该白皮书提出了一种自动驾驶汽车安全的新方法，并概述了如何在美国实施该方法，以更好地理解和评估自动驾驶汽车的安全性。
这一新框架是一种大系统方法，其中每个小系统解决方案（例如基于仿真的测试）实际上都是一个“模块”。采用这种方法，用户（例如自动驾驶开发者、监管机构或公共利益团体）可以根据其优先事项、现行政策和风险承受能力，从现有模块库中选择，打造属于自己的专属“套件”。
一个能够适应从自动驾驶开发者到公众等各类利益相关方的模块化安全套件，将极大加快自动驾驶汽车的部署：
自动驾驶开发者可以运用该套件来定义并证明安全性能门槛（例如证明已具备撤除安全驾驶员的条件）；
州级监管机构可以借助该套件，制定客观基准，明确其要求自动驾驶企业满足哪些条件，才能允许其在道路上进行测试和运营；
安全组织指定的安全套件可以突出显示，为使某项技术或服务获得向公众推荐，其认为自动驾驶开发者应采用哪些模块；
公众成员可以查看安全套件，以明确在愿意乘坐某车辆之前，对自动驾驶企业安全措施的期望。
一目了然地，查看用户的安全套件应能使系统中的其他利益相关方了解哪些小系统解决方案被优先考虑，以及自动驾驶汽车在被认定为道路安全之前需要满足的性能门槛。
与仅使用单一安全指标或只评估安全的某一方面相比，创建套件不仅能促使用户以全面的方式评估自动驾驶汽车的安全性；将这些各自为政的小系统解决方案整合为一个大系统，还有助于规范利益相关方向系统内其他参与者传达其安全要求和舒适度的方式。
以这种方式建立通用的安全语言，可以使公众更容易理解自动驾驶汽车的安全性；同时，该方法的整体性意味着公众可以了解其不同层面。与人类驾驶的汽车相比，这将使个人更容易理解自动驾驶汽车的优势和局限性，从而设定清晰的预期，这构成了公众信任和接受的基础。
随着越来越多的用户采用这种大系统方法，且信息共享日益普遍，将有机会考察特定模块与现实世界安全性能之间的相关性。例如，可能会发现，与其他模块相比，采用某一模块与成功通过现实道路驾驶测试的相关性更强。这可能表明该模块是衡量自动驾驶汽车安全性相对更准确的指标，应考虑将其纳入地方和全球安全标准。
因此，大系统方法通过拥抱这项新技术的复杂性而蓬勃发展。它为各方提供工具和信息，使整个系统能够随着时间推移，朝着最佳安全标准体系趋于统一。
大系统方法有意保持灵活性
此外，大系统方法认识到，自动驾驶的核心是一种“复杂的社会技术创新”。与小系统方法不同，大系统方法能够随着时间推移适应变化和技术发展，鉴于该技术尚处于新兴阶段，这一点尤为重要。用户可以在模块更新或开发完成时，随时替换或添加新模块。
这种内置的灵活性意味着大系统方法也可应用于各类市场。鉴于各国正在制定各自的自动驾驶政策和安全评估方法，可根据监管机构的优先事项、现行法规以及该地区的安全文化，将模块添加到安全套件中。
大系统方法应用于自动驾驶安全可能呈现的样貌
模块化安全套件（MSS）是大系统层面方法的一个可实施且稳健的范例。它由AV Combinator在考虑美国自动驾驶治理体系的基础上开发，是一项可供持续迭代改进的初步方案。
MSS由六个模块组成：
1. 传统安全指标：记录车辆碰撞、伤害和死亡事故；
2. 传统碰撞测试：用于评估车辆的物理结构，确保车辆能够保护其乘员及其他道路使用者；
3. 自愿性自动驾驶安全标准的汇总：整合并跟踪现有及未来自动驾驶安全标准的使用情况；
4. 前瞻性安全指标：无需撤除安全驾驶员即可准确收集和评估的指标，用于衡量自动驾驶汽车在感知、预测、规划和执行方面的能力。前瞻性安全指标的一个例子是衡量自动驾驶汽车在道路上遵守其他车辆最佳位置的一致性程度，这可以通过基于场景的模拟驾驶测试来完成；
5. 对比驾驶测试：在自动驾驶系统于后台运行的同时，由人类驾驶员坐在自动驾驶汽车的驾驶位上，在高度受控的环境中专门比较自动驾驶汽车与人类驾驶员的性能；
6. 最佳实践、安全指标和驾驶场景的匿名数据库：基于更广泛、更全面的数据集训练和验证自动驾驶技术，同时支持形成数据驱动的安全标准。
MSS中的六个模块分为滞后性指标和前瞻性指标。滞后性指标仅跟踪结果，例如已发生的碰撞。相反，前瞻性指标是主动性指标，用于衡量预防工作，可以在碰撞发生之前进行观察和评估，从而在部署之前为技术性能提供前瞻性判断。通过同时涵盖这两类指标，MSS旨在生成一份全面反映自动驾驶安全性的结果。
与模块本身一样，MSS将在安全系统市场中展开竞争。联邦、州和地方监管机构将从该市场中选择方法加以采用、迭代和开发。这一开放市场将推动安全数据更加透明，并为行人和乘客带来更实质的安全保障。
自动驾驶技术有望大幅提升我们交通系统的安全性、可持续性和出行便利性。鉴于构建一种协调一致且包容的安全方法是加快自动驾驶汽车发展的关键，大系统方法为思考自动驾驶安全提供了一种新思路。
要使这种方法富有成效并切实有用，它必须满足两个条件：
1. 必须保持技术中立。换言之，在构建自动驾驶系统时，不得指定使用某种特定技术。这与美国交通运输部现行政策的精神相一致，该政策旨在提供开放的监管环境，以鼓励创新作为实现安全的一种手段；
2. 协作至关重要。汽车制造商、技术开发者和相关政府机构通过合作所能创造的价值，远大于相互对抗。这意味着需要建立政策制定、知识共享和制定协议的机制。
如果现有的各自为政局面依然存在，像MSS这样的综合安全框架的开发就无法推进。需要自动驾驶系统中的所有利益相关方共同努力，打破现状，以采纳这一新方法。否则，建立可信的安全措施并获得公众对自动驾驶汽车的接受，很可能仍将是一场艰难的斗争。
AV Combinator正致力于探索如何将这种大系统方法具体应用于不同的司法辖区和城市。如需详细了解MSS，请阅读AV Combinator的《自动驾驶汽车模块化安全套件白皮书》。
