By relieving the human driver of the responsibility of safely operating the vehicle, Automated Driving Systems (ADSs) (colloquially known as self-driving cars) can free up time and possibly also reduce the number of road accidents. Paradoxically, even though safety is one of the main expectations of ADSs, it is also one of the major challenges and arguably one of the key reasons why we have yet to see widespread market deployment of such systems. Contrary to previous generations of automotive systems, common development and safety assurance practises no longer suffice to accommodate the increased system complexity and operational uncertainty inherent to an ADS. Indeed, concrete models and means to show safety fulfilment before deployment remain elusive. For that purpose, this thesis focuses on efficient strategies for safety assurance of ADSs and explores this from three angles. 

Firstly, a comprehensive review of the state of the art has been conducted to identify and structure available methods for providing (predictive) evidence of the safety of the ADS, and to identify gaps and directions where further research is needed.

Secondly, the task of ensuring completeness of both the Verification and Validation (V&V) as well as the safety requirements of the ADS has been explored. The appropriate definition, formalisation and management of an Operational Design Domain (ODD) provide a means to ensure alignment between specification, testing and operations of the ADS – suggesting one way of closing the completeness gap for the V&V. Furthermore, to address the exhaustiveness of the safety requirements, this thesis proposes the use of a Quantitative Risk Norm (QRN) to elicit quantitative vehicle-level requirements. A QRN facilitates this exhaustiveness by considering frequencies of loss events (e.g. accidents) rather than requiring an enumeration of all possible hazards pertaining to the ADS.

Thirdly, this thesis extends the concept of Precautionary Safety (PcS) proposing a methodology for connecting the quantitative safety requirements of the QRN and the runtime decisions of the ADS. This is enabled by augmenting the ADS’s situation awareness (SAW) with an understanding of its own ability to avoid different loss events. Using this enhanced SAW model and by subsequently accounting for the uncertainties of the loss event probabilities, enables an assessment of the QRN even when there is limited data available. Consequently, the proposed methodology can ensure that the ADS indeed only takes decisions that are known to fulfil the QRN.

Jointly, the work presented in this thesis paves a way for how to bridge quantitative safety requirements and runtime decision-making of the ADS, and a possible strategy for efficient safety assurance of ADSs is outlined – drawing upon the contributions of the appended papers. There are still several open questions to understand the implications of this approach but the work showcased herein provides a solid foundation for such future work.

Automatiserade förarsystem (ADSer) (även kallade självkörande bilar) kan frigöra tid och möjligen även minska antalet olyckor i traffiken, genom att avlösa den mänskliga föraren från ansvaret för att köra säkert. Även om säkerhet (safety, security är inte inkluderat i denna avhandling) är en av de största förväntningarna på ADSer, så är det paradoxalt nog även en av de största utmaningarna. Kanske till och med en av huvudanledningarna till att vi ännu inte har sett någon bred lansering av denna typ av system på våra vägar. Metoder för utveckling och säkerhetsbevisning som använts för tidigare generationers system inom bilindustrin är inte längre tillräckliga för att hantera den ökade systemkomplexiteten och de osäkerhetsfaktorer som kännetecknar en ADS. Trots framsteg saknas accepterade, konkreta modeller och metoder för att framställa säkerhetsbevis innan ADSen lanseras på publika vägar. Som en del i att råda bot på detta fokuserar denna avhandling på strategier för säkerhetsbevisning av ADSer och utforskar detta område ur tre vinklar. 

För det första, har en omfattande litteraturestudie genomförts för att identifiera och strukturera befintliga metoder som bidrar till säkerhetsbevisningen för ADSer. I det arbetet identifierades också kvarstående forskningsluckor, som kräver ytterligare forskning.

För det andra, har komplettheten av både verifikationen och valideringen (V&V) samt säkerhetskraven på ADSen utforskats. Genom att bidra med en tillräcklig definition, formalisering och hantering av en Operational Design Domain (ODD) kan det verktyget stötta både specifikationen och testningen av systemet samt när det väl är i funktion (i runtime). ODDen ger således en potentiell väg framåt för att säkerställa komplettheten av V&V processerna och fyra konkreta strategier för att undvika att lämna ODDen presenteras. Vidare, så har en Kvantitativ Risk Norm (QRN) föreslagits för att förenkla arbetet med att uppnå kompletthet av säkerhetskraven på ADSen. Detta genom att kräva uppfyllnad av kvantitativa krav på antalet incidenter istället för att kräva en uppräkning av alla potentiella risker (hazards).

För det tredje, har konceptet med försiktig säkerhet (Precautionary safety) (PcS) vidare-utvecklats för att ge en konkret koppling mellan uppfyllnaden av en QRN och de beslut ADSen tar i runtime. Detta möjliggörs genom att utöka ADSens medvetenhet (situation awareness, SAW) om sin omgivning med en förståelse för det egna systemets förmåga att undvika olika incidenter. Trots begränsad tillgång till data möjliggör denna metod att ta fram en säker körpolicy som uppfyller QRNen genom att hantera de olika osäkerheterna i modellerna som underbygger PcS konceptet. Denna hantering gör det även möjligt att ADSen bara tar beslut som den vet kommer uppfylla QRNen.

Dessa tre områden utgör en möjlig väg framåt för en effektiv (efficient inte bara effektiv) strategi för säkerhetsbevisning för ADSer. Det finns visserligen mycket jobb kvar att göra för att förstå alla implikationer av denna strategi, men det arbete som läggs fram i denna avhandling ger en bra bas att stå på inför en fortsatt utforskning av denna eller ytterligare strategier för effektiv säkerhetsbevisning av ADSer.