高瑞芳

（河南科技職業(yè)大學(xué)汽車工程學(xué)院，河南 周口 466000）

0 引言

在汽車智能化、電子化、電氣自動(dòng)化的時(shí)代，自動(dòng)駕駛技術(shù)快速發(fā)展，但存在不安全因素，導(dǎo)致故障，這些故障源于車輛電子電氣系統(tǒng)的不斷復(fù)雜化。系統(tǒng)的復(fù)雜程度就決定了系統(tǒng)可能出現(xiàn)問題的概率，傳感器和執(zhí)行器及控制算法在無故障時(shí)，其態(tài)勢(shì)感知能力（Situational Awareness）在一些工況下有可能威脅安全[1]。那么看來，其安全風(fēng)險(xiǎn)不僅來自系統(tǒng)的功能故障，也有一部分來自系統(tǒng)的功能性局限或駕駛員誤操作而產(chǎn)生的非失效風(fēng)險(xiǎn)。為彌補(bǔ)這種需求，國(guó)際標(biāo)準(zhǔn)化組織在ISO 26262《道路車輛 功能安全》（Road vehicles—Functional safety）[2]的基礎(chǔ)上，于2015 年啟動(dòng)了用于指導(dǎo)自動(dòng)駕駛車輛非失效安全技術(shù)開發(fā)的ISO/PAS 21448《道路車輛 預(yù)期功能安全》（Road vehicles—Safety of the intended functionality）[3]的制定。在ISO 26262 中提出功能安全這個(gè)概念，其目的在于減少不合理危害事故的發(fā)生，且這些事故是由電子電氣系統(tǒng)故障導(dǎo)致的[4]，但如果設(shè)備沒有發(fā)生故障而僅僅是功能受限，那就不屬于功能安全的范疇。即使系統(tǒng)沒有發(fā)生故障，仍然會(huì)因?yàn)楫?dāng)前技術(shù)的局限性而導(dǎo)致不能被接受的危害。目前，人們的主要關(guān)注熱點(diǎn)是自動(dòng)駕駛系統(tǒng)中的感知系統(tǒng)以及執(zhí)行系統(tǒng)可能存在的功能不足，各系統(tǒng)中算法的缺陷問題，人機(jī)交互界面操作失誤等安全問題，這些問題會(huì)給駕乘人員以及交通參與者帶來健康和財(cái)產(chǎn)威脅。

2020 年6 月，聯(lián)合國(guó)歐洲經(jīng)濟(jì)委員會(huì)（UNECE）頒布了第一個(gè)L2 級(jí)以上的《ALKS 車道自動(dòng)保持系統(tǒng)條例》，是有關(guān)LKAS 的許可法規(guī)[5]。在該法規(guī)中明確指出LKAS 必須將功能安全標(biāo)準(zhǔn)放在第一位。因此，對(duì)功能安全問題進(jìn)行全面細(xì)致的研究，確保自動(dòng)駕駛系統(tǒng)的設(shè)計(jì)符合預(yù)期功能安全的標(biāo)準(zhǔn)，是推動(dòng)駕駛技術(shù)發(fā)展的關(guān)鍵一步。

1 SOTIF概述

預(yù)期功能安全（SOTIF）所強(qiáng)調(diào)的是把由于預(yù)期功能性能限制所造成的不合理風(fēng)險(xiǎn)避免掉[6]?！肮δ苄阅芟拗啤币话惚憩F(xiàn)在三個(gè)方面：傳感器感知限制導(dǎo)致對(duì)駕駛場(chǎng)景的錯(cuò)誤識(shí)別（包括對(duì)駕駛員誤操作的漏識(shí)別）；深度學(xué)習(xí)不足導(dǎo)致錯(cuò)誤決策控制（包括對(duì)駕駛員誤操作的誤響應(yīng)）；執(zhí)行器功能限制導(dǎo)致與理想目標(biāo)偏離。SOTIF 解決問題的基本思路是：首先運(yùn)用安全分析方法將危險(xiǎn)場(chǎng)景識(shí)別出來，然后根據(jù)危險(xiǎn)場(chǎng)景制定應(yīng)對(duì)策略，再對(duì)此場(chǎng)景進(jìn)行仿真驗(yàn)證或?qū)嵻嚋y(cè)試，最后根據(jù)實(shí)驗(yàn)結(jié)果再次優(yōu)化。從源頭提升自動(dòng)駕駛汽車安全水平，對(duì)自動(dòng)駕駛技術(shù)的開發(fā)具有縮短測(cè)試?yán)锍?、?jié)省開發(fā)費(fèi)用、加快開發(fā)速度等重要的指導(dǎo)意義。對(duì)于高級(jí)駕駛輔助系統(tǒng)ADAS（Advanced Driving Assistance System, ADAS）[7]，安全性更為重要。對(duì)于很多車輛都具備的車道保持輔助系統(tǒng)（Lane Keeping Assist System, LKAS），在使用過程中仍然存在功能局限，且人性化、智能化水平不足，功能局限所帶來的不安全因素是應(yīng)在設(shè)計(jì)過程中避免的，以降低后期使用過程中故障發(fā)生的概率，提高可靠性，快速推進(jìn)自動(dòng)駕駛技術(shù)的發(fā)展。

ISO/PAS 21448 在基于ISO 26262 的架構(gòu)設(shè)計(jì)中增加了與SOTIF 相關(guān)的危險(xiǎn)識(shí)別與評(píng)估、識(shí)別和評(píng)估危險(xiǎn)觸發(fā)事故、通過修改功能或限制改進(jìn)系統(tǒng)設(shè)計(jì)以降低SOTIF 風(fēng)險(xiǎn)、SOTIF 驗(yàn)證和驗(yàn)證設(shè)計(jì)的充分性。并增加了場(chǎng)景的識(shí)別，ISO/PAS 21448 將場(chǎng)景分為4 個(gè)區(qū)域，分別是：已知安全場(chǎng)景1、已知不安全場(chǎng)景2、未知不安全場(chǎng)景3 和未知安全場(chǎng)景4[8]。由此可以看出，區(qū)域1 和4 是沒有風(fēng)險(xiǎn)的，區(qū)域2 和3 有風(fēng)險(xiǎn)，那么區(qū)域2 和3 是SOTIF 需要考慮的領(lǐng)域。要想有效避免風(fēng)險(xiǎn)，對(duì)場(chǎng)景進(jìn)行識(shí)別和分類是首先要做的，將已知和未知的安全場(chǎng)景和觸發(fā)安全問題的場(chǎng)景確定出來。在SOTIF 的方法論中，主要目的是使區(qū)域1 盡量最大化，區(qū)域2 最小化，增大已知和未知安全場(chǎng)景，減少不必要的危害場(chǎng)景[9]。SOTIF 流程關(guān)于區(qū)域1、2、3 以及相關(guān)場(chǎng)景的目標(biāo)是：區(qū)域1 擴(kuò)大或維持不變，同時(shí)縮小區(qū)域2、3，這樣可以保持或提高安全性；區(qū)域2 有技術(shù)措施的區(qū)域被縮小到一個(gè)較小的可接受范圍，統(tǒng)計(jì)顯著性水平必須與技術(shù)措施的相對(duì)影響相一致。通過對(duì)潛在風(fēng)險(xiǎn)的評(píng)估，在需要的時(shí)候要采取措施將危險(xiǎn)情況轉(zhuǎn)移到區(qū)域1；區(qū)域3 盡可能地最小化當(dāng)前區(qū)域，縮小到可接受的范圍（每個(gè)檢測(cè)到的危險(xiǎn)情況都轉(zhuǎn)移到區(qū)域2）。具體情景類別轉(zhuǎn)變?nèi)鐖D1所示。

圖1 ISO/PAS 21448 活動(dòng)產(chǎn)生的情景類別的演變

圖2 展示了改進(jìn)預(yù)期功能以確保其安全的流程圖，該過程以5 功能和系統(tǒng)規(guī)范的定義為首，6 是將潛在的（包括預(yù)期功能可能存在的）危險(xiǎn)事故識(shí)別出來。若證明危險(xiǎn)事故未使系統(tǒng)發(fā)生危險(xiǎn)，則無需改進(jìn)。如果被證明會(huì)引起危險(xiǎn)，則7 對(duì)潛在危險(xiǎn)觸發(fā)事故，如在某些環(huán)境條件下對(duì)某些物體的錯(cuò)誤檢測(cè)或駕駛員的誤用進(jìn)行分析。6 和7 涉及SOTIF 的不同方面，6 僅考慮其對(duì)安全的影響，未將潛在風(fēng)險(xiǎn)的原因考慮在內(nèi)，7 則是對(duì)潛在風(fēng)險(xiǎn)進(jìn)行因果分析。所以說6 的目的是評(píng)估可能引起的危險(xiǎn)事件并制定驗(yàn)證各確認(rèn)的目標(biāo)。8 是通過應(yīng)用用例改良或限制來降低由此產(chǎn)生的風(fēng)險(xiǎn)，并通過9、10、11驗(yàn)證和確認(rèn)。9是運(yùn)用驗(yàn)證和確認(rèn)策略證明剩余風(fēng)險(xiǎn)低于接受水平。在10、11的分析中導(dǎo)出對(duì)應(yīng)的驗(yàn)證和確定的測(cè)試用例。最后，12根據(jù)測(cè)試和驗(yàn)證的結(jié)果評(píng)估剩余風(fēng)險(xiǎn)，如果風(fēng)險(xiǎn)不可接受，則需要重復(fù)8，即對(duì)用例進(jìn)行進(jìn)一步的功能改進(jìn)或限制。此類驗(yàn)證和確認(rèn)策略可以包括模型在環(huán)（MIL）、軟件在環(huán)（SIL）、硬件在環(huán)（HIL）、測(cè)試跟蹤實(shí)驗(yàn)、專用分析、長(zhǎng)期耐久性測(cè)試或其他方法[3]。該流程考慮的出現(xiàn)非預(yù)期行為的原因可能與傳感器性能、算法處理、觸發(fā)及其對(duì)正在開發(fā)的功能的實(shí)現(xiàn)緊密相關(guān)。因此，該流程適用于車輛、系統(tǒng)和部件級(jí)別。類似地，功能性整體系統(tǒng)架構(gòu)的選擇成為確保SOTIF的主要焦點(diǎn)，并為確保整體能力，在早期和整個(gè)功能開發(fā)生命周期中采取適當(dāng)?shù)男袆?dòng)。可通過該流程進(jìn)行系統(tǒng)的設(shè)計(jì)、潛在危險(xiǎn)的識(shí)別、功能的改進(jìn)和完善、風(fēng)險(xiǎn)的降低等，提高車輛或系統(tǒng)的可靠性并降低失效風(fēng)險(xiǎn)。

圖2 SOTIF流程圖

2 LKAS功能定義

LKAS 是高級(jí)駕駛輔助系統(tǒng)[10]的重要組成，它在危險(xiǎn)情況下警告或幫助駕駛員避免事故。車道保持輔助系統(tǒng)是通過傳感器獲取車輛的位置信息、車道線信息以及車輛狀態(tài)信息，實(shí)時(shí)將車輛所在位置與車道線的位置進(jìn)行對(duì)比分析，當(dāng)車輛即將偏離或偏離車道線時(shí)，LKAS 會(huì)采取相關(guān)措施發(fā)出警告或糾正車輛的偏離運(yùn)動(dòng)狀態(tài)。LKAS 屬于車輛主動(dòng)安全系統(tǒng)，為車輛提供橫向輔助控制。

1）目標(biāo)。環(huán)境感知層、決策規(guī)劃層和控制執(zhí)行層組成了自動(dòng)駕駛系統(tǒng)。車道保持輔助系統(tǒng)是自動(dòng)駕駛系統(tǒng)的重要成員之一，也是實(shí)現(xiàn)全自動(dòng)駕駛的關(guān)鍵要素。系統(tǒng)通過傳感器將車道線、車輛狀態(tài)等相關(guān)信息傳遞到控制中心，通過信息判斷車輛是否在目標(biāo)車道內(nèi)，若不在目標(biāo)車道內(nèi)，則由車道保持輔助系統(tǒng)發(fā)出指令主動(dòng)控制車輛駛回原車道[11]。該系統(tǒng)是能夠主動(dòng)檢測(cè)車輛橫向偏差并協(xié)調(diào)轉(zhuǎn)向系統(tǒng)控制的系統(tǒng)，可以實(shí)現(xiàn)車輛糾偏，提高駕駛安全性。車道保持輔助系統(tǒng)主要由信息采集單元、電子控制單元和執(zhí)行單元組成。LKAS的具體配置如表1所示。

表1 LKAS的具體配置

2）功能描述。信息采集單元由車輛傳感器組成，應(yīng)能夠在允許的使用范圍內(nèi)檢測(cè)道路目標(biāo)、交通標(biāo)識(shí)、可行駛區(qū)域的分割以及車輛狀態(tài)[12]。目標(biāo)檢測(cè)應(yīng)盡早完成，以便車輛能夠安全地執(zhí)行后續(xù)任務(wù)。攝像頭傳感器是目前車輛上不可或缺的感知部件并且是L3 等級(jí)以上常用的傳感器，通過時(shí)刻采集圖片，經(jīng)過分析得出障礙物以及車道線信息，并在自動(dòng)駕駛系統(tǒng)上配備不同功能的感知傳感器。毫米波雷達(dá)可以穿透任何壞天氣，且能夠24 h 持續(xù)工作，具有這樣的優(yōu)點(diǎn)使其成為自動(dòng)駕駛車輛上必備的主要傳感器。毫米波雷達(dá)的主要功用是實(shí)現(xiàn)車輛檢測(cè)障礙物和駕駛環(huán)境識(shí)別。毫米波雷達(dá)工作在毫米波段，它通過天線發(fā)射毫米波并接收反射的目標(biāo)信號(hào)，通過反射時(shí)間、毫米波頻率的變化及相位差可快速準(zhǔn)確地獲得車體與其他物體各種信息，然后由中央處理器（ECU）進(jìn)行信息處理和決策控制。方向盤轉(zhuǎn)角傳感器和橫縱向加速度傳感器是LKAS 對(duì)車輛狀態(tài)檢測(cè)的重要傳感器，可以感知車輛當(dāng)前是否處于加速狀態(tài)以及橫向穩(wěn)定性和當(dāng)前方向盤轉(zhuǎn)角的大小，從而便于控制指令的下發(fā)。感知系統(tǒng)的主要目標(biāo)是將所有傳感器測(cè)量值合并為周圍世界的一致表示。除了表示所有已知的障礙之外，感知系統(tǒng)還需要為許多用例提供未知的概念。感知系統(tǒng)使用來自路面的測(cè)量值和其他線索（如檢測(cè)到的障礙物的位置）來確定自由空間。由上述功能定義可知，當(dāng)LKAS 實(shí)現(xiàn)功能時(shí)，其過程可以描述為：信息采集單元采集車輛狀態(tài)以及駕駛環(huán)境信息，并將信息傳遞給電子控制單元，由控制單元進(jìn)行解析計(jì)算然后下發(fā)控制指令，由車輛的執(zhí)行單元實(shí)現(xiàn)車輛的轉(zhuǎn)向、制動(dòng)、加速等運(yùn)動(dòng)，如此循環(huán)，完成動(dòng)態(tài)駕駛?cè)蝿?wù)[13]。電子控制單元是自動(dòng)駕駛控制的關(guān)鍵部件，將傳感器或其他裝置的輸入信號(hào)接收后并將其進(jìn)行轉(zhuǎn)化，轉(zhuǎn)化為ECU 能夠接收的信號(hào)，然后ECU 發(fā)出指令控制執(zhí)行器?；谶@個(gè)功能定義，實(shí)現(xiàn)電子控制單元功能的過程描述為：電子控制單元根據(jù)信息采集單元所傳遞的信息，包括感知傳感器和車輛動(dòng)態(tài)傳感器傳遞的信息，感知算法進(jìn)行解讀，獲得車輛的狀態(tài)信息以及駕駛環(huán)境和車道線信息，通過這些信息進(jìn)行決策規(guī)劃如何實(shí)施行動(dòng)，并將決策規(guī)劃傳遞給控制算法，通過控制算法下發(fā)控制指令。執(zhí)行單元是車輛的基礎(chǔ)系統(tǒng)，包括傳動(dòng)系統(tǒng)、轉(zhuǎn)向系統(tǒng)和制動(dòng)系統(tǒng)，實(shí)現(xiàn)車輛的前進(jìn)、后退、轉(zhuǎn)向、加速、減速、制動(dòng)等。執(zhí)行單元通過電子控制單元下發(fā)的控制指令實(shí)現(xiàn)對(duì)車輛的加速、轉(zhuǎn)向或制動(dòng)控制。

3）可能的功能局限。感知系統(tǒng)中主要元件是攝像頭傳感器，通常安裝在前視擋風(fēng)玻璃上，從擋風(fēng)玻璃后面朝前設(shè)置。通過時(shí)刻提供圖像，記錄車道標(biāo)記，并且檢測(cè)車輛在車道上的位置。系統(tǒng)架構(gòu)可以使用單攝像機(jī)（單視）或雙攝像機(jī)（立體）。單視攝像機(jī)可以提供目標(biāo)檢測(cè)，但通常不支持可靠地確定到目標(biāo)的距離。立體攝像機(jī)可以更可靠地確定到物體的距離。典型相機(jī)限制的示例包括低能見度條件、低對(duì)比度、視野限制、缺少車道標(biāo)記或地標(biāo)。毫米波雷達(dá)可能存在的功能限制是在雨、霧、雨夾雪等高濕度環(huán)境下其功能會(huì)衰退，以及強(qiáng)大器件植入降低了毫米波雷達(dá)的探測(cè)范圍。與微波相比，對(duì)密集灌木叢的穿透力較低、能力較差。方向盤轉(zhuǎn)角傳感器一般是根據(jù)光電編碼來確定角度的，由于機(jī)械振動(dòng)等原因，發(fā)射裝置或接收裝置可能會(huì)出現(xiàn)錯(cuò)位或角度偏差，使接收裝置無法可靠地產(chǎn)生電信號(hào)，還會(huì)受到場(chǎng)所的各式各樣的電磁干擾，干擾光電檢測(cè)裝置，使光電檢測(cè)裝置的輸出波形失真，導(dǎo)致系統(tǒng)故障或引起生產(chǎn)事故。橫縱向加速度傳感器可能存在的功能限制是微機(jī)械式傳感器可能會(huì)隨著時(shí)間的增加而出現(xiàn)磨損、接觸不良、測(cè)量不準(zhǔn)確等問題。

3 基于SOTIF的LKAS架構(gòu)

系統(tǒng)設(shè)計(jì)時(shí)，應(yīng)將在功能和系統(tǒng)規(guī)范中列出的與預(yù)期功能安全相關(guān)的算法或元素的性能限制考慮進(jìn)去，并在需要時(shí)采取措施，以降低對(duì)整個(gè)系統(tǒng)的影響。具體而言，設(shè)計(jì)包括考慮系統(tǒng)限制，這些限制可能導(dǎo)致高置信度報(bào)告錯(cuò)誤而影響子系統(tǒng)輸出值（設(shè)計(jì)可能忽略低置信度值），并可能導(dǎo)致未知危險(xiǎn)行為的發(fā)生。限制的示例有錯(cuò)誤的分類、測(cè)量、跟蹤、檢測(cè)、目標(biāo)選擇、運(yùn)動(dòng)估計(jì)等。最后確定的系統(tǒng)架構(gòu)應(yīng)將單個(gè)組件、技術(shù)和系統(tǒng)的限制考慮進(jìn)來，從而保障系統(tǒng)的可靠性。將SOTIF 集成到功能和系統(tǒng)規(guī)范中，減小區(qū)域2 和區(qū)域3 的大小，提高整個(gè)系統(tǒng)的可靠性可以通過將區(qū)域1 的面積增大的方式。區(qū)域3 僅當(dāng)與原始系統(tǒng)設(shè)計(jì)相關(guān)的對(duì)策不完整或不適用于新用例時(shí)，測(cè)試才用于檢測(cè)新問題。在進(jìn)行設(shè)計(jì)的時(shí)候只有將這些系統(tǒng)和部件的限制考慮在內(nèi)，才能更好地提高系統(tǒng)的預(yù)期功能安全的能力。

基于LKAS 系統(tǒng)組成的功能限制，將感知系統(tǒng)中的組成增多，將攝像頭傳感器和毫米波雷達(dá)集成，彌補(bǔ)彼此的短處，并通過顯示裝置將控制模塊的具體工作狀態(tài)展示出來，即可及時(shí)關(guān)注LKAS 的控制狀態(tài)。并設(shè)置LKAS 功能開關(guān)，一旦出現(xiàn)問題可強(qiáng)制關(guān)閉LKAS，提高控制算法的可靠性，從而可以減少事故的發(fā)生?；谶@些問題的考慮進(jìn)行LKAS架構(gòu)設(shè)計(jì)。

根據(jù)上述的功能定義、系統(tǒng)描述以及典型限制，并確保將SOTIF 考慮在內(nèi)，避免在使用過程中非預(yù)期功能限制的出現(xiàn)，增大已知或未知安全區(qū)域，從而優(yōu)化LKAS 的功能架構(gòu)，提高功能的可靠性以及魯棒性。具體架構(gòu)如圖3 所示。

圖3 LKAS架構(gòu)

4 結(jié)語

根據(jù)SOTIF 羅列并進(jìn)行考慮，并將可能存在的性能局限考慮在內(nèi)，從而將預(yù)期功能安全中的場(chǎng)景全面地考慮在內(nèi)，可以更有效地避免安全事故的發(fā)生，全面提升高級(jí)輔助駕駛系統(tǒng)的可靠性及安全性。