智能網(wǎng)聯(lián)汽車面臨多維度安全挑戰(zhàn)，其中預期功能安全是重要組成部分。在當前階段，智能網(wǎng)聯(lián)汽車產(chǎn)業(yè)正處于前所未有的高速發(fā)展階段。眾多車企與科研機構投入巨資，致力于技術創(chuàng)新和產(chǎn)品升級。盡管如此，伴隨技術進步的同時，安全問題頻頻出現(xiàn)，不同等級的智能網(wǎng)聯(lián)汽車產(chǎn)品，在道路測試、示范應用以及正式上路階段仍然發(fā)生了多起事故，事故發(fā)生的原因多數(shù)是由于自動駕駛系統(tǒng)相關的零部件或者子系統(tǒng)的預期功能沒有實現(xiàn)。

場景對于自動駕駛汽車的開發(fā)和測試至關重要。由于自動駕駛系統(tǒng)的復雜性，傳統(tǒng)的基于規(guī)則和基于里程的測試方法已經(jīng)不適用，需要向基于場景的測試方法轉變。據(jù)美國蘭德公司研究，從統(tǒng)計學角度出發(fā)，自動駕駛汽車需要在真實或者虛擬環(huán)境中至少進行110億英里的里程測試[1]，才能證明自動駕駛系統(tǒng)比人類駕駛員更可靠。測試場景來源廣泛，預期功能安全場景是其中重要的一類。通過預期功能安全分析獲取盡可能多的相關場景，這些場景一方面可作為輸入指導系統(tǒng)開發(fā)，另一方面也是測試驗證的重要依據(jù) 。參考國內(nèi)外場景架構設計方法，結合賽目已有的工程實踐經(jīng)驗，提出一種基于關鍵要素分析的場景搭建框架，主要包含四類關鍵特征，基于上述方法生成的場景既能夠體現(xiàn)觸發(fā)條件，同時也能夠更好的通過模擬仿真軟件搭建，便于高效地進行自動駕駛系統(tǒng)的測試和驗證。

二、研究內(nèi)容

基于標準ISO 21448和GB/T 43267-2023中第4章預期功能安全活動概述和組織，以及第6章的危害識別和評估，危害是傷害的潛在來源，由整車層面的危害行為導致，場景是傷害發(fā)生的助推因素。參考危害事件模型，如圖1所示，

圖 1標準中的SOTIF危害事件模型

在進行危害行為和危害分析之后，需要構建場景與危害進行“匹配”，進而形成可能導致傷害的危害事件，這里構建場景的目標是為已經(jīng)分析出的危害找到合適的發(fā)生環(huán)境，該環(huán)境包含使危害可導致傷害的條件，該環(huán)境也是推導傷害發(fā)生的助推因素。預期功能安全場景生成的過程，也是從未知場景中發(fā)現(xiàn)已知危害場景的過程。

2.1研究方法

預期功能安全場景的生成方法主要可分為3個關鍵執(zhí)行步驟（見圖2），第一步，建立從危害行為到危害的映射關系表達，得到關聯(lián)規(guī)則，形成映射關聯(lián)表；第二步，對場景要素進行特征分析，進行場景要素分類及標注，形成一個基于關鍵場景特征的場景要素標注集；第三步，基于第一步建立的關聯(lián)表，進行觸發(fā)條件關聯(lián)，形成帶觸發(fā)條件的危害映射表，然后，匹配危害映射表與場景要素標注集，形成危害場景集，該危害場景集也就是預期功能安全場景。

圖 2研究方法總體框圖

（1）從危害行為到危害的映射關系表達

首先建立從危害行為到危害事件的映射關系表達，得到關聯(lián)規(guī)則，形成映射關聯(lián)表。

圖 3 危害行為映射關系表達

危害行為列表基于整車控制輸出與引導詞，共計定義18個基本的潛在危害行為，見表1.

表1 基于引導詞的危害行為表

危害的三個最底層來源需要考慮對交通的危害、對車內(nèi)人員的危害、對道路邊界保持的情況，因此，構建六類危害：車內(nèi)人員感到不適、與前車保持的安全距離過小、與后車保持的安全距離過小、與側面車輛的安全距離過小、與道路邊界過近。

理論上，像場景一樣，危害依據(jù)不同的考慮范圍，能被定義出無窮無盡的類型。但本文所定義的危害與危害行為，一個面向最底層來源，一個面向整車輸出，因此具備與其他不同危害類型直接或間接映射的能力，其他各類不同危害也都能被納入本文提供的危害列表之中。比如考慮道路覆蓋情況時可以有車輛打滑的危害等，該危害可以映射至表1中的加速度/減速度過小的危害行為，以及與前車/后車保持的安全距離過小（當有前后車時），或與道路邊界過近（當?shù)缆窞閺澋馈⒒虼蚧瑢е萝囕v側移時）。

危害行為是對主車的異常輸出的描述，危害是對主車在場景中可能面臨潛在風險的描述，所以從危害行為到危害的映射需要加入對場景關鍵點的考慮。與危害匹配過程中需要考慮的場景關鍵點：分別是主車與他車、主車與道路以及觸發(fā)條件。因此，定義危害行為、危害、場景關鍵點，以確定三者之間的對應和映射關系。映射關系可由下式表示：

其中，表示第i個危害行為(來自表1)。表示第j個場景中可關聯(lián)危害的場景關鍵點,表示由第i個危害行為與第j個場景要素組合產(chǎn)生的第1個危害。具體，考慮18個基本的危害行為，以及場景中交通參與者與主車的相對位置關系，以及場景的道路是否彎曲兩類關鍵要素，構造危害行為與導致危害場景關鍵點的關聯(lián)表，見圖4。

圖 4危害行為與導致危害場景關鍵點的關聯(lián)表

該表描述了危害行為與危害的關聯(lián)，在關聯(lián)過程中考慮了必要的場景要素。這種關聯(lián)是定性式的，并且以相對有限的危害行為與危害的組合，關聯(lián)到了數(shù)量龐大的場景，關聯(lián)介質為場景中的他車和道路這兩類要素。該關聯(lián)方式可用于構建危害的場景集。

（2）基于四類場景特征進行場景關鍵要素標注

根據(jù)預期功能安全場景建立的目標需求，為已經(jīng)分析出的危害找到合適的發(fā)生環(huán)境，將關鍵場景特征分為四類，即四層級的場景架構。

· 第一類是道路特征，主要包括場景中的物理基礎設施，是場景限定范圍內(nèi)的道路結構和道路設施等要素的合集。

· 第二類是環(huán)境特征，是感知行為的重要來源，環(huán)境特征的要素范圍包含天氣、降水量、風力、時段等。

· 第三類是主車特征，規(guī)定了場景中車輛的行為，主車特征的要素范圍包含縱向初速度，位置等。

·第四類是交通參與物特征，規(guī)定了參與物的行為與交互關系，交通參與物特征的要素范圍包含與主車的交互行為、相對位置、相對速度等。

對上述四類場景特征進行細化和拆解后，可得到場景關鍵要素集以及要素的標簽。四類場景特征作為一級標簽，可繼續(xù)拆分為35個二級標簽，二級標簽可繼續(xù)拆分為140個場景要素，如圖5所示。

圖 5基于場景四層架構的場景關鍵要素集

由上圖可見，其中，第三列的場景要素是場景要素集的最基本組成，要素根據(jù)自身的特征可分為語義要素和數(shù)值要素，語義要素在場景中的描述為有或無，數(shù)值要素在場景中的描述為具體的參數(shù)取值，也是邏輯場景進行泛化的待采樣參數(shù)。

圖 6 場景關鍵要素標注集

（3）SOTIF危害場景庫的構建方法

GB/T 43267所提供的鏈路的主要節(jié)點為危害行為、危害、場景，三者存在一定的關聯(lián)關系。對此，前文提出的關聯(lián)場景和危害的具體流程，可根據(jù)危害行為映射關聯(lián)表和場景關鍵要素標注集構造以危害為導向的測試場景集，實現(xiàn)以數(shù)量有限的危害關聯(lián)匹配出數(shù)量級較大的危害場景庫，該場景庫也就是預期功能安全場景庫。

圖 7 危害場景庫生成示意圖

首先，基于已經(jīng)生成的關聯(lián)表（圖 4），進一步將觸發(fā)條件與整車危害行為的引導詞進行關聯(lián)。該階段的關聯(lián)旨在細化危害行為的發(fā)生條件，確保測試場景集能夠全面覆蓋各種可能的觸發(fā)條件。且通過與觸發(fā)條件的關聯(lián)可以以更小的顆粒度匹配邏輯場景中的主要觸發(fā)要素。

場景中的觸發(fā)條件即場景危害關聯(lián)要素，包括合理可預見的人為誤用，可以通過FMEA/FTA/STPA等分析方法得到，這里不展開描述。具體觸發(fā)條件要素詳見下表。

圖 8 觸發(fā)條件分類體系

然后，基于場景關鍵要素標注集，通過要素集笛卡爾積的方式進行組合生成測試場景庫。根據(jù)文章：自動駕駛測試場景庫的構建及評價方法（一），“定義場景要素集為S，則有，其中為一級標簽下的場景要素子集,為二級標簽下的場景要素子集。定義危害關聯(lián)要素為。進而，一個關聯(lián)危害的場景庫Sces可以表示為：

其中，“X”表示笛卡爾積?！痹趯鼍耙丶M行組合時，同時對場景要素進行標注，包括要素的頻率、風險性、復雜性標注，并將對要素標注的結果繼承至由其組合成的場景中。最終，形成一個基于關鍵場景特征分析的場景庫。

最后，將上述形成的場景庫中的場景與危害、危害行為進行匹配，從形成的場景庫中篩選出與特定危害或危害行為相匹配的場景，進而構建出一個面向某個特定危害的測試場景集。該測試場景集可以包含特定的潛在危害行為與危害，也能夠反映出這些危害在不同條件下可能發(fā)生的具體場景，最終得到SOTIF危害場景庫。

2.2.研究方法的優(yōu)勢

以上的研究方法不僅能夠充分地描述場景，還涵蓋了觸發(fā)條件，并且便于搭建。

首先，四大類特征的提取能夠充分的描述場景。4大類特征的提取可以全面地描述車輛所處的場景，能夠表達自動駕駛車輛在多種路況下應對的多變的環(huán)境條件和交通狀況；自動駕駛算法需要處理大量的環(huán)境數(shù)據(jù)，以確保自動駕駛車輛能夠安全、高效地行駛，以及在行駛過程中，車輛可能會遇到的情況：如不同道路類型，變化的交通狀況，多樣的天氣條件以及各種潛在的障礙物。有效的特征提取能夠從原始數(shù)據(jù)中提煉關鍵信息。

其次，四大類特征的提取能夠涵蓋觸發(fā)條件。特征的提取對于理解和預測觸發(fā)條件至關重要，這些提取的特征是一個多層次、多維度的信息處理過程，是分析觸發(fā)機制的重要參考。

最后，四大類特征的提取易于模擬仿真的實現(xiàn)。道路特征可以通過滿足OpenDRIVE格式來實現(xiàn)，通過特征提取，可以構建出精確的道路模型，并在仿真環(huán)境中加載這些模型來模擬真實的道路情況。交通參與物特征及主車特征可以通過OpenSCENARIO來實現(xiàn)，可以設置不同類型交通參與物的速度、加速度、路線、交互規(guī)則等參數(shù)，例如，可以創(chuàng)建一個場景，其中包含多個車輛在不同車道上行駛，并且根據(jù)交通燈信號或其他車輛的存在進行加速或減速。同時，可以定義主車的傳感器配置、感知范圍、決策邏輯等，例如，可以模擬主車識別前方的障礙物并執(zhí)行換道操作，或者根據(jù)交通信號調(diào)整速度。環(huán)境特征可以使用工具進行更豐富的環(huán)境模擬，例如，可以設置不同的天氣情況，觀察其對傳感器性能和車輛行為的影響。

三、典型案例

該章節(jié)提供了一種在給定危害行為下的潛在危害與危害場景集生成的執(zhí)行案例。

根據(jù)上述方法的執(zhí)行步驟，如下：

（1）從危害行為到危害的映射關系表達

根據(jù)引導詞“過小”，結合整車輸出的“減速度”，得出當給定危害行為為減速度過小時，系統(tǒng)遍歷危害行為映射關聯(lián)表，該危害行為可關聯(lián)危害為“與前車保持的安全距離過小”；對應的危害匹配過程中需要考慮的場景關鍵點是“自車前方存在他車或其他交通參與物”。

（2）基于四類場景特征進行場景關鍵要素標注

基于四類場景特征篩選場景要素進行笛卡爾積，得到組合后的場景關鍵要素標注集。例如：

（3）SOTIF危害場景庫的構建方法

關聯(lián)觸發(fā)條件：引導詞“過小”代表自車的實際輸出由于場景中的抑制條件，使得其比預期輸出要小，場景抑制條件可以是摩擦系數(shù)變小的抑制，比如“道路濕滑”、“降雨”、“降雪”等場景要素。這些要素在場景要素集中已被預先標記為潛在的觸發(fā)條件要素；根據(jù)觸發(fā)條件分類表進行生成帶觸發(fā)條件的危害映射表，如下：

將上面形成的表格中的內(nèi)容與場景關鍵要素標注集進行匹配，構建該危害對應的危害場景庫，場景庫見圖9。

圖 9 危害場景庫（部分）

由上圖可見，所構建的危害場景庫涵蓋了對危害行為“減速度過小”及其關聯(lián)的危害“與前車保持的安全距離過小”的致傷條件和潛在觸發(fā)要素，即在該場景集中，有較大概率會使得自動駕駛汽車出現(xiàn)該危害行為并引發(fā)所對應的危害。

通過Sim Pro仿真工具，將上述步驟分析得出的場景進行仿真驗證。

參考資料

[1]https://www.rand.org/pubs/articles/2016.html

[2] GB/T 43267-2023 道路車輛—預期功能安全 [S]

[3]ASAM.OpenSCENARIO[EB/OL].https://www.asam.net/standards/detail/openscenario/, [日期: 2024-08-01].

[4] 中國智能網(wǎng)聯(lián)汽車產(chǎn)業(yè)創(chuàng)新聯(lián)盟. 智能網(wǎng)聯(lián)汽車預期功能安全場景要素及管理要求: T/CSAE 336-2023[S]. 北京: 中國汽車工程學會, 2023.

[5]ISO21448-2022SOTIF,Safetyof The Intended Functionality [S]