基于SOTIF 的車道保持輔助系統(tǒng)架構(gòu)設(shè)計(jì)

高瑞芳

（河南科技職業(yè)大學(xué)汽車工程學(xué)院，河南 周口 466000）

0 引言

在汽車智能化、電子化、電氣自動化的時代，自動駕駛技術(shù)快速發(fā)展，但存在不安全因素，導(dǎo)致故障，這些故障源于車輛電子電氣系統(tǒng)的不斷復(fù)雜化。系統(tǒng)的復(fù)雜程度就決定了系統(tǒng)可能出現(xiàn)問題的概率，傳感器和執(zhí)行器及控制算法在無故障時，其態(tài)勢感知能力（Situational Awareness）在一些工況下有可能威脅安全[1]。那么看來，其安全風(fēng)險不僅來自系統(tǒng)的功能故障，也有一部分來自系統(tǒng)的功能性局限或駕駛員誤操作而產(chǎn)生的非失效風(fēng)險。為彌補(bǔ)這種需求，國際標(biāo)準(zhǔn)化組織在ISO 26262《道路車輛 功能安全》（Road vehicles—Functional safety）[2]的基礎(chǔ)上，于2015 年啟動了用于指導(dǎo)自動駕駛車輛非失效安全技術(shù)開發(fā)的ISO/PAS 21448《道路車輛 預(yù)期功能安全》（Road vehicles—Safety of the intended functionality）[3]的制定。在ISO 26262 中提出功能安全這個概念，其目的在于減少不合理危害事故的發(fā)生，且這些事故是由電子電氣系統(tǒng)故障導(dǎo)致的[4]，但如果設(shè)備沒有發(fā)生故障而僅僅是功能受限，那就不屬于功能安全的范疇。即使系統(tǒng)沒有發(fā)生故障，仍然會因?yàn)楫?dāng)前技術(shù)的局限性而導(dǎo)致不能被接受的危害。目前，人們的主要關(guān)注熱點(diǎn)是自動駕駛系統(tǒng)中的感知系統(tǒng)以及執(zhí)行系統(tǒng)可能存在的功能不足，各系統(tǒng)中算法的缺陷問題，人機(jī)交互界面操作失誤等安全問題，這些問題會給駕乘人員以及交通參與者帶來健康和財產(chǎn)威脅。

2020 年6 月，聯(lián)合國歐洲經(jīng)濟(jì)委員會（UNECE）頒布了第一個L2 級以上的《ALKS 車道自動保持系統(tǒng)條例》，是有關(guān)LKAS 的許可法規(guī)[5]。在該法規(guī)中明確指出LKAS 必須將功能安全標(biāo)準(zhǔn)放在第一位。因此，對功能安全問題進(jìn)行全面細(xì)致的研究，確保自動駕駛系統(tǒng)的設(shè)計(jì)符合預(yù)期功能安全的標(biāo)準(zhǔn)，是推動駕駛技術(shù)發(fā)展的關(guān)鍵一步。

1 SOTIF概述

預(yù)期功能安全（SOTIF）所強(qiáng)調(diào)的是把由于預(yù)期功能性能限制所造成的不合理風(fēng)險避免掉[6]?！肮δ苄阅芟拗啤币话惚憩F(xiàn)在三個方面：傳感器感知限制導(dǎo)致對駕駛場景的錯誤識別（包括對駕駛員誤操作的漏識別）；深度學(xué)習(xí)不足導(dǎo)致錯誤決策控制（包括對駕駛員誤操作的誤響應(yīng)）；執(zhí)行器功能限制導(dǎo)致與理想目標(biāo)偏離。SOTIF 解決問題的基本思路是：首先運(yùn)用安全分析方法將危險場景識別出來，然后根據(jù)危險場景制定應(yīng)對策略，再對此場景進(jìn)行仿真驗(yàn)證或?qū)嵻嚋y試，最后根據(jù)實(shí)驗(yàn)結(jié)果再次優(yōu)化。從源頭提升自動駕駛汽車安全水平，對自動駕駛技術(shù)的開發(fā)具有縮短測試?yán)锍?、?jié)省開發(fā)費(fèi)用、加快開發(fā)速度等重要的指導(dǎo)意義。對于高級駕駛輔助系統(tǒng)ADAS（Advanced Driving Assistance System, ADAS）[7]，安全性更為重要。對于很多車輛都具備的車道保持輔助系統(tǒng)（Lane Keeping Assist System, LKAS），在使用過程中仍然存在功能局限，且人性化、智能化水平不足，功能局限所帶來的不安全因素是應(yīng)在設(shè)計(jì)過程中避免的，以降低后期使用過程中故障發(fā)生的概率，提高可靠性，快速推進(jìn)自動駕駛技術(shù)的發(fā)展。

ISO/PAS 21448 在基于ISO 26262 的架構(gòu)設(shè)計(jì)中增加了與SOTIF 相關(guān)的危險識別與評估、識別和評估危險觸發(fā)事故、通過修改功能或限制改進(jìn)系統(tǒng)設(shè)計(jì)以降低SOTIF 風(fēng)險、SOTIF 驗(yàn)證和驗(yàn)證設(shè)計(jì)的充分性。并增加了場景的識別，ISO/PAS 21448 將場景分為4 個區(qū)域，分別是：已知安全場景1、已知不安全場景2、未知不安全場景3 和未知安全場景4[8]。由此可以看出，區(qū)域1 和4 是沒有風(fēng)險的，區(qū)域2 和3 有風(fēng)險，那么區(qū)域2 和3 是SOTIF 需要考慮的領(lǐng)域。要想有效避免風(fēng)險，對場景進(jìn)行識別和分類是首先要做的，將已知和未知的安全場景和觸發(fā)安全問題的場景確定出來。在SOTIF 的方法論中，主要目的是使區(qū)域1 盡量最大化，區(qū)域2 最小化，增大已知和未知安全場景，減少不必要的危害場景[9]。SOTIF 流程關(guān)于區(qū)域1、2、3 以及相關(guān)場景的目標(biāo)是：區(qū)域1 擴(kuò)大或維持不變，同時縮小區(qū)域2、3，這樣可以保持或提高安全性；區(qū)域2 有技術(shù)措施的區(qū)域被縮小到一個較小的可接受范圍，統(tǒng)計(jì)顯著性水平必須與技術(shù)措施的相對影響相一致。通過對潛在風(fēng)險的評估，在需要的時候要采取措施將危險情況轉(zhuǎn)移到區(qū)域1；區(qū)域3 盡可能地最小化當(dāng)前區(qū)域，縮小到可接受的范圍（每個檢測到的危險情況都轉(zhuǎn)移到區(qū)域2）。具體情景類別轉(zhuǎn)變?nèi)鐖D1所示。

圖1 ISO/PAS 21448 活動產(chǎn)生的情景類別的演變

圖2 展示了改進(jìn)預(yù)期功能以確保其安全的流程圖，該過程以5 功能和系統(tǒng)規(guī)范的定義為首，6 是將潛在的（包括預(yù)期功能可能存在的）危險事故識別出來。若證明危險事故未使系統(tǒng)發(fā)生危險，則無需改進(jìn)。如果被證明會引起危險，則7 對潛在危險觸發(fā)事故，如在某些環(huán)境條件下對某些物體的錯誤檢測或駕駛員的誤用進(jìn)行分析。6 和7 涉及SOTIF 的不同方面，6 僅考慮其對安全的影響，未將潛在風(fēng)險的原因考慮在內(nèi)，7 則是對潛在風(fēng)險進(jìn)行因果分析。所以說6 的目的是評估可能引起的危險事件并制定驗(yàn)證各確認(rèn)的目標(biāo)。8 是通過應(yīng)用用例改良或限制來降低由此產(chǎn)生的風(fēng)險，并通過9、10、11驗(yàn)證和確認(rèn)。9是運(yùn)用驗(yàn)證和確認(rèn)策略證明剩余風(fēng)險低于接受水平。在10、11的分析中導(dǎo)出對應(yīng)的驗(yàn)證和確定的測試用例。最后，12根據(jù)測試和驗(yàn)證的結(jié)果評估剩余風(fēng)險，如果風(fēng)險不可接受，則需要重復(fù)8，即對用例進(jìn)行進(jìn)一步的功能改進(jìn)或限制。此類驗(yàn)證和確認(rèn)策略可以包括模型在環(huán)（MIL）、軟件在環(huán)（SIL）、硬件在環(huán)（HIL）、測試跟蹤實(shí)驗(yàn)、專用分析、長期耐久性測試或其他方法[3]。該流程考慮的出現(xiàn)非預(yù)期行為的原因可能與傳感器性能、算法處理、觸發(fā)及其對正在開發(fā)的功能的實(shí)現(xiàn)緊密相關(guān)。因此，該流程適用于車輛、系統(tǒng)和部件級別。類似地，功能性整體系統(tǒng)架構(gòu)的選擇成為確保SOTIF的主要焦點(diǎn)，并為確保整體能力，在早期和整個功能開發(fā)生命周期中采取適當(dāng)?shù)男袆??？赏ㄟ^該流程進(jìn)行系統(tǒng)的設(shè)計(jì)、潛在危險的識別、功能的改進(jìn)和完善、風(fēng)險的降低等，提高車輛或系統(tǒng)的可靠性并降低失效風(fēng)險。

圖2 SOTIF流程圖

2 LKAS功能定義

LKAS 是高級駕駛輔助系統(tǒng)[10]的重要組成，它在危險情況下警告或幫助駕駛員避免事故。車道保持輔助系統(tǒng)是通過傳感器獲取車輛的位置信息、車道線信息以及車輛狀態(tài)信息，實(shí)時將車輛所在位置與車道線的位置進(jìn)行對比分析，當(dāng)車輛即將偏離或偏離車道線時，LKAS 會采取相關(guān)措施發(fā)出警告或糾正車輛的偏離運(yùn)動狀態(tài)。LKAS 屬于車輛主動安全系統(tǒng)，為車輛提供橫向輔助控制。

1）目標(biāo)。環(huán)境感知層、決策規(guī)劃層和控制執(zhí)行層組成了自動駕駛系統(tǒng)。車道保持輔助系統(tǒng)是自動駕駛系統(tǒng)的重要成員之一，也是實(shí)現(xiàn)全自動駕駛的關(guān)鍵要素。系統(tǒng)通過傳感器將車道線、車輛狀態(tài)等相關(guān)信息傳遞到控制中心，通過信息判斷車輛是否在目標(biāo)車道內(nèi)，若不在目標(biāo)車道內(nèi)，則由車道保持輔助系統(tǒng)發(fā)出指令主動控制車輛駛回原車道[11]。該系統(tǒng)是能夠主動檢測車輛橫向偏差并協(xié)調(diào)轉(zhuǎn)向系統(tǒng)控制的系統(tǒng)，可以實(shí)現(xiàn)車輛糾偏，提高駕駛安全性。車道保持輔助系統(tǒng)主要由信息采集單元、電子控制單元和執(zhí)行單元組成。LKAS的具體配置如表1所示。

表1 LKAS的具體配置

2）功能描述。信息采集單元由車輛傳感器組成，應(yīng)能夠在允許的使用范圍內(nèi)檢測道路目標(biāo)、交通標(biāo)識、可行駛區(qū)域的分割以及車輛狀態(tài)[12]。目標(biāo)檢測應(yīng)盡早完成，以便車輛能夠安全地執(zhí)行后續(xù)任務(wù)。攝像頭傳感器是目前車輛上不可或缺的感知部件并且是L3 等級以上常用的傳感器，通過時刻采集圖片，經(jīng)過分析得出障礙物以及車道線信息，并在自動駕駛系統(tǒng)上配備不同功能的感知傳感器。毫米波雷達(dá)可以穿透任何壞天氣，且能夠24 h 持續(xù)工作，具有這樣的優(yōu)點(diǎn)使其成為自動駕駛車輛上必備的主要傳感器。毫米波雷達(dá)的主要功用是實(shí)現(xiàn)車輛檢測障礙物和駕駛環(huán)境識別。毫米波雷達(dá)工作在毫米波段，它通過天線發(fā)射毫米波并接收反射的目標(biāo)信號，通過反射時間、毫米波頻率的變化及相位差可快速準(zhǔn)確地獲得車體與其他物體各種信息，然后由中央處理器（ECU）進(jìn)行信息處理和決策控制。方向盤轉(zhuǎn)角傳感器和橫縱向加速度傳感器是LKAS 對車輛狀態(tài)檢測的重要傳感器，可以感知車輛當(dāng)前是否處于加速狀態(tài)以及橫向穩(wěn)定性和當(dāng)前方向盤轉(zhuǎn)角的大小，從而便于控制指令的下發(fā)。感知系統(tǒng)的主要目標(biāo)是將所有傳感器測量值合并為周圍世界的一致表示。除了表示所有已知的障礙之外，感知系統(tǒng)還需要為許多用例提供未知的概念。感知系統(tǒng)使用來自路面的測量值和其他線索（如檢測到的障礙物的位置）來確定自由空間。由上述功能定義可知，當(dāng)LKAS 實(shí)現(xiàn)功能時，其過程可以描述為：信息采集單元采集車輛狀態(tài)以及駕駛環(huán)境信息，并將信息傳遞給電子控制單元，由控制單元進(jìn)行解析計(jì)算然后下發(fā)控制指令，由車輛的執(zhí)行單元實(shí)現(xiàn)車輛的轉(zhuǎn)向、制動、加速等運(yùn)動，如此循環(huán)，完成動態(tài)駕駛?cè)蝿?wù)[13]。電子控制單元是自動駕駛控制的關(guān)鍵部件，將傳感器或其他裝置的輸入信號接收后并將其進(jìn)行轉(zhuǎn)化，轉(zhuǎn)化為ECU 能夠接收的信號，然后ECU 發(fā)出指令控制執(zhí)行器?；谶@個功能定義，實(shí)現(xiàn)電子控制單元功能的過程描述為：電子控制單元根據(jù)信息采集單元所傳遞的信息，包括感知傳感器和車輛動態(tài)傳感器傳遞的信息，感知算法進(jìn)行解讀，獲得車輛的狀態(tài)信息以及駕駛環(huán)境和車道線信息，通過這些信息進(jìn)行決策規(guī)劃如何實(shí)施行動，并將決策規(guī)劃傳遞給控制算法，通過控制算法下發(fā)控制指令。執(zhí)行單元是車輛的基礎(chǔ)系統(tǒng)，包括傳動系統(tǒng)、轉(zhuǎn)向系統(tǒng)和制動系統(tǒng)，實(shí)現(xiàn)車輛的前進(jìn)、后退、轉(zhuǎn)向、加速、減速、制動等。執(zhí)行單元通過電子控制單元下發(fā)的控制指令實(shí)現(xiàn)對車輛的加速、轉(zhuǎn)向或制動控制。

3）可能的功能局限。感知系統(tǒng)中主要元件是攝像頭傳感器，通常安裝在前視擋風(fēng)玻璃上，從擋風(fēng)玻璃后面朝前設(shè)置。通過時刻提供圖像，記錄車道標(biāo)記，并且檢測車輛在車道上的位置。系統(tǒng)架構(gòu)可以使用單攝像機(jī)（單視）或雙攝像機(jī)（立體）。單視攝像機(jī)可以提供目標(biāo)檢測，但通常不支持可靠地確定到目標(biāo)的距離。立體攝像機(jī)可以更可靠地確定到物體的距離。典型相機(jī)限制的示例包括低能見度條件、低對比度、視野限制、缺少車道標(biāo)記或地標(biāo)。毫米波雷達(dá)可能存在的功能限制是在雨、霧、雨夾雪等高濕度環(huán)境下其功能會衰退，以及強(qiáng)大器件植入降低了毫米波雷達(dá)的探測范圍。與微波相比，對密集灌木叢的穿透力較低、能力較差。方向盤轉(zhuǎn)角傳感器一般是根據(jù)光電編碼來確定角度的，由于機(jī)械振動等原因，發(fā)射裝置或接收裝置可能會出現(xiàn)錯位或角度偏差，使接收裝置無法可靠地產(chǎn)生電信號，還會受到場所的各式各樣的電磁干擾，干擾光電檢測裝置，使光電檢測裝置的輸出波形失真，導(dǎo)致系統(tǒng)故障或引起生產(chǎn)事故。橫縱向加速度傳感器可能存在的功能限制是微機(jī)械式傳感器可能會隨著時間的增加而出現(xiàn)磨損、接觸不良、測量不準(zhǔn)確等問題。

3 基于SOTIF的LKAS架構(gòu)

系統(tǒng)設(shè)計(jì)時，應(yīng)將在功能和系統(tǒng)規(guī)范中列出的與預(yù)期功能安全相關(guān)的算法或元素的性能限制考慮進(jìn)去，并在需要時采取措施，以降低對整個系統(tǒng)的影響。具體而言，設(shè)計(jì)包括考慮系統(tǒng)限制，這些限制可能導(dǎo)致高置信度報告錯誤而影響子系統(tǒng)輸出值（設(shè)計(jì)可能忽略低置信度值），并可能導(dǎo)致未知危險行為的發(fā)生。限制的示例有錯誤的分類、測量、跟蹤、檢測、目標(biāo)選擇、運(yùn)動估計(jì)等。最后確定的系統(tǒng)架構(gòu)應(yīng)將單個組件、技術(shù)和系統(tǒng)的限制考慮進(jìn)來，從而保障系統(tǒng)的可靠性。將SOTIF 集成到功能和系統(tǒng)規(guī)范中，減小區(qū)域2 和區(qū)域3 的大小，提高整個系統(tǒng)的可靠性可以通過將區(qū)域1 的面積增大的方式。區(qū)域3 僅當(dāng)與原始系統(tǒng)設(shè)計(jì)相關(guān)的對策不完整或不適用于新用例時，測試才用于檢測新問題。在進(jìn)行設(shè)計(jì)的時候只有將這些系統(tǒng)和部件的限制考慮在內(nèi)，才能更好地提高系統(tǒng)的預(yù)期功能安全的能力。

基于LKAS 系統(tǒng)組成的功能限制，將感知系統(tǒng)中的組成增多，將攝像頭傳感器和毫米波雷達(dá)集成，彌補(bǔ)彼此的短處，并通過顯示裝置將控制模塊的具體工作狀態(tài)展示出來，即可及時關(guān)注LKAS 的控制狀態(tài)。并設(shè)置LKAS 功能開關(guān)，一旦出現(xiàn)問題可強(qiáng)制關(guān)閉LKAS，提高控制算法的可靠性，從而可以減少事故的發(fā)生。基于這些問題的考慮進(jìn)行LKAS架構(gòu)設(shè)計(jì)。

根據(jù)上述的功能定義、系統(tǒng)描述以及典型限制，并確保將SOTIF 考慮在內(nèi)，避免在使用過程中非預(yù)期功能限制的出現(xiàn)，增大已知或未知安全區(qū)域，從而優(yōu)化LKAS 的功能架構(gòu)，提高功能的可靠性以及魯棒性。具體架構(gòu)如圖3 所示。

圖3 LKAS架構(gòu)

4 結(jié)語

根據(jù)SOTIF 羅列并進(jìn)行考慮，并將可能存在的性能局限考慮在內(nèi)，從而將預(yù)期功能安全中的場景全面地考慮在內(nèi)，可以更有效地避免安全事故的發(fā)生，全面提升高級輔助駕駛系統(tǒng)的可靠性及安全性。