智能網(wǎng)聯(lián)汽車安全：上路還需標(biāo)準(zhǔn)“護(hù)航”

為推動我國智能網(wǎng)聯(lián)汽車預(yù)期功能安全（SOTIF）的研究，助力智能網(wǎng)聯(lián)汽車技術(shù)安全落地與應(yīng)用，由清華大學(xué)牽頭，中國智能網(wǎng)聯(lián)汽車產(chǎn)業(yè)創(chuàng)新聯(lián)盟預(yù)期功能安全工作組成員單位協(xié)同編制的《智能網(wǎng)聯(lián)汽車預(yù)期功能安全前沿技術(shù)研究報告》（以下簡稱“研究報告”）于近期正式發(fā)布。研究報告聚焦了行業(yè)最新動態(tài)與前沿技術(shù)，分別對智能網(wǎng)聯(lián)汽車預(yù)期功能安全相關(guān)法規(guī)標(biāo)準(zhǔn)、技術(shù)、專利和場景庫研究現(xiàn)狀以及自動駕駛功能測試評價體系、典型ADAS系統(tǒng)的SOTIF研究現(xiàn)狀等方面進(jìn)行了詳盡的調(diào)研、分析與總結(jié)。本報摘部分內(nèi)容刊登，以饗讀者。

◎? 清華大學(xué)? 國汽智聯(lián)

加快研究預(yù)期功能安全前沿技術(shù)

2020年2月底，國家發(fā)展和改革委員會等十一部門聯(lián)合印發(fā)《智能汽車創(chuàng)新發(fā)展戰(zhàn)略》，明確提出了建設(shè)中國標(biāo)準(zhǔn)智能汽車和實現(xiàn)智能汽車強(qiáng)國的戰(zhàn)略目標(biāo)。隨著自動駕駛技術(shù)的發(fā)展與普及，其安全性越來越受到大眾的關(guān)注。2019年7月，德國寶馬聯(lián)合11家企業(yè)（寶馬、奧迪、戴姆勒、大眾、菲亞特—克斯萊勒、英特爾、英飛凌、安波福、大陸、HERE、百度），共同編寫《自動駕駛安全第一白皮書》，旨在促進(jìn)自動駕駛汽車安全性研發(fā)。隨著自動駕駛系統(tǒng)功能架構(gòu)趨于完善，國際標(biāo)準(zhǔn)ISO26262覆蓋的故障性風(fēng)險造成的功能安全問題分析已無法滿足高度復(fù)雜系統(tǒng)的安全性分析要求。在系統(tǒng)不發(fā)生故障的情況下引起的安全風(fēng)險愈發(fā)受到重視，ISO/PAS21448將此類問題歸結(jié)為預(yù)期功能安全（Safety Of The Intended? Functionality，SOTIF），并給出了詳細(xì)定義。標(biāo)準(zhǔn)草案指出，進(jìn)行預(yù)期功能安全活動的目標(biāo)是確保不存在由于影響系統(tǒng)特定行為的性能局限或可合理預(yù)見的人為誤用所導(dǎo)致的不合理風(fēng)險。

由于預(yù)期功能安全問題是目前自動駕駛汽車商業(yè)化發(fā)展的最大難題之一，工作組全體成員單位對預(yù)期功能安全前沿技術(shù)進(jìn)行了廣泛調(diào)研分析，并協(xié)作撰寫了此報告，以期為我國進(jìn)一步開展預(yù)期功能安全研究工作提供參考。

國內(nèi)外智能網(wǎng)聯(lián)汽車預(yù)期功能安全相關(guān)標(biāo)準(zhǔn)異同

自動駕駛汽車既是車輛又是駕駛?cè)耍罱K實現(xiàn)完全替代駕駛?cè)说臋C(jī)器自主駕駛，因此，必須同時擔(dān)負(fù)車輛和駕駛?cè)说母鞣N安全責(zé)任。

自動駕駛汽車預(yù)期功能安全主要體現(xiàn)在汽車行駛過程中，可避免自動駕駛系統(tǒng)及部件因功能不足或誤操作引起的交通安全問題，包括自動駕駛能力以及適用性和可靠性。

針對自動駕駛汽車預(yù)期功能安全，國內(nèi)外已有一些深入研究，并提出了具體要求。在此背景下，報告對國內(nèi)外智能網(wǎng)聯(lián)汽車預(yù)期功能安全相關(guān)標(biāo)準(zhǔn)進(jìn)行了概述和分析，并梳理出預(yù)期功能安全相關(guān)標(biāo)準(zhǔn)的發(fā)展現(xiàn)狀及發(fā)展趨勢。

1. 國外智能網(wǎng)聯(lián)汽車預(yù)期功能安全相關(guān)標(biāo)準(zhǔn)

表1總結(jié)了當(dāng)前國外智能網(wǎng)聯(lián)汽車預(yù)期功能安全相關(guān)標(biāo)準(zhǔn)情況。

國內(nèi)現(xiàn)有智能網(wǎng)聯(lián)汽車預(yù)期功能安全相關(guān)標(biāo)準(zhǔn)如表2所示。國內(nèi)目前針對預(yù)期功能安全的相關(guān)標(biāo)準(zhǔn)體系還不完善，以下將針對《智能網(wǎng)聯(lián)汽車道路測試管理規(guī)范（試行）》以及由我國提出的預(yù)期功能安全雙層接受準(zhǔn)則提案（即將寫入道路車輛預(yù)期功能安全標(biāo)準(zhǔn)）進(jìn)行闡述：

2018年4月，工業(yè)和信息化部、公安部、交通運(yùn)輸部聯(lián)合發(fā)布《智能網(wǎng)聯(lián)汽車道路測試管理規(guī)范（試行）》?！豆芾硪?guī)范》主要針對在中國境內(nèi)公共道路上進(jìn)行的高等級自動駕駛汽車上公共道路測試，從測試主體、駕駛?cè)思皽y試車輛、測試申請及審核、測試管理、交通違法和事故處理等多個方面進(jìn)行規(guī)范?！豆芾硪?guī)范》強(qiáng)調(diào)，自動駕駛汽車必須通過14項自動駕駛能力檢測項方可上公共道路測試。

2.預(yù)期功能安全雙層接受準(zhǔn)則提案

中國代表團(tuán)提出量化思想的預(yù)期功能安全雙層接受準(zhǔn)則提案，寫入ISO/PAS21448標(biāo)準(zhǔn)草案，包括：

（1）第一層準(zhǔn)則：判斷自動駕駛行為是否可能引發(fā)危害行為事件的度量，即危害行為事件接受準(zhǔn)則。

（2）第二層準(zhǔn)則：在全部行駛里程中，定義總的危害行為事件確認(rèn)目標(biāo)，即總體安全風(fēng)險接受準(zhǔn)則。

在工信部專項任務(wù)支持下（工裝函[2016]190號），集行業(yè)力量啟動可控性國家級研究項目，基于大規(guī)模測試建立可控性量化指標(biāo)庫，準(zhǔn)確性領(lǐng)先國際現(xiàn)有方法（經(jīng)驗和主觀評測），并不斷完善，GB17675、GB21670等標(biāo)準(zhǔn)首次寫入可控性量化要求。

在第一層接受準(zhǔn)則的建設(shè)中首次提出了“SOTIF信心度”的度量，建立信心度指標(biāo)體系，全面衡量自動駕駛安全行為。行業(yè)率先將大數(shù)據(jù)用于可控性研究，采集分析真實測試者“典型”和“極端”工況指標(biāo)，大數(shù)據(jù)持續(xù)采集，不斷提升可控性指標(biāo)的準(zhǔn)確性和國情代表性。

第二層接受準(zhǔn)則的建立。假定同等駕駛條件下，與人類駕駛?cè)说陌踩{駛能力指標(biāo)相比，引入自動駕駛后相關(guān)指標(biāo)不變低，則認(rèn)為自動駕駛系統(tǒng)沒有帶來明顯的不合理風(fēng)險水平，并基于以上兩個接受準(zhǔn)則，提出了相應(yīng)的測試方法實踐。

3. 智能網(wǎng)聯(lián)汽車預(yù)期功能安全標(biāo)準(zhǔn)的發(fā)展現(xiàn)狀及趨勢

ISO26262的第二次修訂已經(jīng)結(jié)束，以更嚴(yán)謹(jǐn)和結(jié)構(gòu)化的方式支持更復(fù)雜汽車電子系統(tǒng)。最近發(fā)布的ISO/PAS21448標(biāo)準(zhǔn)規(guī)定了用于分析、驗證和確認(rèn)非故障情景的開發(fā)流程和系統(tǒng)用例。

《自動駕駛安全第一白皮書》將標(biāo)準(zhǔn)拓展至L3和L4應(yīng)用。

上述標(biāo)準(zhǔn)相互補(bǔ)充，可主要用于定義自動駕駛系統(tǒng)的設(shè)計風(fēng)險，使工程團(tuán)隊設(shè)計出各種安全機(jī)制并增強(qiáng)自動駕駛系統(tǒng)的預(yù)期功能，以降低所識別的風(fēng)險。

當(dāng)前，ISO正組織國際主流車企及供應(yīng)商開展國際標(biāo)準(zhǔn)道路車輛預(yù)期功能安全的研究和制定工作。中華人民共和國工業(yè)和信息化部于2018年發(fā)布了《國家車聯(lián)網(wǎng)產(chǎn)業(yè)標(biāo)準(zhǔn)體系建設(shè)指南（智能網(wǎng)聯(lián)汽車）》，以整體性強(qiáng)化頂層系統(tǒng)設(shè)計并促進(jìn)智能網(wǎng)聯(lián)汽車行業(yè)的研究和發(fā)展。

另外，中國正在密集地制定新的法律規(guī)范（2020年前30項新標(biāo)準(zhǔn)，2025年前100項新標(biāo)準(zhǔn)）以適應(yīng)中國的國情和國際實踐。我國在積極參與該國際標(biāo)準(zhǔn)制定的同時，將基于我國實際情況制定適合中國的道路車輛預(yù)期功能安全國家標(biāo)準(zhǔn)，進(jìn)一步增強(qiáng)我國在國際標(biāo)準(zhǔn)制定中的話語權(quán)，同時提升我國自動駕駛汽車產(chǎn)業(yè)技術(shù)安全水平。

智能網(wǎng)聯(lián)汽車預(yù)期功能安全三大關(guān)鍵

預(yù)期功能安全是智能網(wǎng)聯(lián)汽車安全的重要組成部分，主要應(yīng)對由于自動駕駛功能不足和可合理預(yù)見的人為誤用造成的危害問題?，F(xiàn)有關(guān)于智能網(wǎng)聯(lián)汽車預(yù)期功能安全的國際標(biāo)準(zhǔn)草案ISO/PAS21448規(guī)范和描述了一個基于迭代的系統(tǒng)分析流程，用于系統(tǒng)識別、分析、減少功能不足造成的危害。與此同時，國內(nèi)外科研機(jī)構(gòu)和汽車廠商對涉及智能網(wǎng)聯(lián)汽車關(guān)鍵系統(tǒng)的預(yù)期功能安全問題開展了研究。

1. 感知面臨的預(yù)期功能安全挑戰(zhàn)與發(fā)展方向

自動駕駛的關(guān)鍵技術(shù)主要包括感知（Perception）、決策（Planning）和控制（Control）三個方面，其中感知系統(tǒng)以多種傳感器捕獲的數(shù)據(jù)以及高清地圖的信息作為輸入，經(jīng)過一系列的計算和處理，來預(yù)估車輛的狀態(tài)和實現(xiàn)對車輛周圍環(huán)境的精確感知，可以為后續(xù)決策和控制系統(tǒng)提供必要的信息。然而，依賴復(fù)雜傳感器和算法工作的感知系統(tǒng)也是預(yù)期功能安全問題的重要來源。

2. 預(yù)測相關(guān)的預(yù)期功能安全技術(shù)

目前的環(huán)境預(yù)測技術(shù)仍然不能滿足自動駕駛對高精度、快速響應(yīng)等的要求，因此，研究環(huán)境預(yù)測模型的不確定性估計方法對于解決預(yù)測技術(shù)的預(yù)期功能安全問題至關(guān)重要。目前，研究人員針對經(jīng)典的時間序列預(yù)測模型的不確定性估計已經(jīng)進(jìn)行了廣泛的研究。

3. 決策相關(guān)的預(yù)期功能安全技術(shù)

基于豐富的車輛狀態(tài)、環(huán)境感知與預(yù)測信息，設(shè)計安全、高效的決策規(guī)劃算法是自動駕駛系統(tǒng)開發(fā)和安全行駛的關(guān)鍵，國內(nèi)外學(xué)者對自動駕駛決策算法展開了大量的研究。目前，自動駕駛決策主要分為兩類——基于規(guī)則的決策方法與基于人工智能的決策方法。

基于規(guī)則的決策方法主要包含基于碰撞檢測的離散輸入空間規(guī)劃和約束優(yōu)化與后視距控制等?，F(xiàn)階段基于規(guī)則的決策技術(shù)面臨因交通場景狀態(tài)緯度高、不確定性強(qiáng)等特點導(dǎo)致決策失效的挑戰(zhàn)。