尚世亮 崔海峰 郭夢鴿 楊春偉

（泛亞汽車技術(shù)中心有限公司,上海 201201）

主題詞：自動駕駛 安全 SOTIF 自動化測試

1 前言

目前，自動駕駛汽車的安全問題已成為汽車行業(yè)乃至全社會關(guān)注的熱點。相比傳統(tǒng)汽車，替代人類駕駛員工作的自動駕駛車輛系統(tǒng)，其安全風(fēng)險的主要來源已不再是系統(tǒng)故障，而是系統(tǒng)功能設(shè)計不足等導(dǎo)致的非失效風(fēng)險。為應(yīng)對這種變化，在ISO 26262[1]定義車輛電子電氣系統(tǒng)失效安全技術(shù)的基礎(chǔ)上，2015年起，國際標(biāo)準(zhǔn)化組織啟動了ISO PAS 21448預(yù)期功能安全(SOTIF)標(biāo)準(zhǔn)的制定，旨在指導(dǎo)自動駕駛車輛的非失效安全技術(shù)發(fā)展。SOTIF技術(shù)標(biāo)準(zhǔn)著重強調(diào)了在各種場景和輸入條件下，對自動駕駛車輛系統(tǒng)的驗證和確認(rèn)要求[2]。在實際開發(fā)中，如何將這些要求集成到現(xiàn)有開發(fā)測試體系中，同時兼顧效率、成本等因素，是汽車企業(yè)量產(chǎn)自動駕駛產(chǎn)品前必須解決的問題[3]。

2 SOTIF對驗證和確認(rèn)的要求

2.1 SOTIF技術(shù)特點

SOTIF是指不存在因預(yù)期功能的不足或合理可預(yù)見的人員誤用導(dǎo)致的整車不合理風(fēng)險。通常車輛系統(tǒng)開發(fā)會基于運行場景的假設(shè)，從安全性和已知性角度將運行場景分為已知安全場景、已知不安全場景、未知不安全場景和未知安全場景4個區(qū)域，如圖1所示。

圖1 自動駕駛運行場景分類[2]

由于自動駕駛車輛運行場景的復(fù)雜性，在開發(fā)之初，圖1中區(qū)域2和區(qū)域3的比例可能較高，而SOTIF技術(shù)通過對已知場景及用例的評估，可發(fā)現(xiàn)系統(tǒng)設(shè)計不足，可將區(qū)域2轉(zhuǎn)化為區(qū)域1，并證明殘留區(qū)域2的風(fēng)險足夠低；對于未知不安全場景（區(qū)域3），SOTIF技術(shù)基于真實使用場景及用例測試、隨機輸入測試等，可將發(fā)現(xiàn)的設(shè)計不足轉(zhuǎn)化為區(qū)域2，同時基于統(tǒng)計數(shù)據(jù)和測試結(jié)果，間接證明區(qū)域3已經(jīng)控制到一個合理可接受的水平。由此可實現(xiàn)對已知和未知風(fēng)險的合理控制，完成自動駕駛車輛系統(tǒng)的安全發(fā)布。

2.2 SOTIF驗證和確認(rèn)的要求

SOTIF的驗證和確認(rèn)過程主要是對區(qū)域2和區(qū)域3的探測和轉(zhuǎn)化過程。為此，SOTIF標(biāo)準(zhǔn)分別針對自動駕駛系統(tǒng)的傳感器、控制器、執(zhí)行器以及集成后的系統(tǒng)和車輛提出了驗證和確認(rèn)要求。相比于傳統(tǒng)車輛電子電氣系統(tǒng)的驗證和確認(rèn)手段，增加了典型的SOTIF驗證和確認(rèn)方法，如表1所列。

表1 SOTIF典型驗證和確認(rèn)方法示例

表1說明：

a.SOTIF標(biāo)準(zhǔn)強調(diào)整車測試和在環(huán)測試并重。這是因為在自動駕駛車輛系統(tǒng)的驗證和確認(rèn)過程中，對于區(qū)域2需要進行大量已知輸入和場景組合的測試，依靠在環(huán)測試能顯著提升測試效率；而對于區(qū)域3中未知輸入、未知場景及駕駛員交互影響等，依靠整車測試更易實現(xiàn)，準(zhǔn)確性更高。

b.SOTIF標(biāo)準(zhǔn)強調(diào)測試的全面性。這是因為自動駕駛車輛系統(tǒng)的測試要確保充分覆蓋已知工況和條件，以將區(qū)域2減小到可接受的程度，這需建立大量的測試案例。

c.SOTIF標(biāo)準(zhǔn)強調(diào)測試的多樣性。這是因為自動駕駛車輛系統(tǒng)的測試需要考慮比傳統(tǒng)汽車更為復(fù)雜的內(nèi)外部影響因素及其組合，包含噪聲、故障注入、隨機性測試等，以此充分覆蓋組件和系統(tǒng)的運行工況，找出潛在的功能設(shè)計不足。

SOTIF標(biāo)準(zhǔn)要求的測試條目數(shù)量眾多，并且有相當(dāng)大一部分是運行條件和接口輸入的覆蓋性測試，依靠人工測試難以滿足當(dāng)前汽車行業(yè)迭代開發(fā)的時間需求。為此，必須建立自動化測試系統(tǒng)。

3 自動化測試系統(tǒng)方案

3.1 自動化測試系統(tǒng)需求分析

自動化測試是通過計算機程序及設(shè)備，替代人工完成相關(guān)測試工作[4-5]，為滿足SOTIF標(biāo)準(zhǔn)對測試提出的新要求，需要建立新的自動化測試系統(tǒng)。表2為SOTIF測試的需求、自動化測試系統(tǒng)應(yīng)具備的功能及潛在的解決方案。

表2 滿足SOTIF測試需要的自動化測試系統(tǒng)方案

3.2 自動化測試系統(tǒng)方案

根據(jù)表2建立的自動化測試系統(tǒng)如圖2所示。該系統(tǒng)實現(xiàn)了從測試案例建立到測試腳本的自動轉(zhuǎn)化，并基于上位機自動化測試系統(tǒng)軟件程序和硬件測試設(shè)備，實現(xiàn)了實車和硬件在環(huán)測試平臺上的測試自動執(zhí)行，以及測試結(jié)果的自動判斷和報告的自動生成。

圖2 自動化測試系統(tǒng)

相比于傳統(tǒng)自動化測試系統(tǒng)，該測試系統(tǒng)具有如下優(yōu)勢：

a.實現(xiàn)了一個系統(tǒng)同時支持實車和在環(huán)測試。傳統(tǒng)自動化測試系統(tǒng)大多基于在環(huán)測試平臺實現(xiàn)。為了滿足SOTIF測試的要求，該系統(tǒng)選用dSPACE公司的MicroAutoBox作為系統(tǒng)載體，其便攜性和豐富的接口特點，一方面可實現(xiàn)與在環(huán)測試平臺的對接，同時也可以方便地連接到實車待測系統(tǒng)上開展實車測試，另外配合AutomationDesk等工程軟件可實現(xiàn)自動化測試。

b.實現(xiàn)了測試案例的自動轉(zhuǎn)化。為實現(xiàn)自動化測試，首先需要將測試案例轉(zhuǎn)化為計算機可自動執(zhí)行的測試腳本程序。傳統(tǒng)自動化測試系統(tǒng)需要預(yù)先針對每條測試案例編寫測試腳本文件，一旦測試案例發(fā)生更改就需要更新測試腳本，其效率低，不能滿足SOTIF測試的需要。dSAPCE公司的AutomationDesk軟件采用框架化的測試腳本結(jié)構(gòu)，實現(xiàn)了相似測試案例共用測試腳本?；谠撥浖M行了二次開發(fā)，如圖3所示，以Excel宏文件的形式將測試案例參數(shù)化，通過宏將相關(guān)參數(shù)及控制指令與AutomationDesk軟件中建立的腳本框架及軟件指令相關(guān)聯(lián)，實現(xiàn)了只要完成測試案例的Excel文本輸入，即實現(xiàn)測試腳本的自動生成，大大提升了自動化測試效率，并且通過掃頻函數(shù)實現(xiàn)了測試案例在取值范圍內(nèi)自動取值，滿足了SOTIF標(biāo)準(zhǔn)的全面性要求。

圖3 測試案例自動轉(zhuǎn)化過程

c. 支持對CAN總線信號、弱電信號、強電信號等多種類型的測試。CAN總線信號、傳感器信號等弱電信號是自動駕駛車輛系統(tǒng)的重要接口，而供電是系統(tǒng)運行的重要環(huán)境因素。如圖4所示，通過開發(fā)電氣信號注入模塊(FIU)，結(jié)合MicroAutoBox和大功率程控電源，可實現(xiàn)對這些輸入的多種模擬測試。同時，配合上位機AutomationDesk程序，實現(xiàn)跨類型接口的自動化測試。

圖4 支持多類型測試的系統(tǒng)硬件方案

4 自動化測試示例

4.1 自動化硬件在環(huán)測試

基于某硬件在環(huán)測試平臺，針對自動駕駛車輛系統(tǒng)及其組件開展自動化測試，如圖5所示。測試過程中可通過上方窗口觀察車輛參數(shù)和運動狀態(tài)，通過下方窗口觀察自動化測試進程和測試結(jié)果。

圖5 自動化硬件在環(huán)測試

基于硬件在環(huán)測試平臺的模擬環(huán)境條件，自動化測試系統(tǒng)實現(xiàn)了對真實系統(tǒng)CAN總線信號值及通信保護位的自主定義、對傳感器輸入信號波形和系統(tǒng)供電電壓的自主控制，如圖6所示，由此實現(xiàn)了針對系統(tǒng)接口的全面化、自動化測試。

圖6 可測試的系統(tǒng)接口類型

4.2 自動化實車測試

實車測試時，由于車輛系統(tǒng)處于真實環(huán)境中，相關(guān)場景和車輛運行狀態(tài)不受程序控制。為進行自動化測試，可通過程序中增加預(yù)設(shè)條件等方法實現(xiàn)，如，當(dāng)轉(zhuǎn)向盤轉(zhuǎn)角為60°時，自動觸發(fā)測試程序并判斷結(jié)果。

以車道保持功能(LKA)的SOTIF測試為例。該功能通過攝像頭探測車道線位置，由LKA控制單元決策和發(fā)送轉(zhuǎn)向扭矩指令給車輛電動助力轉(zhuǎn)向系統(tǒng)(EPS)，實現(xiàn)對車道偏離的糾正。為保證LKA具有足夠的偏離糾正能力，需要LKA發(fā)給EPS的轉(zhuǎn)向扭矩指令盡可能大；但同時為確保LKA的安全性，特別是考慮LKA控制單元對車道偏離的判斷可能不準(zhǔn)確時，此時LKA發(fā)給EPS的轉(zhuǎn)向扭矩指令將會對車輛的正常駕駛造成干擾，所以LKA的轉(zhuǎn)向扭矩應(yīng)處于駕駛員可控的合理范圍內(nèi)，不應(yīng)過大。為平衡這種矛盾，建立了典型的彎道工況測試場景，如圖7所示，以驗證合適的LKA轉(zhuǎn)向扭矩指令門限值。

圖7 自動化實車測試場景

測試時，駕駛員進行正常轉(zhuǎn)彎操作，由測試系統(tǒng)通過CAN總線按一定步長（1 N·m）向EPS系統(tǒng)自動注入反向的LKA轉(zhuǎn)向扭矩指令（模擬非預(yù)期的LKA功能），然后監(jiān)測車輛轉(zhuǎn)向盤扭矩表現(xiàn)，以駕駛員能將車輛繼續(xù)保持在車道線內(nèi)行駛為安全上限，如圖8所示。

圖8 LKA功能實車測試曲線

測試結(jié)果如表3所示。測試過程中，駕駛員為抵消反向LKA扭矩完成轉(zhuǎn)彎操作，需要施加的轉(zhuǎn)向力矩不斷增大。當(dāng)LKA扭矩達到4 N·m時，駕駛員仍可將車輛控制在車道線內(nèi)（此時施加的手力矩達到17.88 N·m）；當(dāng)LKA扭矩達到5 N·m時車輛會偏出車道線。為此，選取最大安全扭矩值4 N·m作為LKA功能的扭矩上限。通過該測試也驗證了該扭矩上限的安全性。

表3 LKA轉(zhuǎn)向扭矩指令測試結(jié)果

5 結(jié)束語

SOTIF作為首個自動駕駛汽車安全技術(shù)標(biāo)準(zhǔn)，強調(diào)了驗證和確認(rèn)工作對發(fā)現(xiàn)系統(tǒng)設(shè)計不足、提升產(chǎn)品安全水平的重要作用。為了滿足SOTIF開發(fā)的需要，同時提升驗證和確認(rèn)環(huán)節(jié)的迭代效率，開發(fā)了一種自動化測試系統(tǒng)。該系統(tǒng)不僅能同時支持實車和在環(huán)測試，而且可以實現(xiàn)測試案例的快速建立和自動轉(zhuǎn)化，并支持多種類型的測試，滿足了SOTIF標(biāo)準(zhǔn)對測試的新要求。