李波 尚世亮 郭夢(mèng)鴿 付越 童洪劍

（1.中國(guó)汽車技術(shù)研究中心有限公司，天津 300300；2.泛亞汽車技術(shù)中心有限公司，上海 201201；3.博世華域轉(zhuǎn)向系統(tǒng)有限公司，上海 201821）

主題詞：自動(dòng)駕駛 預(yù)期功能安全 接受準(zhǔn)則 安全度量 場(chǎng)景優(yōu)先度子集 測(cè)試評(píng)價(jià)

1 前言

多起因自動(dòng)駕駛汽車引發(fā)的致命交通事故表明，依靠傳統(tǒng)的以質(zhì)量保障（關(guān)注失效的預(yù)防和消除）為中心的車輛安全體系已經(jīng)不能滿足自動(dòng)駕駛車輛的安全保障需求，汽車工業(yè)領(lǐng)域亟需建立全新的自動(dòng)駕駛安全評(píng)判準(zhǔn)則體系。為此，國(guó)際標(biāo)準(zhǔn)化組織下設(shè)的功能安全工作組（ISO/TC22/SC32/WG8）于2018 年正式啟動(dòng)全球首個(gè)自動(dòng)駕駛安全國(guó)際標(biāo)準(zhǔn)ISO/PAS 21448《道路車輛預(yù)期功能安全》（Road Vehicles-Safety of The Intended Functionality）的制定工作，旨在為全球自動(dòng)駕駛車輛的安全開(kāi)發(fā)和測(cè)試評(píng)價(jià)提供技術(shù)指導(dǎo)。不同于ISO 26262《道路車輛功能安全》（對(duì)應(yīng)GB/T 34590）關(guān)注并解決的是電控系統(tǒng)故障導(dǎo)致的危害，ISO/PAS 21448《道路車輛預(yù)期功能安全》立足對(duì)自動(dòng)駕駛安全影響更廣泛的非故障安全領(lǐng)域，重點(diǎn)關(guān)注自動(dòng)駕駛系統(tǒng)的行為安全，解決因自身設(shè)計(jì)不足或性能局限在遇到一定觸發(fā)條件（如環(huán)境干擾或人員誤用）時(shí)導(dǎo)致的危害[1-2]。因此，功能安全（Functional Safety）和預(yù)期功能安全（Safety of the Intended Functionality，SOTIF）技術(shù)為確保自動(dòng)駕駛車輛在故障、非故障情況下的安全運(yùn)行提供了根本保障。

本文從我國(guó)國(guó)情出發(fā)，通過(guò)自動(dòng)駕駛預(yù)期功能安全分析和試驗(yàn)研究，提出了基于量化思想的自動(dòng)駕駛安全接受準(zhǔn)則，建立了自動(dòng)駕駛量化安全接受準(zhǔn)則體系以及基于SOTIF 場(chǎng)景用例庫(kù)優(yōu)先度子集的測(cè)試評(píng)價(jià)方法。中國(guó)提出的自動(dòng)駕駛預(yù)期功能安全接受準(zhǔn)則的定義方法和測(cè)試評(píng)價(jià)方法已成功寫入ISO 21448并作為主線貫穿全文，為后續(xù)基于更廣泛的中國(guó)目標(biāo)市場(chǎng)研究和測(cè)試，不斷完善接受準(zhǔn)則中的相關(guān)量化指標(biāo)，更好地指導(dǎo)以我國(guó)為目標(biāo)市場(chǎng)主體的自動(dòng)駕駛汽車功能安全和預(yù)期功能安全開(kāi)發(fā)、測(cè)試和評(píng)價(jià)工作奠定基礎(chǔ)。

2 自動(dòng)駕駛預(yù)期功能安全（SOTIF）接受準(zhǔn)則

2.1 自動(dòng)駕駛安全風(fēng)險(xiǎn)的新特點(diǎn)

與傳統(tǒng)車輛重點(diǎn)關(guān)注系統(tǒng)失效預(yù)防與減輕不同，自動(dòng)駕駛車輛因替代了人類駕駛員的部分或全部駕駛操作行為，更需要關(guān)注運(yùn)行過(guò)程中自身功能和性能的行為安全（即SOTIF），由于使用場(chǎng)景的復(fù)雜性和隨機(jī)性，自動(dòng)駕駛系統(tǒng)安全相關(guān)的很多問(wèn)題在設(shè)計(jì)階段無(wú)法預(yù)見(jiàn)。對(duì)自動(dòng)駕駛運(yùn)行場(chǎng)景進(jìn)行分類，如圖1 所示，從安全性和已知性角度，將車輛運(yùn)行場(chǎng)景分為已知安全場(chǎng)景、已知不安全場(chǎng)景、未知不安全場(chǎng)景和未知安全場(chǎng)景4個(gè)區(qū)域[3]。在開(kāi)發(fā)之初，區(qū)域2和區(qū)域3的比例可能較高，SOTIF 技術(shù)通過(guò)對(duì)已知場(chǎng)景及用例的評(píng)估，發(fā)現(xiàn)系統(tǒng)設(shè)計(jì)不足，將區(qū)域2轉(zhuǎn)化為區(qū)域1，并證明殘留區(qū)域2的風(fēng)險(xiǎn)足夠低；針對(duì)區(qū)域3，SOTIF技術(shù)基于真實(shí)使用場(chǎng)景測(cè)試、用例測(cè)試、隨機(jī)輸入測(cè)試等，發(fā)現(xiàn)系統(tǒng)設(shè)計(jì)不足，將區(qū)域3轉(zhuǎn)化為區(qū)域2，同時(shí)基于統(tǒng)計(jì)數(shù)據(jù)和測(cè)試結(jié)果，間接證明區(qū)域3已經(jīng)控制到合理可接受的水平。由此實(shí)現(xiàn)對(duì)已知和未知風(fēng)險(xiǎn)的合理控制，完成自動(dòng)駕駛車輛系統(tǒng)的安全提升和發(fā)布。

然而，汽車工業(yè)歷經(jīng)百年發(fā)展形成的“V模型”產(chǎn)品開(kāi)發(fā)體系的出發(fā)點(diǎn)仍是基于需求的定義和迭代開(kāi)發(fā)，而自動(dòng)駕駛系統(tǒng)安全風(fēng)險(xiǎn)的一個(gè)主要來(lái)源是未知不安全場(chǎng)景區(qū)域，對(duì)其無(wú)法定義需求，這也成為全球自動(dòng)駕駛安全開(kāi)發(fā)領(lǐng)域的痛點(diǎn)。

圖1 自動(dòng)駕駛運(yùn)行場(chǎng)景分類[1]

2.2 現(xiàn)有自動(dòng)駕駛安全評(píng)測(cè)方法和準(zhǔn)則

自動(dòng)駕駛安全性受環(huán)境和場(chǎng)景中的未知因素影響極大，難以準(zhǔn)確定義和模擬。為此，當(dāng)前對(duì)自動(dòng)駕駛產(chǎn)品的安全評(píng)測(cè)主要依賴于真實(shí)道路的里程累積測(cè)試，并將其結(jié)果作為安全發(fā)布的重要評(píng)判依據(jù)。但目前行業(yè)對(duì)自動(dòng)駕駛需開(kāi)展的道路驗(yàn)證總里程缺少統(tǒng)一定義方法，測(cè)試道路和場(chǎng)景的選取也缺少理論支撐，隨機(jī)性較大。

2020 年，通用汽車公司自動(dòng)駕駛系統(tǒng)“超級(jí)巡航”（Super Cruise）在中國(guó)上市，同時(shí)公布其實(shí)現(xiàn)了880×104km真實(shí)道路測(cè)試無(wú)事故[4]。同年，Waymo 公司宣布其自動(dòng)駕駛真實(shí)道路測(cè)試?yán)锍掏黄? 000 萬(wàn)英里（約合3 220×104km）[5]。近日，特斯拉公司公布其自動(dòng)駕駛系統(tǒng)（Autopilot）累計(jì)行駛里程已超過(guò)30 億英里（約合48.3×108km）[6]。自動(dòng)駕駛汽車開(kāi)發(fā)廠商競(jìng)相比較里程測(cè)試長(zhǎng)度，不斷推動(dòng)著資源投入和行業(yè)門檻的提高。

自動(dòng)駕駛系統(tǒng)取代人類駕駛員并真正走向大規(guī)模量產(chǎn)應(yīng)用的前提是確保安全，這已成為全球汽車行業(yè)和監(jiān)管機(jī)構(gòu)的共識(shí)，但除了不斷競(jìng)相推高的累積里程，行業(yè)更為亟需建立科學(xué)、合理的安全接受準(zhǔn)則。

2.3 基于量化思想的雙層安全接受準(zhǔn)則的建立

在ISO 21448 制定過(guò)程中，針對(duì)自動(dòng)駕駛預(yù)期功能安全的最終發(fā)布，中國(guó)提出了基于量化思想的預(yù)期功能安全雙層接受準(zhǔn)則。自動(dòng)駕駛系統(tǒng)運(yùn)行過(guò)程由一系列駕駛行為組成，如果相關(guān)行為不當(dāng)，將可能產(chǎn)生危害風(fēng)險(xiǎn)，最終導(dǎo)致事故發(fā)生。對(duì)于每個(gè)危害行為事件，可從其屬性出發(fā)，定義出定性或定量的安全度量準(zhǔn)則，這是判斷自動(dòng)駕駛系統(tǒng)行為是否可能引發(fā)危害事件的接受準(zhǔn)則，即第一層安全接受準(zhǔn)則。在全部累積行駛里程中，自動(dòng)駕駛系統(tǒng)可能產(chǎn)生不止一次危害行為事件，特別是里程越高，危害行為事件的數(shù)量及影響可能越大，自動(dòng)駕駛預(yù)期功能安全開(kāi)發(fā)的目的是將總風(fēng)險(xiǎn)控制在合理可接受的水平，為此，需定義總的確認(rèn)目標(biāo)，即總體安全風(fēng)險(xiǎn)的接受準(zhǔn)則，也就是第二層安全接受準(zhǔn)則。

圖2 給出了自動(dòng)駕駛預(yù)期功能安全雙層安全接受準(zhǔn)則的示例，自動(dòng)駕駛過(guò)程中存在多次主動(dòng)制動(dòng)行為，但可能存在因設(shè)計(jì)不足或性能局限導(dǎo)致的制動(dòng)危害，如感知系統(tǒng)誤識(shí)別等原因造成的過(guò)大制動(dòng)行為事件。以制動(dòng)行為為例，導(dǎo)致違背第一層安全接受準(zhǔn)則（如可控性和SOTIF信心度的安全度量指標(biāo)）的過(guò)大制動(dòng)危害行為事件將被記錄下來(lái)，在完成全部里程累積測(cè)試后（如20×104km），將違背第一層準(zhǔn)則的危害行為事件數(shù)量與第二層安全接受準(zhǔn)則進(jìn)行比較，如果總數(shù)不超過(guò)一定數(shù)量（例如2次），則認(rèn)為滿足總體的預(yù)期功能安全接受標(biāo)準(zhǔn)，以此作為自動(dòng)駕駛預(yù)期功能安全的最終發(fā)布準(zhǔn)則。

四是創(chuàng)新人才匱乏，人才結(jié)構(gòu)性矛盾突出。目前，東營(yíng)市擁有各類科技人員18.6萬(wàn)人，但大多數(shù)分布在油田、石油大學(xué)以及教育、衛(wèi)生系統(tǒng)，而企業(yè)自有一線研發(fā)人員不能充分滿足技術(shù)創(chuàng)新需要，具有特殊專業(yè)技能的高層次人才匱乏，科技創(chuàng)新后勁需進(jìn)一步加強(qiáng)。

圖2 自動(dòng)駕駛預(yù)期功能安全（SOTIF）的雙層安全接受準(zhǔn)則

3 第一層安全接受準(zhǔn)則的建立方法

第一層安全接受準(zhǔn)則，也就是危害行為事件接受準(zhǔn)則，即對(duì)自動(dòng)駕駛過(guò)程中危害行為事件的評(píng)價(jià)，包含定量準(zhǔn)則和定性準(zhǔn)則。其中，可控性指標(biāo)和SOTIF 信心度作為安全度量指標(biāo)，是定量準(zhǔn)則的重要組成部分。

3.1 可控性安全度量指標(biāo)

按照國(guó)家標(biāo)準(zhǔn)GB/T 34590《道路車輛功能安全》中給出的可控性的定義，即為確定一個(gè)給定危害的可控性等級(jí)，需要預(yù)估具有代表性的駕駛員或其他涉及人員為避免傷害發(fā)生而能對(duì)場(chǎng)景施加影響的可能性。這種可能性預(yù)估包括：如果給定的危害將要發(fā)生，具有代表性的駕駛員能夠保持或者重新控制車輛的可能性，或者在危害發(fā)生范圍內(nèi)的個(gè)體能夠通過(guò)他們的行動(dòng)避免危害的可能性。這種考量基于的假設(shè)為：危害場(chǎng)景中的個(gè)體為保持或者重新控制當(dāng)前情況采取必要的控制行為，以及所涉及的駕駛員采取有代表性的駕駛行為。可控性預(yù)估可能受到很多因素的影響，包括該目標(biāo)市場(chǎng)的駕駛員概況，如個(gè)體年齡、手眼配合、駕駛經(jīng)驗(yàn)、文化背景等。因此，可控性表征駕駛員、乘客或其他涉險(xiǎn)人員對(duì)車輛電控系統(tǒng)危害風(fēng)險(xiǎn)控制的難易程度，是衡量車輛行為是否構(gòu)成危害的關(guān)鍵指標(biāo)。

2015 年，中華人民共和國(guó)工業(yè)和信息化部下達(dá)了“整車及關(guān)鍵電控系統(tǒng)功能安全ASIL 等級(jí)及測(cè)試評(píng)價(jià)規(guī)范”研究任務(wù)，同年，中國(guó)首個(gè)道路車輛功能安全研究項(xiàng)目——車輛側(cè)向運(yùn)動(dòng)可控性研究啟動(dòng)。

該研究任務(wù)針對(duì)可控性的衡量對(duì)象，即車輛側(cè)向、縱向、垂向運(yùn)動(dòng)相關(guān)危害，開(kāi)展安全分析，結(jié)合測(cè)試結(jié)果及行業(yè)經(jīng)驗(yàn)，對(duì)整車危害進(jìn)行分類。通過(guò)分析車輛側(cè)向、縱向、垂向運(yùn)動(dòng)功能特點(diǎn)，定義危害發(fā)生的典型場(chǎng)景，并組織大量代表中國(guó)目標(biāo)市場(chǎng)的普通駕駛員開(kāi)展實(shí)車危害行為的評(píng)估測(cè)試，定義出表征中國(guó)典型駕駛員對(duì)車輛側(cè)向、縱向、垂向運(yùn)動(dòng)行為控制能力的客觀度量指標(biāo)。通過(guò)調(diào)整測(cè)試條件及被測(cè)人員響應(yīng)的及時(shí)性，兼顧傳統(tǒng)汽車、新能源汽車和自動(dòng)駕駛汽車相關(guān)控制系統(tǒng)，從整車側(cè)向、縱向、垂向3 個(gè)維度建立相關(guān)危害的可控性度量指標(biāo)，如圖3 所示，為判斷車輛行為是否構(gòu)成危害提供了合理的量化準(zhǔn)則，相關(guān)成果為自動(dòng)駕駛系統(tǒng)的正向設(shè)計(jì)開(kāi)發(fā)與測(cè)試評(píng)價(jià)，以及強(qiáng)制性國(guó)家標(biāo)準(zhǔn)和推薦性國(guó)家標(biāo)準(zhǔn)的落地實(shí)施提供了有效支撐，例如GB 17675《汽車轉(zhuǎn)向系基本要求》、GB 21670《乘用車制動(dòng)系統(tǒng)技術(shù)要求及試驗(yàn)方法》、GB/T《乘用車轉(zhuǎn)向系統(tǒng)功能安全要求及試驗(yàn)方法》（制定中）等。

圖3 可控性安全度量指標(biāo)體系

3.2 SOTIF信心度安全度量指標(biāo)

可控性衡量的是車輛行為的安全邊界，如車輛制動(dòng)減速度達(dá)到0.5g時(shí)，可能發(fā)生追尾事故。但自動(dòng)駕駛汽車如果發(fā)生了一次0.3g減速度的制動(dòng)，就可能造成乘員的緊張甚至恐慌。如果乘員對(duì)自動(dòng)駕駛汽車預(yù)期行為感到安全擔(dān)憂，將導(dǎo)致功能開(kāi)啟率低和誤干預(yù)等一系列問(wèn)題，對(duì)自動(dòng)駕駛的發(fā)展非常不利。為此，在現(xiàn)有安全和舒適評(píng)價(jià)維度基礎(chǔ)上，需建立針對(duì)自動(dòng)駕駛預(yù)期功能行為的“SOTIF信心度”評(píng)價(jià)指標(biāo)體系，如圖4所示，在已有可控性安全邊界基礎(chǔ)上，引入乘員對(duì)車輛行為的安全感受評(píng)價(jià)，以更加全面地評(píng)判自動(dòng)駕駛安全性[7]。

圖4 自動(dòng)駕駛安全、舒適和“SOTIF信心度”指標(biāo)體系

SOTIF信心度受人、車、環(huán)境等多因素影響，通過(guò)分析其影響因素，挑選典型場(chǎng)景，開(kāi)展實(shí)車主、客觀對(duì)標(biāo)測(cè)試，針對(duì)不同車輛行為的安全主觀評(píng)價(jià)結(jié)果開(kāi)展數(shù)據(jù)學(xué)習(xí)，找出可代表乘員信心度的客觀指標(biāo)，如圖5所示。

圖5 SOTIF信心度指標(biāo)建立方法

4 第二層安全接受準(zhǔn)則的建立方法

第二層安全接受準(zhǔn)則，也就是總體安全風(fēng)險(xiǎn)接受準(zhǔn)則，針對(duì)自動(dòng)駕駛汽車在真實(shí)道路累積全部行駛里程過(guò)程中的總體安全風(fēng)險(xiǎn)評(píng)價(jià)。同人類駕駛員一樣，面對(duì)各種場(chǎng)景，自動(dòng)駕駛系統(tǒng)也無(wú)法做到杜絕危害行為事件的發(fā)生。如果對(duì)比沒(méi)有自動(dòng)駕駛功能的人類駕駛安全表現(xiàn)，引入自動(dòng)駕駛功能后，安全風(fēng)險(xiǎn)沒(méi)有提高，則認(rèn)為自動(dòng)駕駛汽車的安全表現(xiàn)是可以接受的。基于這種理念，建立第二層接受準(zhǔn)則。

4.1 自動(dòng)駕駛危害行為事件的泊松分布規(guī)律

泊松分布適合描述單位時(shí)間（或空間）內(nèi)隨機(jī)事件發(fā)生的次數(shù)。根據(jù)ISO 21448，真實(shí)場(chǎng)景中自動(dòng)駕駛功能導(dǎo)致的危害行為事件數(shù)量也可以用泊松分布規(guī)律來(lái)描述。泊松分布的概率函數(shù)為：

式中，λ為單位里程（或單位時(shí)間）內(nèi)危害行為事件的平均發(fā)生次數(shù)；k為危害行為事件發(fā)生次數(shù)。

通過(guò)轉(zhuǎn)化，可得危害行為事件發(fā)生的平均里程或時(shí)間間隔（即無(wú)事故里程或時(shí)長(zhǎng)）為：

式中，α為置信度水平。

例如，當(dāng)無(wú)危害行為事件里程數(shù)達(dá)到100×104km時(shí)，具有99%置信度水平認(rèn)為該系統(tǒng)在同等駕駛場(chǎng)景中危害事故率能達(dá)到4.6×10-6次/km。

4.2 自動(dòng)駕駛總體安全風(fēng)險(xiǎn)接受準(zhǔn)則

對(duì)自動(dòng)駕駛系統(tǒng)總體安全水平的評(píng)估，應(yīng)考慮其是否帶來(lái)了不合理的安全風(fēng)險(xiǎn)，即與同等駕駛場(chǎng)景下人類駕駛員的安全駕駛能力指標(biāo)（如平均無(wú)事故里程）相比，引入自動(dòng)駕駛系統(tǒng)后，相關(guān)指標(biāo)不應(yīng)變差。因此，可以認(rèn)為如果自動(dòng)駕駛系統(tǒng)沒(méi)有帶來(lái)明顯的不合理風(fēng)險(xiǎn)，則其總體安全風(fēng)險(xiǎn)是可以接受的。

總體安全風(fēng)險(xiǎn)接受準(zhǔn)則的定義和確認(rèn)需要基于目標(biāo)市場(chǎng)情況，假設(shè)駕駛員安全水平較高的乘用車駕駛員平均每年行駛2×104km，每10年發(fā)生1次交通事故。以此作為目標(biāo)，選擇95%置信度，則τ≈60×104km。即為了證明在95%置信度下認(rèn)為自動(dòng)駕駛車輛事故率能達(dá)到上述駕駛員的駕駛安全水平，需要累積測(cè)試60×104km無(wú)危害事故。通過(guò)基于目標(biāo)市場(chǎng)的統(tǒng)計(jì)研究，可以得到危害行為事件的平均行駛里程，再考慮合理的設(shè)計(jì)余量，作為自動(dòng)駕駛總體安全風(fēng)險(xiǎn)的接受準(zhǔn)則。

4.3 自動(dòng)駕駛里程累積測(cè)試終止原則

在自動(dòng)駕駛里程累積測(cè)試過(guò)程中，通常會(huì)伴隨危害行為事件的出現(xiàn)，特別是隨著新功能、新設(shè)計(jì)的實(shí)施，發(fā)生危害行為事件的平均里程會(huì)出現(xiàn)先下降后逐步上升的情況，如圖6 所示，從統(tǒng)計(jì)規(guī)律定性描述了引入新功能后，由于該新功能應(yīng)對(duì)各種場(chǎng)景的能力較低，因此安全行駛里程相對(duì)較短，但通過(guò)預(yù)期功能安全的迭代開(kāi)發(fā)、功能改進(jìn)，危害事件發(fā)生率下降，從而無(wú)危害事件發(fā)生的安全平均行駛里程增加，也就是通過(guò)預(yù)期功能安全的迭代開(kāi)發(fā)，車輛發(fā)生危害事件的次數(shù)降低，安全行駛里程增加，安全能力得到提升。

圖6 自動(dòng)駕駛危害行為事件出現(xiàn)的平均里程

如果在達(dá)到累積測(cè)試?yán)锍棠繕?biāo)前出現(xiàn)了危害行為事件，修復(fù)后為了繼續(xù)確認(rèn)自動(dòng)駕駛系統(tǒng)是否可以滿足初始設(shè)定的安全目標(biāo)（相同危害行為事件發(fā)生率和置信度水平），后續(xù)測(cè)試?yán)锍虝?huì)比無(wú)危害行為事件發(fā)生時(shí)更長(zhǎng)[8]。假設(shè)在里程達(dá)到τ1時(shí)發(fā)生危害行為事件，當(dāng)?shù)倪M(jìn)后，驗(yàn)證達(dá)到同等置信度水平的危害行為事件發(fā)生率目標(biāo)λ所需要的里程s可由式（3）確定：

式中，λ0為危害事件發(fā)生率的目標(biāo)值；p為概率函數(shù)。

例如，定義危害行為事件發(fā)生率為λ=0.001 次/km，置信度水平α=99%，則發(fā)生j次危害行為事件后，需要補(bǔ)充測(cè)試的無(wú)危害行為事件里程如表1所示。

表1 自動(dòng)駕駛危害行為事件發(fā)生后的補(bǔ)充測(cè)試?yán)锍?/p>

5 基于場(chǎng)景優(yōu)先度子集的自動(dòng)駕駛預(yù)期功能安全測(cè)試評(píng)價(jià)方法

自動(dòng)駕駛的安全評(píng)價(jià)需要基于目標(biāo)市場(chǎng)場(chǎng)景，對(duì)于無(wú)事故里程，如果場(chǎng)景差異較大，其展現(xiàn)的安全水平也不相同。目前，自動(dòng)駕駛實(shí)際道路測(cè)試耗時(shí)久、成本高、針對(duì)性不強(qiáng)，為了提升自動(dòng)駕駛測(cè)試的時(shí)效性，更好地為量產(chǎn)開(kāi)發(fā)服務(wù)，對(duì)已知場(chǎng)景進(jìn)行分析和管理：如圖7所示，建立關(guān)鍵場(chǎng)景因素子集，將場(chǎng)景構(gòu)成因素按照敏感性、嚴(yán)重度、暴露頻次進(jìn)行評(píng)級(jí)，并據(jù)此生成優(yōu)先度順序，在同等投入下，提升自動(dòng)駕駛里程測(cè)試的時(shí)效性；同時(shí)，針對(duì)場(chǎng)景優(yōu)先度子集建立仿真測(cè)試，也可大幅提升自動(dòng)駕駛測(cè)試的效率，實(shí)現(xiàn)用更少的里程達(dá)到更好的驗(yàn)證效果；基于優(yōu)先度子集衍生出的未知用例，也可更快發(fā)現(xiàn)相關(guān)未知風(fēng)險(xiǎn)場(chǎng)景。該方法已作為中國(guó)提案，寫入國(guó)際標(biāo)準(zhǔn)ISO 21448草案中。

圖7 SOTIF場(chǎng)景優(yōu)先度子集的建立和應(yīng)用

6 結(jié)束語(yǔ)

科學(xué)、合理的自動(dòng)駕駛預(yù)期功能安全接受準(zhǔn)則和測(cè)試評(píng)價(jià)方法對(duì)于從源頭提升自動(dòng)駕駛汽車安全水平，避免競(jìng)相推高無(wú)止境的累積測(cè)試?yán)锍?、降低開(kāi)發(fā)成本、提高開(kāi)發(fā)效率具有重要的指導(dǎo)意義。本文從我國(guó)國(guó)情出發(fā)，通過(guò)自動(dòng)駕駛預(yù)期功能安全分析和試驗(yàn)研究，提出了基于量化思想的自動(dòng)駕駛預(yù)期功能安全（SOTIF）接受準(zhǔn)則，建立了自動(dòng)駕駛量化安全接受準(zhǔn)則體系以及基于SOTIF 場(chǎng)景用例庫(kù)優(yōu)先度子集的測(cè)試評(píng)價(jià)方法。后續(xù)，將基于更廣泛的中國(guó)目標(biāo)市場(chǎng)研究和測(cè)試，不斷完善安全接受準(zhǔn)則中的相關(guān)量化指標(biāo)，更好地指導(dǎo)以我國(guó)為目標(biāo)市場(chǎng)主體的自動(dòng)駕駛汽車功能安全和預(yù)期功能安全開(kāi)發(fā)、測(cè)試和評(píng)價(jià)工作。