智能網(wǎng)聯(lián)汽車安全：上路還需標準“護航”

為推動我國智能網(wǎng)聯(lián)汽車預期功能安全（SOTIF）的研究，助力智能網(wǎng)聯(lián)汽車技術(shù)安全落地與應用，由清華大學牽頭，中國智能網(wǎng)聯(lián)汽車產(chǎn)業(yè)創(chuàng)新聯(lián)盟預期功能安全工作組成員單位協(xié)同編制的《智能網(wǎng)聯(lián)汽車預期功能安全前沿技術(shù)研究報告》（以下簡稱“研究報告”）于近期正式發(fā)布。研究報告聚焦了行業(yè)最新動態(tài)與前沿技術(shù)，分別對智能網(wǎng)聯(lián)汽車預期功能安全相關(guān)法規(guī)標準、技術(shù)、專利和場景庫研究現(xiàn)狀以及自動駕駛功能測試評價體系、典型ADAS系統(tǒng)的SOTIF研究現(xiàn)狀等方面進行了詳盡的調(diào)研、分析與總結(jié)。本報摘部分內(nèi)容刊登，以饗讀者。

◎? 清華大學? 國汽智聯(lián)

加快研究預期功能安全前沿技術(shù)

2020年2月底，國家發(fā)展和改革委員會等十一部門聯(lián)合印發(fā)《智能汽車創(chuàng)新發(fā)展戰(zhàn)略》，明確提出了建設中國標準智能汽車和實現(xiàn)智能汽車強國的戰(zhàn)略目標。隨著自動駕駛技術(shù)的發(fā)展與普及，其安全性越來越受到大眾的關(guān)注。2019年7月，德國寶馬聯(lián)合11家企業(yè)（寶馬、奧迪、戴姆勒、大眾、菲亞特—克斯萊勒、英特爾、英飛凌、安波福、大陸、HERE、百度），共同編寫《自動駕駛安全第一白皮書》，旨在促進自動駕駛汽車安全性研發(fā)。隨著自動駕駛系統(tǒng)功能架構(gòu)趨于完善，國際標準ISO26262覆蓋的故障性風險造成的功能安全問題分析已無法滿足高度復雜系統(tǒng)的安全性分析要求。在系統(tǒng)不發(fā)生故障的情況下引起的安全風險愈發(fā)受到重視，ISO/PAS21448將此類問題歸結(jié)為預期功能安全（Safety Of The Intended? Functionality，SOTIF），并給出了詳細定義。標準草案指出，進行預期功能安全活動的目標是確保不存在由于影響系統(tǒng)特定行為的性能局限或可合理預見的人為誤用所導致的不合理風險。

由于預期功能安全問題是目前自動駕駛汽車商業(yè)化發(fā)展的最大難題之一，工作組全體成員單位對預期功能安全前沿技術(shù)進行了廣泛調(diào)研分析，并協(xié)作撰寫了此報告，以期為我國進一步開展預期功能安全研究工作提供參考。

國內(nèi)外智能網(wǎng)聯(lián)汽車預期功能安全相關(guān)標準異同

自動駕駛汽車既是車輛又是駕駛?cè)耍罱K實現(xiàn)完全替代駕駛?cè)说臋C器自主駕駛，因此，必須同時擔負車輛和駕駛?cè)说母鞣N安全責任。

自動駕駛汽車預期功能安全主要體現(xiàn)在汽車行駛過程中，可避免自動駕駛系統(tǒng)及部件因功能不足或誤操作引起的交通安全問題，包括自動駕駛能力以及適用性和可靠性。

針對自動駕駛汽車預期功能安全，國內(nèi)外已有一些深入研究，并提出了具體要求。在此背景下，報告對國內(nèi)外智能網(wǎng)聯(lián)汽車預期功能安全相關(guān)標準進行了概述和分析，并梳理出預期功能安全相關(guān)標準的發(fā)展現(xiàn)狀及發(fā)展趨勢。

1. 國外智能網(wǎng)聯(lián)汽車預期功能安全相關(guān)標準

表1總結(jié)了當前國外智能網(wǎng)聯(lián)汽車預期功能安全相關(guān)標準情況。

國內(nèi)現(xiàn)有智能網(wǎng)聯(lián)汽車預期功能安全相關(guān)標準如表2所示。國內(nèi)目前針對預期功能安全的相關(guān)標準體系還不完善，以下將針對《智能網(wǎng)聯(lián)汽車道路測試管理規(guī)范（試行）》以及由我國提出的預期功能安全雙層接受準則提案（即將寫入道路車輛預期功能安全標準）進行闡述：

2018年4月，工業(yè)和信息化部、公安部、交通運輸部聯(lián)合發(fā)布《智能網(wǎng)聯(lián)汽車道路測試管理規(guī)范（試行）》?！豆芾硪?guī)范》主要針對在中國境內(nèi)公共道路上進行的高等級自動駕駛汽車上公共道路測試，從測試主體、駕駛?cè)思皽y試車輛、測試申請及審核、測試管理、交通違法和事故處理等多個方面進行規(guī)范。《管理規(guī)范》強調(diào)，自動駕駛汽車必須通過14項自動駕駛能力檢測項方可上公共道路測試。

2.預期功能安全雙層接受準則提案

中國代表團提出量化思想的預期功能安全雙層接受準則提案，寫入ISO/PAS21448標準草案，包括：

（1）第一層準則：判斷自動駕駛行為是否可能引發(fā)危害行為事件的度量，即危害行為事件接受準則。

（2）第二層準則：在全部行駛里程中，定義總的危害行為事件確認目標，即總體安全風險接受準則。

在工信部專項任務支持下（工裝函[2016]190號），集行業(yè)力量啟動可控性國家級研究項目，基于大規(guī)模測試建立可控性量化指標庫，準確性領先國際現(xiàn)有方法（經(jīng)驗和主觀評測），并不斷完善，GB17675、GB21670等標準首次寫入可控性量化要求。

在第一層接受準則的建設中首次提出了“SOTIF信心度”的度量，建立信心度指標體系，全面衡量自動駕駛安全行為。行業(yè)率先將大數(shù)據(jù)用于可控性研究，采集分析真實測試者“典型”和“極端”工況指標，大數(shù)據(jù)持續(xù)采集，不斷提升可控性指標的準確性和國情代表性。

第二層接受準則的建立。假定同等駕駛條件下，與人類駕駛?cè)说陌踩{駛能力指標相比，引入自動駕駛后相關(guān)指標不變低，則認為自動駕駛系統(tǒng)沒有帶來明顯的不合理風險水平，并基于以上兩個接受準則，提出了相應的測試方法實踐。

3. 智能網(wǎng)聯(lián)汽車預期功能安全標準的發(fā)展現(xiàn)狀及趨勢

ISO26262的第二次修訂已經(jīng)結(jié)束，以更嚴謹和結(jié)構(gòu)化的方式支持更復雜汽車電子系統(tǒng)。最近發(fā)布的ISO/PAS21448標準規(guī)定了用于分析、驗證和確認非故障情景的開發(fā)流程和系統(tǒng)用例。

《自動駕駛安全第一白皮書》將標準拓展至L3和L4應用。

上述標準相互補充，可主要用于定義自動駕駛系統(tǒng)的設計風險，使工程團隊設計出各種安全機制并增強自動駕駛系統(tǒng)的預期功能，以降低所識別的風險。

當前，ISO正組織國際主流車企及供應商開展國際標準道路車輛預期功能安全的研究和制定工作。中華人民共和國工業(yè)和信息化部于2018年發(fā)布了《國家車聯(lián)網(wǎng)產(chǎn)業(yè)標準體系建設指南（智能網(wǎng)聯(lián)汽車）》，以整體性強化頂層系統(tǒng)設計并促進智能網(wǎng)聯(lián)汽車行業(yè)的研究和發(fā)展。

另外，中國正在密集地制定新的法律規(guī)范（2020年前30項新標準，2025年前100項新標準）以適應中國的國情和國際實踐。我國在積極參與該國際標準制定的同時，將基于我國實際情況制定適合中國的道路車輛預期功能安全國家標準，進一步增強我國在國際標準制定中的話語權(quán)，同時提升我國自動駕駛汽車產(chǎn)業(yè)技術(shù)安全水平。

智能網(wǎng)聯(lián)汽車預期功能安全三大關(guān)鍵

預期功能安全是智能網(wǎng)聯(lián)汽車安全的重要組成部分，主要應對由于自動駕駛功能不足和可合理預見的人為誤用造成的危害問題?，F(xiàn)有關(guān)于智能網(wǎng)聯(lián)汽車預期功能安全的國際標準草案ISO/PAS21448規(guī)范和描述了一個基于迭代的系統(tǒng)分析流程，用于系統(tǒng)識別、分析、減少功能不足造成的危害。與此同時，國內(nèi)外科研機構(gòu)和汽車廠商對涉及智能網(wǎng)聯(lián)汽車關(guān)鍵系統(tǒng)的預期功能安全問題開展了研究。

1. 感知面臨的預期功能安全挑戰(zhàn)與發(fā)展方向

自動駕駛的關(guān)鍵技術(shù)主要包括感知（Perception）、決策（Planning）和控制（Control）三個方面，其中感知系統(tǒng)以多種傳感器捕獲的數(shù)據(jù)以及高清地圖的信息作為輸入，經(jīng)過一系列的計算和處理，來預估車輛的狀態(tài)和實現(xiàn)對車輛周圍環(huán)境的精確感知，可以為后續(xù)決策和控制系統(tǒng)提供必要的信息。然而，依賴復雜傳感器和算法工作的感知系統(tǒng)也是預期功能安全問題的重要來源。

2. 預測相關(guān)的預期功能安全技術(shù)

目前的環(huán)境預測技術(shù)仍然不能滿足自動駕駛對高精度、快速響應等的要求，因此，研究環(huán)境預測模型的不確定性估計方法對于解決預測技術(shù)的預期功能安全問題至關(guān)重要。目前，研究人員針對經(jīng)典的時間序列預測模型的不確定性估計已經(jīng)進行了廣泛的研究。

3. 決策相關(guān)的預期功能安全技術(shù)

基于豐富的車輛狀態(tài)、環(huán)境感知與預測信息，設計安全、高效的決策規(guī)劃算法是自動駕駛系統(tǒng)開發(fā)和安全行駛的關(guān)鍵，國內(nèi)外學者對自動駕駛決策算法展開了大量的研究。目前，自動駕駛決策主要分為兩類——基于規(guī)則的決策方法與基于人工智能的決策方法。

基于規(guī)則的決策方法主要包含基于碰撞檢測的離散輸入空間規(guī)劃和約束優(yōu)化與后視距控制等?，F(xiàn)階段基于規(guī)則的決策技術(shù)面臨因交通場景狀態(tài)緯度高、不確定性強等特點導致決策失效的挑戰(zhàn)。