文/王瀟屹 李俊成 劉建泉

港城運(yùn)輸是自動駕駛的應(yīng)用落地場景之一，具有切實(shí)的市場需求和巨大的經(jīng)濟(jì)效益。港城自動駕駛因特殊的地理位置、作業(yè)狀況（如集裝箱堆積、團(tuán)霧、橫風(fēng)）和智能重型卡車（以下簡稱“重卡”）的特點(diǎn)（如總質(zhì)量大且質(zhì)量變化范圍大），會觸發(fā)一些特定的安全問題。因此，本文采用《道路車輛預(yù)期功能安全》ISO 21448：2022中的方法論，從預(yù)期功能安全（SOTIF）的角度出發(fā)，研究港城運(yùn)輸場景下智能重卡特有的安全問題，并提出測試和評價(jià)方法，助力企業(yè)通過測試，更全面、高效地發(fā)現(xiàn)自動駕駛系統(tǒng)的不足，指導(dǎo)企業(yè)提出改進(jìn)措施。

一、港城運(yùn)輸場景下的智能重卡SOTIF測試評估方案設(shè)計(jì)思路

自動駕駛汽車的安全性與其自動駕駛等級、自動駕駛功能、設(shè)計(jì)運(yùn)行條件（ODC）密切相關(guān)。本文研究的智能重卡搭載了L3級別的自動駕駛功能，具備在設(shè)計(jì)運(yùn)行域（ODD）范圍內(nèi)完成車道保持、行駛時(shí)躲避障礙物、自動超車等功能，當(dāng)駕駛員提出接管請求時(shí)，會移交控制權(quán)。ODD主要為天氣狀態(tài)良好下的港城大橋、部分港內(nèi)道路等。

根據(jù)ISO 21448：2022中的方法論，引發(fā)自動駕駛SOTIF問題有3個(gè)重要因素：觸發(fā)條件（包含自動駕駛各系統(tǒng)存在的功能不足、性能局限和人為誤用）；引發(fā)安全問題的特定場景；一旦發(fā)生危害事件是否可控（見圖1）。

圖1 SOTIF相關(guān)的危害事件模型

從圖1中可以看出，解決自動駕駛汽車SOTIF可以從這3個(gè)引發(fā)安全問題的因素入手。本文所提出的智能重卡SOTIF測試評估方案（見圖2），通過耦合特定的測試場景和觸發(fā)條件，有針對性地設(shè)計(jì)測試用例并執(zhí)行相應(yīng)測試，最終通過選定的評價(jià)指標(biāo)對測試結(jié)果進(jìn)行評價(jià)，找出上述3個(gè)因素中切實(shí)引起問題的原因，從而對自動駕駛的設(shè)計(jì)提出改進(jìn)措施。

圖2 智能重卡SOTIF測試評估流程

二、測試方案設(shè)計(jì)

由于本次研究暫未考慮車輛與人的交互，故在進(jìn)行測試需求分析和測試用例設(shè)計(jì)時(shí)，著重考慮對觸發(fā)條件的分析和測試場景的研究。

1.觸發(fā)條件分析

觸發(fā)條件是場景中的特定條件，這些條件引發(fā)了系統(tǒng)的后續(xù)反應(yīng)，促成了危害行為或無法防止、探測和減輕合理可預(yù)見的間接誤用。因此，觸發(fā)條件和應(yīng)用場景、自動駕駛的特定功能、組成自動駕駛系統(tǒng)的部件和整個(gè)系統(tǒng)的功能和性能局限高度相關(guān)。本文從兩個(gè)方面來研究港城運(yùn)輸場景下智能重卡的觸發(fā)條件。

① 基于智能重卡搭載的感知、決策和執(zhí)行系統(tǒng)已知的性能局限

基于智能重卡搭載的感知、決策和執(zhí)行系統(tǒng)已知的性能局限，本文推導(dǎo)出可能導(dǎo)致的危害行為場景的通用觸發(fā)條件（見表1）。

表1 部分感知系統(tǒng)的性能局限

如在雨雪天氣狀態(tài)下感知系統(tǒng)中的雷達(dá)性能會下降，攝像頭會由于太陽眩光看不清；決策系統(tǒng)由于機(jī)器學(xué)習(xí)不足，導(dǎo)致情況誤判；執(zhí)行機(jī)構(gòu)如制動系統(tǒng)的最大可用制動壓力存在上限值，導(dǎo)致當(dāng)汽車總質(zhì)量過大時(shí)，無法在一定的距離內(nèi)制動并停車等。

② 基于港城運(yùn)輸特有的運(yùn)行環(huán)境

基于港城運(yùn)輸特有的運(yùn)行環(huán)境，本文推導(dǎo)可能對感知、決策和執(zhí)行系統(tǒng)的影響范圍，從而獲得可能導(dǎo)致危害行為場景的觸發(fā)條件（見表2）。

表2 基于特定環(huán)境推導(dǎo)出部分觸發(fā)條件

2.測試場景選取

在進(jìn)行測試用例基礎(chǔ)場景選取時(shí)，考慮干線物流常規(guī)道路條件、港城運(yùn)輸特有道路條件和交通參與者的交互情況，本文結(jié)合中國智能網(wǎng)聯(lián)汽車產(chǎn)業(yè)創(chuàng)新聯(lián)盟SOTIF工作組提出的自動駕駛SOTIF研究的7層場景庫架構(gòu)[1]，進(jìn)行測試場景關(guān)鍵要素的提?。ㄒ妶D3）。

圖3 港城運(yùn)輸特有的部分道路場景

3.測試用例構(gòu)建

如圖2所示，測試用例構(gòu)建的基本要素包括觸發(fā)條件和測試場景。在測試用例的設(shè)計(jì)時(shí)，考慮到測試數(shù)量對于待驗(yàn)證目標(biāo)的覆蓋率和對未知不安全的場景的挖掘，本文結(jié)合模擬仿真測試可對場景參數(shù)值進(jìn)行大量泛化的優(yōu)勢，進(jìn)行測試用例的構(gòu)建（見圖4）。

圖4 通過場景參數(shù)泛化生成覆蓋率更全面的測試用例示例

三、測試執(zhí)行

圍繞所設(shè)計(jì)的SOTIF測試用例，本文采用模擬仿真、封閉場地和實(shí)際道路測試等方法對智能重卡的SOTIF進(jìn)行測試。3種測試方法的優(yōu)缺點(diǎn)見表3。

表3 SOTIF測試方法對比[2]

模擬仿真、封閉場地和實(shí)際道路3種測試方法各有側(cè)重?；谀M仿真測試低成本、高效率和高覆蓋度的優(yōu)勢，大部分的SOTIF測試用例通過模擬仿真測試開展，進(jìn)而對智能重卡的SOTIF特性進(jìn)行全面性的評估，識別盡可能多的已知不安全場景，并推斷未知不安全場景。模擬仿真測試中無法可信模擬的SOTIF場景及其所識別的不安全場景，可通過封閉場地進(jìn)行進(jìn)一步測試，結(jié)合模擬仿真測試結(jié)果，形成更為全面且可信的測試結(jié)果。實(shí)際道路測試重點(diǎn)關(guān)注關(guān)鍵觸發(fā)條件的覆蓋度，通過測試路段的選擇、測試?yán)锍毯蜏y試時(shí)長的制定，開展相應(yīng)的測試工作，通過真實(shí)交通場景下的測試，評估待測車輛的SOTIF，并可反饋補(bǔ)充所設(shè)計(jì)的SOTIF測試用例。

四、測試評價(jià)

對于SOTIF測試結(jié)果，本文從碰撞風(fēng)險(xiǎn)、碰撞是否發(fā)生和碰撞嚴(yán)重程度等維度出發(fā)，通過如表4所列碰撞時(shí)間、潛在碰撞嚴(yán)重指數(shù)、潛在碰撞時(shí)長、最小安全距離因子、制動安全閾值和碰撞指標(biāo)等指標(biāo)，對智能重卡在特定場景下所發(fā)生危害事件的嚴(yán)重度和可控性進(jìn)行評價(jià)。針對存在不合理風(fēng)險(xiǎn)的測試結(jié)果，筆者需進(jìn)一步分析其是否滿足智能重卡在對應(yīng)場景下的殘余風(fēng)險(xiǎn)接收準(zhǔn)則。根據(jù)ISO 21448：2022建議，殘余風(fēng)險(xiǎn)接收準(zhǔn)則可通過風(fēng)險(xiǎn)容忍原則、正向風(fēng)險(xiǎn)平衡原則、風(fēng)險(xiǎn)可接受（ALARP）原則或最小內(nèi)源性死亡率原則中的一種或多種綜合考慮得到。對于不能接受的殘余風(fēng)險(xiǎn)，可通過減少觸發(fā)條件、合理定義ODC以及增加可控性措施等方法進(jìn)行設(shè)計(jì)改進(jìn)。

表4 SOTIF測試評價(jià)指標(biāo)

五、結(jié)語

本文基于SOTIF的方法論，研究了港城運(yùn)輸場景下可能引起智能重卡潛在安全問題的觸發(fā)條件，并結(jié)合實(shí)際駕駛場景，提出了測試用例的設(shè)計(jì)方法。在考慮了測試用例的可復(fù)現(xiàn)性、可執(zhí)行性和對安全目標(biāo)覆蓋度等因素，本文結(jié)合模擬仿真、封閉場地和實(shí)際道路的測試特點(diǎn)，提出了測試執(zhí)行環(huán)境的分配原則，并選取了測試評價(jià)指標(biāo)，形成測試評價(jià)方法，目的是助力企業(yè)通過測試，更全面、更高效地發(fā)現(xiàn)自動駕駛系統(tǒng)的不足，指導(dǎo)企業(yè)改進(jìn)，使自動駕駛智能重卡在港城運(yùn)輸場景下更好更快地落地應(yīng)用。