前言

上一篇簡(jiǎn)要從SEC等參數(shù)初步探討了SOTIF validation target定義的方法論，對(duì)于如何在實(shí)踐中落地，ISO21448附錄C中給出了AEB功能的示例。

本文將結(jié)合標(biāo)準(zhǔn)與自己的理解，說(shuō)明如何根據(jù)公開(kāi)交通事故統(tǒng)計(jì)數(shù)據(jù)確定驗(yàn)證AEB false positive的minimum validation distance。

總體思路

本文主要分四個(gè)步驟進(jìn)行介紹：

1.識(shí)別由功能不足引起的危害事件：進(jìn)行SOTIF HARA分析，初步識(shí)別SOTIF的危害事件；

2.危害事件建模與評(píng)估：對(duì)危害場(chǎng)景進(jìn)行抽象建模，并應(yīng)用仿真方式對(duì)場(chǎng)景復(fù)現(xiàn)得到關(guān)鍵參數(shù)；

3.分析事故數(shù)據(jù)：通過(guò)應(yīng)用市場(chǎng)公開(kāi)的事故統(tǒng)計(jì)數(shù)據(jù)分析得出可接受準(zhǔn)則；

4.定義測(cè)試場(chǎng)景：結(jié)合功能使用場(chǎng)景，定義合理的測(cè)試場(chǎng)景組合對(duì)可接受準(zhǔn)則進(jìn)行確認(rèn)。

步驟一

識(shí)別由功能不足引起的危害事件

AEB可能會(huì)因功能不足（如物體識(shí)別能力缺陷）而導(dǎo)致錯(cuò)誤的緊急制動(dòng)，使車(chē)輛迅速減速，導(dǎo)致跟隨車(chē)輛追尾，也就是常提到的false positive。

通過(guò)危害事件分析得到：S>0, C>0，ISO21448 clause6中建議對(duì)此類(lèi)危害事件需定義可接受準(zhǔn)則。

圖1：AEB誤觸發(fā)危害分析（來(lái)源ISO21448）

AEB的漏觸發(fā)（false negative），由于駕駛員是車(chē)輛控制的責(zé)任主體，可控性為C0，因此不必要進(jìn)行深入分析。對(duì)于L3的系統(tǒng)false negative是需要考慮的，也是很重要的組成部分。

Tips：TP/FP/FN/TN含義如下：

步驟二

對(duì)危害事件建模

通過(guò)step1我們發(fā)現(xiàn)，AEB的誤觸發(fā)引起的危害事件是自車(chē)與后方車(chē)輛發(fā)生碰撞，因此可以對(duì)風(fēng)險(xiǎn)場(chǎng)景簡(jiǎn)化如下圖的跟車(chē)場(chǎng)景，紅色車(chē)輛為自車(chē)，綠色車(chē)輛為后方跟隨車(chē)輛。

Note1：以下內(nèi)容僅作為方法論探討，不作為實(shí)際項(xiàng)目應(yīng)用的依據(jù)

圖2：危害事件場(chǎng)景建模（來(lái)源ISO21448）

以上的場(chǎng)景建模，需要提取關(guān)鍵參數(shù)，標(biāo)準(zhǔn)給出示例如下：

a-》開(kāi)始時(shí)，兩輛車(chē)以相同的速度v行駛；

b-》與速度相關(guān)的后車(chē)跟隨距離d具有已知的概率分布；

c-》自車(chē)的AEB緊急制動(dòng)時(shí)，制動(dòng)曲線遵循圖3；

d-》后車(chē)設(shè)置固定駕駛員模型，包括反應(yīng)時(shí)間與制動(dòng)曲線，可以具有已知的概率分布也可以設(shè)置為固定值。

圖3：AEB 制動(dòng)曲線（來(lái)源 ISO21448）

其中V與d是有關(guān)聯(lián)的變量，通常服從一定的概率分布，車(chē)速越高，跟隨距離越長(zhǎng)?？梢砸哉鎸?shí)的車(chē)速與距離作為場(chǎng)景建模的輸入，比如用配備雷達(dá)的采集車(chē)去實(shí)際路采，也可以采集部分真實(shí)數(shù)據(jù)后進(jìn)行場(chǎng)景泛化。

將場(chǎng)景建模的輸入輸出整理如下：

表1：場(chǎng)景簡(jiǎn)化參數(shù)

因?yàn)閷?duì)場(chǎng)景其他要素要求不高，可以選擇在仿真環(huán)境下進(jìn)行測(cè)試，通過(guò)輸入上表中的輸入變量數(shù)據(jù)集，觀測(cè)輸出結(jié)果。仿真環(huán)境如下圖，可以在Matlab+CarSim環(huán)境中仿真。

圖4：仿真環(huán)境示例（來(lái)源文獻(xiàn)1）

以一組輸入輸出變量為子集，假設(shè)總的測(cè)試集合數(shù)量為T(mén)，其中發(fā)生碰撞的集合數(shù)量為L(zhǎng)，則通過(guò)仿真得到：碰撞概率 R?？梢砸欢ǔ潭却碚鎸?shí)道路環(huán)境下AEB誤觸發(fā)后碰撞的概率。

其中，碰撞概率的結(jié)果中沒(méi)有區(qū)分S1，S2，S3，意味著只要發(fā)生后碰△V超過(guò)設(shè)置S1的閾值，就會(huì)被統(tǒng)計(jì)在L值中。

TRW有進(jìn)行過(guò)相關(guān)的分析，結(jié)果見(jiàn)下方，這里不展開(kāi)，需要深入的可以參考如下文獻(xiàn)。

文獻(xiàn)【1】：

FABRIS,S.,PRIDDY, J. and HARRIS, F., “Method for hazard severity assessment for the case of undemanded deceleration.”, Presented at VDA Automotive SYS Conference, Berlin,June 19/20, 2012, https://www.researchgate.net/publication/344452155_Method_for_hazard_severity_assessment_for_Method_for_hazard_severity_assessment_for_the_case_of_undemanded_deceleration_-_Simone_Fabris.

圖5：仿真分析結(jié)果（來(lái)源文獻(xiàn)1）

步驟三

分析事故數(shù)據(jù)

國(guó)家道路安全部門(mén)可以提供的交通統(tǒng)計(jì)數(shù)據(jù)（例如，美國(guó)國(guó)家公路交通安全管理局（NHTSA）的GES數(shù)據(jù)）。交通統(tǒng)計(jì)需包括以下幾個(gè)關(guān)鍵數(shù)據(jù)：

a=>現(xiàn)有乘用車(chē)數(shù)量（N）；

b=>每輛車(chē)每年的平均行駛距離（K）；

c=>每年行駛的車(chē)輛總公里數(shù)（M）,M=N?K;

d=>每年實(shí)地相關(guān)事故（追尾碰撞）的數(shù)量（A）。

Note2：事故統(tǒng)計(jì)數(shù)據(jù)是與AEB誤觸發(fā)導(dǎo)致危害事件類(lèi)型應(yīng)保持一致

Note3：以上數(shù)據(jù)可以針對(duì)功能釋放的國(guó)家或地區(qū)進(jìn)行統(tǒng)計(jì)

通過(guò)對(duì)所考慮的變量采用統(tǒng)計(jì)模型，增加了通過(guò)進(jìn)一步分析獲得的估計(jì)值的置信度?；诖诵畔?，可以計(jì)算出人類(lèi)駕駛員在兩次碰撞之間行駛的平均距離B：

B：是人類(lèi)駕駛員在兩次碰撞之間行駛的平均距離；

M：是每年行駛的車(chē)輛總公里數(shù)；

A：是每年實(shí)地相關(guān)事故（追尾碰撞）的數(shù)量。

為了獲得最壞情況估計(jì)，M取最大值，A取最小值。因此我們可以得到一個(gè)設(shè)計(jì)目標(biāo)：配備AEB的車(chē)輛可以行駛至少B公里而不會(huì)造成事故，或者AEB系統(tǒng)功能不足導(dǎo)致事故的概率低于每公里1/B。

這里隱藏了一個(gè)接受準(zhǔn)則——AEB功能引起的危害事件可能性應(yīng)等于或小于由人類(lèi)駕駛員引起的相同危害事件可能性，如下方公式：

基于以上信息我們?nèi)绾蔚玫絭alidation target呢？

結(jié)合式1與式2，則可以得到AEB validation target（VT），VT=R*B，即在VT（Km）內(nèi)不允許發(fā)生AEB false positive的情況。

Note4：上述方法僅為概率理論度量，用于評(píng)估在決定將產(chǎn)品投放市場(chǎng)時(shí)可容忍的風(fēng)險(xiǎn)。因此即使?jié)M足該目標(biāo)，即使?jié)M足了該VT目標(biāo)，也可能會(huì)發(fā)生因AEB false positive而導(dǎo)致的accident，因此需要field monitor strategy，進(jìn)一步降低AEB false positive的概率。

Note5：VT=R*B中的基準(zhǔn)可被視為系統(tǒng)驗(yàn)證的下限。根據(jù)交通統(tǒng)計(jì)數(shù)據(jù)的不確定性，可通過(guò)將B乘以因子K來(lái)校準(zhǔn)，因此B的計(jì)算可以更新為B=K（M/A）。影響K的因素有：AEB功能可能減少交通事故的數(shù)量，進(jìn)而影響A值；交通統(tǒng)計(jì)數(shù)據(jù)中A包括合理和非合理的制動(dòng)事件，比如有些是駕駛員誤操作導(dǎo)致的非合理事件。

步驟四

定義測(cè)試場(chǎng)景

我們確定validation target后，可以通過(guò)endurance run的方式對(duì)誤觸發(fā)率進(jìn)行驗(yàn)證，第4步就涉及到實(shí)際道路測(cè)試如何選取場(chǎng)景，比如天氣條件（干燥，霧，雪，雨，陰天等），道路條件（城市道路，鄉(xiāng)村道路，高速高架等），光照（夜間，黃昏，清晨等），車(chē)速區(qū)間等等。

測(cè)試場(chǎng)景的選擇可以通過(guò)傳感器性能局限及功能特定限制的詳細(xì)分析得到。然后基于選擇場(chǎng)景進(jìn)行數(shù)據(jù)采集，包含的相關(guān)駕駛場(chǎng)景的分布比例，ISO21448標(biāo)準(zhǔn)基于天氣，速度和其他參數(shù)的實(shí)際情況給出示例如下：

以上基于交通統(tǒng)計(jì)的方法在應(yīng)用時(shí)，標(biāo)準(zhǔn)提示需注意以下幾點(diǎn)：

1.此方式應(yīng)用L3及以上的ADS系統(tǒng)時(shí)需謹(jǐn)慎結(jié)合功能與系統(tǒng)架構(gòu)作出具體考慮；

2.如果將AEB速度段擴(kuò)展至130kph，則可接受準(zhǔn)則會(huì)發(fā)生一些變化，因?yàn)楦咚俣榷魏笈龈怕瘦^低；

3.可以從系統(tǒng)架構(gòu)考慮，如果使用多個(gè)子系統(tǒng)冗余控制，可通過(guò)觀察每個(gè)子系統(tǒng)的單個(gè)MTBC（例如，基于同質(zhì)或不同技術(shù)的冗余算法），優(yōu)化從交通統(tǒng)計(jì)數(shù)據(jù)得出的MTBC；

4.在分析系統(tǒng)限制后設(shè)計(jì)的特定駕駛路線（route）可以減少需要收集的數(shù)據(jù)量。

總結(jié)

本文提供了一種基于交通統(tǒng)計(jì)的方法，首先通過(guò)仿真的方式提煉出真實(shí)場(chǎng)景下誤制動(dòng)發(fā)生后碰的概率，結(jié)合交通數(shù)據(jù)定義目標(biāo)平均碰撞間隔時(shí)間（MTBC）與AEB validation target。最后對(duì)endurance run的場(chǎng)景進(jìn)一步細(xì)化。該基準(zhǔn)可用于AEB大規(guī)模量產(chǎn)前ADAS系統(tǒng)魯棒性的指標(biāo)設(shè)計(jì)。