智能网联汽车视觉感知系统预期功能安全第1部分：触发条件分析与描述方法

ICS

CCS

000

团体标准

T/CSAExx－2022

000

智能网联汽车视觉感知系统预期功能安全

0第1部分：触发条件分析与描述方法00

Intelligentandconnectedvehicle－Safetyoftheintendedfunctionalityforvisual

perceptionsystem

PartI：Analysisanddescriptionmethodoftriggeringconditions

（征求意见稿）

000

在提交反馈意见时，请将您知道的该标准所涉必要专利信息连同支持性文件一并附上

000

DraftingguidelinesforcommercialgradesstandardofChinesemedicinal

materials

000

2022-xx-xx发布2022-xx-xx实施

中国汽车工程学会发布

000

000

T/CSAExx—20xx

000

目次

1范围.............................................................................1

2规范性引用文件.................................................................1

03术语和定义................................0................................0.....1

4缩略语.........................................................................3

5视觉感知要素范围与适用条件确定.................................................3

5.1预期感知要素范围确定.......................................................3

5.2感知功能适用条件确定.......................................................4

5.3感知系统预期功能确定.......................................................4

000

6触发条件分析与识别.............................................................4

6.1分析要求...................................................................4

6.2分析方法...................................................................4

6.3潜在触发条件...............................................................7

6.4感知局限性导致的潜在危害事件...............................................7

07触发条件评估................................0................................0...7

7.1评估范围...................................................................7

7.2触发条件暴露率.............................................................7

7.3系统敏感度.................................................................8

7.4后果危害度.................................................................8

8触发条件描述规范...............................................................8

000

8.1触发条件描述要求...........................................................8

8.2触发条件描述范围...........................................................8

8.3触发条件描述规范...........................................................9

9包含触发条件的感知系统测试场景构建.............................................9

9.1测试场景构建方式..........................................................10

09.2场景来源................................0................................0..10

9.3触发条件测试场景..........................................................10

附录A（资料性）视觉感知系统触发源................................................I

附录B（资料性）逻辑触发条件描述................................................III

000

I

000

T/CSAExx—20xx

000

前言

0本文件按照GB/T1.1—2020《标准化工作导则0第1部分：标准化文件的结构和起草规则》的规定0

起草。

XXXX（团标号）《智能网联汽车视觉感知系统预期功能安全》分为2部分：

——第1部分：触发条件分析与描述方法

——第2部分：测试与评价方法

本部分为XXXX（团标号）的第1部分

请注意本文件的某些内容可能涉及专利，本文件的发布机构不承担识别这些专利的责任。

0本文件由中国智能网联汽车产业创新联盟提出。00

本文件起草单位：同济大学、上海机动车检测认证技术研究中心有限公司、北京地平线机器人技

术研发有限公司、中汽研汽车检验中心（天津）有限公司、优力标准技术服务有限公司、武汉路特斯

科技有限公司、上海淞泓智能汽车科技有限公司、清华大学、国汽（北京）智能网联汽车研究院有限

公司、上海禾赛科技有限公司、中国汽车工程研究院股份有限公司、大唐高鸿智联科技（重庆）有限

公司、高通无线通信技术（中国）有限公司、北京赛目科技有限公司、国汽智控（北京）科技有限公

司、北京裕峻汽车技术研究有限公司、中汽数据（天津）有限公司、毫末智行科技有限公司、通标标

0准技术服务有限公司、博世汽车部件（苏州）有限公司、惠州市德赛西威汽车电子股份有限公司、工00

业和信息化部电子第五研究所、华东交通大等。

本文件主要起草人：XXX

000

000

000

II

000

T/CSAExx—20xx

000

引言

车辆的预期功能安全是指不存在因预期功能不足引起的危害而导致不合理的风险。ISO21448提供

了用于确保预期功能安全（SOTIF）的措施的通用论证框架和指南，为实现和保持SOTIF所需的相关

000

设计、验证和确认措施以及在运行阶段的活动提供指导。

本标准以ISO21448为基础，针对其中的感知系统局限性分析、触发条件识别、性能测试评价的需

求，规定了分析要求、测试方法和评价体系，适用于智能网联汽车视觉感知系统在设计开发、测试验

证、产品认证等阶段的测试评价活动。

视觉感知系统是智能网联汽车环境感知的重要组成部分，其受到外部环境影响因素干扰下的感知

性能表现对于智能网联汽车的安全运行至关重要，是车辆预期功能安全流程中需关注的重要环节。其

感知性能的局限性分析、测试与性能评价等对相关系统的工程应用均必不可少。

0本标准针对的是视觉感知系统的触发条件分析和预期功能安全性能测评，0同时它提供了一个0方法

框架，在该框架内可以分析其他环境感知传感器的性能局限。

本系列标准包括2部分。

其中第1部分主要针对视觉感知系统的触发条件分析方法和描述规范：

a)提供了面向视觉感知系统的触发条件分析要求；

b)提供了满足安全分析、测试验证等不同需求的触发条件描述规范；

c)提供了基于触发条件和一般场景的感知系统测试用例构建方法。

0其中第2部分主要针对视觉感知系统的测试方法和评价体系0：0

a)规定了典型视觉感知系统的测试评价流程、测试方法、测试要求；

b)提供了满足视觉感知预期功能安全性能评价的评价体系和参考指标；

c)提供了可参考的触发条件清单及测试用例清单。

000

000

000

III

000

T/CSAExx—20xx

000

智能网联汽车视觉感知系统预期功能安全

第1部分：触发条件分析与描述方法

000

1范围

本文件提供了针对智能网联汽车视觉感知系统预期功能安全相关的触发条件分析要求，规定了触

发条件的描述规范，输出相应的触发条件分析结果和触发条件测试用例。

本文件适用于智能网联汽车视觉感知系统在开发阶段、测试验证阶段、产品认证阶段的触发条件

0分析。00

本文件适用于由交通环境要素直接影响感知任务并导致感知性能下降的触发条件分析、规范化描

述和测试用例构建。

本文件不适用于非感知任务直接相关因素如视野盲区、设计缺陷等造成的系统性功能不足。

2规范性引用文件

0下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款0。其中，注日期的引用文0

件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适

用于本文件。

GB/TXXXXX智能网联汽车术语与定义

ISO/PAS21448道路车辆预期功能安全（Roadvehicles-Safetyoftheintended

functionality）

ISO26262-3道路车辆功能安全-第3部分：概念阶段（Roadvehicles-Functionalsafety-

Part3:Conceptphase）

000

3术语和定义

GB/TXXXXX界定的以及下列术语和定义适用于本文件。

3.1

预期功能安全Safetyoftheintendedfunctionality

000

不存在由预期功能的不足或其实现的不足引起的危害而导致的不合理的风险。

[来源：GB/TXXXXX，3.4]

3.2

环境要素Environmentalelements

交通环境中可能出现的所有独立、具备特定属性的物体或自然现象，是构成交通环境的基本单元。

03.300

1

000

T/CSAExx—20xx

000

视觉感知要素Perceptionelements

环境要素中具备一定尺寸、颜色属性，能够被视觉传感器探测和感知的要素。

3.4

触发条件Triggeringcondition

场景中引发系统后续反应，进而导致危险行为的特定条件。

000

3.5

性能局限Performancelimitation

系统受当前技术能力限制，在某项或多项触发条件共同影响下会导致危险行为。

3.6

触发源Triggeringsource

0具备特定属性和特征，能够引发感知系统性能局限的环境要素。00

注：触发源与触发条件的区别在于，触发条件是由特定属性和特征的一项或多项触发源形成的，任意触发源是构

成触发条件的必要不充分要素。

3.7

触发源属性Attributeoftriggeringsource

触发源所具备的与视觉识别相关的性质和特性，分为影响光线传播的本质属性和影响特征提取的

0特征属性。00

3.8

触发模式Triggeringpattern

视觉感知系统不同工作阶段受触发源直接影响形成触发条件的方式。

3.9

0触发因素Triggeringfactors00

不同触发模式下，视觉感知系统不同工作阶段影响视觉感知功能或性能的关键属性。

3.10

触发机制Triggeringmechanism

触发模式与触发因素共同描述的触发条件形成方式。

3.11

000

触发后果Triggeringeffect

触发源以一定触发机制导致感知系统无法实现预期功能或感知性能下降的后果。

3.12

暴露率Possibilityofexposure

视觉感知系统在实际运行环境下暴露于特定触发源中的概率。

000

2

000

T/CSAExx—20xx

000

3.13

敏感度Degreeofpenetration

视觉感知系统实现预期功能并达到要求的性能表现的情况下，对不同触发条件的容忍水平。

3.14

0危害度PossibilityofDamage00

触发后果引发整车级严重危害的可能性。

3.15

语义触发条件Semantictriggeringcondition

以语义词汇限定的触发源实例和触发源属性进行描述的触发条件。

3.16

000

逻辑触发条件Logicaltriggeringcondition

以变量和变量取值范围限定的触发源实例和触发源属性进行描述的触发条件。

3.17

具体触发条件Concretetriggeringcondition

以变量和变量值限定的触发源实例和触发源属性进行描述的触发条件。

03.1800

触发条件测试场景Triggeringconditiontestcase

用于测试感知系统在触发条件影响下的性能表现所构建的测试场景。

4缩略语

ODD设计运行域（OperationalDesignDomain）

0SOTIF预期功能安全（Safetyofthe0IntendedFunctionality）0

FTA故障树分析（FaultTreeAnalysis）

ASV属性语义变量（AttributeSemanticVariable）

AQV属性量化变量（AttributeQuantitativeVariable）

DV程度变量（DegreeVariable）

5视觉感知要素范围与适用条件确定

000

5.1预期感知要素范围确定

根据视觉感知系统所服务的自动驾驶功能及其ODD，确定系统预期应感知并输出相关识别结果

的感知要素范围，预期感知要素应全面覆盖自动驾驶功能ODD范围内的各类要素。

注1：预期感知要素应根据行业通行做法，根据要素类型进行分层描述，包括道路结构（Layer1）、交通基础设

施（Layer2）、道路和设施临时改变（Layer3）、交通参与物（Layer4）、自然环境（Layer5），如表1所

示。

000

3

000

T/CSAExx—20xx

000

注2：考虑到视觉感知系统需要对天气条件等进行识别并采取相应的功能降级措施，将自然环境（Layer5）也纳入

预期感知要素范围

表1视觉感知要素范围

分层要素类要素子类

Layer1道路结构包括车道信息、路面状态、标志标线、附属物等

000

Layer2交通基础设施包括各类交通信号灯、标志牌等交通设施设备

Layer3道路和设施临时改变包括道路条件变化、车道变化、车道占据等

Layer4交通参与物主要包括车辆、行人、非机动车、动物和各类障碍物

Layer5自然环境主要包括天气条件、光照条件等

5.2感知功能适用条件确定

0根据视觉感知系统服务的自动驾驶功能，按照自动驾驶功能的0ODD，明确其功能适用条件。0

注：功能适用条件包括自然环境（Layer5）中的气象信息、光照条件等，以及其他相关功能限制条件。

5.3感知系统预期功能确定

根据视觉感知系统预期感知要素范围，应明确针对不同感知要素的预期功能。预期功能应按照目

标检测与分类和目标参数识别进行划分。

06触发条件分析与识别00

6.1分析要求

触发条件分析应完整覆盖预期感知要素范围，同时尽可能充分考虑交通环境中可能形成触发条件

的各类要素，确定触发条件对感知系统预期功能造成的影响后果，并对识别到的触发条件进行规范化

统一描述。

06.2分析方法00

6.2.1分析流程

应采用FMEA、HAZOP、交叉检查等分析方法，结合视觉感知系统的硬件工作原理和软件算法识别

过程，按照触发源、触发机制、触发后果，对潜在触发条件行进全面识别。分析流程如图1所示。分

析时对触发源列表中的触发源进行逐一分析，同时应对多种触发源的关联影响进行分析。

000

图1触发条件分析与识别流程

000

4

000

T/CSAExx—20xx

000

6.2.2触发源收集

6.2.2.1触发源组织要求

触发源收集时应按照实体要素类、干扰要素类和环境条件类进行收集。为避免遗漏触发源，应采

用一定的组织结构进行整理，并结合专家头脑风暴等方式，生成具有多样性和广泛性的触发源，并描

述各触发源可能形成触发条件的属性或特征，形成触发源列表（图2）。

000

注：触发源组织结构可采用本体框架、树结构或分类列表等形式。

000

图2触发源组织框架

6.2.2.2触发源类型

6.2.2.2.1实体要素类

0收集与车辆行驶任务直接相关的环境要素构成实体要素类触发源，实体要素类须完整覆盖视觉感00

知系统所有预期感知要素，并尽可能全面覆盖真实交通环境中Layer1~Layer4中的各种要素实例。

注：实体要素类触发源项参见附录A。

6.2.2.2.2干扰要素类

收集与车辆行驶任务不直接相关且不作为视觉感知系统预期感知要素的环境要素构成干扰要素类

触发源。干扰要素应考虑对感知系统实现预期功能造成干扰的要素类型，包括自车干扰、传感器表面

0干扰、漂浮物干扰、遮光物干扰。00

注：干扰要素类触发源项参见附录A。

6.2.2.2.3环境条件类

收集会显著改变车辆行驶环境并影响系统实现预期感知功能的环境条件构成环境条件类触发源。

环境条件类应根据视觉感知系统所服务的自动驾驶功能的ODD，考虑降水、空气微粒、光照条件等影

响因素。

注：环境条件类触发源项参见附录A。

000

6.2.2.3触发源属性

所收集触发源须描述其属性，属性的描述应考虑触发源形成潜在触发条件的相关因素。触发源属

性包括本质属性和特征属性。

本质属性应考虑触发源对可见光的透光率、反射率、反射面积等因素，不同触发源类属性如表２

所示。

特征属性只针对系统预期感知要素，应考虑特征罕见性、特征相似性、特征遮挡和特征消融等因

000

5

000

T/CSAExx—20xx

000

素描述触发源相关属性，特征属性如表3所示。

注1：光照条件应直接描述其影响成像质量的关键属性，包括光照强度、光照角度、色温等。

注2：在分析非光照条件相关的触发源时，默认当前的光照条件良好，即白天天气晴朗条件；对于环境条件与光照

条件存在相关性的触发源，分析时应与光照条件一并分析。

表2各触发源类本质属性

0触发源类00

实体要素类干扰要素类环境条件类

因素

透光率低/高表面材质、颜色表面材质、颜色浓度、密度

反射率强/弱表面材质、颜色表面材质、颜色成分

反射面积大/小外观形状外观形状/

0表30预期感知要素特征属性0

因素含义属性

特征罕见预期感知要素自身特征的罕见程度颜色特征、外观形状特征、附属部件特征

特征相似触发源与预期感知要素的相似程度颜色特征、外观形状特征、附属部件特征

特征遮挡预期感知要素特征的可观测程度外观形状特征

000

特征消融预期感知要素特征在背景下的突出程度颜色特征

6.2.2.4触发源关联

除考虑单一触发源的影响，还应对各触发源之间形成的关联关系进行分析。分析时应以系统预期

感知要素作为主触发源，考虑实体要素、干扰要素和环境条件对预期感知要素造成的影响。包括要素

间的遮挡、携行、覆盖、反射、阴影、附着等关系。

000

注：关联关系会导致预期感知要素发生本质属性或特征属性的变化。以预期感知要素为行人为例，应考虑的触发

源关系如标志牌、护栏、车辆等实体要素对行人造成遮挡；降雪等覆盖行人外观特征，行人携带光源；构筑物

和植物遮挡光线形成阴影。详细内容参见附表A.2。

6.2.3触发机制

6.2.3.1触发模式

0触发模式分析主要对视觉感知系统受触发条件影响的方式进行分析，应考虑传感00器触发、图像质

量触发和图像识别触发三类。

传感器触发应涵盖由于摄像头镜头、防护罩或挡风玻璃受触发源遮蔽而形成的触发条件。

图像质量触发应涵盖由于摄像头获取图像受触发源影响后质量明显下降而形成的触发条件。

图像识别触发应涵盖由于预期感知要素特征属性多样性导致要素难以识别而形成的触发条件。

6.2.3.2触发因素

触发因素分析主要对传感器不同触发模式的影响因素进行分析。

000

6

000

T/CSAExx—20xx

000

对于触感器触发模式，应考虑触发源对视野一致性、视野完整性的影响。

对于图像质量触发，应考虑触发源对图像亮度、图像对比度、图像动态范围、图像清晰度、图像

色温等的影响。

对于图像识别触发，应考虑触发源特征的多样性对识别效果的影响，包括特征罕见程度、特征相

似程度、特征遮挡程度、特征消融程度。

06.2.4触发后果00

触发后果分析应根据视觉感知系统的预期感知功能，对目标识别错误和参数识别错误进行识别。

目标识别错误按照未识别、误识别、分类错误、语义分割错误等对触发源的影响进行划分；参数识别

错误按照参数偏移和精度下降等对触发源的影响进行划分。

6.3潜在触发条件

按照图1所示的分析过程，最终应分析得到完成的潜在触发条件，潜在触发条件结果应完整包含

0触发源实例及其属性，以何种触发机制形成可能的触发后果。00

6.4感知局限性导致的潜在危害事件

结合整车级危害分析得到的危害事件，可采用自上而下的方法，包括但不限于FTA分析方法，确

定导致整车级危害的触发后果及潜在触发条件。

注：整车级危害分析应符合ISO214486.3条相关要求。

07触发条件评估00

7.1评估范围

对分析获得的触发条件需从触发条件暴露率（E）、感知系统敏感度（P）、后果危害度（D）三

个方面进行评估，如图3所示。根据评估结果对触发条件进行分级，制定测试验证的优先级别。

000

000

图3触发条件评估范围

7.2触发条件暴露率

触发条件暴露率应按照触发条件出现的频次或触发源持续的时间占总运行时长的比值进行统计。

注：触发条件暴露率评估可参考ISO26262-3的要求开展。

000

7

000

T/CSAExx—20xx

000

7.3系统敏感度

对触发条件的系统敏感度评估参照表4进行。若视觉感知系统与其他类型的环境感知传感器进行了

数据融合，则应根据数据融合的具体方案，考虑视觉感知结果在融合感知结果中的权重对敏感度评估

进行一定的调整。

注：实际应用中，可根据特定系统的触发条件测试情况进行更准确的评估。

0表04系统敏感度评估0

系统敏感度等级P1P2P3

系统对触发条件有一定系统对触发条件有较弱

系统对触发条件不具备

的容忍能力，能够适应的容忍能力，仅能适应

描述容忍能力，极有可能无

一定属性范围的触发条较小属性范围的触发条

法完成预期感知功能。

件。件。

雾、霾等；暗光、逆光等；

0降雨、降雪、沙尘0等；0

传感器污渍、磨损等；传感器被不透光物遮盖

触发条件示例目标特征遮挡、磨损

目标特征与其他物体相等；

等；

似、与背景相融等；目标特征罕见等；

7.4后果危害度

根据6.4条要求分析的触发条件所致整车级危害事件，对其中被评估为严重度等级最高的危害事

件，根据触发条件引发该危害事件的可能性参照表5进行评估。

0注：实际应用中，可采用视觉感知系统与决策规划系统的联合测试、融合算法测试、决策规划系统错误注入测试00

等实车与仿真测试相结合的测试手段，进行更准确的评估。

表5后果危害度评估

后果危害度等级D1D2D3

触发后果有较低可能性触发后果有中等可能性触发后果有较高可能性

描述

引发整车级严重危害。引发整车级严重危害。引发整车级严重危害。

000

触发后果为分类错误、触发后果为误识别、语

触发后果为未识别、参

触发条件示例参数精度下降的触发条义分割错误的触发条

数错误的触发条件。

件。件。

8触发条件描述规范

8.1触发条件描述要求

000

触发条件应根据与其相关的视觉感知性能局限，选择合适的触发源属性和特征进行描述，保证触

发条件内涵清晰明确，以及在不同抽象层级间的一致性。

8.2触发条件描述范围

触发条件描述主要是对触发源的描述，包括触发源实例和触发源属性。根据在触发条件分析阶段

和测试验证阶段的不同需求，应按照语义触发条件、逻辑触发条件和具体触发条件进行描述（图4）。

000

8

000

T/CSAExx—20xx

000

000

000

图4触发条件描述示例

8.3触发条件描述规范

8.3.1语义触发条件

000

语义触发条件描述应包含触发源实例和触发源属性。属性应按照本质属性或特征属性，对触发源

实例进行限定。语义触发条件应表示某种特定类型的触发条件，其包含至少一条逻辑触发条件。语义

触发条件服务于触发条件分析和人类专家间信息交流。

8.3.2逻辑触发条件

逻辑触发条件描述应包含属性语义变量ASV和相应的变量离散值集合，属性量化变量AQV以及对

0应的变量取值范围，以及程度变量DV。00

对无法量化的属性确定相匹配的属性语义变量，并给出各变量尽可能完整的语义离散值集合；对

可量化的属性确定相匹配的属性量化变量，并确定各变量合理的取值范围。程度变量用于特定触发模

式下进一步限定触发源作用效果，变量取值范围为0到1。

针对不同的语义触发条件，逻辑触发条件应对触发源进行属性的完整描述，若缺省某项属性，则

应按该属性的默认值处理。不同触发模式的触发条件变量与取值范围示例见附录B。

一条逻辑触发条件包含数条具体触发条件。

注：程度变量是对触发源作用效果的描述，采用一个归一化的比值，对遮挡、覆盖、遮光、相融等情况进行描述；

000

属性量化变量是对触发源属性的直接描述，一般采用相匹配的变量和变量范围。

8.3.3具体触发条件

具体触发条件描述内容与逻辑触发条件保持一致，应在逻辑触发条件描述的变量取值集合或取值

范围内确定特定的一组变量组合，以确定唯一的具体触发条件。

9包含触发条件的感知系统测试场景构建

000

9

000

T/CSAExx—20xx

000

9.1测试场景构建方式

针对视觉感知系统进行测试，需根据触发条件分析获得的潜在触发条件，并按照触发条件描述规

范，构建相应测试用例进行测试。触发条件应作为对特定要素的描述，与场景相结合构建测试用例。

9.2场景来源

0构建触发条件测试场景的场景来源包括通过安全分析获得的潜在危害场景、基于专家知识构建的00

场景、基于场景采集获得的场景、现有标准规范要求的测试场景等。

若期望测试的触发条件为实体要素触发源，则场景中应包含相应的实体要素；若期望测试的触发

条件为干扰要素和环境条件触发源，则基础场景中应包含至少一项预期感知要素。

9.3触发条件测试场景

根据触发条件描述规范，可构建相应的语义测试用例、逻辑测试用例和具体测试用例。对于触发

源为实体要素的情况，触发条件作为场景中相应实体要素的补充信息。对于触发条件的触发源为干扰

0