2025基于LTE-V2X预警类应用的功能安全分析

LTE-V2X预警类应用的功能安全分析PAGEPAGE10/摘 Executive V2X预警类应用总 致 以IO2622（GT3450）为纲领性文件的功能安全分析方法传统上只局限于单车范围，即（V2X）断完善、网联协同相关应用不断被提出、相关验证工作逐步展开，为保证安全性，一些企业和组V2XT/CSAE53《合作式智能运输系统车用通信系网联技术的汽车安全预警类应用场景技术要求及试验方法》研究，C-NCAP2024版测试规V2X预警应用相关的场景，并规定了测试条件和通过条件。然而，这些场景的OEM能够更好地处理超V2X的功能安全问题。V2X预警触发的车辆制动或转向等V2X概念级5GAATreatmentinConnectedandAutomatedDriving）OEMV2X新用5GAASTiCADV2XV2N的远程遥控驾驶（ToD）V2V的急刹车预警（EBW。T/CSAE53《合作式智能运输系统车用通信系统应用层及应用数据交互标准（第一阶段17个一阶段应用，可作为本研究预警类应用的基础用例集。为了促进中国汽车产业的健康发展，加速国内汽车市场的全球化进程，中国汽车技术研究中心于206年3月2日正式发布了首版中国新车评价规程（-NCAP。-NCAP每三年进行一次规程改版，15年来先后完成6个版本的制修订。在其最新的-NCAP2024版ADAS测试规程中提出V2X

V2X预警类应用进行汇总，并标明每个应用在相关标准及研究中的出现情况，作V2X预警类应用研究的参考。本研究的重点在于阐述V2X功能安全分析的方法论，由于篇幅及时间所限，虽然本章列出了丰富的应用，但在后面章节分析中，仅能选取重点应用进行分析，无法穷尽当前的列表，后续可V2XV2X预警类应用归类为“安全类”和“效CSAET/CSAE53/2020合作式智能运输系统车用通信系统应用层及应用数据交互标准5GAA.SafetyTreatmentinConnectedandAutomatedDrivingFunctions.Euro-NCAP.EuroNCAPProtocol-SafeDriving-Vehicle预警类应用(T/CSAEC-V2XLocalT/CSAEC-NCAPIMT2020（5G）LocalGB/T34590GB/T34590GB/T34590的术语，如“ASIL”GB/T34590各章节的对应如下：TxV（V2VRxVTxV外，道路上可能有其他交通参与者，包括其他车辆、自行车、行人等，对于他V2X通信能力并没有前提假设。确定安全目标：“ASILASIL等级从GB/T3459037章，在功能安全概念分析中，将根据前面的危害分析和安全目TxV（C-NCAPGVT）RxV（C-NCAPVUT）处于同一车道，C-NCAP2024版测试规程中的定义：CCRH测试场景下，TxV、VTRxV在同一车道，RxVVT以相同的速度保持固定的相对距离沿车道中间匀速行驶，在距离为A时，达到稳定车速，测试车速分别为80km/h、120km/h，对应两者之间的距离A分别50m，100m7VTTxVB49m，73mVT切出至相邻车道，VTTxV2.2s。120km/hA100mBTxVRxVVTVT均没有配V2XRxVV2X应用具有经验，懂得对预警做出反应。例如，RxV驾驶员收到预TxVV2X模块硬件故障（例因此，RxV驾驶员只能依赖下一步的视觉判断以识别危害。TxV后，可能无充足的时间刹车或变RxVTxVRxVV2X模块硬件故障（例V2X消息同RxVV2X消息，但应用同TxVV2X消息内容错误，例同TxVV2X消息内容错误，例RxVV2XTxVRxV计TxVV2X同TxVV2X消息内容正确，但同ASILTxVExposure:Severity:V2XRxVV2X消息120km/h的速>10%100m的发RxV未收到V2X消息会导RxV未及时TxV追GB/T34590.36.4.3.82可控性评估“假设驾驶员在(例如:他/守所有适用的法律法规,ASIL等TxV中间停止、73mADASGB/T34590.36.4.3.9的安全运行(辅助系统)V2XExposure:Severity:Controllability:RxV在高速公GB/T34590.36.4.3.82可控性评估“假设驾驶员在(例如:他/FCWRxVRxV后方车辆的角度，RxV的后方车辆可借助司机ADAS功能（例AEB）以避免和RxV碰撞ASIL要求，该如何定义安全目标。TxVRxV的问题产生漏报息，RxV与TxV相撞SG1V2XFCW功能漏报警，无需分配ASILTxVRxV的问题产生误报RxV相撞SG2V2XFCW功能误报警，注：一般无安全目标定义（QM等级）的危害不需要继续往下分解并得出功能安全要求，因此ASILQM，5.3.15.3.2节（6.3.1、6.3.2、7.3.1、7.3.2节）均不需要。本FC1：由于TxV的原制，使得当硬件或软件层面出现宕机等问题时，V2X消息的发送能够不受（RxV与TxV之间的车辆）V2XRxV应同时息（摄像头、毫米波雷达、激光雷达）TxVV2X消息进行核对，用V2XADAS的融合结果对是否预警进行确认RxVRxV正确解析（例如协议栈不匹配息兼容性（V2Xmessageconformance准入测试）RxVRxV正确FC4：由于TxV的定位、CAN信息故障或V2XFC5：RxV底层收到V2X消息，但由于应RxV应用层处理后，RxVHMI故障V2X信息的及时处理与显示FC6：由于TxV发送的PSFR-FC6-2（RxV的要求）RxVTxV以外的车辆（RxVTxV之间的车辆）V2X消息，则RxV应信息（摄像头、毫米波雷达、激光雷达）TxV的V2X消息进行核V2XADAS的融合结果对是否预警进行确认MBR（MisbehaviourReport）MA。MA核实TxVRxV继续收到已吊销证书的车辆发送的消息，RxV应忽略该错误消息RxVFC7：TxV发出的消息未的消息兼容性（V2Xmessageconformance准入测FC8：RxV自身传感器错位、CAN信息等）应一直可用，且信息准确FC9：RxV底层收到的V2X消息不应产生报警，RxV应用层PSFR-FC10-1（对RxV的要求）RxV由于收到报警而进行刹车或变BSM消息，这样若RxV后方的车辆具有网联FC11TxV发送的（3条BSM消息）综合判断是否报警，而不是仅依据一条消在存在障碍物遮挡的情形下，RxVTxV发生此场景的条件及参数可参考C-NCAP2024版主动安全ADAS版测试规程中SCPO的定义：C2CSCPO测试场景下，VT1、VT2、VT33辆静止车辆，是普通大批量生产的汽车，轴距应满2.3m～2.9m的范围。TxVC-V2X网联通信能力，VT1、VT2、VT3不做要求。RxV以所在车道的中心线为轨迹行驶，TxVRxV方向移动且以车道中心线为行驶轨迹，RxV分50km/h60km/h的匀速行驶开展测试，TxV40km/h50km/h的速度进行测试。V2X设备TxVV2XTxV未发出丢失目标车辆信息，RxV驾驶员未收到V2X预TxV，未来得及刹车RxV与TxVTxVV2XTxVV2XTxVV2XTxVV2XRxVRxVRxV的后车与RxVRxVV2X模块故障，导致无法接收V2X消ASILExposure:由于TxVRxV的V2X模块故障，导致息或RxV没有收到V2X消息 RxV驾驶员未收到V2X预警，因障碍物遮挡，RxV驾驶车，RxVTxV发GB/T34590.36.4.3.82可控性评估“(例如:他/她不疲劳),经过相应的驾驶员培训(他/她有驾驶执照)并遵守所有适用的法律法规, ICW没有报警，并没有影响到车辆的驾驶功能以及车辆上其他的ADASGB/T34590.36.4.3.9如果相关项失效的危害不ASIL等级TxV的V2X模块故TxV发出错RxV驾驶员进行误制Exposure:Severity:Controllability: GB/T34590.36.4.3.82可控性评估“假设驾驶员在正常的驶执照)并遵守所有适用的法律法规,包括应有的谨慎以避免为其RxV后方车辆的角度，RxV20/PAGEPAGE21/V2V的交叉路口遮挡横穿制动场景下，车车由于TxVRxVV2X模块故RxV没有收到V2X消息，RxV与TxV相撞SG1V2XICW功能漏报警，无需分配ASILTxVRxV的问题产生误报RxV相撞SG2V2XICW功能误报警，V2XICWV2XICW功能误报警，或减轻误C-NCAP2024版测试规程中的定义：道路交通信号灯始终置为红色，RxV按照规划行驶路径沿车道中心线行驶，分别在直行道以40km/h，50km/h和60km/h60km/h。RxVV2X应用具有经验，懂得对预警做出反应。例如，RxV驾驶员收到预RSUV2X模块故障，导致RSUV2XRxVV2X模块故障，RxV没有收到RSUV2X消息同RxVV2X消息，但应用同RSUV2X消息内容错误，例同RSUV2X消息内容错误，例RxVV2XRSUV2X同RSUV2X消息内容正确，但同 （ASIL的可能范RSURxV的V2XRSU没V2X消RxV没有V2X消息行驶至交通灯市街道为常见RxV未及时减速，产生闯红灯风险，但闯红灯行为只有一定概率在此场景中的车速相对较低，因此事故影响相此场景可由驾驶员通过例行的驾驶操作完全控制，Controllability/T350.364..82可控性评估“假设驾驶员在正常的条件下驾驶(例如:他/她不疲劳),经过相应的驾驶员培训(他/她有驾驶执照)并遵守所有适用的法律法规,”应按照交通法规，时刻观察前方路况，避免伤害发生RLVW没有报警，并没有影响到车辆的驾驶功能以及车辆上其他的ADASGB/T34590.36.4.3.9“如果相关项失效的危害不影响车辆的安全运行(例如一些驾驶员辅助系统)C0”ASIL等级V2X消息内容错RxV（）V2X消息后会进行驶至交通灯市街道为常见Severity:在此场景中的车速相对较低，因此事故影响相RxV驾驶员可以观察路口信号灯情况，发现无碰撞风险即取消制动。误制动造成的减速度，即使追尾，碰撞相对速Controllability:/T350.364..82可控性评估“假设驾驶员在正常的条件下驾驶(例如:他/她不疲劳),经过相应的驾驶员培训(他/她有驾驶执照)并遵守所有适用的法律法规,”应按照交通法规，时刻观察前方路况，避免伤害发生从RxV的角度，由于此场景中没有遮挡，驾驶员一直视觉可见红绿灯，所RxV后方车辆的角度，RxV无功能安全要求25/PAGEPAGE26/RSURxV的问题产生漏报息，RxV发生闯红灯行为SG1V2XRLVW功能漏报RSURxV的问题产生误报RxV急刹车，RxVRxVSG2V2XRLVW功能误报无功能安全要求PSFR-FC1-2（RSU的要求）：RSU应在硬件或软件层面具备一定的冗余机制，使得当硬件或软件层面出现宕机等问题时，V2X消息的发送能够息（摄像头、毫米波雷达、激光雷达）TxVV2X消息进行核对，用V2XADAS的融合结果对是否预警进行确认 FC2：RSU发出的消息未能被RxV消息兼容性（V2Xmessageconformance准入测试） 消息未能被RxVPSFR-FC3-1（RSURxV的要求）：应确保发射机、接收机的丢包RSU未能发送V2X机）RSURSU之间的接口满足FC5：RxV底层收V2X消息，但丢弃；或者RxVRxVHMI故PSFR-FC5-1（RxV的要求）：RxVHMI软硬件应具有足V2X信息的及时处理与显示故障FC6RSU发送的V2X消息内容错误（例信息（摄像头、毫米波雷达、激光雷达）对TxVV2X消息进行核对，V2X与ADAS的融合结果对是否预警进行确认PSFR-FC6-3（MA系统及所有车辆的要求）：系统应设置（MisbehaviourAuthority）RxVRSU发送的消息内容不符合MBR（MisbehaviourReport）MA。MA核实RSU的证书链加入证书吊销列表（CRL）并通知所有车辆。当RSURxV继续收到已吊销证书的车辆发送的消息，RxV应忽略该错误消息FC7：RSU发出的消息未能被RxV正确解析的含义理解不同）的消息兼容性（V2X功能商用上市前加入messageconformance准入测FC8RxV自身传感器PSFR-FC8-1（RxV的要求）RxVV2X