《智能网联汽车 高速公路驾驶辅助功能预期功能安全测试及评估方法》

本文件规定了智能网联汽车高速公路驾驶辅助功能预期功能安全测试评估流程、风险场景挖掘、风险场景测试及测试结果量化评估的相关要求。下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。GB/T41798—2022智能网联汽车自动驾驶功能场地试验方法及要求GB/T43267—2023道路车辆预期功能安全GB/T447192024智能网联汽车自动驾驶功能道路试验方法及要求GB/T43267-2023界定的以及下列术语和定义适用于本文件。具备环境感知、智能决策和自动控制，或与外界信息交互，乃至协同控制功能的汽车。驾驶自动化系统设计时确定的适用于其功能运行的各类条件的总称。驾驶自动化系统设计时确定的适用于其功能运行的外部环境条件。4缩略语预期功能安全整体测试评估流程应至少包含风险场景挖掘、风险场景测试、场景测试结果评估，测试流程如图1所示：a)识别并确定系统的测试对象与测试项；b)结合理论分析与数据驱动的方法，对系统运行过程中可能出现的预期功能安全风险场景进行系统性挖掘，形成覆盖设计运行范围的风险场景集合；c)采用仿真测试、封闭场地测试及开放道路测试等手段，对已识别的典型风险场景和潜在未知风险场景开展测试，获取系统在不同风险条件下的性能表现数据；d)对测试结果进行综合评估，形成预期功能安全结论，为高速公路驾驶辅助功能的安全性验证与系统释放提供依据。SOTIFSOTIF性能评估已知场景风险评估未知场景风险评估系统评审性能评估结果测试数据HWA系统测试项确定场景挖掘方法基于数据驱动的场景挖掘方法测试场景测试评估的成果应通过如文档、工程文件等可追溯的方式对其进行有效记录。3针对工作成果的类型，应使用文件审核、现场见证等方式进行审核。识别高速公路驾驶辅助系统在实际运行中可能面临的预期功能安全相关风险场景过程中，宜尽可能覆盖其设计运行范围，通过对系统功能、架构及运行环境的分析，对潜在的触发条件、功能不足及其可能导致的危害事件进行挖掘与归纳，形成用于后续测试与评估的风工作成果应至少包括风险场景列表、触发条件清单、功能不足模式清单以及相应的危害事件清单，并保证其完整性和可追溯性。前车紧急切入场景的风险评估示例见附录B。进行危害分析与风险评估应界定高速公路驾驶辅助系统的功能模式、预期行为、设计运行条件以及系统架构要素。高速公路驾驶辅助系统的功能描述示例见附录A。a)识别由于触发条件导致的危害行为或合理可预见的人员误用；b)识别危害事件，并建立与危害行为或合理可预见的人员误用的追溯关系。即S*C=0,则认为不存在不合理的风险。其他情况的危害事件应被认为与SOTIF相关，对其制定合理的应对措施，并在后续的SOTIF风险场景测试评估中予以考虑。对系统的触发条件识别应确定以下分析要素：b)危害分析与风险评估结果，即已确定存在与SOTIF相关风险的危害行为、合理可预见的人员误用以及危害事件信息。c)触发条件与功能不足的识别可采用CTA、STPA等方法，以确定造成不可接受的危害事件的根本原因，并将触发条件与功能不足匹配。4注：已知的环境条件和合理可预见的误用可能会暴露多个功能不足；对于给定的功能不足，可能有多重触发条件导致危害行为。所挖掘场景的潜在触发条件应至少包括以下类型：a)天气类触发条件，包括雨(大中小)、雪(大中小)、雾(大中小);b)光照类触发条件，包括阳光直射、路灯光直射、对向车灯直射；c)交通标志类触发条件，包括标志牌缺失或改变、车道线消失或不清晰、路标消失或d)自然环境类触发条件，包括地形地貌、建筑物、植被改变；e)他车干扰类触发条件，包括他车遮挡、雷达串扰、对向车灯直射；f)2交通基础设施类触发条件，包括金属井盖、金属围栏；g)人员误用类触发条件，包括错误认知、失误操作、错误判断；h)多目标交互类触发条件，包括横穿(行人、两轮车等)、多车并行、对向行驶、旁车切入、切出、前车紧急制动。数据收集的来源应包括真实环境采集的数据和仿真环境采集的数据：a)高速公路的自然驾驶数据，包括自然驾驶边缘场景，危险事故场景等；b)高速公路的模拟仿真数据，包括在虚拟仿真环境下生成的模拟驾驶场景的数据。在整合多种数据来源时，应保证数据的一致性与兼容性，以确保整体数据集的完整性与数据收集的类型应包括场景的各项数据以下：a)车辆状态数据，包括车速、转向角、加减速度等；b)交互行为数据，包括与前车的相对距离和速度；c)环境信息数据，包括道路类型、天气条件、交通流量等。数据预处理应至少包括以下四个步骤。a)数据清洗，去除噪声、异常值、缺失值和冗余数据。b)数据整合，将来自不同数据源的数据整合为一个统一数据集。c)数据转换，对数据进行必要的格式化和归一化处理，以适应后续分析。d)特征化，通过特征选择、抽取和构造，将数据转化为更适合建模的形式。5数据的特征提取应从原始数据中选择代表性特征并对其进行转换或组合形成新的特征，在考虑环境特征时，应根据数据的可用性决定其对相关性的贡献程度。注：特征主要指交通参与者的状态与交互层面的特征，目的在于建立相关性模型。场景的生成与验证应按照以下流程：a)通过特征组合和数据扭曲，探索潜在的风险场景。挖掘过程持续进行，直到达到最b)对生成的场景进行自然性验证，确保生成的场景与真实世界驾驶场景一致，包括对生成场景的特征分布进行验证，确保其与原始数据在高维空间的分布一致性；c)场景挖掘的过程确保所生成场景的合理性，并且保证覆盖度和风险水平的充分评估。场景的风险性评估可基于风险性评价指标如TTC、THW、人工势场等，对所生成的风险场景进行整体风险性、危害触发点风险性等层面的评价。保证生成的场景已覆盖被测系统ODD所涵盖的所有关键要素。仿真测试应满足以下要求：a)执行仿真测试前选定多个场景，在相同场景下对比实车测试与仿真测试结果，以验b)执行仿真测试期间不对测试工具、测试对象的版本和参数进行任何变更。仿真测试工具链应满足以下要求：a)仿真测试工具链具备传感器模型、动力学模型等关键模型的仿真建模能力，并提供证明材料以确保仿真测试中所用的仿真模型具备可信度；b)仿真测试工具链具备接入被测HWA系统模型、算法或硬件的能力；c)仿真测试工具链支持对仿真试验结果进行判定，具备整个仿真测试过程的数据采集、存储与回放功能，确保测试结果可追溯，至少支持记录和保存7.1.1.3要求的试验6d)仿真测试工具链支持创建并运行复杂交互环境，支持研发测试人员根据前期分析出试验数据的记录应至少满足以下要求：a)记录仿真试验在环测试方法、仿真试验工具链的配置和版本信息、被测HWA系统b)试验车辆外轮廓相对道路基础设施(例如道路交通标志、隧道等)最小距离信息或c)记录主车运动状态信息(至少包含时间、车辆位置、纵向及横向速度、纵向及横向加速度);d)记录目标物运动状态信息。封闭场地环境应满足以下要求：a)试验场地的道路、设施、标线等满足测试车辆的ODD所定义内容；b)试验场地电磁环境不对试验结果产生影响；c)2除特殊说明，测试场地平整、干燥的路面，无可见的潮湿处，无明显的凹坑、裂缝d)除特殊说明，测试场地不存在影响传感器工作的干扰物；a)测试车辆为新车，行驶里程不高于5000km;c)试验车辆应记录HWA系统软件版本和硬件版本，试验过程中不变更系统相关的软件、硬件及功能定义。测试数据记录应满足GB/T41798—2022中4.2.3规定的要求。开放道路环境应满足以下要求：a)试验道路的选择符合高速公路场景定义；b)若试验车辆HWA功能在光照度低于501x的条件下可被激活，则进行夜间试验，且夜间试验时长不低于总时长的三分之一；c)分别在试验车辆高速公路驾驶辅助功能可被激活的道路环境进行试验，不同类型道路环境间的有效试验时长总和独立进行记录，路面选择上覆盖不同道路表面结构。注：白天试验时段为日出时间点到日落时间点之间的时段，夜间试验时段为日落时间点至第二天日出时间点之间的时段。日出时间点与日落时间点以当地气象局发布信息为准。a)测试车辆应为新车，行驶里程不高于5000km;b)应保证整车测试功能的完整性；预期功能安全风险场景测试应采用仿真、场地、道路测试结合的三支柱法，根据不同测试方法的特点，可按表1的测试方法进行测试。高高中低低低低中高高高高高中低8通过风险场景挖掘方法所挖掘出的典型风险场景宜覆盖附录C所描述的9类场景。对于未知风险场景的风险等级应通过大里程测试来评估。采用仿真测试与开放道路测试相结合的方式实施。仿真测试场景包括基于自然驾驶数据搭建的虚拟场景(简称自然驾驶虚拟场景)或数据合成场景。具体测试里程分配策略如表2所示。表2大里程测试分配策略确认里程(km)当发生以下情况之一时，则认为试验结束：a)三种测试方法累计高速公路驾驶里程达到1,440,000km;b)三种测试方法累计高速公路驾驶时间加和达到16000h;整个试验过程应保证以下事项：a)道路测试期间无交通事故、试验操作人员无强制接入；b)仿真数据类型为采集的自然驾驶数据或基于自然驾驶数据的合成数据；c)试验场景覆盖测试对象的ODC所声明的所有要素。安全措施应在定义的时机正确触发且安全措施应具备有效性。安全措施未在定义的时机正确触发或触发后不具备有效性，则视为此风险场景测试不通9注：例如主车未触发制动或换道等安全措施导致与障碍物发生碰撞，或主车触发安全措施后仍与障碍物发生碰撞本文件采用定量的方式定义大里程测试的通过标准，满足表3中测试有效通过条件的任一情况，即表征未知风险场景的风险处于可接受水平。若不满足任一测试有效通过条件，表3测试有效通过条件1HWA运行16000h,无安全风险事件发生；2HWA运行1440000km的高速公路驾驶里程内无安全风险事件发生；应基于第6章至第8章的实现情况进行论证，以证明SOTIF得到了实现，对该论证的评估应至少包括以下几个方面。a)对危害、潜在的功能不足和触发条件进行分析；实施并评估为实现SOTIF所需的所有设计更改，以确保这些设计更改已根据所有指定用例中的接受准则充分降低了b)验证预期功能是否达到了最小风险状态，在必要时为驾乘人员或其他道路使用者提供了一种没有不合理风险的状态，考虑的方面包括已定义的驾驶员的干预、可合理预见的误用、已定义的功能降级。c)验证和确认策略应覆盖所有已知风险场景，并且提供具备足够置信度的论据证明未知风险场景中的残余风险符合接受准则，考虑以下方面：1)测试结果覆盖已识别的触发条件，包括环境条件以及直接和间接的误用；2)在验证和确认策略中，包含充分的确认活动来限制由已知和未知场景带来的3)完成了充分的验证和确认，并满足确认目标，以确信残余风险可接受；4)充分执行预期功能以评估标称行为和潜在危害行为；5)对危害行为而言，有证据证明不存在不合理的风险；6)测试结果提供了足够论据(包括但不限于场景覆盖度、安全测试报告等)证高速公路驾驶辅助功能属于L2级别的组合辅助驾驶。在高速公路或近似高速公路(如城市快速路等)的结构化道路上，车速范围为(0—120)km/h,激活后，系统持续的对车辆进行横向及纵向控制，包括车道居中行驶、主路巡航行驶、自主变道/超车、前车紧急切承担OEDR功能的主要执行角色，能够满足以下功能要求：效或系统OEDR能力不足时发出功能退出请求，并在一定时间内继续执行动态驾仅以前车紧急切入(Cut-in)场景为例，介绍HWA的系统初始架构。HWA功能应对Cut-in场景的传感器方案定义为：1个前单目/双目摄像头、1个前毫米波雷达、2个角毫米波雷达、1个前激光雷达以及高精地图及定位，方案如图A.1所示。激光雷达摄像头激光雷达摄像头激光重达HWA功能应对Cut-in场景的系统架构以下图A.2所示，由传感器、高精地图及定位、控制器、执行器(制动系统，转向系统)、人机交互界面(HMI)、车载网关(GW)构成。其中，传感器用于探测目标车辆状态，高精地图及定位用于定位自身车辆位置，控制器进行感知融合及决策控制运算，将执行指令(制动，驱动，转向)输出给执行系统(制动，驱动，前摄像头前摄像头前雷达执行系统角雷达1角雷达2激光雷达感知融合算法规划控制算法整车参数针对HWA功能应对Cut-in场景的传感器、控制器、执行器的数量以及功能说明如表A.11-1211--11111施态/城市快速路口汇入、高速公路/城市快速路直道行驶时切入、高速公路/城市快速路弯道行驶时切入、高速公路/城市快速路汇出，如表A.3所示。1车辆从汇入口切入；2标车辆从相邻车道左切入；标车辆从相邻车道右切入；3辆从相邻车道左切入；辆从相邻车道右切入；4相邻车道切入；HWA功能应对Cut-in场景，主要有以下2种功能表现/行为：a)制动避障，当主车识别到相邻车道车辆切入时，通过制动控制避免与切入车辆碰撞；b)转向避障，当主车识别到相邻车道车辆切入时，如果判断制动控制无法避免与切入车辆发生碰撞且周围环境允许变道时，通过转向避障。驾驶策略是监督组合辅助驾驶车辆实施的控制行为，监控组合辅助驾驶车辆与其他道路使用者的互动，并考虑当地交通规则和驾驶特点，以保证组合辅助驾驶HWA功能应对Cut-in场景的驾驶策略设计应考虑以下内容：a)防御性设计，如通过相邻车道车辆转向灯或运动轨迹，判断车辆有切入意图时，主b)在可能影响HWA功能应对Cut-in性能的条件下，系统根据环境条件调整控制策略及行为，如不利天气(较大的雨、雪、雾等)或道路表面结构(低附路面等)时，降低车速行驶、保持合理的车距以确保应对潜在的Cut-in;1车辆从汇入口切入；2标车辆从相邻车道左切入；标车辆从相邻车道右切入；3辆从相邻车道左切入；辆从相邻车道右切入；4相邻车道切入；是是是二二是是是是是是二二b)2识别系统级不安全控制行为，并建立与整车级非预期行为的追溯关系。系统级不安全控制行为示例如表B.2所示。控制器指令提供制动扭矩按照ADS控制器指令提供制动扭矩；控制器指令提供制动扭矩；提供制动扭矩；道HWA功能激活且前方无头车或其他障碍ADS控制器的驶员未干预车错误执行加速指令；路径上有障碍物执行加速指令。激活且驾驶员踩下制动踏板进行短期干预时，制动系统执行ADS控制器的减速指令过短，或开始为果受ESC_0控制高速公快速路口汇入路/城