《轻型汽车车道保持辅助系统技术要求及试验方法》

1轻型汽车车道保持辅助系统技术要求及试验方法本文件规定了轻型汽车车道保持辅助系统（以下简称系统）的总体要求、一般要求、用户告知，描述了试验方法。本文件适用于安装有车道保持辅助系统的M1和N1类汽车。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本（包括所有的修改单）适用GB5768.3道路交通标志和标线第3部分：道路交通标线GB/T34590.1道路车辆功能安全第1部分：术语GB/T34590.2道路车辆功能安全第2部分：功能安全管理GB/T34590.3道路车辆功能安全第3部分：概念阶段GB/T34590.4道路车辆功能安全第4部分：产品开发：系统层面GB/T34590.5道路车辆功能安全第5部分：产品开发：硬件层面GB/T34590.6道路车辆功能安全第6部分：产品开发：软件层面GB/T34590.7道路车辆功能安全第7部分：生产、运行、服务和报废GB/T34590.8道路车辆功能安全第8部分：支持过程GB/T34590.9道路车辆功能安全第9部分：以汽车安全完整性等级为导向和以安全为导向的分析GB/T34590.10道路车辆功能安全第10部分：指南GB/T34590.11道路车辆功能安全第11部分：半导体应用指南GB34660道路车辆电磁兼容性要求和试验方法3术语和定义下列术语和定义适用于本文件。3.1车道保持辅助lanekeepingassist；LKA实时监测车辆在本车道内的行驶状态，在出现非驾驶员意愿的车道偏离（3.6）时，控制车辆横向运动并发出警告信息，辅助驾驶员将车辆保持在原车道内行驶。[来源：GB/T39263—2020，2.3.6，有修改]23.2实时监测车辆在本车道内的行驶状态，在出现非驾驶员意愿的车道偏离（3.6）时，控制车辆横向运动，辅助驾驶员将车辆保持在原车道内行驶。[来源：GB/T39263—2020，2.3.8，有修改]3.3实时监测车辆在本车道内的行驶状态，在出现非驾驶员意愿的车道偏离（3.6）时，发出警告信[来源：GB/T39263—2020，2.2.12，有修改]3.4不需要改变行驶路径且没有任何固定障碍物干扰的行车道。3.5用于确定车道（3.4）边界的可见道路交通标线。3.6车辆前轮的外缘超出或将要超出车道边线（3.5）。3.7偏离侧前车轮与地面接触最外缘点在车道宽度方向上与车道边线（3.5）内边缘的距离（如图1所标引序号说明：d———DTLM（车轮未超出车道边线内边缘为正值，超出车道边线内边缘为负值）；W———车道宽度。3.8偏离速度rateofdeparture车辆接近车道边线（3.5）时行驶速度沿车道边线垂直方向的速度分量。3标注序号说明：V———车辆行驶速度；Vdepart———车辆行驶速度沿车道边线垂直方向的速度分量。图2偏离速度示意图3.9激活状态activestate系统发出警告信息和/或执行横向运动控制的状态。3.10待机状态standbystate系统满足激活条件，可被立即激活的未激活状态。3.11不可用状态unavailablestate系统无法待机和激活的状态。4总体要求4.1系统应具备车道偏离预警功能和车道偏离抑制功能。4.2系统的车道偏离预警功能应符合5.1～5.4的要求，并按照第7章进行试验。4.3系统的车道偏离抑制功能应符合5.1～5.3、5.5的要求，并按照第8章进行试验。4.4系统的设计应尽可能减少对驾驶员有意操作的警告与干预。4.5系统的光学信号应清晰可见，信号显示位置应便于驾驶员在正常的驾驶位置查看。系统的声学和触觉信号应能被驾驶员清晰感知。4.6系统的用户告知应符合第6章的要求。4.7系统受磁场或电场的不利影响时应能正常工作，应符合GB34660中车辆电磁辐射抗扰度要求。4.8系统的功能安全应符合附录A的要求，功能安全描述内容应符合附录B的要求。4.9车辆制造商应按照附录A的要求证明系统在全部可激活速度区间、偏离速度范围和道路曲率半径范围内的安全性。5一般要求5.1自检和故障5.1.1系统应具备自检能力，并至少在系统运行期间持续进行自检。系统自检之间不应有明显的时间5.1.2当故障导致系统处于不可用状态或无法符合本文件要求时，应发出故障警告信号，故障警告信号应为持续的光学信号。45.1.3在发生可探测的、导致系统处于不可用状态或无法符合本文件要求的电子电气故障时，不应延迟发出故障警告信号，且应持续至故障消失或系统关闭。在探测到导致系统处于不可用状态或无法符合本文件要求的非电子电气故障时（如传感器遮蔽等），应发出故障警告信号，且应持续至故障消失5.1.4当车辆每次进入新的上电/点火周期时，系统的每个光学警告信号均应点亮。此要求不适用于在共用空间显示的警告信号，也不适用于发动机自动执行启停的情况。5.2系统关闭5.2.1主动关闭5.2.1.1若系统具备主动关闭的方式，主动关闭全部功能的方式应为长按保持或至少包括两个有目的操作（如菜单选项上关闭并确认等）。系统未被驾驶员主动关闭的情况下，当车辆进入新的上电/点火周期时应自动开启全部功能，准许系统每次进入新的上电/点火周期时保留驾驶员的主动关闭设置。5.2.1.2LDW功能的声学警告信号应能被驾驶员的主动操作抑制，但该操作不能导致LDW功能、LDP5.2.2自动关闭若系统或部分功能可自动关闭（如越野使用、被拖拽、电子稳定性控制系统关闭等情况导致系统自动关闭），车辆制造商应提供系统自动关闭的情况列表、判定参数以及系统或部分功能自动关闭符合上述材料的说明，且系统应符合以下要求： 系统或部分功能发生自动关闭的条件符合车辆制造商提供的说明材料； 系统或部分功能自动关闭时，一旦导致自动关闭的条件不再存在，关闭的系统或部分功能自 其他驾驶自动化系统的关闭不导致系统或部分功能的自动关闭。5.2.3关闭提示信号当系统或部分功能关闭后，应至少发出持续的光学信号，该光学信号可与5.1.2规定的故障警告5.3自动抑制5.3.1系统可被驾驶员主动操作或其他正在执行车辆横向运动控制的驾驶自动化系统（如组合驾驶辅助系统等）、其他安全相关功能（如自动紧急制动系统、电子稳定性控制系统等）抑制。5.3.2车辆制造商应说明由驾驶员主观意图导致系统被抑制的条件及参数范围，证明在第7章、第8章的试验参数设置范围内不导致系统被抑制。5.3.3车辆制造商应说明其他正在执行车辆横向运动控制的驾驶自动化系统或其他安全相关功能导致系统被抑制的情况。5.4.1运行车速范围除按照5.2规定的方式主动关闭或自动关闭系统的情况外，LDW功能应至少在65km/h～130km/h的车速范围内所有车辆载荷条件下处于待机或激活状态。5注：若车辆最高设计车速低于130km/h，运行车速范围至少为65km/h至车辆制造商申报的车辆最高设计车速。5.4.2性能要求5.4.2.1在5.4.1规定的车速和载荷条件范围内，满足如下条件且LDW功能未处于不可用状态时，若发生车道偏离，LDW功能应在DTLM小于-0.3m前发出警告信号，本条按7.2进行试验。a）车辆偏离速度在0.1m/s～0.5m/s的范围内。b）笔直、平坦且干燥的道路上。c）车道边线清晰可见，为实线或虚线且符合GB5768.3的要求。d）不存在传感器致盲（如阳光直射等）的所有光照条件下，必要时可使用前照灯。e）不存在影响车道边线能见度的天气条件（如无雾等）。5.4.2.2在5.4.1规定的车速和载荷条件范围内，满足如下条件且LDW功能未处于不可用状态时，若驾驶员未进行转向操作并发生车道偏离，LDW功能应在DTLM小于-0.3m前发出警告信号，本条按7.3a）平坦、干燥且曲率半径不小于500m的弯道上。b）车道边线清晰可见，为实线或虚线且符合GB5768.3的要求。c）不存在传感器致盲（如阳光直射等）的所有光照条件下，必要时可使用前照灯。d）不存在影响车道边线能见度的天气条件（如无雾等）。5.4.2.3在[5.4.2.1a）～e）]和[5.4.2.2a）～d）]条件之外的其他情况下，LDW功能可能无法完全符合5.4.2.1和5.4.2.2的性能要求，车辆制造商不应不合理地改变功能的运行策略。5.4.2.4车辆制造商应提交文档证明LDW功能在所有车辆载荷条件下： 除7.2的试验车速和偏离速度外的其他5.4.2.1规定的车速和偏离速度范围内，能够符合对 除7.3的试验车速和弯道曲率半径外的其他5.4.2.2规定的车速和曲率半径范围内，能够符合对应的要求。5.4.3人机交互5.4.3.15.4.2.1和5.4.2.2规定的警告信号应符合以下要求之一。 易于引起驾驶员注意，并至少包含光学、声学、触觉中的两种方式。 为触觉或声学中的其中一种方式，且能够指示车辆偏离方向。注：当驾驶员的动作表明其有意驾驶车辆离开车道时，上述警告信号可能被抑制。5.4.3.25.4.3.1规定的光学警告信号准许使用5.1.2规定的系统故障警告信号的闪烁形式。5.4.3.3LDP功能执行的横向运动控制可被视为5.4.3.1规定的触觉警告信号。5.5.1运行车速范围5.5.1.1除按照5.2规定的方式主动关闭或自动关闭系统的情况外，LDP功能应至少在70km/h～130km/h的车速范围内所有车辆载荷条件下处于待机或激活状态。注：若车辆最高设计车速低于130km/h，运行车速范围至少为70km/h至车辆制造商申报的车辆最高设计车速。5.5.1.2若车速从70km/h以上逐渐减小到70km/h以下，LDP功能应至少维持激活状态直到车速降低至65km/h。65.5.2性能要求5.5.2.1在5.5.1.1规定的车速和载荷条件范围内，LDP功能不存在自动抑制且未处于不可用状态，并满足如下条件时，若发生车道偏离，LDP功能应使车辆的DTLM不小于-0.3m，本条按8.4进行试a）车速不超过100km/h时，偏离速度在0.2m/s～0.5m/s的范围内；车速大于100km/h且不超过130km/h时，偏离速度在0.2m/s～0.3m/s的范围内。b）笔直、平坦且干燥的道路上。c）车道边线清晰可见，为实线且符合GB5768.3的要求。d）不存在传感器致盲（如阳光直射等）的所有光照条件下，必要时可使用前照灯。e）不存在影响车辆动态性能（如无雪等）和车道边线能见度的天气条件（如无雾等）。5.5.2.2在5.5.1.1规定的车速和载荷条件范围内，LDP功能不存在自动抑制且未处于不可用状态，并满足如下条件时，若驾驶员未进行转向操作并发生车道偏离，LDP功能应使车辆的DTLM不小于-0.3m，本条按8.5进行试验。a）平坦、干燥且曲率半径不小于500m的弯道上。b）车道边线清晰可见，为实线且符合GB5768.3要求。c）不存在传感器致盲（如阳光直射等）的所有光照条件下，必要时可使用前照灯。d）不存在影响车辆动态性能（如无雪等）和车道边线能见度的天气条件（如无雾等）。5.5.2.3在[5.5.2.1a）～e）]和[5.5.2.2a）～d）]条件之外的其他情况下，LDP功能可能无法完全符合5.5.2.1和5.5.2.2的性能要求，车辆制造商不应不合理地改变功能的运行策略。5.5.2.4车辆制造商应提交文档证明LDP功能在所有车辆载荷条件下： 除8.4的试验车速和偏离速度外的其他5.5.2.1规定的车速和偏离速度范围内，能够符合对 除8.5的试验车速和弯道曲率半径外的其他5.5.2.2规定的车速和曲率半径范围内，能够符合对应的要求。5.5.3人机交互5.5.3.1LDP功能激活应立即向驾驶员发出光学警告信号，准许使用5.1.2规定的系统故障警告信号的闪烁形式。该信号应持续至少1s或与LDP激活时间一致，以其中较长者为准。本条按8.2.1进行5.5.3.2若LDP功能单次激活时间超过10s，应在LDP功能激活后10s内发出声学警告信号，该声学警告信号应持续至LDP功能退出本次激活状态。当驾驶员的动作表明其有意驾驶车辆离开车道时，上述声学警告信号可被抑制。本条按8.2.2进行试验。5.5.3.3若LDP功能在180s内出现两次或两次以上的连续激活，且激活期间驾驶员未进行转向操作，从180s内的第二次激活开始，应在每次激活时发出声学警告信号。从第三次激活开始，声学警告信号应比上一次激活时的声学警告信号多持续至少10s。本条按8.2.3进行试验。若在8.2.3的试验中无法避免第三次激活和第四次激活的声学警告信号重叠，准许车辆制造商提交至少包括设计文档、试验报告在内的文件证明第三次激活的声学警告信号持续时长比第二次激活的声学警告信号多持5.5.3.4车辆制造商应提交至少包括设计文档、试验报告在内的文件证明LDP功能在全部可激活速度区间、偏离速度范围和道路曲率半径范围内均符合5.5.3.1～5.5.3.3的要求。75.5.4驾驶员干预5.5.4.1LDP功能应使驾驶员能通过不大于50N的转向操作力干预车辆行驶，且驾驶员干预后LDP功能提供的转向力矩不应突然丧失，本条按8.3进行试验。5.5.4.2对于不直接控制车辆转向装置的LDP功能，应使驾驶员能通过不超过25°的转向盘输入角度干预车辆行驶，本条按8.3进行试验。车辆的产品使用说明书中应至少包含： 系统功能描述，包括系统能力说明、运行速度区间、自动抑制（若支持）、自动关闭（若支持）、待机及激活条件等必要的信息； 驾驶员开启、关闭和干预的方式； 系统警告信号及提示信号说明； 系统能力不足或使用限制说明。7.1试验条件试验条件应符合附录C的要求。若系统能单独关闭LDP功能，应在LDP功能关闭的状态下进行试7.2车道偏离预警直道试验按照表1要求的车道边线类型设置试验车道，试验车辆（SV）驶入试验车道中心区域，待试验车辆以（70±3）km/h的恒定车速沿与车道边线平行的方向稳定行驶至少2s后，试验开始。使试验车辆按表1要求的偏离速度和偏离方向行驶，试验场景如图3所示。当试验车辆发出警告信号或试验车辆的DTLM小于-0.3m时，试验结束。注：若驾驶员持续干预是LDW功能的抑制条件之一，试验过程中在试验车辆开始车道偏离前释放转向干预。图3车道偏离预警直道试验场景示意图表1车道偏离预警直道试验参数序号偏离速度m/s车道边线类型偏离方向10.1～0.2实线左20.1～0.2虚线右30.2～0.4虚线左8表1车道偏离预警直道试验参数（续）序号偏离速度m/s车道边线类型偏离方向40.2～0.4实线右50.4～0.5实线左60.4～0.5虚线右7.3车道偏离预警弯道试验按照表2要求的车道边线类型、弯道类型设置试验车道，试验车辆（SV）驶入试验车道中心区域，待试验车辆以（70±3）km/h的恒定车速进入定曲率弯道稳定行驶，且车辆中心线与车道中心线偏差不超过±15cm持续至少2s后，试验开始。释放试验车辆的转向控制，使试验车辆按照表2要求的偏离方向行驶，试验场景如图4所示。当试验车辆发出警告信号或试验车辆的DTLM小于-0.3m时，试验结束。图4车道偏离预警弯道试验场景示意图表2车道偏离预警弯道试验参数序号弯道类型车道边线类型偏离方向1右转弯道实线左2左转弯道虚线右8.1试验条件试验条件应符合附录C的要求。若系统能单独关闭LDW功能，应在LDW功能关闭的状态下进行试8.2警告信号试验8.2.1试验车辆驶入试验车道中心区域并稳定行驶2s后，试验开始。使试验车辆向左或向右偏离车道，并使LDP功能激活，待LDP功能进入非激活状态2s后，试验结束。98.2.2试验车辆驶入试验车道中心区域并稳定行驶2s后，试验开始。使试验车辆向左或向右偏离车道，并使LDP功能激活持续时间超过10s。待LDP功能进入非激活状态2s后，试验结束。若LDP功能不存在持续激活10s及以上的情况，准许由车辆制造商通过提交设计文档等方式证明LDP功能设计上的最长持续激活时间小于10s。8.2.3试验车辆驶入试验车道中心区域并稳定行驶2s后，试验开始。使试验车辆向左或向右偏离车道，并使LDP功能在180s内激活三次。当LDP功能第三次激活的声学警告信号结束后，试验结束。试验过程中，LDP激活期间仅由LDP功能对试验车辆进行转向控制。8.3驾驶员干预试验试验车辆驶入试验车道中心区域并稳定行驶2s后，试验开始。使试验车辆分别向左、向右偏离车道，并使LDP功能激活。在LDP功能激活状态下，向偏离方向转动转向盘，使试验车辆继续偏离车道。当试验车辆的DTLM小于-0.3m时，试验结束。8.4车道偏离抑制直道试验按照表3要求的车道边线类型设置试验车道，试验车辆（SV）驶入试验车道中心区域，待试验车辆以（72±1）km/h的恒定车速沿与车道边线平行的方向稳定行驶至少2s后，试验开始。试验车辆行驶路径应包含一条与被测车道实线平行的直线、一条固定曲率半径的曲线及一条使试验车辆按照表3要求的偏离速度和偏离方向偏离车道的直线。使试验车辆按照上述行驶路径行驶，试验场景如图5当下列情况之一发生时，试验结束： 试验车辆的DTLM小于-0.3m； 试验车辆的DTLM持续大于-0.3m的情况下，LDP功能由激活状态进入非激活状态。表3车道偏离抑制直道试验参数序号偏离速度m/s车道边线类型偏离方向10.2±0.05实线左20.2±0.05实线右30.3±0.05实线左40.3±0.05实线右50.4±0.05实线左60.4±0.05实线右70.5±0.05实线左80.5±0.05实线右图5车道偏离抑制直道试验场景示意图8.5车道偏离抑制弯道试验按照表4要求的车道边线类型、弯道类型设置试验车道，试验车辆（SV）驶入试验车道中心区域，待试验车辆以（72±1）km/h的恒定车速沿与车道边线平行的方向稳定行驶，且车辆中心线与车道中心线偏差不超过±15cm持续至少2s后，试验开始。试验车辆从直道进入弯道前1s释放试验车辆的转向控制，释放试验车辆的转向控制之前偏离速度绝对值不超过0.05m/s，试验场景如图6所示。试验过程中，不应干预车辆横向控制。下列情况之一发生2s后，试验结束： 试验车辆的DTLM小于-0.3m； 试验车辆的DTLM持续大于-0.3m的情况下，LDP功能由激活状态进入非激活状态。表4车道偏离抑制弯道试验参数序号弯道类型车道边线类型偏离方向1右转弯道实线左2左转弯道实线右图6车道偏离抑制弯道试验场景示意图9同一型式判定在进行除功能安全的相关试验时，若符合下述全部规定，则视为同一型式。 直接影响LKA系统的配置变化，包括：车道保持辅助系统型号、生产企业、软件版本号相同，但在不影响系统性能的前提下允许软件版本号不同；构成车道保持辅助系统的传感器（例如摄像头等）的生产企业、型号、类别、数量以及构成车道保持辅助系统的控制器（例如电子控制单元等）的数量、型号、生产企业；系统的最高设计车速相同或减少。 与系统相关的车辆参数，包括：整车生产企业相同；轮距变化小于5%；轴距相同或减小（任意相邻两轴）；转向桥（轮）满载轴（轮）荷相同或减少，或增加不超过5%。 构成LKA系统的转向系统配置变化，包括：转向系统结构布置相同；转向装置形式相同；转向器形式、型号及生产企业相同；转向操纵输入有效半径相同或增加；辅助转向装置型号及生产企业相同。 构成LKA系统的转向电子控制系统型号、生产企业及软件版本相同，但在不影响转向性能的前提下允许软件版本不同。在进行功能安全相关文档检验和试验时，若符合下述全部规定，则视为同一型式。 系统型号、生产企业及软件版本号相同,但在不影响功能安全的前提下允许软件版本号不同。 系统功能安全描述相同，描述内容应符合附录B功能安全描述要求。功能安全要求A.1总体要求本附录规定了系统在功能安全方面的文档及验证确认的要求，系统的功能安全要求应符合GB/T34590.1~GB/T34590.11的适用要求。本附录不针对系统的标称性能，而是规定设计过程中应遵循的方法和验证确认时应具备的信息。检验检测机构应按照本附录的要求，针对车辆制造商提交及备查的系统功能安全相关文档，进行文档确认和验证确认试验，以证明系统在非故障和故障状态下实现了功能概念和功能安全概念，并符合本文件规定的、所有适用的要求。A.2文档要求A.2.1总体要求车辆制造商应具有相应的文档以说明系统的功能概念、为实现安全目标而制定的功能安全概念、安全措施、开发过程和方法，以证明系统符合以下要求：a）通过设计保证系统在非故障和故障状态下实现了功能概念和功能安全概念；b）符合本文件规定的非故障和故障状态下的性能要求；c）开发过程和方法是适用的。文档共包含以下两个部分：a）提交的文档。车辆制造商应将以下文档提交至检验检测机构，车辆制造商应对所提交的文档与产品实际开发的一致性、可追溯性做出自我声明。具体包括：a）系统描述（见A.2.22）危害分析和风险评估总结（见A.2.3.13）安全措施说明（见A.2.44）整车层面的安全分析总结（见A.2.5.25）系统层面的安全分析总结（见A.2.5.46）系统层面的验证计划和结果总结（见A.2.6.2.17）整车层面的验证确认计划和结果总结（见A.2.6.3.1）。车辆制造商应具有下列相关文档，以供开展检验检测时公开备查。车辆制造商应对所保管文档的一致性、可追溯性及所采取的安全策略不会对车辆安全运行产生影响做出自我声明。具体包括：a）详细危害分析和风险评估（见A.2.3.22）详细整车层面的安全分析（见A.2.5.33）详细系统层面的安全分析（见A.2.5.54）详细系统层面的验证计划和结果（见A.2.6.2.25）详细整车层面的验证确认计划和结果（见A.2.6.3.26）其他支撑性材料或数据（若有）。A.2.2系统描述A.2.2.1一般要求车辆制造商应提交系统描述，至少包括A.2.2.2～A.2.2.7规定的内容。A.2.2.2基本信息描述系统的基本信息，至少应包括：系统型号、生产企业、软件版本号等。A.2.2.3功能描述描述系统的功能概念，包括目的和功能描述清单。A.2.2.4系统的范围、边界、接口描述系统的范围、边界、接口、内部包含的子系统和要素，并识别与其存在交互关系的外部系统或要素，以系统架构框图展示。A.2.2.5系统运行条件和约束限制描述系统的运行条件和约束限制，针对相应的系统功能，说明有效工作范围的界限。A.2.2.6系统在整车上的布置及外观以示意图展示系统在整车上的布置及外观。A.2.2.7系统布局及原理图A.2.2.7.1系统组件清单应提供包含系统的所有单元的组件清单，同时列明为实现相关控制功能所需的车辆其他系统。应基于这些单元提供系统布局及原理图，能够清晰地展示组件分布和相互连接。A.2.2.7.2单元功能概述系统各单元的功能，并展示该单元与其他单元或车辆其他系统间的信号连接。可使用带标记的框图或其他示意图，也可借助图表说明。A.2.2.7.3相互连接用电路图、管路图和布置简图分别说明电子传输链、气压或液压传输链和机械连接装置在系统内部的相互连接。A.2.2.7.4信号流、运行数据和优先顺序单元间的传输链与信号、运行数据应有明确的对应关系。若优先顺序影响本文件所述功能、性能或安全，则应确定多元数据通道内的信号、运行数据的优A.2.2.7.5单元的识别应能清晰明确地识别每个单元并提供相应的说明。内部集成了多个功能的单个单元或单个处理器，在框图里多次出现时，为清晰和便于解释，应仅用一个识别标志。应利用识别标志确认所提供的装置与相应的文档一致。识别标志应明确硬件，以及软件版本号，若版本变化引起本文件所述功能的改变，则应对识别标志做相应的改变。A.2.3危害分析和风险评估A.2.3.1危害分析和风险评估总结车辆制造商应提交危害分析和风险评估总结，描述系统的功能异常表现、整车层面危害、汽车安全完整性等级（ASIL）、安全目标。检验检测机构根据危害分析和风险评估总结，确认危害分析和风险评估的结果至少涵盖表A.1中整车危害及对应的安全目标。表A.1系统相关危害的安全要求序号整车危害ASIL等级a安全目标安全度量b系统功能1非预期的侧向运动D避免非预期的转向或过大转向，导致车辆与其他交通参与者、道路基础设施、障碍物等发生碰撞——非预期的侧向运动导致的侧向加速度变化值不超过安全阈值；——非预期的侧向运动导致的侧向位移不超过安全阈值；——非预期的侧向运动导致的横摆角速度变化值不超过安全阈——非预期侧向运动导致的转向盘转角变化值不超过安全阈值车道偏离抑制2非预期失去侧向运动控制QM避免主动转向控制功能丢失或降低，导致车辆与其他交通参与者、道路基础设施、障碍物等发生碰撞无3人机提醒不足或丢失QM避免系统功能的异常导致人机提醒不足或丢失无车道偏离抑制、车道偏离预警4无法响应驾驶员干预B～Dc避免系统功能的异常导致车辆不响应驾驶员的干预驾驶员干预所需的转向操纵力、持续时间不超过安全阈值车道偏离抑制表A.1系统相关危害的安全要求（续）序号整车危害ASIL等级a安全目标安全度量b系统功能a车辆制造商应根据危害分析和风险评估的结果定义ASIL等级，若车辆制造商定义更高的ASIL等级，视为符合要求；如有车辆层面的外部措施，可对表格中规定的ASIL等级进行降低，但应在文档中提供相应说明。b车辆制造商应针对相关整车危害定义安全度量，具体参数至少包括表格中的一个或者多个，安全阈值数值可基于不同车型和系统方案，结合实车测试结果进行定义。c本条安全目标的ASIL等级与车辆的偏离抑制能力、横向稳定性、系统的最高可激活速度相关。A.2.3.2详细危害分析和风险评估车辆制造商应具有详细危害分析和风险评估以备查，并提供该文档相关的企业名称、文件名、版本、状态、日期、储存位置等基本信息。A.2.4安全措施说明车辆制造商应提交安全措施说明，描述系统可能发生的功能异常表现、导致的整车危害、对应采取的安全措施。确保为实现安全目标而选择的安全措施不会在故障条件、非故障条件下影响车辆的安系统安全相关功能发生失效时，应通过警告信号或提示信息等方式警告驾驶员。在系统发生故障时，为符合安全目标而在设计时可采取的安全措施（含外部措施）如下所列：a）利用部分系统维持工作。如在特定条件下发生失效时选择维持部分性能的运行模式，应说明该条件并界定其效果；b）切换到独立的备用系统。如选择备用系统方式来实现安全目标，应对切换机制的原理、冗余的逻辑和层级、备用系统检查特征进行说明并界定备用系统的效果；c）通过关闭功能而进入安全状态。如选择关闭上层功能，应禁止与该功能有关的所有相应的输出控制信号，以此来限制干扰的传播；d）通过警告驾驶员，将风险暴露时间降低到一个可接受的时间区间内。注：针对定义为QM的安全目标，若无报警策略及其他安全措施，给予额外的说明。A.2.5安全分析A.2.5.1总体要求车辆制造商应提交整车层面和系统层面的安全分析总结，说明对影响表A.1中安全目标的危害和故障进行了有效识别和处理。安全分析应包括但不限于下列层面：a）整车层面的安全分析,可采用危害分析和风险评估、失效模式与影响分析（FMEA）、故障树分析（FTA）或适合整车安全分析的其他类似方法。b）系统层面的安全分析,可采用失效模式与影响分析（FMEA）、故障树分析（FTA）或适合系统安全分析的其他类似方法。在A.2.5.2、A.2.5.4规定的整车及系统层面的安全分析总结中，应列出系统所监测的参数，针对安全分析中的每一种故障情况，列出给予驾驶员、维修人员、检测机构人员的警告信号。在A.2.5.2、A.2.5.4规定的整车及系统层面的安全分析总结中，应描述对应的措施，确保系统在性能受环境条件（如气候、温度、灰尘进入、进水、冰封等）影响时，不会妨碍车辆的安全运行。注：针对定义为QM的安全目标，如未开展整车层面和系统层面的安全分析，给予额外的说明。A.2.5.2整车层面的安全分析总结车辆制造商应提交整车层面的安全分析总结，至少包括：a）系统与车辆其他系统的交互（含故障条件下）可能导致的潜在安全风险及对应的安全措施；b）系统功能异常表现引起的整车安全风险及对应的安全措施。A.2.5.3详细整车层面的安全分析车辆制造商应具有详细整车层面的安全分析以备查，并提供相关的企业名称、文件名、版本、状态、日期、储存位置等基本信息。A.2.5.4系统层面的安全分析总结车辆制造商应提交系统层面的安全分析总结，至少包括：a）系统架构层级要素；b）要素的功能描述；c）要素的潜在安全相关失效模式；d）失效后果（系统层面、整车层面）；e）安全机制的说明。A.2.5.5详细系统层面的安全分析车辆制造商应具有详细系统层面的安全分析以备查，并提供相关的企业名称、文件名、版本、状态、日期、储存位置等基本信息。A.2.6整车及系统层面的验证确认计划和结果A.2.6.1总体要求车辆制造商应提交整车层面和系统层面的验证确认计划和结果，说明对影响表A.1中安全目标的所有危害和故障，进行了验证和确认。验证确认应基于硬件在环（HIL）测试、实车测试或其他适当的车辆制造商应针对声明的系统可激活速度区间、偏离速度范围和道路曲率半径范围的典型场景，开展整车及系统层面的验证和确认。注：系统层面的范围，包括实现系统功能的传感器、系统控制器、转向控制器内部系统相关接口部分等。A.2.6.2系统层面的验证计划和结果A.2.6.2.1系统层面的验证计划和结果总结车辆制造商应提交系统层面的验证计划和结果总结，说明对所有影响系统功能安全概念的系统内部故障、外部接口故障及安全措施的有效性进行了验证。至少包括：a）验证对象，如车辆型号、系统名称、软件和硬件版本等；b）验证目的，如验证功能安全概念是否得到充分实现；c）验证方法及步骤概述（如果通过测试开展确认，还需说明测试设备、测试环境）；e）验证结果概述。A.2.6.2.2详细系统层面的验证计划和结果车辆制造商应具有详细系统层面的验证计划和结果以备查，并提供相关的企业名称、文件名、版本、状态、日期、储存位置等基本信息。A.2.6.3整车层面的验证确认计划和结果A.2.6.3.1整车层面的验证确认计划和结果总结车辆制造商应提交整车层面的验证确认计划和结果总结，说明对所有影响表A.1中安全目标及功能安全概念的跨系统/组件集成结果、跨系统/组件接口故障及安全措施的有效性进行了验证，对安全目标的充分性及达成效果进行了确认，至少包括：a）验证和确认对象，如车辆型号、系统名称、软件和硬件版本等；b）验证和确认目的，如验证系统与整车其他相关系统的安全交互要求，确认安全目标正确、完整且得到充分实现；c）验证和确认方法及步骤概述（如果通过测试开展确认，还需说明测试设备、测试环境）；d）接受准则，包括安全度量、其他接受准则（如有）；e）验证和确认结果概述。A.2.6.3.2详细整车层面的验证确认计划和结果车辆制造商应具有详细整车层面的验证确认和计划及结果以备查，并提供相关的企业名称、文件名、版本、状态、日期、储存位置等基本信息。A.3验证和确认A.3.1总则应按A.2中相关文档的描述，进行下列试验，对系统的功能概念和功能安全概念进行验证和确A.3.2功能概念的验证和确认按A.2.2中的功能概念，执行系统非故障状态下的功能试验，确认系统正常运行。A.3.3功能安全概念的验证和确认应通过向电子电气组件或机械组件施加相应的输入，来模拟电子电气组件内部故障对整车运动行为的影响，以检查单个组件失效时的反应。应针对A.2.5中的故障状态下的可控性、人机交互（HMI）进行验证和确认。基于A.2.5中安全分析识别出的典型故障、A.2.6中整车及系统层面的验证确认计划和结果，开展验证确认试验。故障应在系统激活前或激活后进行注入，模拟实际系统激活前或激活后出现故障的情况。制造商应配合检测机构开展故障模拟测试，以验证可能导致整车危害的相关故障，得到了安全措施的有效覆盖，并验证确认系统及整车实现了功能安全要求和功能安全目标。应按照表A.2的要求开展验证和确认试验。表A.2系统验证和确认测试要求序号涉及功能故障类型ab整车危害试验工况bcd接受准则1车道偏离抑制——供电类故障，包括：系统[电子控制单元（ECU）、摄像头、毫米波雷达、激光雷达等]工作电压过低、过高、开路、短路；——摄像头故障，包括：摄像头遮挡、摄像头信号丢失；——毫米波雷达故障，包括：毫米波雷达遮挡、毫米波雷达信号丢——激光雷达故障，包括：激光雷达遮挡、激光雷达信号丢失；——通信接口类故障，包括：系统内部通信接口故障、系统与其他系统通信接口故障导致系统发出非预期转向指令、过大的转向指令，产生非预期侧向运动非预期的侧向运动试验车辆载荷应为行车质量，试验条件应符合8.1的要求。试验车辆以（72±1）km/h的速度，按照8.4的方法进行直道试验，系统功能激活前或激活后注入故障a）符合A.2.6.3中验证和确认计划中的接受b）非预期的侧向运动导致的侧向加速度变化移、横摆角速度变化值不超过安全阈值2——供电类故障，包括：系统[电子控制单元（ECU）、摄像头、毫米波雷达、激光雷达等]工作电压过低、过高、开路、短路；——摄像头故障，包括：摄像头遮挡、摄像头信号丢失；——毫米波雷达故障，包括：毫米波雷达遮挡、毫米波雷达信号丢——激光雷达故障，包括：激光雷达遮挡、激光雷达信号丢失；——通信接口类故障，包括：系统内部通信接口故障、系统与其他系统通信接口故障导致系统未发出转向指令，产生非预期功能丢失或非预期失去侧向运动控制非预期失去侧向运动控制试验车辆载荷应为行车质量，试验条件应符合8.1的要求。试验车辆以（72±1）km/h的速度，按照8.5的方法进行弯道试验，系统功能激活前或激活后注入故障a）符合A.2.6.3中验证和确认计划中的接受b）非预期失去侧向运动控制导致的侧向加速度变化值、侧向位移、横摆角速度变化值不超过安全阈值，和/或发出驾驶员立即控制提醒3通信接口类故障，包括：系统内部通信接口故障、系统与其他系统通信接口故障导致无法响应驾驶员干预无法响应驾驶员干预试验车辆载荷应为行车质量，试验条件应符合8.1的要求。试验车辆以（70±3）km/h的车速，按照8.4的方法进行直道试验，系统功能激活前或激活后注入故障a）符合A.2.6.3中验证和确认计划中的接受b）及时且准确的发出警告信号并进入制造商定义的状态（例如：关闭功能）车道偏通信接口类故障，包括：系统内部通信接口故障、系统与其他系统通人机提a）符合A.2.6.3中验证和确认计划中的接受b）及时且准确的表A.2系统验证和确认测试要求（续）序号涉及功能故障类型ab整车危害试验工况bcd接受准则a检测机构应通过检查A.2.5要求的安全分析相关文档，确认上述故障类型是否存在，且影响表A.1中安全目标b对于确认后的故障类型，均应开展验证确认试验（危害分析和风险评估结果为QM的相关故障类型除外），验证确认试验应至少包括本表中规定的试验工况，具体注入故障方式由制造商和检测机构协商确定。对于传感器集成等特殊原因无法在实车层面模拟的故障类型，以及无法通过软件对量产车型实现的故障类型，检测机构应通过检查“详细系统层面的验证计划及结果”、“详细整车层面的验证和确认计划及结果”等相关技术文件的方式进行确认，并在试验报告中进行记录。c试验车速、车辆质量状态、路面附着系数可根据A.2.6.3验证和确认计划中的相关试验工况进行调整。d以上试验可根据系统的配置，进行合理调整（例如针对同一类型传感器的故障在同一工况下的替代性试验）。A.3.4验证和确认的结论验证和确认的结果应与A.2.6一致，并说明功能安全概念及其实施效果的充分性和有效性。试验报告应描述整车及系统层面开展的验证和确认情况，包括验证和确认的对象、目的、内容及结果。20功能安全描述要求B.1总体要求车辆制造商应提交系统功能安全描述，并应至少包括B.2规定的所有内容，其描述内容应与产品实际开发一致。B.2内容要求B.2.1系统描述B.2.1.1一般要求系统描述应至少包括B.2.1.2～B.2.1.6的内容。B.2.1.