前言

上一篇簡要從SEC等參數(shù)初步探討了SOTIF validation target定義的方法論，對于如何在實(shí)踐中落地，ISO21448附錄C中給出了AEB功能的示例。

本文將結(jié)合標(biāo)準(zhǔn)與自己的理解，說明如何根據(jù)公開交通事故統(tǒng)計(jì)數(shù)據(jù)確定驗(yàn)證AEB false positive的minimum validation distance。

總體思路

本文主要分四個(gè)步驟進(jìn)行介紹：

1.識別由功能不足引起的危害事件：進(jìn)行SOTIF HARA分析，初步識別SOTIF的危害事件；

2.危害事件建模與評估：對危害場景進(jìn)行抽象建模，并應(yīng)用仿真方式對場景復(fù)現(xiàn)得到關(guān)鍵參數(shù)；

3.分析事故數(shù)據(jù)：通過應(yīng)用市場公開的事故統(tǒng)計(jì)數(shù)據(jù)分析得出可接受準(zhǔn)則；

4.定義測試場景：結(jié)合功能使用場景，定義合理的測試場景組合對可接受準(zhǔn)則進(jìn)行確認(rèn)。

步驟一

識別由功能不足引起的危害事件

AEB可能會因功能不足（如物體識別能力缺陷）而導(dǎo)致錯(cuò)誤的緊急制動，使車輛迅速減速，導(dǎo)致跟隨車輛追尾，也就是常提到的false positive。

通過危害事件分析得到：S>0, C>0，ISO21448 clause6中建議對此類危害事件需定義可接受準(zhǔn)則。

圖1：AEB誤觸發(fā)危害分析（來源ISO21448）

AEB的漏觸發(fā)（false negative），由于駕駛員是車輛控制的責(zé)任主體，可控性為C0，因此不必要進(jìn)行深入分析。對于L3的系統(tǒng)false negative是需要考慮的，也是很重要的組成部分。

Tips：TP/FP/FN/TN含義如下：

步驟二

對危害事件建模

通過step1我們發(fā)現(xiàn)，AEB的誤觸發(fā)引起的危害事件是自車與后方車輛發(fā)生碰撞，因此可以對風(fēng)險(xiǎn)場景簡化如下圖的跟車場景，紅色車輛為自車，綠色車輛為后方跟隨車輛。

Note1：以下內(nèi)容僅作為方法論探討，不作為實(shí)際項(xiàng)目應(yīng)用的依據(jù)

圖2：危害事件場景建模（來源ISO21448）

以上的場景建模，需要提取關(guān)鍵參數(shù)，標(biāo)準(zhǔn)給出示例如下：

a-》開始時(shí)，兩輛車以相同的速度v行駛；

b-》與速度相關(guān)的后車跟隨距離d具有已知的概率分布；

c-》自車的AEB緊急制動時(shí)，制動曲線遵循圖3；

d-》后車設(shè)置固定駕駛員模型，包括反應(yīng)時(shí)間與制動曲線，可以具有已知的概率分布也可以設(shè)置為固定值。

圖3：AEB 制動曲線（來源 ISO21448）

其中V與d是有關(guān)聯(lián)的變量，通常服從一定的概率分布，車速越高，跟隨距離越長?？梢砸哉鎸?shí)的車速與距離作為場景建模的輸入，比如用配備雷達(dá)的采集車去實(shí)際路采，也可以采集部分真實(shí)數(shù)據(jù)后進(jìn)行場景泛化。

將場景建模的輸入輸出整理如下：

表1：場景簡化參數(shù)

因?yàn)閷鼍捌渌匾蟛桓?，可以選擇在仿真環(huán)境下進(jìn)行測試，通過輸入上表中的輸入變量數(shù)據(jù)集，觀測輸出結(jié)果。仿真環(huán)境如下圖，可以在Matlab+CarSim環(huán)境中仿真。

圖4：仿真環(huán)境示例（來源文獻(xiàn)1）

以一組輸入輸出變量為子集，假設(shè)總的測試集合數(shù)量為T，其中發(fā)生碰撞的集合數(shù)量為L，則通過仿真得到：碰撞概率 R?？梢砸欢ǔ潭却碚鎸?shí)道路環(huán)境下AEB誤觸發(fā)后碰撞的概率。

其中，碰撞概率的結(jié)果中沒有區(qū)分S1，S2，S3，意味著只要發(fā)生后碰△V超過設(shè)置S1的閾值，就會被統(tǒng)計(jì)在L值中。

TRW有進(jìn)行過相關(guān)的分析，結(jié)果見下方，這里不展開，需要深入的可以參考如下文獻(xiàn)。

文獻(xiàn)【1】：

FABRIS,S.,PRIDDY, J. and HARRIS, F., “Method for hazard severity assessment for the case of undemanded deceleration.”, Presented at VDA Automotive SYS Conference, Berlin,June 19/20, 2012, https://www.researchgate.net/publication/344452155_Method_for_hazard_severity_assessment_for_Method_for_hazard_severity_assessment_for_the_case_of_undemanded_deceleration_-_Simone_Fabris.

圖5：仿真分析結(jié)果（來源文獻(xiàn)1）

步驟三

分析事故數(shù)據(jù)

國家道路安全部門可以提供的交通統(tǒng)計(jì)數(shù)據(jù)（例如，美國國家公路交通安全管理局（NHTSA）的GES數(shù)據(jù)）。交通統(tǒng)計(jì)需包括以下幾個(gè)關(guān)鍵數(shù)據(jù)：

a=>現(xiàn)有乘用車數(shù)量（N）；

b=>每輛車每年的平均行駛距離（K）；

c=>每年行駛的車輛總公里數(shù)（M）,M=N?K;

d=>每年實(shí)地相關(guān)事故（追尾碰撞）的數(shù)量（A）。

Note2：事故統(tǒng)計(jì)數(shù)據(jù)是與AEB誤觸發(fā)導(dǎo)致危害事件類型應(yīng)保持一致

Note3：以上數(shù)據(jù)可以針對功能釋放的國家或地區(qū)進(jìn)行統(tǒng)計(jì)

通過對所考慮的變量采用統(tǒng)計(jì)模型，增加了通過進(jìn)一步分析獲得的估計(jì)值的置信度?；诖诵畔ⅲ梢杂?jì)算出人類駕駛員在兩次碰撞之間行駛的平均距離B：

B：是人類駕駛員在兩次碰撞之間行駛的平均距離；

M：是每年行駛的車輛總公里數(shù)；

A：是每年實(shí)地相關(guān)事故（追尾碰撞）的數(shù)量。

為了獲得最壞情況估計(jì)，M取最大值，A取最小值。因此我們可以得到一個(gè)設(shè)計(jì)目標(biāo)：配備AEB的車輛可以行駛至少B公里而不會造成事故，或者AEB系統(tǒng)功能不足導(dǎo)致事故的概率低于每公里1/B。

這里隱藏了一個(gè)接受準(zhǔn)則——AEB功能引起的危害事件可能性應(yīng)等于或小于由人類駕駛員引起的相同危害事件可能性，如下方公式：

基于以上信息我們?nèi)绾蔚玫絭alidation target呢？

結(jié)合式1與式2，則可以得到AEB validation target（VT），VT=R*B，即在VT（Km）內(nèi)不允許發(fā)生AEB false positive的情況。

Note4：上述方法僅為概率理論度量，用于評估在決定將產(chǎn)品投放市場時(shí)可容忍的風(fēng)險(xiǎn)。因此即使?jié)M足該目標(biāo)，即使?jié)M足了該VT目標(biāo)，也可能會發(fā)生因AEB false positive而導(dǎo)致的accident，因此需要field monitor strategy，進(jìn)一步降低AEB false positive的概率。

Note5：VT=R*B中的基準(zhǔn)可被視為系統(tǒng)驗(yàn)證的下限。根據(jù)交通統(tǒng)計(jì)數(shù)據(jù)的不確定性，可通過將B乘以因子K來校準(zhǔn)，因此B的計(jì)算可以更新為B=K（M/A）。影響K的因素有：AEB功能可能減少交通事故的數(shù)量，進(jìn)而影響A值；交通統(tǒng)計(jì)數(shù)據(jù)中A包括合理和非合理的制動事件，比如有些是駕駛員誤操作導(dǎo)致的非合理事件。

步驟四

定義測試場景

我們確定validation target后，可以通過endurance run的方式對誤觸發(fā)率進(jìn)行驗(yàn)證，第4步就涉及到實(shí)際道路測試如何選取場景，比如天氣條件（干燥，霧，雪，雨，陰天等），道路條件（城市道路，鄉(xiāng)村道路，高速高架等），光照（夜間，黃昏，清晨等），車速區(qū)間等等。

測試場景的選擇可以通過傳感器性能局限及功能特定限制的詳細(xì)分析得到。然后基于選擇場景進(jìn)行數(shù)據(jù)采集，包含的相關(guān)駕駛場景的分布比例，ISO21448標(biāo)準(zhǔn)基于天氣，速度和其他參數(shù)的實(shí)際情況給出示例如下：

以上基于交通統(tǒng)計(jì)的方法在應(yīng)用時(shí)，標(biāo)準(zhǔn)提示需注意以下幾點(diǎn)：

1.此方式應(yīng)用L3及以上的ADS系統(tǒng)時(shí)需謹(jǐn)慎結(jié)合功能與系統(tǒng)架構(gòu)作出具體考慮；

2.如果將AEB速度段擴(kuò)展至130kph，則可接受準(zhǔn)則會發(fā)生一些變化，因?yàn)楦咚俣榷魏笈龈怕瘦^低；

3.可以從系統(tǒng)架構(gòu)考慮，如果使用多個(gè)子系統(tǒng)冗余控制，可通過觀察每個(gè)子系統(tǒng)的單個(gè)MTBC（例如，基于同質(zhì)或不同技術(shù)的冗余算法），優(yōu)化從交通統(tǒng)計(jì)數(shù)據(jù)得出的MTBC；

4.在分析系統(tǒng)限制后設(shè)計(jì)的特定駕駛路線（route）可以減少需要收集的數(shù)據(jù)量。

總結(jié)

本文提供了一種基于交通統(tǒng)計(jì)的方法，首先通過仿真的方式提煉出真實(shí)場景下誤制動發(fā)生后碰的概率，結(jié)合交通數(shù)據(jù)定義目標(biāo)平均碰撞間隔時(shí)間（MTBC）與AEB validation target。最后對endurance run的場景進(jìn)一步細(xì)化。該基準(zhǔn)可用于AEB大規(guī)模量產(chǎn)前ADAS系統(tǒng)魯棒性的指標(biāo)設(shè)計(jì)。