CN112651132A

CN112651132A - 一种用于自动驾驶车辆误操作的预期功能安全风险评估方法

Info

Publication number: CN112651132A
Application number: CN202011591298.XA
Authority: CN
Inventors: 李茹; 马育林; 田欢; 孙川; 郑四发
Original assignee: Suzhou Automotive Research Institute of Tsinghua University
Current assignee: Tsinghua University; Suzhou Automotive Research Institute of Tsinghua University
Priority date: 2020-12-29
Filing date: 2020-12-29
Publication date: 2021-04-13
Anticipated expiration: 2040-12-29
Also published as: CN112651132B

Abstract

本发明公开了一种用于自动驾驶车辆误操作的预期功能安全风险评估方法，包括：对自动驾驶车辆误操作触发事件进行分析，得出触发误操作事件的原因及发生的场景；在仿真软件中构建自动驾驶车辆误操作仿真测试场景并进行测试，改进误操作对预期功能安全的影响；将由于误操作导致的自动驾驶车辆的系统/组件发生的功能表现局限上传至云端管理系统进行保存；对表现局限的功能进行严重度等级划分，分析潜在的出现频次和可被检测度，以采取相对应的应对措施。通过该用于自动驾驶车辆误操作的预期功能安全风险评估方法可有效合理地改善自动驾驶车辆误操作的预期功能安全，降低由于系统性能不足导致的风险，保证自动驾驶车辆的安全性和可靠性。

Description

一种用于自动驾驶车辆误操作的预期功能安全风险评估方法

技术领域

本发明涉及无人驾驶测试技术领域，具体涉及一种用于自动驾驶车辆误操作的预期功能安全风险评估方法。

背景技术

自动驾驶车辆是为了解决人类驾驶的不安全问题。据NHTSA(美国交通部高速公路安全管理局)统计，美国高速公路上每年死亡约2.5万人，94％是由驾驶员导致的驾驶功能不能奏效造成的。但自动驾驶又会产生新的人类驾驶员所没有的安全问题——Unknown(未知)、Unsafety(不安全)，即预期功能安全SOTIF。预期功能安全SOTIF强调的是避免因为预期的功能表现局限、性能不够而导致不合理的风险。也就是说，车辆在所有功能没有失效的情况下，依然发生的驾驶安全问题都归类于预期功能安全。自动驾驶车辆引发的安全问题中，99％都来源于预期功能安全。

目前行业对于SOTIF还没能找到一个完整的解决方案，也没有一套成熟、高效率的测试体系，甚至还没有一套基础理论。自动驾驶车辆是基于场景的，安全是建立在必须把驾驶安全放在第一位的基础上，但现实是，很多驾驶者并不把驾驶安全放在首位，提供给驾驶员的相关自动驾驶车辆预期功能的信息不够明确，关键操作情况的不可控性等等，进而导致危险发生，如何降低风险以确认自动驾驶预期功能的安全是SOT IF的挑战。

为了降低自动驾驶车辆预期功能安全的风险，需要确定措施来改进预期功能安全，以解决明确的导致安全违规的系统限制。比如可以减少或者减轻合理可预见的误操作的影响，完善相关预警和监控策略等，这些都是目前需要解决的问题。

发明内容

本发明的目的是针对现有技术中的问题，提供一种用于自动驾驶车辆误操作的预期功能安全风险评估方法。

为达到上述目的，本发明采用的技术方案是：

一种用于自动驾驶车辆误操作的预期功能安全风险评估方法，包括如下步骤：

S 1，对自动驾驶车辆误操作触发事件进行分析，得出触发误操作事件的原因及发生的场景；

S2，在仿真软件中构建自动驾驶车辆误操作仿真测试场景并进行测试，改进误操作对预期功能安全的影响，包括：

(1)在仿真软件中创建虚拟测试场景；

(2)根据实车所装备的传感器，在所述仿真软件中给模拟的自动驾驶车辆在车身的相同的安装位置及角度添加相应的所述传感器；同时设置所述传感器的参数，使仿真环境中的所述传感器参数与现实中使用的一致，获取所述仿真软件中传感器、底层执行控制层的数据；

(3)将用于实车的决策控制电子单元设备外接到所述仿真软件上；

(4)在所述仿真软件中添加车辆行驶环境；

(5)将驾驶模拟器外接到所述仿真软件上；

(6)对模拟的自动驾驶车辆进行误操作场景仿真测试实验；

(7)对测试结果进行分析并提出改进措施，包括改进提供给驾驶员的关于自动驾驶预期功能的信息和改善人机交互界面或者机制；

S3，将由于误操作导致的自动驾驶车辆的系统/组件发生的功能表现局限上传至云端管理系统进行保存；

S4，对表现局限的功能进行严重度等级划分，分析潜在的出现频次和可被检测度，以采取相对应的应对措施。

优选地，步骤S2中所述虚拟测试场景中至少包括交通参与者及交通标志。

优选地，步骤S2中，所述车辆行驶环境包括道路场景、交通环境、气象状态及误操作触发事件，所述道路场景用于模拟真实环境中道路场景要素的几何特性、物理特性和行为特性；所述交通环境用于模拟真实环境中交通流量信息及周围交通车辆行为；所述气象状态用于模拟真实环境中的天气状态、时间变化以及不同时间的光影变化。

优选地，步骤S2中，所述底层执行控制层包括底层执行控制板和电源控制板。

优选地，步骤S 2进行时，根据步骤S1的分析结果，得到不同的测试场景，提取各所述测试场景中关键参数、并结合外部环境、车辆控制确定最终测试场景，根据所述最终测试场景利用所述仿真软件构建所述仿真测试场景。

优选地，步骤S 3中，所述功能表现局限包括传感器功能表现局限、底层执行控制层功能表现局限和决策算法功能表现局限。

优选地，步骤S4中，所述严重度等级包括高、较高/中、中/较低、低，所述出现频次和所述可被检测度均分为高、中、低三档，采取的所述应对措施包括预警上报、启动降级控制、安全靠边停车和紧急制动。

进一步地，当严重度等级为高，且出现频次、可被检测度均为高/中时，采取自动紧急制动措施；当严重度等级为较高/中，且出现频次为中/低、可被检测度为高/中/低时，采取安全靠边停车措施；当严重度等级为中/较低，且出现频次为高/中/低、可被检测度为中/低时，启动降级控制措施；当严重度等级为低，且出现频次为中/低、可被检测度为中/低时，采取预警上报措施。

更进一步地，当采取自动紧急制动措施和安全靠边停车措施时，均开启应急灯。

进一步地，当所述严重度等级高、且出现频次、可被检测度均为高/中时，自动驾驶车辆预期功能安全的风险等级为高；当严重度等级为较高/中，且出现频次为中/低、可被检测度为高/中/低时，自动驾驶车辆预期功能安全的风险等级为较高；当严重度等级为中/较低，且出现频次为高/中/低、可被检测度为中/低时，自动驾驶车辆预期功能安全的风险等级为中等/较低；当严重度等级为低，且出现频次为中/低、可被检测度为中/低时，自动驾驶车辆预期功能安全的风险等级为低。

由于上述技术方案的运用，本发明与现有技术相比具有下列优点：本发明的用于自动驾驶车辆误操作的预期功能安全风险评估方法在对基于误操作自动驾驶车辆预期功能安全的触发事件分析后，对构建的仿真测试场景进行测试，根据测试结果提出有效的改善措施，并且将由于误操作导致的自动驾驶车辆系统/组件发生的功能表现局限上传至云端管理系统进行保存，对表现局限的功能进行严重度等级划分，分析潜在的出现频次和可被检测度，进而采取相对应的应对措施。本发明有效合理地改善了自动驾驶车辆误操作的预期功能安全，降低了由于系统性能不足导致的风险，保证了自动驾驶车辆的安全性和可靠性。

附图说明

附图1为本发明的用于自动驾驶车辆误操作的预期功能安全风险评估方法的流程图；

附图2为本发明中改进误操作对预期功能安全影响的流程图；

附图3为本发明中功能表现局限信息上传的结构框图；

附图4为本发明中严重度等级、应对措施及风险评估的框架图。

具体实施方式

下面结合附图来对本发明的技术方案作进一步的阐述。

如图1所示，本发明的用于自动驾驶车辆误操作的预期功能安全风险评估方法包括如下步骤：

S 1，自动驾驶车辆误操作触发事件分析

在分析基于自动驾驶车辆误操作的具体触发事件前，需要识别由于误操作引发的潜在危险行为，再由驾驶员要素和具体的环境条件对比预期危险场景与安全场景进行触发事件分析，如表1所示，主要包括由误操作引发的风险事件和相对应的触发事件。例如，好奇心驱使频繁开启/关闭自动驾驶功能，自动驾驶功能按键触发后突然从低速恢复到高速等导致车辆预期功能安全出现潜在危险行为；光线过强或者昏暗等情况下导致摄像头对驾驶员面部情绪识别不准确，无法正确开启疲劳驾驶监测功能从而产生交通事故隐患；驾驶员对不同自动驾驶功能下提示的车辆接管，没有正确理解制动踏板的正确操作方式导致危险发生。

表1

S2，在仿真软件中构建自动驾驶车辆误操作仿真测试场景并进行测试，改进合理可预见的误操作对预期功能安全的影响。

对于分析得到误操作的触发事件后，针对具体的误操作触发事件进行自动驾驶车辆的系统/组件测试，并提出改进措施，流程图如图2所示，具体包括如下步骤。

(1)分析识别误操作触发事件得到不同测试场景。

(2)确定最终测试场景。

在确定最终测试场景时，提取不同测试场景中的关键参数，以真实数据或理论分析的方法给出关键参数的分布范围，结合外部环境、车辆控制等因素，例如，天气状况、车速高低、其他交通元素等，从而得到最终的测试场景。

(3)在仿真软件中构建自动驾驶车辆误操作仿真测试场景。

仿真软件主要是以动力学仿真为主，用来在车辆开发的过程中对整车的动力、稳定性、制动等进行仿真，如SCANeR、CarSim、Prescan、CARLA等等。本发明仿真软件优选SCANeR软件。

构建自动驾驶车辆误操作仿真测试场景主要包括如下步骤：

A1.在仿真软件中创建虚拟测试场景。

根据自动驾驶车辆所需要实现的功能，搭建虚拟测试场景，此虚拟测试场景可以是高速公路或城区道路。在创建的虚拟测试场景中加入所需求的交通参与者如车、人、运动路径等、交通标志如信号灯、地标、施工等必要信息。

A2.在仿真软件中添加虚拟传感器及底层执行控制层数据。

根据实车所装备的传感器，在仿真软件中给模拟的自动驾驶车辆在车身的相同的安装位置及角度添加相应的诸如摄像头、毫米波雷达、激光雷达等传感器；同时设置传感器的各种参数如探测最大距离、精度等，使仿真软件中的传感器参数与现实中使用的尽可能一致，从而为自动驾驶车辆提供环境感知层。底层执行控制层包括底层执行控制板和电源控制板，如转向板、电控板和电源板，底层执行控制层数据包括刹车、油门等。

A3.在仿真软件中外接决策控制电子单元设备。

将用于实车的决策控制电子单元设备外接到仿真软件上，用于控制自动驾驶车辆可以在仿真环境下正常行驶。

A4.在仿真软件中添加车辆行驶环境。

根据真实车辆行驶环境在仿真软件中进行添加相应的道路场景、交通环境、气象状态及设置误操作触发事件。其中，道路场景用于模拟真实环境中道路场景要素的几何特性、物理特性和行为特性；交通环境是指合理的交通流量信息及周围交通车辆行为；气象状态指的是真实环境中的天气状态、时间变化以及不同时间的光影变化；设置误操作触发事件指的是在虚拟测试场景中加入误操作触发事件，如加入“大灯过于频繁使用”事件。

A5.在仿真软件中外接驾驶模拟器。

将驾驶模拟器外接到仿真软件上，用于模拟误操作中人机交互的触发事件进而构建相应的自动驾驶车辆误操作仿真测试场景。

(3)在自动驾驶车辆误操作仿真测试场景中对模拟的自动驾驶车辆进行误操作场景仿真测试实验。

(4)对测试结果进行分析并提出改进措施。

根据实际测试结果进行分析，通过对比风险事件确定有效的改进措施，如改进提供给驾驶员的关于自动驾驶预期功能的信息和改善人机交互界面或者机制。具体如表2所示。

表2

S3，将由于误操作导致的自动驾驶车辆的系统/组件发生的功能表现局限上传至云端管理系统进行保存。

在进行误操作场景仿真测试实验过程中，由于误操作导致真实发生危险行为时，自动驾驶车辆的系统/组件包括传感器、底层执行控制板和电源控制板等模块及决策算法存在功能表现局限的因素上传至云端管理系统进行保持。例如，本实施例中在表1中列出的触发事件“面部交互识别”中受到光照影响和“外部环境交互”中“大灯过于频繁使用”，其主要功能局限在于传感器识别受限，在强光、夜间光线昏暗条件下会出现误识别，对于这些功能表现局限的故障将其进行报文解析并上传至云端管理系统，以便进行风险等级划分从而给出应对措施。功能表现局限信息上传框架图见图3所示。

对表现局限的功能进行严重度等级划分，分析潜在的出现频次和可被检测度，进而采取相对应的应对措施，主要包括预警上报、启动降级控制、安全靠边停车和紧急制动。通过完善自动驾驶车辆预期功能安全的风险预警及相应的应对措施，从而对风险进行评估，最终降低风险，流程如图4所示，具体包括如下步骤。

(1)对表现局限的功能进行严重度等级划分。

严重度等级包括高、较高/中、中/较低、低四个等级。

(2)分析潜在的出现频次和可被检测度。

出现频次和可被检测度均分为高、中、低三档。

(3)制定应对措施及对风险进行评估。

A1.当满足表现局限的功能严重度等级高，且出现频次、可被检测度均为高/中时，表明风险等级高，采取自动紧急制动措施，并开启应急灯。

A2.若不满足A1条件，满足表现局限的功能严重度等级较高/中，且出现频次为中/低、可被检测度为高/中/低时，表明风险等级较高，采取安全靠边停车措施，并开启应急灯。

A3.若仍不满足A2条件，满足表现局限的功能严重度等级中/较低，且出现频次为高/中/低、可被检测度为中/低时，表明风险等级中等/较低，启动降级控制措施。

A4.若仍不满足A3条件，满足表现局限的功能严重度等级低，且出现频次为中/低、可被检测度为中/低时，表明风险等级低，采取预警上报措施。

A5.当A1～A4条件均不满足时，表明风险暂时可接受，可不采取应对措施。

上述实施例只为说明本发明的技术构思及特点，其目的在于让熟悉此项技术的人士能够了解本发明的内容并加以实施，并不能以此限制本发明的保护范围，凡根据本发明精神实质所作的等效变化或修饰，都应涵盖在本发明的保护范围内。

Claims

1.一种用于自动驾驶车辆误操作的预期功能安全风险评估方法，其特征在于：包括如下步骤：

S1，对自动驾驶车辆误操作触发事件进行分析，得出触发误操作事件的原因及发生的场景；

（1）在仿真软件中创建虚拟测试场景；

（2）根据实车所装备的传感器，在所述仿真软件中给模拟的自动驾驶车辆在车身的相同的安装位置及角度添加相应的所述传感器；同时设置所述传感器的参数，使仿真环境中的所述传感器参数与现实中使用的一致，获取所述仿真软件中传感器、底层执行控制层的数据；

（3）将用于实车的决策控制电子单元设备外接到所述仿真软件上；

（4）在所述仿真软件中添加车辆行驶环境；

（5）将驾驶模拟器外接到所述仿真软件上；

（6）对模拟的自动驾驶车辆进行误操作场景仿真测试实验；

（7）对测试结果进行分析并提出改进措施，所述改进措施包括改进提供给驾驶员的关于自动驾驶预期功能的信息和改善人机交互界面或者机制；

2.根据权利要求1所述的用于自动驾驶车辆误操作的预期功能安全风险评估方法，其特征在于：步骤S2中所述虚拟测试场景中至少包括交通参与者及交通标志。

3.根据权利要求1所述的用于自动驾驶车辆误操作的预期功能安全风险评估方法，其特征在于：步骤S2中，所述车辆行驶环境包括道路场景、交通环境、气象状态及误操作触发事件，所述道路场景用于模拟真实环境中道路场景要素的几何特性、物理特性和行为特性；所述交通环境用于模拟真实环境中交通流量信息及周围交通车辆行为；所述气象状态用于模拟真实环境中的天气状态、时间变化以及不同时间的光影变化。

4.根据权利要求1所述的用于自动驾驶车辆误操作的预期功能安全风险评估方法，其特征在于：步骤S2中，所述底层执行控制层包括底层执行控制板和电源控制板。

5.根据权利要求1所述的用于自动驾驶车辆误操作的预期功能安全风险评估方法，其特征在于：步骤S2进行时，根据步骤S1的分析结果，得到不同的测试场景，提取各所述测试场景中关键参数、并结合外部环境、车辆控制确定最终测试场景，根据所述最终测试场景利用所述仿真软件构建所述仿真测试场景。

6.根据权利要求1所述的用于自动驾驶车辆误操作的预期功能安全风险评估方法，其特征在于：步骤S3中，所述功能表现局限包括传感器功能表现局限、底层执行控制层功能表现局限和决策算法功能表现局限。

7.根据权利要求1所述的用于自动驾驶车辆误操作的预期功能安全风险评估方法，其特征在于：步骤S4中，所述严重度等级包括高、较高/中、中/较低、低，所述出现频次和所述可被检测度均分为高、中、低三档，采取的所述应对措施包括预警上报、启动降级控制、安全靠边停车和紧急制动。

8.根据权利要求7所述的用于自动驾驶车辆误操作的预期功能安全风险评估方法，其特征在于：当严重度等级为高，且出现频次、可被检测度均为高/中时，采取自动紧急制动措施；当严重度等级为较高/中，且出现频次为中/低、可被检测度为高/中/低时，采取安全靠边停车措施；当严重度等级为中/较低，且出现频次为高/中/低、可被检测度为中/低时，启动降级控制措施；当严重度等级为低，且出现频次为中/低、可被检测度为中/低时，采取预警上报措施。

9.根据权利要求8所述的用于自动驾驶车辆误操作的预期功能安全风险评估方法，其特征在于：当采取自动紧急制动措施和安全靠边停车措施时，均开启应急灯。

10.根据权利要求7所述的用于自动驾驶车辆误操作的预期功能安全风险评估方法，其特征在于：当所述严重度等级高、且出现频次、可被检测度均为高/中时，自动驾驶车辆预期功能安全的风险等级为高；当严重度等级为较高/中，且出现频次为中/低、可被检测度为高/中/低时，自动驾驶车辆预期功能安全的风险等级为较高；当严重度等级为中/较低，且出现频次为高/中/低、可被检测度为中/低时，自动驾驶车辆预期功能安全的风险等级为中等/较低；当严重度等级为低，且出现频次为中/低、可被检测度为中/低时，自动驾驶车辆预期功能安全的风险等级为低。