CN112668012A - 一种自动驾驶人机界面安全性验证方法及系统 - Google Patents

Abstract

本发明公开了一种自动驾驶人机界面安全性验证方法及系统，所述验证方法包括如下步骤：通过对自动驾驶系统的人机界面进行分析，确定人机界面的安全需求；根据人机界面的安全需求建立人机界面的Event‑B模型；基于Rodin平台验证所述Event‑B模型的安全性，获得验证结果，本发明基于安全需求建立Event‑B模型，提高了自动驾驶系统的人机界面的安全分析的全面性。

Description

一种自动驾驶人机界面安全性验证方法及系统

技术领域

本发明涉及控制系统安全分析技术领域，特别涉及一种自动驾驶人机界面安全性验证方法及系统。

背景技术

自动驾驶技术是一种通过计算机系统实现无人驾驶的技术。自动驾驶汽车依靠人造卫式星、人工智能、计算机视觉等技术通过DMI(Driving-Machine-Interface，人机界面)自动驾驶人机界面向驾驶员反馈汽车的行驶状态等信息，驾驶员也能通过DMI向自动驾驶汽车发出最高限速、行车目的地等指令。由于路面情况的复杂性，建立高可信和高可用的自动驾驶控制系统的必要性和迫切性越来越突出。自动驾驶系统是一个具有安全苛求性的复杂系统，其每个环节都要进行详尽的安全分析和严格的验证，基于Event-B的形式化方法提供了可信系统严格验证的一条重要途径，该方法用数学模型建立系统的需求规约并根据数学理论对系统功能属性进行定量与定性分析，采用Event-B方法可以在极大程度上减少由自动驾驶控制系统开发人员造成的设计缺陷，是消除需求歧义性、不一致性的有效手段，对保障自动驾驶控制系统的功能正确性具有重要意义。

然而，自动驾驶控制系统作为典型的安全苛求系统，其功能逻辑的正确性并不足以满足安全要求，在系统设计和实现中缺乏对风险预测相关的预案往往暗示隐患在运营中突然爆发的可能性，极大的威胁着驾驶员的生命财产安全。相对于传统的机械设备，自动驾驶控制系统不仅要预防传统的机械故障，还要面对包括设计错误(软件缺陷)、部件交互故障、操作人员认知决策的失误，因此需要一种更加全面的安全分析技术解决传统安全分析技术无法处理的致因，并确保系统的设计能够避免上述致因导致的潜在风险。

发明内容

本发明的目的是提供一种自动驾驶人机界面安全性验证方法及系统，以提高自动驾驶系统的人机界面的安全分析的全面性。

为实现上述目的，本发明提供了如下方案：

一种自动驾驶人机界面安全性验证方法，所述验证方法包括如下步骤：

通过对自动驾驶系统的人机界面进行分析，确定人机界面的安全需求；

根据人机界面的安全需求建立人机界面的Event-B模型；

基于Rodin平台验证所述Event-B模型的安全性，获得验证结果。

可选的，所述通过对自动驾驶系统的人机界面进行分析，确定人机界面的安全需求，具体包括：

对自动驾驶系统的人机界面进行分析，确定自动驾驶系统的人机界面的系统级危害；所述系统级危害包括人机界面未正确接收到来自车辆传感器的数据，人机界面未正确接收到车辆定位模块的数据，驾驶员或自动驾驶模块未正确处理人机界面的报警；

根据所述系统级危害发生的过程从自动驾驶系统的控制原理图中提取用于进行人机界面安全性验证的控制结构图；

对所述控制结构图进行分析，确定产生系统级危害的危险控制行为；

分析所述危险控制行为产生的原因；危险控制行为产生的原因包括自动驾驶系统的功能设定缺陷、控制算法缺陷、环境影响；

通过在逻辑上排除危险控制行为产生的原因，确定危险控制行为的安全约束；

根据危险控制行为产生的原因和危险控制行为的安全约束确定人机界面的安全需求。

可选的，Event-B模型包括模型层模型、控制层模型和视图层模型。

可选的，所述根据人机界面的安全需求建立人机界面的Event-B模型，具体包括：

提取人机界面的安全需求以及人机界面的实际需求中与模型层功能有关的需求，建立模型层模型；

提取人机界面的安全需求以及人机界面的实际需求中与控制层功能有关的需求，建立控制层模型；

提取人机界面的安全需求以及人机界面的实际需求中与视图层功能有关的需求，建立视图层模型。

可选的，所述根据人机界面的安全需求建立人机界面的Event-B模型，之前还包括：

将人机界面的实际需求和人机界面的安全需求由自然语言描述形式转化为Event-B模型建立所需的形式；Event-B模型建立所需的形式元素包括常量、变量、卫式和不等式。

一种自动驾驶人机界面安全性验证系统，所述验证系统包括：

安全需求确定模块，用于通过对自动驾驶系统的人机界面进行分析，确定人机界面的安全需求；

Event-B模型建立模块，用于根据人机界面的安全需求建立人机界面的Event-B模型；

安全验证模块，用于基于Rodin平台验证所述Event-B模型的安全性，获得验证结果。

可选的，所述安全需求确定模块，具体包括：

系统级危害确定子模块，用于对自动驾驶系统的人机界面进行分析，确定自动驾驶系统的人机界面的系统级危害；所述系统级危害包括人机界面未正确接收到来自车辆传感器的数据，人机界面未正确接收到车辆定位模块的数据，驾驶员或自动驾驶模块未正确处理人机界面的报警；

控制结构图子模块，用于根据所述系统级危害发生的过程从自动驾驶系统的控制原理图中提取用于进行人机界面安全性验证的控制结构图；

危险控制行为确定子模块，用于对所述控制结构图进行分析，确定产生系统级危害的危险控制行为；

危险控制行为的产生原因分析子模块，用于分析所述危险控制行为产生的原因；危险控制行为产生的原因包括自动驾驶系统的功能设定缺陷、控制算法缺陷、环境影响；

安全约束确定子模块，用于通过在逻辑上排除危险控制行为产生的原因，确定危险控制行为的安全约束；

安全需求确定子模块，用于根据危险控制行为产生的原因和危险控制行为的安全约束确定人机界面的安全需求。

可选的，Event-B模型包括模型层模型、控制层模型和视图层模型。

可选的，所述Event-B模型建立模块，具体包括：

模型层模型建立子模块，用于提取人机界面的安全需求以及人机界面的实际需求中与模型层功能有关的需求，建立模型层模型；

控制层模型建立子模块，用于提取人机界面的安全需求以及人机界面的实际需求中与控制层功能有关的需求，建立控制层模型；

视图层模型建立子模块，用于提取人机界面的安全需求以及人机界面的实际需求中与视图层功能有关的需求，建立视图层模型。

可选的，所述验证系统还包括：

形式转换模块，用于将人机界面的实际需求和人机界面的安全需求由自然语言描述形式转化为Event-B模型建立所需的形式；Event-B模型建立所需的形式元素包括常量、变量、卫式和不等式。

根据本发明提供的具体实施例，本发明公开了以下技术效果：

本发明公开了一种自动驾驶人机界面安全性验证方法及系统，所述验证方法包括如下步骤：通过对自动驾驶系统的人机界面进行分析，确定人机界面的安全需求；根据人机界面的安全需求建立人机界面的Event-B模型；基于Rodin平台验证所述Event-B模型的安全性，获得验证结果，本发明基于安全需求建立Event-B模型，提高了自动驾驶系统的人机界面的安全分析的全面性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明提供的一种自动驾驶人机界面安全性验证方法的流程图；

图2为本发明提供的一种自动驾驶人机界面安全性验证方法的原理图；

图3为本发明提供的控制结构图；

图4为本发明提供的Event-B模型图。

具体实施方式

本发明的目的是提供一种自动驾驶人机界面安全性验证方法及系统，以提高自动驾驶系统的人机界面的安全分析的全面性。

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对发明作进一步详细的说明。

如图1和2所示，本发明提供一种自动驾驶人机界面安全性验证方法，所述验证方法包括如下步骤：

步骤101，通过对自动驾驶系统的人机界面进行分析，确定人机界面的安全需求。

步骤101所述通过对自动驾驶系统的人机界面进行分析，确定人机界面的安全需求，具体包括：

对自动驾驶系统的人机界面进行分析，确定自动驾驶系统的人机界面的系统级危害；从系统级别分析人机界面与其他组件交互可能导致的危害。为了寻找出导致人机界面故障的系统级危害，从自动驾驶系统的人机界面出发，寻找系统中与人机界面产生交互的相关模块，然后针对该模块提供的服务分析导致相关服务失效的危害，从而得到人机界面的系统级危害。经过分析可以得到以下个三个系统级危害：

H1：人机界面未正确接收到来自传感模块的数据；

H2：人机界面未正确接收到来自定位模块的数据；

H3：驾驶员或自动驾驶模块未正确处理人机界面的警报。

根据所述系统级危害发生的过程从自动驾驶系统的控制原理图中提取用于进行人机界面安全性验证的控制结构图；根据步骤101中系统级危害发生的过程构建系统的控制结构图，即通过熟悉整个自动驾驶系统，了解整个系统的工作流程和整体结构，分析系统中每个组件各自提供的服务以及影响整个系统的方式，绘制出自动驾驶系统的控制结构图，如图3所示。通过控制结构图可以更加清晰的了解人机界面与其他组件的交互情况，便于找出不安全控制行为并分析造成危害的原因。

对所述控制结构图进行分析，确定产生系统级危害的危险控制行为。从控制结构图中按照以下四种情况分析系统中关于人机界面的危险控制行为：

1)未提供或者没有遵守安全所要求的控制；

2)提供一个危险的控制；

3)过早或过晚提供可能安全的控制，即错误的时机或时序；

4)安全的控制结束的太快或作用时间太长。

分析得到的自动驾驶系统中关于人机界面的危险控制行为(Hazard ControlAction)如表1所示。

表1危险控制行列表

分析所述危险控制行为产生的原因；危险控制行为产生的原因包括自动驾驶系统的功能设定缺陷、控制算法缺陷、环境影响等；

通过在逻辑上排除危险控制行为产生的原因，确定危险控制行为的安全约束；

根据危险控制行为产生的原因和危险控制行为的安全约束确定人机界面的安全需求；即，结合造成不安全控制行为的原因与安全约束进一步得出自动驾驶系统的安全需求，如表2所示。

表2安全需求列表

步骤102，根据人机界面的安全需求建立人机界面的Event-B模型。

步骤102所述根据人机界面的安全需求建立人机界面的Event-B模型，之前还包括：将人机界面的实际需求和人机界面的安全需求由自然语言描述形式转化为Event-B模型建立所需的形式；Event-B模型建立所需的形式元素包括常量、变量、卫式和不等式。本发明中提到的建立人机界面的Event-B模型的过程实际上是一个将实际需求和安全需求转化为Event-B建模元素的过程，然而安全需求是用自然语言描述的，还需要将其转化为相应的常量、变量、卫式、不等式等Event-B建模所用元素。

表3实际需求和安全需的载体集合的转化列表

载体集合名称	载体集合含义	载体集合包含的常量
			M1	电源模型	ON、OFF
M2	驾驶模式模型	AUTO、ARTIFICIAL
			M3	速度模式模型	NORMAL、FAST、SLOW
M4	行驶状态模型	DRIVING、StopED

表4变量的转化列表

变量名称	变量含义	变量类型
			powerstate	电源状态	M1
drivingmode	驾驶模式	M2
			speedmode	速度模式	M3
drivingstate	行驶状态	M4

表5常量的转化列表

常量名称	常量含义
		ON	电源处于开启状态
OFF	电源处于关闭状态
		AUTO	自动驾驶模式
ARTIFICIAL	人工驾驶模式
		NORMAL	正常速度模式
FAST	快速模式
		SLOW	慢速模式
DRIVING	机车正在行驶
		StopED	机车停止

步骤102所述根据人机界面的安全需求建立人机界面的Event-B模型，具体包括：提取人机界面的安全需求以及人机界面的实际需求中与模型层功能有关的需求，建立模型层模型；提取人机界面的安全需求以及人机界面的实际需求中与控制层功能有关的需求，建立控制层模型；提取人机界面的安全需求以及人机界面的实际需求中与视图层功能有关的需求，建立视图层模型。

本发明得到的Event-B模型如图4所示。其中，模型层模型中包含有封装系统各种状态的模型，具有响应系统状态查询、应用系统功能和更新视图的功能；视图层模型以视图的形式解释模型层模型且能够发送更新视图请求，它将用户的输入发送给控制器层模型中的控制器且允许控制器选择视图；控制器层模型用于定义系统行为，将用户的操作映射到模型层模型并进行更新并且可以选择响应的视图。

步骤103，基于Rodin平台验证所述Event-B模型的安全性，获得验证结果。确保人机界面的正确性和可靠性。

本发明还提供一种自动驾驶人机界面安全性验证系统，所述验证系统包括：

安全需求确定模块，用于通过对自动驾驶系统的人机界面进行分析，确定人机界面的安全需求。

所述安全需求确定模块，具体包括：系统级危害确定子模块，用于对自动驾驶系统的人机界面进行分析，确定自动驾驶系统的人机界面的系统级危害；所述系统级危害包括人机界面未正确接收到来自车辆传感器的数据，人机界面未正确接收到车辆定位模块的数据，驾驶员或自动驾驶模块未正确处理人机界面的报警；控制结构图子模块，用于根据所述系统级危害发生的过程从自动驾驶系统的控制原理图中提取用于进行人机界面安全性验证的控制结构图；危险控制行为确定子模块，用于对所述控制结构图进行分析，确定产生系统级危害的危险控制行为；危险控制行为的产生原因分析子模块，用于分析所述危险控制行为产生的原因；危险控制行为产生的原因包括自动驾驶系统的功能设定缺陷、控制算法缺陷、环境影响；安全约束确定子模块，用于通过在逻辑上排除危险控制行为产生的原因，确定危险控制行为的安全约束；安全需求确定子模块，用于根据危险控制行为产生的原因和危险控制行为的安全约束确定人机界面的安全需求。

Event-B模型建立模块，用于根据人机界面的安全需求建立人机界面的Event-B模型。

Event-B模型包括模型层模型、控制层模型和视图层模型。

所述Event-B模型建立模块，具体包括：模型层模型建立子模块，用于提取人机界面的安全需求以及人机界面的实际需求中与模型层功能有关的需求，建立模型层模型；控制层模型建立子模块，用于提取人机界面的安全需求以及人机界面的实际需求中与控制层功能有关的需求，建立控制层模型；视图层模型建立子模块，用于提取人机界面的安全需求以及人机界面的实际需求中与视图层功能有关的需求，建立视图层模型。

所述验证系统还包括：形式转换模块，用于将人机界面的实际需求和人机界面的安全需求由自然语言描述形式转化为Event-B模型建立所需的形式；Event-B模型建立所需的形式元素包括常量、变量、卫式和不等式。

安全验证模块，用于基于Rodin平台验证所述Event-B模型的安全性，获得验证结果。

根据本发明提供的具体实施例，本发明公开了以下技术效果：

(1)基于安全分析技术构建安全需求，安全分析技术包括确认系统级危害、绘制系统控制结构图、分析系统危险的控制行为以及识别危险控制行为的致因因素并以此规避自动驾驶控制系统潜在的风险。

(2)立足于自动驾驶控制系统的功能需求和上述得到的安全需求构建基于Event-B的形式化模型，采用MVC架构思想对形式化模型逐步精化完善系统设计细节，实现对自动驾驶控制系统的严格安全性验证。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。

本文中应用了具体个例对发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例，基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

Claims (10)

1.一种自动驾驶人机界面安全性验证方法，其特征在于，所述验证方法包括如下步骤：

通过对自动驾驶系统的人机界面进行分析，确定人机界面的安全需求；

根据人机界面的安全需求建立人机界面的Event-B模型；

基于Rodin平台验证所述Event-B模型的安全性，获得验证结果。

2.根据权利要求1所述的自动驾驶人机界面安全性验证方法，其特征在于，所述通过对自动驾驶系统的人机界面进行分析，确定人机界面的安全需求，具体包括：

对自动驾驶系统的人机界面进行分析，确定自动驾驶系统的人机界面的系统级危害；所述系统级危害包括人机界面未正确接收到来自车辆传感器的数据，人机界面未正确接收到车辆定位模块的数据，驾驶员或自动驾驶模块未正确处理人机界面的报警；

根据所述系统级危害发生的过程从自动驾驶系统的控制原理图中提取用于进行人机界面安全性验证的控制结构图；

对所述控制结构图进行分析，确定产生系统级危害的危险控制行为；

分析所述危险控制行为产生的原因；危险控制行为产生的原因包括自动驾驶系统的功能设定缺陷、控制算法缺陷和环境影响；

通过在逻辑上排除危险控制行为产生的原因，确定危险控制行为的安全约束；

根据危险控制行为产生的原因和危险控制行为的安全约束确定人机界面的安全需求。

3.根据权利要求1所述的自动驾驶人机界面安全性验证方法，其特征在于，Event-B模型包括模型层模型、控制层模型和视图层模型。

4.根据权利要求3所述的自动驾驶人机界面安全性验证方法，其特征在于，所述根据人机界面的安全需求建立人机界面的Event-B模型，具体包括：

提取人机界面的安全需求以及人机界面的实际需求中与模型层功能有关的需求，建立模型层模型；

提取人机界面的安全需求以及人机界面的实际需求中与控制层功能有关的需求，建立控制层模型；

提取人机界面的安全需求以及人机界面的实际需求中与视图层功能有关的需求，建立视图层模型。

5.根据权利要求1所述的自动驾驶人机界面安全性验证方法，其特征在于，所述根据人机界面的安全需求建立人机界面的Event-B模型，之前还包括：

将人机界面的实际需求和人机界面的安全需求由自然语言描述形式转化为Event-B模型建立所需的形式；Event-B模型建立所需的形式元素包括常量、变量、卫式和不等式。

6.一种自动驾驶人机界面安全性验证系统，其特征在于，所述验证系统包括：

安全需求确定模块，用于通过对自动驾驶系统的人机界面进行分析，确定人机界面的安全需求；

Event-B模型建立模块，用于根据人机界面的安全需求建立人机界面的Event-B模型；

安全验证模块，用于基于Rodin平台验证所述Event-B模型的安全性，获得验证结果。

7.根据权利要求6所述的自动驾驶人机界面安全性验证系统，其特征在于，所述安全需求确定模块，具体包括：

系统级危害确定子模块，用于对自动驾驶系统的人机界面进行分析，确定自动驾驶系统的人机界面的系统级危害；所述系统级危害包括人机界面未正确接收到来自车辆传感器的数据，人机界面未正确接收到车辆定位模块的数据，驾驶员或自动驾驶模块未正确处理人机界面的报警；

控制结构图子模块，用于根据所述系统级危害发生的过程从自动驾驶系统的控制原理图中提取用于进行人机界面安全性验证的控制结构图；

危险控制行为确定子模块，用于对所述控制结构图进行分析，确定产生系统级危害的危险控制行为；

危险控制行为的产生原因分析子模块，用于分析所述危险控制行为产生的原因；危险控制行为产生的原因包括自动驾驶系统的功能设定缺陷、控制算法缺陷、环境影响；

安全约束确定子模块，用于通过在逻辑上排除危险控制行为产生的原因，确定危险控制行为的安全约束；

安全需求确定子模块，用于根据危险控制行为产生的原因和危险控制行为的安全约束确定人机界面的安全需求。

8.根据权利要求6所述的自动驾驶人机界面安全性验证系统，其特征在于，Event-B模型包括模型层模型、控制层模型和视图层模型。

9.根据权利要求8所述的自动驾驶人机界面安全性验证系统，其特征在于，所述Event-B模型建立模块，具体包括：

模型层模型建立子模块，用于提取人机界面的安全需求以及人机界面的实际需求中与模型层功能有关的需求，建立模型层模型；

控制层模型建立子模块，用于提取人机界面的安全需求以及人机界面的实际需求中与控制层功能有关的需求，建立控制层模型；

视图层模型建立子模块，用于提取人机界面的安全需求以及人机界面的实际需求中与视图层功能有关的需求，建立视图层模型。

10.根据权利要求6所述的自动驾驶人机界面安全性验证系统，其特征在于，所述验证系统还包括：

形式转换模块，用于将人机界面的实际需求和人机界面的安全需求由自然语言描述形式转化为Event-B模型建立所需的形式；Event-B模型建立所需的形式元素包括常量、变量、卫式和不等式。

Images