SOTIF中的定量分析

汽车电子与软件 2022-01-02 17:50

TI MCU方案：能源基础设施实时控制 【应用手册】TI 全新MCU及C29内核的能源设施应用方案

前言

在SOTIF中，如何定量地获取性能指标，以提升系统的功能表现，降低风险，是值得讨论的一个重点。

以车辆在直道中的发生误制动这个场景为例。导致车辆误制动的原因可能是多重的，比如由于雷达的感知误差，把前方100米的车辆探测成了80米，同时控制器的AEB算法过于保守，把雷达给的80米距离代进去发现达到了紧急制动的阈值，于是误制动发生了。

所以在分析性能指标之前，我们需要做好控制变量。比如想要分析感知系统性能指标，就要先假设执行器的性能是固定的，算法是固定的。以风险场景、控制算法、执行器性能为输入，才能定量地分析感知系统中相对距离，相对速度，角度等参数的性能指标。

我们就以误制动为例，来计算对感知系统相对距离和相对车速的性能指标要求。

场景定义

首先需要回答一个问题，什么是误制动？

那么如果本车前方有一辆车，且速度低于本车，两车在持续接近，那么何时AEB介入制动算是“好”的制动，何时介入又算是“误”制动呢？

在这里我们可以参考AEB TTC算法的数据。AEB系统会根据前方危险的紧急程度（实时TTC大小）做出不同的动作：预警、部分制动、全力制动。

厂家设置的预警的TTC通常是2.7秒，因为经过一些论文的研究，如果在碰撞前2.5s给一个警告的话，考虑人的反应时间和刹车的距离，基本可以保证车辆刹停。而且经统计，在跟随前车时大多数驾驶员会在2.7s这个时间之前采取制动动作，故这个预警时间是可以被大多数驾驶员所接受的。

而AEB全力制动的TTC通常是1s左右，因为若此时驾驶员还未做出制动或转向动作，靠驾驶员避免碰撞已经不可能，必须靠AEB全力制动才能避免碰撞。我们认为当仅需要AEB预警时AEB发生制动是可以接受的，因为预警的目的也是让驾驶员去踩刹车（此时驾驶员踩刹车已经算晚了）。但是在连预警都不需要的时候发生制动，则是不可接受的。因为此时还未到需要AEB系统介入的时候，即当AEB不需要预警时发生了制动为误制动。

这样我们就得到了误制动场景的定义👇

直行时自车前方有前向行驶目标车，自车车速高于目标车，碰撞时间大于2.7s时自车发生制动，导致与后车追尾。

定量计算

有了风险场景的定义，我们还要确认使用的算法。

我们假设AEB使用的是最基础的TTC算法，TTC=相对距离/相对车速。预警的TTC时间是3秒（不重要），部分制动的TTC是1.6秒，全力制动的TTC是1s。

根据定义，那么允许的TTC误差是2.7-1.6=1.1s。已知TTC允许的误差，就可以计算得到相对距离和相对车速的允许误差范围。当然，两者的误差范围一定是有相关性的，如果距离精确点，车速可容忍的误差就大点，如下图所示。

图1：相对距离与相对速度的关系

从图中可以看出，相对距离和速度越大，允许的误差也越大，相对距离和速度越小，精度要求越严苛。为了做到风险的全覆盖，这里比较适合用百分比来表示误差。设距离S的误差是a，速度V的误差是b。

已知：

S/V=TTC=2.7；

S(1-a)/V(1+b)=1.6；

可得a和b的关系：

a=-0.59b+0.41

这样就得到了一个关于相对车速误差百分比和相对距离误差百分比的一个函数。可以取一组数据作为示例，a=29.2%，b=20%。这个精度要求看起来很大，但相对距离和相对速度较小时还是很严苛的。这里误差为什么不用绝对值表示，可以自己列一下公式试试看。

扩展

不同的算法会得到不同的计算结果。如下图所示，这个问题就转化成了当车辆实际处于Normal area时，距离和速度的误差不能导致系统进入Breaking area。其中Normal area来源于我们对误制动场景的定义。Breaking area长什么样子，则取决于所使用的AEB算法以及算法中标定的参数。

图2：Normal area与Breaking area

到这里我们得到的是一个场景的分析结果，而不同的风险场景可以得到不同的结果。

比如弯道工况下的AEB算法除了距离和速度，还会用到横摆角速度；与他车轨迹交叉工况的AEB算法会引入相对角度；不同车道的车辆识别也会涉及到相对角度。

根据不同的场景计算得到多组参数矩阵（值或函数），然后进行取交，最终就可以得到一组对感知系统的精度指标要求。

总体思路

在上一篇中，我们以误制动为例做了SOTIF的定量分析，根据误制动的风险场景以及AEB算法，计算得到了对感知系统相对距离和相对速度的精度指标要求的函数，并取了一组数据：距离精度要求29.2%，速度精度要求20%。

但是这个精度指标是不完整的，因为感知一定会有误差，谁都不能保证传感器能百分之百达到这个要求。所以在定义精度时，会有一个与之相对应的概率值，通常假设误差满足正态分布，概率值一般取 2 sigma或3 sigma。其含义是感知输出误差分布在精度指标范围内的概率为95.4%（2 sigma）或99.7%（3 sigma）。

首先，AEB有一个指标叫误报率，即在单位时间内误制动发生的概率，单位是h^-1。在ISO21448附录B中有关于AEB误报率指标计算的示例，其总体思想是要保证AEB系统误制动导致追尾的概率要小于人开车发生追尾的概率，即机器至少要比人开的好，这不是这篇文章讨论的重点，只要明白误报率的指标是可以知道的。

那么在多大的概率内满足精度指标才能满足整车AEB误报率的要求呢？有两个思路。

思路一是将误报率指标分解到各个参数（自上而下）。思路二是先给定一个概率（比如2 sigma）,计算这个概率会导致的误报率（自下而上），看是否满足误报率目标。这里我们用第二种思路。

如果一个参数可以保证2 sigma满足精度指标，就意味着每一帧信号都会有95.4%的概率在精度阈值内，4.6%的概率超过阈值。我们可把超过阈值的信号认为是“失效”，那么4.6%就理解为信号的失效率。但是直觉告诉我们，一帧信号的“失效”不一定会导致危害发生。我们需要知道信号怎样的“失效”会导致整车层级的危害，才能探究信号的失效率和AEB误报率的关系。

注：

笔者这里参考了ISO26262硬件部分的概念。失效率：指单位时间内元器件失效的概率。PMHF（Probabilistic Metric for random Hardware Failure）：单位时间内发生单点故障或多点故障中多点都发生故障的概率。一个元器件失效不一定会导致危害，只有发生单点故障，或者多点故障中的“多点”都发生故障，才会导致危害。PMHF就是用来度量导致危害的硬件失效概率密度的指标。信号“失效率”与AEB误报率的关系，就可以类比成硬件元器件的失效率和PMHF的关系。

问题一

问：哪几种信号失效的组合会导致危害。

这涉及到在该场景下，误制动发生与几种信号相关。我们称与误制动风险相关的信号为安全相关信号。若误制动和一个以上参数相关，在一个信号周期内，多个安全相关信号同时失效的概率（P）为这几个信号的失效概率相乘。

（1）

n为安全相关信号的个数；

为每个安全相关信号单帧的失效率。

问题二

问：上述失效信号的组合发几帧会导致危害。

此时需要定义危害，ISO21448附录B中对非预期制动的定义是非预期制动持续时间超过340ms。我认为这里的340ms是和制动系统的性能相关的，制动系统建压需要一定时间，而340ms就是制动建压达到某个减速度阈值的时间，这个减速度阈值就是危害发生的边界，或者S>0的边界。340ms是个参考值，制动系统建压速率越快，这个时间越小。

然后往前推导，制动系统建压340ms，需要AEB连续发送制动请求信号340ms。那么感知系统连续发几帧失效信号，才会导致AEB系统持续发340ms制动信号？

这里就需要知道AEB算法里的判断逻辑，比如判定制动的debounce次数，判定停止制动的debounce次数，接收感知信号的周期，算法运行周期等。结果为感知系统连续发N帧失效信号，会导致AEB发送超过340ms的制动请求信号，进而导致危害发生。