SOTIF中的定量分析

汽车电子与软件 2022-01-02 17:50


前言


在SOTIF中,如何定量地获取性能指标,以提升系统的功能表现,降低风险,是值得讨论的一个重点。

以车辆在直道中的发生误制动这个场景为例。导致车辆误制动的原因可能是多重的,比如由于雷达的感知误差,把前方100米的车辆探测成了80米,同时控制器的AEB算法过于保守,把雷达给的80米距离代进去发现达到了紧急制动的阈值,于是误制动发生了。

所以在分析性能指标之前,我们需要做好控制变量。比如想要分析感知系统性能指标,就要先假设执行器的性能是固定的,算法是固定的。以风险场景、控制算法、执行器性能为输入,才能定量地分析感知系统中相对距离,相对速度,角度等参数的性能指标。

我们就以误制动为例,来计算对感知系统相对距离和相对车速的性能指标要求。


场景定义


首先需要回答一个问题,什么是误制动?

那么如果本车前方有一辆车,且速度低于本车,两车在持续接近,那么何时AEB介入制动算是“好”的制动,何时介入又算是“误”制动呢?

在这里我们可以参考AEB TTC算法的数据。AEB系统会根据前方危险的紧急程度(实时TTC大小)做出不同的动作:预警、部分制动、全力制动

厂家设置的预警的TTC通常是2.7秒,因为经过一些论文的研究,如果在碰撞前2.5s给一个警告的话,考虑人的反应时间和刹车的距离,基本可以保证车辆刹停。而且经统计,在跟随前车时大多数驾驶员会在2.7s这个时间之前采取制动动作,故这个预警时间是可以被大多数驾驶员所接受的。

而AEB全力制动的TTC通常是1s左右,因为若此时驾驶员还未做出制动或转向动作,靠驾驶员避免碰撞已经不可能,必须靠AEB全力制动才能避免碰撞。我们认为当仅需要AEB预警时AEB发生制动是可以接受的,因为预警的目的也是让驾驶员去踩刹车(此时驾驶员踩刹车已经算晚了)。但是在连预警都不需要的时候发生制动,则是不可接受的。因为此时还未到需要AEB系统介入的时候,即当AEB不需要预警时发生了制动为误制动。

这样我们就得到了误制动场景的定义👇

直行时自车前方有前向行驶目标车,自车车速高于目标车,碰撞时间大于2.7s时自车发生制动,导致与后车追尾。



定量计算


有了风险场景的定义,我们还要确认使用的算法

我们假设AEB使用的是最基础的TTC算法TTC=相对距离/相对车速。预警的TTC时间是3秒(不重要),部分制动的TTC是1.6秒,全力制动的TTC是1s。

根据定义,那么允许的TTC误差是2.7-1.6=1.1s。已知TTC允许的误差,就可以计算得到相对距离和相对车速的允许误差范围。当然,两者的误差范围一定是有相关性的,如果距离精确点,车速可容忍的误差就大点,如下图所示。

 图1:相对距离与相对速度的关系 

从图中可以看出,相对距离和速度越大,允许的误差也越大,相对距离和速度越小,精度要求越严苛。为了做到风险的全覆盖,这里比较适合用百分比来表示误差。设距离S的误差是a,速度V的误差是b。

已知:

S/V=TTC=2.7;

S(1-a)/V(1+b)=1.6;


可得a和b的关系:

a=-0.59b+0.41


这样就得到了一个关于相对车速误差百分比和相对距离误差百分比的一个函数。可以取一组数据作为示例,a=29.2%,b=20%。这个精度要求看起来很大,但相对距离和相对速度较小时还是很严苛的。这里误差为什么不用绝对值表示,可以自己列一下公式试试看。


扩展


不同的算法会得到不同的计算结果。如下图所示,这个问题就转化成了当车辆实际处于Normal area时,距离和速度的误差不能导致系统进入Breaking area。其中Normal area来源于我们对误制动场景的定义。Breaking area长什么样子,则取决于所使用的AEB算法以及算法中标定的参数。

 图2:Normal area与Breaking area

到这里我们得到的是一个场景的分析结果,而不同的风险场景可以得到不同的结果。

比如弯道工况下的AEB算法除了距离和速度,还会用到横摆角速度;与他车轨迹交叉工况的AEB算法会引入相对角度;不同车道的车辆识别也会涉及到相对角度

根据不同的场景计算得到多组参数矩阵(值或函数),然后进行取交,最终就可以得到一组对感知系统的精度指标要求。


总体思路


在上一篇中,我们以误制动为例做了SOTIF的定量分析,根据误制动的风险场景以及AEB算法,计算得到了对感知系统相对距离和相对速度的精度指标要求的函数,并取了一组数据:距离精度要求29.2%,速度精度要求20%。

但是这个精度指标是不完整的,因为感知一定会有误差,谁都不能保证传感器能百分之百达到这个要求。所以在定义精度时,会有一个与之相对应的概率值,通常假设误差满足正态分布,概率值一般取 2 sigma或3 sigma。其含义是感知输出误差分布在精度指标范围内的概率为95.4%(2 sigma)或99.7%(3 sigma)。

首先,AEB有一个指标叫误报率,即在单位时间内误制动发生的概率,单位是h^-1。在ISO21448附录B中有关于AEB误报率指标计算的示例,其总体思想是要保证AEB系统误制动导致追尾的概率要小于人开车发生追尾的概率,即机器至少要比人开的好,这不是这篇文章讨论的重点,只要明白误报率的指标是可以知道的。

那么在多大的概率内满足精度指标才能满足整车AEB误报率的要求呢?有两个思路。

思路一是将误报率指标分解到各个参数(自上而下)。思路二是先给定一个概率(比如2 sigma),计算这个概率会导致的误报率(自下而上),看是否满足误报率目标。这里我们用第二种思路。

如果一个参数可以保证2 sigma满足精度指标,就意味着每一帧信号都会有95.4%的概率在精度阈值内,4.6%的概率超过阈值。我们可把超过阈值的信号认为是“失效”,那么4.6%就理解为信号的失效率。但是直觉告诉我们,一帧信号的“失效”不一定会导致危害发生。我们需要知道信号怎样的“失效”会导致整车层级的危害,才能探究信号的失效率和AEB误报率的关系。

注:

笔者这里参考了ISO26262硬件部分的概念。失效率:指单位时间内元器件失效的概率。PMHF(Probabilistic Metric for random Hardware Failure):单位时间内发生单点故障或多点故障中多点都发生故障的概率。一个元器件失效不一定会导致危害,只有发生单点故障,或者多点故障中的“多点”都发生故障,才会导致危害。PMHF就是用来度量导致危害的硬件失效概率密度的指标。信号“失效率”与AEB误报率的关系,就可以类比成硬件元器件的失效率和PMHF的关系。



问题一


问:哪几种信号失效的组合会导致危害。

这涉及到在该场景下,误制动发生与几种信号相关。我们称与误制动风险相关的信号为安全相关信号。若误制动和一个以上参数相关,在一个信号周期内,多个安全相关信号同时失效的概率(P)为这几个信号的失效概率相乘。

(1)

n为安全相关信号的个数;
为每个安全相关信号单帧的失效率。


问题二


问:上述失效信号的组合发几帧会导致危害。

此时需要定义危害,ISO21448附录B中对非预期制动的定义是非预期制动持续时间超过340ms。我认为这里的340ms是和制动系统的性能相关的,制动系统建压需要一定时间,而340ms就是制动建压达到某个减速度阈值的时间,这个减速度阈值就是危害发生的边界,或者S>0的边界。340ms是个参考值,制动系统建压速率越快,这个时间越小。

然后往前推导,制动系统建压340ms,需要AEB连续发送制动请求信号340ms。那么感知系统连续发几帧失效信号,才会导致AEB系统持续发340ms制动信号?

这里就需要知道AEB算法里的判断逻辑,比如判定制动的debounce次数,判定停止制动的debounce次数,接收感知信号的周期,算法运行周期等。结果为感知系统连续发N帧失效信号,会导致AEB发送超过340ms的制动请求信号,进而导致危害发生。


问题三


通过前两个问题,已经知道发生危害的条件是所有安全相关信号同时发生“失效”连续若干帧。那么第三个问题是:

车辆运行多长时间才会发生一次“连续N个信号周期发生n个安全相关信号都失效”的事件?

这个问题可以简化成一道概率题:已知某事件X发生的概率为P,那么使事件X连续发生N次所需尝试次数是多少?通过解答问题一和问题二,P和N都是已知的。

假设E(n)为事件X连续发生N次所需尝试次数的期望,那么E(N)和E(N-1)有如下关系:
E(N)=E(N-1)+1+P*0+(1-P)*E(N);
经过转换可得到公式:                             

(2)


将P和N代入,即可求解尝试次数的期望。次数乘以信号周期就可以简单转换成时间、时间取倒数就是误报率。

可得误报率公式: 

(3)


R为误报率,单位h^-1;t为信号周期,单位ms。

注:公式(2)解释和推导:连续发生N次的前提是先连续发生N-1次,然后再发生一次。但是发生N-1次之后的这次尝试有两种可能,一是事件X发生了,则不需再次尝试(对应公式中P*0),二是事件X未发生,则需要从头开始再尝试E(N)次(对应公式中(1-P)*E(N))。

可整理得到:E(N)=(E(N-1)+1)/P;

已知E(1)=1/P;E(2)=(1+P)/P^2;

……

E(N)=(1+P+P^2+…+P^N-1)/P^N

分子为等比数列求和,可化简得:

E(N)=(1-P^N)/(P^N-P^N+1)



计算结果


以车辆在直道中的发生误制动这个场景为例。已知风险场景与相对距离和相对速度两个参数相关,相对距离和相对速度精度指标的概率都取2 sigma。那么,P=4.6%*4.6%=0.21%。

假设导致危害需要的连续帧数N=5,信号发送周期t=10ms。
得:E=2.45*10^13;R=(1.47*10^-8)h^-1。

即每发送2.45*10^13帧信号,会出现一次连续5帧距离速度两个信号都失效的事件。转换成时间就是6.82*10^7小时发生一次;误报率1.47*10^-8。拿这个值与误报率指标比较大小,若不能满足则提高精度要求(精度值或概率值)。

下面给出几组计算结果供参考。
 表1:一个安全相关信号(2 sigma) 

 表2:两个安全相关信号(2 sigma) 

由上表可见,与危害相关的信号越多,误报率越低。导致危害所需的信号连续失效次数越多,误报率越低。而且都是呈指数降低。这也对AEB的算法优化提供了参考。


总结


本文以误制动为例,探讨了精度指标中概率分布的取值计算方法。首先确定了总体思路是分析信号的失效率如何满足整车级误报率指标;然后将问题抽象成一个概率问题并推出误报率的计算公式;最后列出了几组计算结果。不足之处请指正。

END



作者简介

田野

曾任功能安全工程师,参与高低速智驾系统功能安全开发,底盘零件功能安全开发,以及预期功能安全预研项目,熟悉功能安全和预期功能安全分析方法,现从事嵌入式软件开发工作。



SASETECH专家申请(请扫右侧二维码提交)

微信交流群入群

(添加管理员微信,备注公司+姓名+研究领域)


SASETECH组织致力于推动功能安全、系统安全、网络安全、预期功能安全的业内交流和技术进步,打造全新智能网联汽车安全生态圈。欢迎加入!
汽车电子与软件 主要介绍汽车电子软件设计相关内容,每天分享一篇技术文章!
评论 (1)
游客_198752022-01-02 17:51
学习studying
  •   无人机电磁环境效应仿真系统:深度剖析   一、系统概述   无人机电磁环境效应仿真系统,专为无人机在复杂电磁环境下的性能评估及抗干扰能力训练打造。借助高精度仿真技术,它模拟无人机在各类电磁干扰场景中的运行状态,为研发、测试与训练工作提供有力支撑。   应用案例   目前,已有多个无人机电磁环境效应仿真系统在实际应用中取得了显著成效。例如,北京华盛恒辉和北京五木恒润无人机电磁环境效应仿真系统。这些成功案例为无人机电磁环境效应仿真系统的推广和应用提供了有力支持。   二、系统功能  
    华盛恒辉l58ll334744 2025-04-17 15:51 148浏览
  • 近日,全球6G技术与产业生态大会(简称“全球6G技术大会”)在南京召开。紫光展锐应邀出席“空天地一体化与数字低空”平行论坛,并从6G通信、感知、定位等多方面分享了紫光展锐在6G前沿科技领域的创新理念及在空天地一体化技术方面的研发探索情况。全球6G技术大会是6G领域覆盖广泛、内容全面的国际会议。今年大会以“共筑创新 同享未来”为主题,聚焦6G愿景与关键技术、安全可信、绿色可持续发展等前沿主题,汇聚国内外24家企业、百余名国际知名高校与科研代表共同商讨如何推动全行业6G标准共识形成。6G迈入关键期,
    紫光展锐 2025-04-17 18:55 193浏览
  • 一、行业背景与需求智能门锁作为智能家居的核心入口,正从单一安防工具向多场景交互终端演进。随着消费者对便捷性、安全性需求的提升,行业竞争已从基础功能转向成本优化与智能化整合。传统门锁后板方案依赖多颗独立芯片(如MCU、电机驱动、通信模块、语音模块等),导致硬件复杂、功耗高、开发周期长,且成本压力显著。如何通过高集成度方案降低成本、提升功能扩展性,成为厂商破局关键。WTVXXX-32N语音芯片通过“单芯片多任务”设计,将语音播报、电机驱动、通信协议解析、传感器检测等功能整合于一体,为智能门锁后板提供
    广州唯创电子 2025-04-18 09:04 173浏览
  • 一、行业背景与需求随着智能化技术的快速发展和用户对便捷性需求的提升,电动车行业正经历从传统机械控制向智能交互的转型。传统电动车依赖物理钥匙、遥控器和独立防盗装置,存在操作繁琐、功能单一、交互性差等问题。用户期待通过手机等智能终端实现远程控制、实时数据监控及个性化交互体验。为此,将蓝牙语音芯片集成至电动车中控系统,成为推动智能化升级的关键技术路径。二、方案概述本方案通过在电动车中控系统中集成WT2605C蓝牙语音芯片,构建一套低成本、高兼容性的智能交互平台,实现以下核心功能:手机互联控制:支持蓝牙
    广州唯创电子 2025-04-18 08:33 187浏览
  • 现阶段,Zigbee、Z-Wave、Thread、Wi-Fi与蓝牙等多种通信协议在智能家居行业中已得到广泛应用,但协议间互不兼容的通信问题仍在凸显。由于各协议自成体系、彼此割据,智能家居市场被迫催生出大量桥接器、集线器及兼容性软件以在不同生态的设备间构建通信桥梁,而这种现象不仅增加了智能家居厂商的研发成本与时间投入,还严重削减了终端用户的使用体验。为应对智能家居的生态割裂现象,家居厂商需为不同通信协议重复开发适配方案,而消费者则需面对设备入网流程繁琐、跨品牌功能阉割及兼容隐患等现实困境。在此背景
    华普微HOPERF 2025-04-17 17:53 112浏览
  •     爬电距离指的是两个带电体之间、带电体和大地之间,沿着绝缘材料表面的最短距离。与爬电距离有关的标准有IEC 61010-1。PCB设计方面,可以参照IPC-2221B。        (图源TI)    任何情况下,爬电距离不允许小于电气间隙。当绝缘材料是空气时,爬电距离可以和电气间隙相等。电气间隙的简介见协议标准第011篇。        一般情况下
    电子知识打边炉 2025-04-19 20:54 0浏览
  •   无人机蜂群电磁作战仿真系统软件,是专门用于模拟、验证无人机蜂群在电磁作战环境中协同、干扰、通信以及对抗等能力的工具。下面从功能需求、技术架构、典型功能模块、发展趋势及应用场景等方面展开介绍:   应用案例   目前,已有多个无人机蜂群电磁作战仿真系统在实际应用中取得了显著成效。例如,北京华盛恒辉和北京五木恒润无人机蜂群电磁作战仿真系统。这些成功案例为无人机蜂群电磁作战仿真系统的推广和应用提供了有力支持。   功能需求   电磁环境建模:模拟构建复杂多样的电磁环境,涵盖各类电磁干扰源与
    华盛恒辉l58ll334744 2025-04-17 16:49 123浏览
  • 1. 在Ubuntu官网下载Ubuntu server  20.04版本https://releases.ubuntu.com/20.04.6/2. 在vmware下安装Ubuntu3. 改Ubuntu静态IP$ sudo vi /etc/netplan/00-installer-config.yaml# This is the network config written by 'subiquity'network:  renderer: networkd&nbs
    二月半 2025-04-17 16:27 143浏览
  •     CTI是Comparative Tracking Indices的缩写,在GB 4207中被译作“比较追踪指数”,我认为还是“漏电起痕指数”更容易理解。    CTI表述了材料的绝缘特性——阻止不希望出现的电流。CTI的单位是V,在绝缘物表面添加一定量的电解液并施加电场,观察在绝缘物表面既不会持续产生火焰,也不会因为热、介质击穿、湿气或者污染物产生电弧放电留下痕迹(起痕)的最高电压。CTI的测量方法见IEC 60112 (GB 4207)。&nbs
    电子知识打边炉 2025-04-19 21:20 0浏览
  •   无人机蜂群电磁作战仿真系统全解析   一、系统概述   无人机蜂群电磁作战仿真系统是专业的仿真平台,用于模拟无人机蜂群在复杂电磁环境中的作战行为与性能。它构建虚拟电磁环境,模拟无人机蜂群执行任务时可能遇到的电磁干扰与攻击,评估作战效能和抗干扰能力,为其设计、优化及实战应用提供科学依据。   应用案例   目前,已有多个无人机蜂群电磁作战仿真系统在实际应用中取得了显著成效。例如,北京华盛恒辉和北京五木恒润无人机蜂群电磁作战仿真系统。这些成功案例为无人机蜂群电磁作战仿真系统的推广和应用提
    华盛恒辉l58ll334744 2025-04-17 16:29 152浏览
我要评论
1
0
点击右上角,分享到朋友圈 我知道啦
请使用浏览器分享功能 我知道啦