预期功能安全-SOTIF:自动驾驶系统潜在功能不足与触发条件到底如何识别?

汽车电子与软件 2023-09-15 20:34
在预期功能安全ISO 21448中,一旦完成危害分析和风险评估过程,针对那些不满足危害行为接受准则的那些行为,我们如何有效地识别导致危害行为产生的潜在功能不足与触发条件,这绝对是预期功能安全开发的难点之一😂。

根据ISO 21448内容,一旦通过危害分析识别出整车危害(Hazard)及危害事件(Hazard Event),就需要对其潜在功能不足与触发条件进行识别,即哪些原因导致了危害行为的产生,便于后续依据触发条件制定安全需求,对系统进行优化和改进。

和功能安全相比,预期功能安全SOTIF的危害源于系统功能和性能局限,或人为合理误触发且应用于自动驾驶或高级辅助驾驶系统。

那么预期功能安全危害产生的原因,尤其是由功能不足导致的危害原因识别中存在什么难点呢?这篇文章我们深度聊一聊。

在功能安全ISO 26262中,通过单一的,或者针对较高的ASIL等级,采用FMEA+FTA的双重安全手段,就可以有效地识别出危害产生的原因,但随着自动驾驶自动化水平不断提高,系统越来越复杂,危害触发原因也随之复杂化和多样化,传统的安全分析手段在预期功能安全中已经不能满足其需求,尤其是由AI算法或机器学习得到的非白盒模型的应用,直接增加了预期功能安全危害源识别的难度😭,主要体现在:

1

自动驾驶系统功能和性能局限多属于未知因素,触发条件与运行场景强相关
2
系统复杂性增加,安全分析工作量剧增
3

系统之间错综复杂的相互作用关系使得安全分析很难找到失效的真正原因
4
非白盒模型极大增加了安全分析的难度
5

人为合理触发存在一定的个体差异性

由于以上原因,基于传统的安全分析方法,已经不再能够满足预期功能安全SOTIF危害源识别需求,那么我们应该如何应对呢?

总体来看,我们可以从以下几个方面入手: 

1

重视并不断丰富自动驾驶运行场景的搭建
2
结合多种安全分析手段,充分利用不同分析手段的优势和适用场景
3

加强仿真及测试验证的作用
只有这样才能充分识别自动驾驶系统在已知和未知的危害场景下的功能不足及危害触发条件。是的,这个结论看似简单,却不简单!

01


自动驾驶运行场景


对于自动驾驶系统而言,究其危害行为发生的原因,不仅涉及系统本身的原因,即系统潜在的功能不足和性能局限,还包括了故障发生当下的触发条件的激活,因为只有在特定的触发条件下,系统功能不足和性能局限才会显现出来,进而导致故障产生,例如,自动驾驶系统在夜间运行场景这一触发条件下,摄像头由于其功能不足将车道线误识别,导致非预期的转向产生,所以自动驾驶功能不足的触发条件和运行场景强烈相关,我们在识别自动驾驶系统功能不足的时候必须明确其触发条件。

自动驾驶系统运行场景的建立非常有助于潜在功能不足的触发条件的识别,和功能安全分析的车辆场景相比,预期功能安全中触发条件识别需要的运行场景更为细致,为了涵盖小概率危害事件,需要尽可能全面地收集更多的运行场景,包括一些极为少见的情形。

自动驾驶系统常见的运行场景因素主要包括:
  • 气候
    ─ 例如,良好,多云,雨,雪,雾,风等
  • 道路及道路特性
    ─ 例如,直道,弯道,上坡,下坡,道路宽窄,坑洼道路,车道线存在/不存在等
  • 道路特征
    ─ 例如,高速,立交桥,匝道,隧道等
  • 一天中所处的时间
    ─ 例如,早上,中午,晚上等
  • 光照
    ─ 例如,直射,背光,无光照,路灯照射等
  • 自车运行情况
    ─ 例如,车辆运行状态(纵向,横向),车重,传感器位置,干净程度等
  • 自车操作
    ─ 例如,加速,减速,弯道超车,停车,转向等
  • 周围车辆
    ─ 例如,前车加速,前车减速,前车停止,迎面来车,对面车打开了远光灯等
  • 其他交通参与情况
    ─ 例如,行人,轿车,卡车,公交车等
  • 障碍物等
    ─ 例如,交通标志,围栏,侧壁,掉落的物体等

自动驾驶运行场景库的建立是其研发的重要基础,目前行业内,不同的企业,或者以国家研究机构为单位都在积极地建立相应的自动驾驶运行场景,例如,中国汽研自动驾驶运行场景库,德国PEGASUS项目等,可以直接查看具体的运行场景库。

在预期功能安全后续的危害原因的识别和分析过程中,需要将不同的分析手段和运行场景相结合,才能有效识别出其功能不足和触发条件。

02


安全分析手段的应用


这一部分我们系统地来看看,有哪些分析手段可以用来识别预期功能安全危害触发原因,它们各自的适用程度如何,更适合解决哪类问题!

传统的安全分析方法,即归纳和演绎分析手段,例如,最常见的FMEA,FTA,依然是预期功能安全识别危害源,导出并定义安全需求的重要手段。

对于自动驾驶系统的预期功能安全而言,传统的安全分析方法的最大的局限性就在于需要依靠分析者的经验,对错综复杂的系统,甚至是非白盒系统,进行安全分析,不但分析工作量大,难度大,而且很多触发条件强烈依赖场景,而很多运行场景存于未知状态,所以安全分析+运行场景在预期功能安全分析中成为必然,安全分析在具体使用过程中也会发生一定的变化。

由于传统分析手段的白盒分析的特性,所以传统的安全分析手段,除了识别危害本身外,比较适用于以下情形:

1

失效源和触发条件的初步识别
2
在功能和逻辑层面存在的功能和性能不足的问题及触发条件
3

执行器端的功能和性能不足的问题及触发条件
 
当然,传统的安全分析方法完全可以用于AI,机器学习等非白盒模型,只是不能像白盒模型一样,通过对模型内部工作原理进行分析,使得整个模型达到可完全解释的状态,进而让我们可以比较容易地获得模型所有可能且确定的运行状态并进行安全分析,所以非白盒模型的安全分析多基于功能,逻辑和接口进行,可以借助模型特性等相关技术增加模型的可解释性,帮助我们更好地进行安全分析。

2.1 归纳分析方法

归纳分析法,例如FMEA, 是一种自下而上的安全分析方法,重点关注系统的各组成部分可能会发生的故障以及这些故障对系统的影响,属于从原因到结果的分析方法。

由于自动驾驶系统功能不足的触发条件的识别,离不开自动驾驶运行场景,所以我们可以从两个角度系统地应用归纳分析法,识别系统的功能不足和触发条件:

  • 角度一: 从潜在功能不足识别触发条件

这个角度和我们传统的归纳分析方法,例如FMEA,分析流程完全一致,主要是依据自动驾驶“感知-策划-执行”的模型的组成和功能,针对特定的系统功能,首先识别功能所涉及的软件,硬件要素列表,分析要素可能存在的功能不足,然后根据潜在的功能不足,结合运行场景,进一步识别可能会激活这些不足的触发条件。

为了朋友们更好理解,我们上个实例。例如,对于如下所示的自动驾驶系统车道保持(LKA)这个功能而言:
  • 首先,分析该功能主要涉及的要素包括:
     ─ 传感器: 摄像头
     ─ 控制器: 主要包括了LKA控制系统和运行控制(Running Controller)两个部分,主要的控制变量是LKA系统发出的转矩和转向角度。
     ─ 执行器: EPS
  • 然后,识别要素潜在的功能不足:
    例如:
    ─ 传感器: 摄像头由于分辨率限制,车道线识别不清晰或误识别。
    ─ 控制器:由于识别输入车道线不清晰,LKA算法无法进行合理应对。
    ─ 执行器: EPS执行单元在较低的温度下,执行速度变慢。
  • 最后,考虑运行场景,识别出触发条件:
    ─ 触发条件1: 在乡村道路,车道线不清晰(触发传感器和控制器功能不足),自车以100km/h速度行驶,迎面存在驶来的其他车辆。
    ─ 触发条件2: 车辆夜间行驶(触发传感器和控制器功能不足)在高速公路,自车处于弯道行驶状态,旁边存在高速公路护栏。
    ─ 触发条件3: ...

  • 角度二: 从运行条件识别潜在功能不足

虽然这个分析角度和传统的FMEA分析过程不同,但本质上也是属于归纳分析法,只不过是通过对可能导致危害行为的运行场景进行归纳,找出受这些潜在触发条件的影响的系统功能或要素,进而推断出其功能不足的问题。

该方式正好是前面所描述的从潜在功能不足到触发条件识别的反过程,上述实例过程也是同样适用,只是过程相反。

在实际应用中,这两种方式都可以使用,可以相互补充和验证分析结果的完整性。

2.2 演绎分析方法

所谓的演绎分析方法,例如,FTA,即自上而下,从危害入手,通过故障树的形式,逐级分析导致危害产生的原因,直至最终的底层原因为止。

在预期功能安全功能安全及触发条件识别中,虽然演绎分析发看似比较直接有效,可以根据危害直接识别到功能不足和触发条件,但由于自动驾驶系统较为复杂,影响因素相互交错,演绎分析方法的应用相对比较困难,很难直接应用于整个系统。

为此,在实际操作中可以根据特定的安全目标或危害,将系统按照“感知-策划-执行”三个大的部分,甚至可以在每个大的部分内部进行进一步分解,以此降低系统复杂度,便于演绎分析的实际操作。

但这样的操作可能导致在演绎分析过程中忽略系统组成部分之间的相互作用,这一点需要特别注意!

2.3 系统理论过程分析STPA

STPA(System-Theoretic Process Analysis),即系统理论过程分析认为事故是由不当的控制引起,而不是来源于失效链,非常适合自动驾驶系统预期功能安全这样比较复杂的分析对象。

STPA属于定性的安全分析方法,其核心在于建立系统的控制模型:
  • 首先,需要建立自动驾驶系统分析对象的控制模型。
  • 然后,根据分析引导词,通过对控制模型中的每个控制行为(包括人类行为)进行安全分析,识别出可能会导致危害(Hazard)产生的不安全的控制行为(UCA, Unsafe Controll Action),即可能潜在的功能不足。
  • 最后,分析不安全控制行为产生的原因,即得到了触发条件。
STPA直接基于控制模型,对分析者者经验要求相对低,比较适合预期功能安全危害原因的分析。

03


仿真和测试手段


尽管利用上述安全分析手段,可以识别出绝大部分预期功能安全危害产生的原因,但依然很难保证一些特殊触发条件下的功能不足和性能局限。为了增加上述安全分析结果的完整性,还需要对自动驾驶系统进行充分的仿真和实际测试。

仿真是自动驾驶系统研发的重要手段。它的实现离不开仿真平台和运行场景库的搭建。通过对各种各样自动驾驶场景的仿真,识别可能存在的问题,进而识别出系统功能不足和对应的触发条件。

实际测试也是自动驾驶验证必不可缺的环节,需要大量的长期测试,才能发现系统存在的问题。

实际上,从系统开发V模型来看,由于目前自动驾驶技术和能力的限制,自动驾驶系统还不足以充分应对复杂的现实驾驶场景,所以我们在自动驾驶系统V模型左侧所做的开发工作实际上是不足的,虽然会导致后期开发成本增加,但也只能将工作量后移,依靠V模型右侧大量的测试验证和确认工作来弥补。随着自动驾驶技术日益成熟,预期功能安全问题将逐渐淡化,演化为功能安全问题!




END




汽车电子与软件 主要介绍汽车电子软件设计相关内容,每天分享一篇技术文章!
评论
  • 故障现象 一辆2007款法拉利599 GTB车,搭载6.0 L V12自然吸气发动机(图1),累计行驶里程约为6万km。该车因发动机故障灯异常点亮进厂检修。 图1 发动机的布置 故障诊断接车后试车,发动机怠速轻微抖动,发动机故障灯长亮。用故障检测仪检测,发现发动机控制单元(NCM)中存储有故障代码“P0300 多缸失火”“P0309 气缸9失火”“P0307 气缸7失火”,初步判断发动机存在失火故障。考虑到该车使用年数较长,决定先使用虹科Pico汽车示波器进行相对压缩测试,以
    虹科Pico汽车示波器 2025-01-15 17:30 95浏览
  • 日前,商务部等部门办公厅印发《手机、平板、智能手表(手环)购新补贴实施方案》明确,个人消费者购买手机、平板、智能手表(手环)3类数码产品(单件销售价格不超过6000元),可享受购新补贴。每人每类可补贴1件,每件补贴比例为减去生产、流通环节及移动运营商所有优惠后最终销售价格的15%,每件最高不超过500元。目前,京东已经做好了承接手机、平板等数码产品国补优惠的落地准备工作,未来随着各省市关于手机、平板等品类的国补开启,京东将第一时间率先上线,满足消费者的换新升级需求。为保障国补的真实有效发放,基于
    华尔街科技眼 2025-01-17 10:44 126浏览
  • 80,000人到访的国际大展上,艾迈斯欧司朗有哪些亮点?感未来,光无限。近日,在慕尼黑electronica 2024现场,ams OSRAM通过多款创新DEMO展示,以及数场前瞻洞察分享,全面展示自身融合传感器、发射器及集成电路技术,精准捕捉并呈现环境信息的卓越能力。同时,ams OSRAM通过展会期间与客户、用户等行业人士,以及媒体朋友的深度交流,向业界传达其以光电技术为笔、以创新为墨,书写智能未来的深度思考。electronica 2024electronica 2024构建了一个高度国际
    艾迈斯欧司朗 2025-01-16 20:45 143浏览
  • 实用性高值得收藏!! (时源芯微)时源专注于EMC整改与服务,配备完整器件 TVS全称Transient Voltage Suppre,亦称TVS管、瞬态抑制二极管等,有单向和双向之分。单向TVS 一般应用于直流供电电路,双向TVS 应用于电压交变的电路。在直流电路的应用中,TVS被并联接入电路中。在电路处于正常运行状态时,TVS会保持截止状态,从而不对电路的正常工作产生任何影响。然而,一旦电路中出现异常的过电压,并且这个电压达到TVS的击穿阈值时,TVS的状态就会
    时源芯微 2025-01-16 14:23 151浏览
  • 随着消费者对汽车驾乘体验的要求不断攀升,汽车照明系统作为确保道路安全、提升驾驶体验以及实现车辆与环境交互的重要组成,日益受到业界的高度重视。近日,2024 DVN(上海)国际汽车照明研讨会圆满落幕。作为照明与传感创新的全球领导者,艾迈斯欧司朗受邀参与主题演讲,并现场展示了其多项前沿技术。本届研讨会汇聚来自全球各地400余名汽车、照明、光源及Tier 2供应商的专业人士及专家共聚一堂。在研讨会第一环节中,艾迈斯欧司朗系统解决方案工程副总裁 Joachim Reill以深厚的专业素养,主持该环节多位
    艾迈斯欧司朗 2025-01-16 20:51 108浏览
  • 近期,智能家居领域Matter标准的制定者,全球最具影响力的科技联盟之一,连接标准联盟(Connectivity Standards Alliance,简称CSA)“利好”频出,不仅为智能家居领域的设备制造商们提供了更为快速便捷的Matter认证流程,而且苹果、三星与谷歌等智能家居平台厂商都表示会接纳CSA的Matter认证体系,并计划将其整合至各自的“Works with”项目中。那么,在本轮“利好”背景下,智能家居的设备制造商们该如何捉住机会,“掘金”万亿市场呢?重认证快通道计划,为家居设备
    华普微HOPERF 2025-01-16 10:22 176浏览
  • 晶台光耦KL817和KL3053在小家电产品(如微波炉等)辅助电源中的广泛应用。具备小功率、高性能、高度集成以及低待机功耗的特点,同时支持宽输入电压范围。▲光耦在实物应用中的产品图其一次侧集成了交流电压过零检测与信号输出功能,该功能产生的过零信号可用于精确控制继电器、可控硅等器件的过零开关动作,从而有效减小开关应力,显著提升器件的使用寿命。通过高度的集成化和先进的控制技术,该电源大幅减少了所需的外围器件数量,不仅降低了系统成本和体积,还进一步增强了整体的可靠性。▲电路示意图该电路的过零检测信号由
    晶台光耦 2025-01-16 10:12 97浏览
  • 随着智慧科技的快速发展,智能显示器的生态圈应用变得越来越丰富多元,智能显示器不仅仅是传统的显示设备,透过结合人工智能(AI)和语音助理,它还可以成为家庭、办公室和商业环境中的核心互动接口。提供多元且个性化的服务,如智能家居控制、影音串流拨放、实时信息显示等,极大提升了使用体验。此外,智能家居系统的整合能力也不容小觑,透过智能装置之间的无缝连接,形成了强大的多元应用生态圈。企业也利用智能显示器进行会议展示和多方远程合作,大大提高效率和互动性。Smart Display Ecosystem示意图,作
    百佳泰测试实验室 2025-01-16 15:37 169浏览
  • 全球领先的光学解决方案供应商艾迈斯欧司朗(SIX:AMS)近日宣布,与汽车技术领先者法雷奥合作,采用创新的开放系统协议(OSP)技术,旨在改变汽车内饰照明方式,革新汽车行业座舱照明理念。结合艾迈斯欧司朗开创性的OSIRE® E3731i智能LED和法雷奥的动态环境照明系统,两家公司将为车辆内饰设计和功能设立一套全新标准。汽车内饰照明的作用日益凸显,座舱设计的主流趋势应满足终端用户的需求:即易于使用、个性化,并能提供符合用户生活方式的清晰信息。因此,动态环境照明带来了众多新机遇。智能LED的应用已
    艾迈斯欧司朗 2025-01-15 19:00 78浏览
  • 电竞鼠标应用环境与客户需求电竞行业近年来发展迅速,「鼠标延迟」已成为决定游戏体验与比赛结果的关键因素。从技术角度来看,传统鼠标的延迟大约为20毫秒,入门级电竞鼠标通常为5毫秒,而高阶电竞鼠标的延迟可降低至仅2毫秒。这些差异看似微小,但在竞技激烈的游戏中,尤其在对反应和速度要求极高的场景中,每一毫秒的优化都可能带来致胜的优势。电竞比赛的普及促使玩家更加渴望降低鼠标延迟以提升竞技表现。他们希望通过精确的测试,了解不同操作系统与设定对延迟的具体影响,并寻求最佳配置方案来获得竞技优势。这样的需求推动市场
    百佳泰测试实验室 2025-01-16 15:45 233浏览
  • 一个易用且轻量化的UI可以大大提高用户的使用效率和满意度——通过快速启动、直观操作和及时反馈,帮助用户快速上手并高效完成任务;轻量化设计则可以减少资源占用,提升启动和运行速度,增强产品竞争力。LVGL(Light and Versatile Graphics Library)是一个免费开源的图形库,专为嵌入式系统设计。它以轻量级、高效和易于使用而著称,支持多种屏幕分辨率和硬件配置,并提供了丰富的GUI组件,能够帮助开发者轻松构建出美观且功能强大的用户界面。近期,飞凌嵌入式为基于NXP i.MX9
    飞凌嵌入式 2025-01-16 13:15 199浏览
  • 百佳泰特为您整理2025年1月各大Logo的最新规格信息,本月有更新信息的logo有HDMI、Wi-Fi、Bluetooth、DisplayHDR、ClearMR、Intel EVO。HDMI®▶ 2025年1月6日,HDMI Forum, Inc. 宣布即将发布HDMI规范2.2版本。新规范将支持更高的分辨率和刷新率,并提供更多高质量选项。更快的96Gbps 带宽可满足数据密集型沉浸式和虚拟应用对传输的要求,如 AR/VR/MR、空间现实和光场显示,以及各种商业应用,如大型数字标牌、医疗成像和
    百佳泰测试实验室 2025-01-16 15:41 157浏览
我要评论
0
点击右上角,分享到朋友圈 我知道啦
请使用浏览器分享功能 我知道啦