前言

上一篇簡要從SEC等參數(shù)初步探討了SOTIF validation target定義的方法論，對于如何在實踐中落地，ISO21448附錄C中給出了AEB功能的示例。

本文將結(jié)合標準與自己的理解，說明如何根據(jù)公開交通事故統(tǒng)計數(shù)據(jù)確定驗證AEB false positive的minimum validation distance。

總體思路

本文主要分四個步驟進行介紹：

1.識別由功能不足引起的危害事件：進行SOTIF HARA分析，初步識別SOTIF的危害事件；

2.危害事件建模與評估：對危害場景進行抽象建模，并應用仿真方式對場景復現(xiàn)得到關鍵參數(shù)；

3.分析事故數(shù)據(jù)：通過應用市場公開的事故統(tǒng)計數(shù)據(jù)分析得出可接受準則；

4.定義測試場景：結(jié)合功能使用場景，定義合理的測試場景組合對可接受準則進行確認。

步驟一

識別由功能不足引起的危害事件

AEB可能會因功能不足（如物體識別能力缺陷）而導致錯誤的緊急制動，使車輛迅速減速，導致跟隨車輛追尾，也就是常提到的false positive。

通過危害事件分析得到：S>0, C>0，ISO21448 clause6中建議對此類危害事件需定義可接受準則。

圖1：AEB誤觸發(fā)危害分析（來源ISO21448）

AEB的漏觸發(fā)（false negative），由于駕駛員是車輛控制的責任主體，可控性為C0，因此不必要進行深入分析。對于L3的系統(tǒng)false negative是需要考慮的，也是很重要的組成部分。

Tips：TP/FP/FN/TN含義如下：

步驟二

對危害事件建模

通過step1我們發(fā)現(xiàn)，AEB的誤觸發(fā)引起的危害事件是自車與后方車輛發(fā)生碰撞，因此可以對風險場景簡化如下圖的跟車場景，紅色車輛為自車，綠色車輛為后方跟隨車輛。

Note1：以下內(nèi)容僅作為方法論探討，不作為實際項目應用的依據(jù)

圖2：危害事件場景建模（來源ISO21448）

以上的場景建模，需要提取關鍵參數(shù)，標準給出示例如下：

a-》開始時，兩輛車以相同的速度v行駛；

b-》與速度相關的后車跟隨距離d具有已知的概率分布；

c-》自車的AEB緊急制動時，制動曲線遵循圖3；

d-》后車設置固定駕駛員模型，包括反應時間與制動曲線，可以具有已知的概率分布也可以設置為固定值。

圖3：AEB 制動曲線（來源 ISO21448）

其中V與d是有關聯(lián)的變量，通常服從一定的概率分布，車速越高，跟隨距離越長?？梢砸哉鎸嵉能囁倥c距離作為場景建模的輸入，比如用配備雷達的采集車去實際路采，也可以采集部分真實數(shù)據(jù)后進行場景泛化。

將場景建模的輸入輸出整理如下：

表1：場景簡化參數(shù)

因為對場景其他要素要求不高，可以選擇在仿真環(huán)境下進行測試，通過輸入上表中的輸入變量數(shù)據(jù)集，觀測輸出結(jié)果。仿真環(huán)境如下圖，可以在Matlab+CarSim環(huán)境中仿真。

圖4：仿真環(huán)境示例（來源文獻1）

以一組輸入輸出變量為子集，假設總的測試集合數(shù)量為T，其中發(fā)生碰撞的集合數(shù)量為L，則通過仿真得到：碰撞概率 R?？梢砸欢ǔ潭却碚鎸嵉缆翻h(huán)境下AEB誤觸發(fā)后碰撞的概率。

其中，碰撞概率的結(jié)果中沒有區(qū)分S1，S2，S3，意味著只要發(fā)生后碰△V超過設置S1的閾值，就會被統(tǒng)計在L值中。

TRW有進行過相關的分析，結(jié)果見下方，這里不展開，需要深入的可以參考如下文獻。

文獻【1】：

FABRIS,S.,PRIDDY, J. and HARRIS, F., “Method for hazard severity assessment for the case of undemanded deceleration.”, Presented at VDA Automotive SYS Conference, Berlin,June 19/20, 2012, https://www.researchgate.net/publication/344452155_Method_for_hazard_severity_assessment_for_Method_for_hazard_severity_assessment_for_the_case_of_undemanded_deceleration_-_Simone_Fabris.

圖5：仿真分析結(jié)果（來源文獻1）

步驟三

分析事故數(shù)據(jù)

國家道路安全部門可以提供的交通統(tǒng)計數(shù)據(jù)（例如，美國國家公路交通安全管理局（NHTSA）的GES數(shù)據(jù)）。交通統(tǒng)計需包括以下幾個關鍵數(shù)據(jù)：

a=>現(xiàn)有乘用車數(shù)量（N）；

b=>每輛車每年的平均行駛距離（K）；

c=>每年行駛的車輛總公里數(shù)（M）,M=N?K;

d=>每年實地相關事故（追尾碰撞）的數(shù)量（A）。

Note2：事故統(tǒng)計數(shù)據(jù)是與AEB誤觸發(fā)導致危害事件類型應保持一致

Note3：以上數(shù)據(jù)可以針對功能釋放的國家或地區(qū)進行統(tǒng)計

通過對所考慮的變量采用統(tǒng)計模型，增加了通過進一步分析獲得的估計值的置信度。基于此信息，可以計算出人類駕駛員在兩次碰撞之間行駛的平均距離B：

B：是人類駕駛員在兩次碰撞之間行駛的平均距離；

M：是每年行駛的車輛總公里數(shù)；

A：是每年實地相關事故（追尾碰撞）的數(shù)量。

為了獲得最壞情況估計，M取最大值，A取最小值。因此我們可以得到一個設計目標：配備AEB的車輛可以行駛至少B公里而不會造成事故，或者AEB系統(tǒng)功能不足導致事故的概率低于每公里1/B。

這里隱藏了一個接受準則——AEB功能引起的危害事件可能性應等于或小于由人類駕駛員引起的相同危害事件可能性，如下方公式：

基于以上信息我們?nèi)绾蔚玫絭alidation target呢？

結(jié)合式1與式2，則可以得到AEB validation target（VT），VT=R*B，即在VT（Km）內(nèi)不允許發(fā)生AEB false positive的情況。

Note4：上述方法僅為概率理論度量，用于評估在決定將產(chǎn)品投放市場時可容忍的風險。因此即使?jié)M足該目標，即使?jié)M足了該VT目標，也可能會發(fā)生因AEB false positive而導致的accident，因此需要field monitor strategy，進一步降低AEB false positive的概率。

Note5：VT=R*B中的基準可被視為系統(tǒng)驗證的下限。根據(jù)交通統(tǒng)計數(shù)據(jù)的不確定性，可通過將B乘以因子K來校準，因此B的計算可以更新為B=K（M/A）。影響K的因素有：AEB功能可能減少交通事故的數(shù)量，進而影響A值；交通統(tǒng)計數(shù)據(jù)中A包括合理和非合理的制動事件，比如有些是駕駛員誤操作導致的非合理事件。

步驟四

定義測試場景

我們確定validation target后，可以通過endurance run的方式對誤觸發(fā)率進行驗證，第4步就涉及到實際道路測試如何選取場景，比如天氣條件（干燥，霧，雪，雨，陰天等），道路條件（城市道路，鄉(xiāng)村道路，高速高架等），光照（夜間，黃昏，清晨等），車速區(qū)間等等。

測試場景的選擇可以通過傳感器性能局限及功能特定限制的詳細分析得到。然后基于選擇場景進行數(shù)據(jù)采集，包含的相關駕駛場景的分布比例，ISO21448標準基于天氣，速度和其他參數(shù)的實際情況給出示例如下：

以上基于交通統(tǒng)計的方法在應用時，標準提示需注意以下幾點：

1.此方式應用L3及以上的ADS系統(tǒng)時需謹慎結(jié)合功能與系統(tǒng)架構(gòu)作出具體考慮；

2.如果將AEB速度段擴展至130kph，則可接受準則會發(fā)生一些變化，因為高速度段后碰概率較低；

3.可以從系統(tǒng)架構(gòu)考慮，如果使用多個子系統(tǒng)冗余控制，可通過觀察每個子系統(tǒng)的單個MTBC（例如，基于同質(zhì)或不同技術的冗余算法），優(yōu)化從交通統(tǒng)計數(shù)據(jù)得出的MTBC；

4.在分析系統(tǒng)限制后設計的特定駕駛路線（route）可以減少需要收集的數(shù)據(jù)量。

總結(jié)

本文提供了一種基于交通統(tǒng)計的方法，首先通過仿真的方式提煉出真實場景下誤制動發(fā)生后碰的概率，結(jié)合交通數(shù)據(jù)定義目標平均碰撞間隔時間（MTBC）與AEB validation target。最后對endurance run的場景進一步細化。該基準可用于AEB大規(guī)模量產(chǎn)前ADAS系統(tǒng)魯棒性的指標設計。