智能网联汽车安全：上路还需标准“护航”

智能网联汽车安全：上路还需标准“护航”

为推动我国智能网联汽车预期功能安全（SOTIF）的研究，助力智能网联汽车技术安全落地与应用，由清华大学牵头，中国智能网联汽车产业创新联盟预期功能安全工作组成员单位协同编制的《智能网联汽车预期功能安全前沿技术研究报告》（以下简称“研究报告”）于近期正式发布。研究报告聚焦了行业最新动态与前沿技术，分别对智能网联汽车预期功能安全相关法规标准、技术、专利和场景库研究现状以及自动驾驶功能测试评价体系、典型ADAS系统的SOTIF研究现状等方面进行了详尽的调研、分析与总结。本报摘部分内容刊登，以飨读者。

◎  清华大学  国汽智联

加快研究预期功能安全前沿技术

2020年2月底，国家发展和改革委员会等十一部门联合印发《智能汽车创新发展战略》，明确提出了建设中国标准智能汽车和实现智能汽车强国的战略目标。随着自动驾驶技术的发展与普及，其安全性越来越受到大众的关注。2019年7月，德国宝马联合11家企业（宝马、奥迪、戴姆勒、大众、菲亚特—克斯莱勒、英特尔、英飞凌、安波福、大陆、HERE、百度），共同编写《自动驾驶安全第一白皮书》，旨在促进自动驾驶汽车安全性研发。随着自动驾驶系统功能架构趋于完善，国际标准ISO26262覆盖的故障性风险造成的功能安全问题分析已无法满足高度复杂系统的安全性分析要求。在系统不发生故障的情况下引起的安全风险愈发受到重视，ISO/PAS21448将此类问题归结为预期功能安全（Safety Of The Intended  Functionality，SOTIF），并给出了详细定义。标准草案指出，进行预期功能安全活动的目标是确保不存在由于影响系统特定行为的性能局限或可合理预见的人为误用所导致的不合理风险。

由于预期功能安全问题是目前自动驾驶汽车商业化发展的最大难题之一，工作组全体成员单位对预期功能安全前沿技术进行了广泛调研分析，并协作撰写了此报告，以期为我国进一步开展预期功能安全研究工作提供参考。

国内外智能网联汽车预期功能安全相关标准异同

自动驾驶汽车既是车辆又是驾驶人，最终实现完全替代驾驶人的机器自主驾驶，因此，必须同时担负车辆和驾驶人的各种安全责任。

自动驾驶汽车预期功能安全主要体现在汽车行驶过程中，可避免自动驾驶系统及部件因功能不足或误操作引起的交通安全问题，包括自动驾驶能力以及适用性和可靠性。

针对自动驾驶汽车预期功能安全，国内外已有一些深入研究，并提出了具体要求。在此背景下，报告对国内外智能网联汽车预期功能安全相关标准进行了概述和分析，并梳理出预期功能安全相关标准的发展现状及发展趋势。

1. 国外智能网联汽车预期功能安全相关标准

表1总结了当前国外智能网联汽车预期功能安全相关标准情况。

国内现有智能网联汽车预期功能安全相关标准如表2所示。国内目前针对预期功能安全的相关标准体系还不完善，以下将针对《智能网联汽车道路测试管理规范（试行）》以及由我国提出的预期功能安全双层接受准则提案（即将写入道路车辆预期功能安全标准）进行阐述：

2018年4月，工业和信息化部、公安部、交通运输部联合发布《智能网联汽车道路测试管理规范（试行）》。《管理规范》主要针对在中国境内公共道路上进行的高等级自动驾驶汽车上公共道路测试，从测试主体、驾驶人及测试车辆、测试申请及审核、测试管理、交通违法和事故处理等多个方面进行规范。《管理规范》强调，自动驾驶汽车必须通过14项自动驾驶能力检测项方可上公共道路测试。

2.预期功能安全双层接受准则提案

中国代表团提出量化思想的预期功能安全双层接受准则提案，写入ISO/PAS21448标准草案，包括：

（1）第一层准则：判断自动驾驶行为是否可能引发危害行为事件的度量，即危害行为事件接受准则。

（2）第二层准则：在全部行驶里程中，定义总的危害行為事件确认目标，即总体安全风险接受准则。

在工信部专项任务支持下（工装函[2016]190号），集行业力量启动可控性国家级研究项目，基于大规模测试建立可控性量化指标库，准确性领先国际现有方法（经验和主观评测），并不断完善，GB17675、GB21670等标准首次写入可控性量化要求。

在第一层接受准则的建设中首次提出了“SOTIF信心度”的度量，建立信心度指标体系，全面衡量自动驾驶安全行为。行业率先将大数据用于可控性研究，采集分析真实测试者“典型”和“极端”工况指标，大数据持续采集，不断提升可控性指标的准确性和国情代表性。

第二层接受准则的建立。假定同等驾驶条件下，与人类驾驶人的安全驾驶能力指标相比，引入自动驾驶后相关指标不变低，则认为自动驾驶系统没有带来明显的不合理风险水平，并基于以上两个接受准则，提出了相应的测试方法实践。

3. 智能网联汽车预期功能安全标准的发展现状及趋势

ISO26262的第二次修订已经结束，以更严谨和结构化的方式支持更复杂汽车电子系统。最近发布的ISO/PAS21448标准规定了用于分析、验证和确认非故障情景的开发流程和系统用例。

《自动驾驶安全第一白皮书》将标准拓展至L3和L4应用。

上述标准相互补充，可主要用于定义自动驾驶系统的设计风险，使工程团队设计出各种安全机制并增强自动驾驶系统的预期功能，以降低所识别的风险。

当前，ISO正组织国际主流车企及供应商开展国际标准道路车辆预期功能安全的研究和制定工作。中华人民共和国工业和信息化部于2018年发布了《国家车联网产业标准体系建设指南（智能网联汽车）》，以整体性强化顶层系统设计并促进智能网联汽车行业的研究和发展。

另外，中国正在密集地制定新的法律规范（2020年前30项新标准，2025年前100项新标准）以适应中国的国情和国际实践。我国在积极参与该国际标准制定的同时，将基于我国实际情况制定适合中国的道路车辆预期功能安全国家标准，进一步增强我国在国际标准制定中的话语权，同时提升我国自动驾驶汽车产业技术安全水平。

智能网联汽车预期功能安全三大关键

预期功能安全是智能网联汽车安全的重要组成部分，主要应对由于自动驾驶功能不足和可合理预见的人为误用造成的危害问题。现有关于智能网联汽车预期功能安全的国际标准草案ISO/PAS21448规范和描述了一个基于迭代的系统分析流程，用于系统识别、分析、减少功能不足造成的危害。与此同时，国内外科研机构和汽车厂商对涉及智能网联汽车关键系统的预期功能安全问题开展了研究。

1. 感知面临的预期功能安全挑战与发展方向

自动驾驶的关键技术主要包括感知（Perception）、决策（Planning）和控制（Control）三个方面，其中感知系统以多种传感器捕获的数据以及高清地图的信息作为输入，经过一系列的计算和处理，来预估车辆的状态和实现对车辆周围环境的精确感知，可以为后续决策和控制系统提供必要的信息。然而，依赖复杂传感器和算法工作的感知系统也是预期功能安全问题的重要来源。

2. 预测相关的预期功能安全技术

目前的环境预测技术仍然不能满足自动驾驶对高精度、快速响应等的要求，因此，研究环境预测模型的不确定性估计方法对于解决预测技术的预期功能安全问题至关重要。目前，研究人员针对经典的时间序列预测模型的不确定性估计已经进行了广泛的研究。

3. 决策相关的预期功能安全技术

基于丰富的车辆状态、环境感知与预测信息，设计安全、高效的决策规划算法是自动驾驶系统开发和安全行驶的关键，国内外学者对自动驾驶决策算法展开了大量的研究。目前，自动驾驶决策主要分为两类——基于规则的决策方法与基于人工智能的决策方法。

基于规则的决策方法主要包含基于碰撞检测的离散输入空间规划和约束优化与后视距控制等。现阶段基于规则的决策技术面临因交通场景状态纬度高、不确定性强等特点导致决策失效的挑战。