强降雨场景下自适应巡航控制系统的安全控制策略*

赵 超，卜德旭，曹礼鹏，2，李克强，罗禹贡

（1. 清华大学车辆与运载学院，汽车安全与节能国家重点实验室，北京 100084；2. 重庆大学机械与运载工程学院，重庆 400030）

前言

自适应巡航控制（adaptive cruise control system，ACC）是重要的智能驾驶辅助功能，ACC 系统的目标为通过控制驱动系统和制动系统自动调整车速实现车距保持功能。ACC 可以有效减轻驾驶员疲劳强度，提升驾驶的安全性与舒适性。ACC 系统功能的实现依赖于毫米波雷达感知信息的正确性，毫米波雷达在强降雨场景下的性能局限性，可能会导致ACC系统出现速度控制错误的预期功能安全问题。

预 期 功 能 安 全（safety of the intended functionality，SOTIF）的定义是没有因预期功能的功能不足或可合理预见的人为误用导致的不合理风险。ISO 21448 标准提供了实现SOTIF 所需的适用设计、验证和验证措施的指南，还有研究提供了一些风险评估和触发条件的确定方法，但是目前针对“功能改进来降低SOTIF 风险”的策略的研究较少。

毫米波雷达是ACC 的重要组成元件，目前的研究重点都在于改进常规工况下ACC 的性能，提升毫米波雷达测量的实时性与准确性，确保目标识别与跟踪的效果，但是对于ACC 系统在强降雨环境下出现的SOTIF问题考虑较少。

强降雨带来的衰减、杂波和噪声会降低毫米波雷达的最大检测范围，增大虚警概率和测量误差。雨衰减和后向散射会使目标回波功率降低、杂波功率增加。王辉考虑了大气衰减和后向散射，对地面、海面、雨和雪条件下的9.5-95 GHz 之间所有常用的雷达的反射进行了一系列研究。黄际英等使用Mie 理论计算了单个球形雨滴在不同温度、不同工作频率、不同尺寸情况下的衰减截面和后向散射截面，使用统计拟合的方法，得到了计算毫米波段雨介质后向散射系数的简单公式。Gourova 等在雨雾隧道中进行了毫米波雷达的探测实验，对后向散射进行了理论分析。在高频与粒子数目较大的情况下，多重散射会使得降雨后向散射增强。白继玲等分析了降雨的多重散射效应，计算了由降雨的2 阶散射机制造成的雨杂波回波功率。Yang 等讨论了离散随机介质中2 阶后向散射增强理论，基于Mie 理论、蒙特卡罗模拟和后向散射增强理论，分别在35 和95 GHz 时分析了降雨对毫米波雷达性能的影响。此外，考虑降雨对天线噪声温度的影响，张蕊等拟合得到了由降雨的雷达体反射率反演雨衰减率的公式。 Zang 等模拟了降雨场景下毫米波雷达的返回功率和接受功率信噪比的变化。李鑫的研究表明，降雨对毫米波雷达返回功率的影响会使毫米波雷达虚警概率增大，最大检测距离降低和测量误差增大。总体而言，当前研究主要集中在分析降雨对毫米波雷达性能影响分析方面，未考虑毫米波雷达的性能局限可能造成的自适应巡航控制系统的SOTIF 问题，同时未涉及相应的安全风险识别和安全控制策略的研究。

本文中提出了强降雨场景下ACC 系统的安全控制策略，旨在降低由强降雨导致的ACC 系统性能局限的SOTIF风险。首先使用双状态识别可能影响ACC 性能的安全风险，将毫米波雷达观测信息输入到卡尔曼滤波器和两个状态递推器当中，通过比较卡尔曼滤波器和状态递推器的差值判断系统是否存在安全风险；其次，使用卡尔曼滤波对存在安全风险的毫米波雷达观测信息进行修正，将处理修正后的信息输入ACC 上层控制器，基于PID 控制得到期望加速度，下层控制器将期望加速度转化为驱动信号或制动信号对车辆进行控制；最后搭建Prescan/Simulink 联合仿真平台对所提安全控制策略进行验证。

1 毫米波雷达SOTIF问题描述

强降雨环境中，毫米波雷达回波功率降低，雨杂波和噪声功率增加。强降雨条件下，雨衰减会使目标回波功率降低，此时目标的回波功率为

式中：为目标的返回功率；为发射信号功率；为雷达天线增益；为毫米波雷达工作波长；为目标雷达散射截面（RCS）；为多路径系数；为衰减系数；为雷达与目标之间距离。

式中：为杂波信号功率；为脉冲持续时间；为天线波束宽度；为雨滴的后向散射系数。

式中：为噪声功率；为接收机噪声数据；为噪声温度；为玻尔兹曼常数；为接收机滤波带宽。

毫米波雷达对于运动信息的测量受毫米波雷达接受功率信噪比的影响。噪声、杂波导致的毫米波雷达速度测量误差为

式中：为雷达回波信号功率；为噪声和杂波的总功率；Δ为雷达调频带宽；为雷达调频周期；为雷达处理时的积累时间。

毫米波雷达测距误差为

式中：为光速；为毫米波波长；为雷达天线波束主轴与目标间的夹角。

自适应巡航控制系统根据毫米波雷达等传感器观测的信息控制车辆加速或减速。

在强降雨场景下，测量车距为

式中为自车与前车的实际车距。

强降雨场景下毫米波雷达测量车距与期望车距的车距误差Δ为

式中：Δ为实际车距误差；为期望车距。

对于自适应巡航控制系统，控制目标为使自车与前车的实际车距趋近于期望车距，即要求车距误差Δ趋近于零。强降雨场景下测量车距误差Δ与实际车距误差Δ的误差可能会触发ACC系统速度控制性能受限，引发非预期加速或减速，导致无法实现稳定跟车、与前车或后车发生碰撞。

2 强降雨场景下安全控制策略设计

强降雨场景下毫米波雷达的安全控制策略架构如图1 所示，分为安全风险识别和安全控制两个部分。使用双状态检验进行风险信息的识别，使用基于卡尔曼滤波的修正策略对安全风险进行修正，进而将修正后的信息引入ACC 控制器进行安全控制。

图1 安全控制策略原理图

2.1 基于双状态卡方检验的安全风险识别策略设计

强降雨场景中，毫米波雷达传播衰减、信噪比降低，会造成目标运动信息测量误差增大，使用双状态检验识别毫米波雷达中出现大量噪声的情况。

定义状态向量来表征前方物体的运动状态：

式中：表示目标相对于自车的纵向位置；˙表示目标车辆相对于自车的纵向速度；表示相对加速度；表示相对加速度的导数。

前方目标运动状态的状态方程的连续时间模型表示为

式中：为连续系统矩阵；为连续系统噪声驱动矩阵；为过程噪声，是相对加速度的导数的干扰。

通过线性离散化，前方目标运动状态的状态方程的离散时间模型为

式中：为系统状态转移矩阵；为系统噪声系数矩阵；为系统采样时间；()为时刻的状态向量。一步预测状态量^(+ 1|)通过上述状态方程求得。

前方目标运动状态观测方程的离散时间模型表示为

卡尔曼滤波的一步预测协方差(+ 1|) 为

式中是过程噪声的方差。

最终卡尔曼滤波器的状态更新为

式中是测量噪声的方差。

卡尔曼滤波的状态估计值^(|)由一步预测信息^(|- 1)和实际观测信息()融合得到，当系统存在功能不足、实际观测信息存在风险时，状态估计值^(|)也会包含风险信息。设计由先验信息递推得到的状态递推器，最终根据卡尔曼滤波状态估计值^(|)与状态递推器^()的差值判断是否存在风险信息。由卡尔曼滤波得到^ ()后，状态递推器进行状态估计和方差递推过程：

根据状态滤波值^ ()和^()的差值可以判断系统是否发生风险。

式中：差异向量()是零均值的高斯随机向量；()是()的协方差；随机状态量() ～()。毫米波雷达是否存在风险的判断准则为

式中是设定的检测阈值，决定检测的性能，由皮尔逊准则确定。

状态递推器的递推值会随着时间的累积越来越偏离真实值，导致递推器失效，可以使用卡尔曼滤波的状态估计值定期对状态递推值进行更新。但是当发生风险时，卡尔曼滤波的状态估计值已经包含了风险信息，会污染状态递推器，导致无法检测出信号异常现象。为了减小被污染的可能，提高安全风险识别的可靠性，可以设置两个状态递推器，进行交替重置，当一个状态递推器被重置时，另外一个可以作为参考系统。

双状态卡方检验递推器的重置和使用时间如图2所示，在时刻系统信号出现了明显的异常，存在风险。

图2 双状态卡方检验递推器的重置和使用时间

设发生在时间区间(，)内，在时刻状态递推器1 已经被重置，在时刻状态递推器2即将被重置污染，在时刻状态递推器1 即将被重置污染，所以需要在时刻前检测出信号异常。设∆为从时刻到信号异常被检测出来的时间间隔，∆为双状态卡方检验递推器的重置时间间隔。需要在(，)时间内检测出信号异常，所以有

即双状态卡方检验递推器的重置时间间隔大于信号异常的检测时间。若重置时间过短，即递推器被快速重置，可能在检测到信号异常信息之前已经被污染，造成漏检，无法有效进行安全风险识别；若重置时间过长，即递推器重置速度比较慢，灵敏度会降低，误差随着时间不断积累，等效为单卡方检验，容易造成虚警。双状态卡方检验算法流程图如图3所示。

图3 安全风险识别策略流程图

2.2 基于卡尔曼滤波的安全控制策略设计

基于卡尔曼滤波的安全控制策略如图4 所示，如果上文所述的安全风险识别策略识别到系统存在安全风险，就使用卡尔曼滤波进行信息修正。毫米波雷达观测的运动信息经过修正之后，将修正信息输入到ACC 的上层控制器当中，上层控制器为PID控制。

图4 安全控制策略流程图

式中：为设定的期望车距；()为时刻自车与前车的实际车距；Δ()为时刻的期望车距与实际车距之差。关于距离控制的PID 控制器的控制函数可以写为

式中：为比例系数；为积分系数；为微分系数。假设区间为等份，每一份长度为，则上式离散化可得：

令=()，为期望加速度，是上层控制器的输出信号。下层控制器对输出信号进行处理，若为负值，则将输出信号转化为制动信号，若为正值，则将输出信号转化为驱动信号。

3 仿真验证

搭建Prescan/Simulink 联合仿真平台，通过在仿真过程中的毫米波雷达测量信息中人为添加噪声，模拟强降雨场景（图5），验证安全控制策略（图6）的有效性。

图5 仿真场景示意图

图6 安全控制策略模型

3.1 仿真设计

在ACC 控制器前增加安全风险信息识别与修正模块，ACC 控制器分为上层控制器和下层控制器两个部分。

目前大多数在降雨场景下模拟毫米波雷达测量结果都是在理想结果输出的基础上添加噪声来实现，这种模拟方式往往不能反映降雨对毫米波雷达的影响。为解决此问题，Hasirlioglu等建立了基于物理的虚拟降雨模型，使用Mie 理论和雷达方程分析降雨带来的衰减和杂波的影响，模拟了降雨场景下毫米波雷达的目标返回功率和杂波功率的变化，与实车试验结果吻合度较高。因此，在本文设计仿真工况时，首先使用Hasirlioglu 等建立的基于物理的虚拟降雨模型计算强降雨场景下毫米波雷达目标返回功率和杂波功率，再结合式（1）～式（3）计算出毫米波雷达的测量误差，最后将测量误差添加到毫米波雷达测量信息中。

参照气象学中认为降雨量大于8.1 mm/h 为大雨或暴雨，因此设置强降雨的降雨量为10 mm/h，其他仿真参数如表1所示。

表1 仿真参数设置

最终计算得到毫米波雷达接受功率信噪比SNIR为20，距离测量误差为2.91 m。根据距离测量误差结果，设置噪声注入毫米波雷达最终的输出结果中模拟强降雨造成的影响。

设置匀速、匀加速、匀减速和复杂变速4 种不同的前车车速，编号分别为1、2、3、4，如图7～图10所示。

图7 前车速度1

图8 前车速度2

图9 前车速度3

图10 前车速度4

设置穿过雨区和持续降雨两种降雨情况，最终设置不同的仿真工况，如表2所示。

表2 仿真工况设计

3.2 仿真结果分析

根据表2 设计的仿真工况，得到各个场景的仿真结果，如表3 所示。风险时间表示在仿真场景中模拟强降雨的时间，检测时间表示安全风险识别策略检测到的ACC 系统存在SOTIF 风险的时间，检测时间偏差表示风险时间和检测时间之间的误差。真实距离表示有安全控制策略情况下自车与前车的实际距离，修正距离表示有安全控制策略情况下卡尔曼滤波的修正距离。修正误差表示最大的卡尔曼滤波修正距离与真实距离的误差。

表3 仿真结果

如表3 所示，所提基于双状态的安全风险识别策略能够及时有效地识别毫米波雷达测量的运动信息非预期误差导致ACC系统性能局限的SOTIF风险，检测时间偏差在1.31 s以内（工况4：检测时间为20-41.31 s，风险时间为20-40 s）；实施安全控制策略后，卡尔曼滤波修正信息与真实数据之间的偏差在3.66 m 以内，ACC 系统可以稳定运行。无安全控制策略时，ACC系统无法稳定运行，自车可能与前车或后车发生碰撞。

工况4（20-40 s穿过雨区、大雨、前车复杂变速）的仿真结果如图11～图14 所示。flag-err 表示风险识别结果，当flag-err=0 时，安全风险识别策略认为系统无风险；当flag-err=1 时，安全风险识别策略认为系统存在风险。

图11 安全风险识别结果

图14 有安全控制和无安全控制时自车速度

由图11可见，所提基于双状态的安全风险识别策略能够成功检测安全风险，即在20-40 s之间穿过强降雨区时毫米波雷达感知的运动信息存在非预期误差，进而触发ACC系统性能局限的SOTIF风险。图12 表示实施安全控制之后的修正距离与真实距离，修正距离与真实距离最大相差1.76 m，真实距离与修正距离差距较小，修正距离合理可信。图13和图14 表示有安全控制和无安全控制时距离和速度的变化。在无安全控制策略时，从20 s 开始进入雨区，毫米波雷达测量的运动信息误差较大导致ACC 系统存在SOTIF 风险。自车与前车之间距离增大，自车速度增加但此时的加速度较小，无法实现跟车；在26.75 s 时，前车与自车距离超出毫米波雷达最大检测距离，自车以当前车速保持定速巡航状态行驶，37.78 s 时，毫米波雷达再次探测到前车，系统切换为跟车状态，自车与前车之间距离减小，自车速度减小，但此时的减速度较小，自车与前车距离持续减小，40 s 后风险结束，自车逐渐实现稳定跟车。在有安全控制策略时，自车可以保持稳定跟车行驶，验证了安全控制策略的有效性。

图12 安全控制之后修正距离与真实距离

图13 有安全控制和无安全控制时距离

工况8（20 s 开始持续降雨、大雨、前车复杂变速）的仿真结果如图15～图18所示。

图15 安全风险识别结果

图18 有安全控制和无安全控制时自车速度

由图15可见，所提基于双状态的安全风险识别策略能够成功检测安全风险，即在20-60 s之间持续强降雨时毫米波雷达感知的运动信息存在非预期误差，进而触发ACC 系统性能局限的SOTIF 风险。图16 表示实施安全控制之后的修正距离与真实距离，修正距离与真实距离最大相差3.66 m。此时降雨量较大且持续时间比较长，卡尔曼滤波修正距离和真实距离误差增大；前车速度变化复杂，设定车距与实际车距之间的误差增大，跟车效果变差，限制了安全控制策略的效果，最终的修正误差较大。但是经过修正之后观测距离变化幅度较小（如图16 所示），ACC 系统可以稳定运行。图17 和图18 表示有安全控制和无安全控制时距离和速度的变化。在无安全控制策略时，从20 s开始持续降雨，毫米波雷达测量的运动信息误差较大导致ACC 系统存在SOTIF风险。自车与前车之间距离增大，自车速度增加但此时的加速度较小，无法实现跟车；在26.75 s时，前车与自车距离超出毫米波雷达最大检测距离，自车以当前车速保持定速巡航状态行驶，37.78 s 时，毫米波雷达再次探测到前车，系统切换为跟车状态，自车与前车之间距离减小，自车速度减小，但此时的减速度较小，减速不及时导致与前车在43.73 s发生碰撞。在有安全控制策略时，自车可以保持稳定跟车行驶，验证了安全控制策略的有效性。

图16 安全控制之后修正距离与真实距离

图17 有安全控制和无安全控制时距离

同时，由表3 可知，在仿真工况1-3 和5-7 前车速度规律变化情况下，所提方法均能够实现对非预期风险的及时识别，且工况1-3 穿过雨区后存在不超过1s 的虚警时间。卡尔曼滤波修正信息与真实数据之间的偏差在0.9 m 以内，可以实现稳定跟车行驶。

仿真工况4 为设定的穿过雨区、复杂变速工况。所提风险识别策略仍然可以实现对非预期风险的及时识别，但是由表3 可知，穿过雨区后虚警时间为1.31 s，与工况1-3相比，虚警时间变长，且修正误差增加为1.76 m。虚警时间仍然在可接受范围内，可以保证风险识别效果。虽然修正误差较大，但是安全控制策略仍然可以实现稳定跟车行驶，如图14 所示。仿真工况8 为设定的持续降雨、复杂变速工况。所提风险识别策略仍然可以实现对非预期风险的及时识别。仿真工况8 的修正误差为3.66 m，修正误差较大，但是安全控制策略仍然可以实现稳定跟车行驶，如图18所示。

因此，前车车速影响风险识别策略和风险降低策略。前车车速变化复杂会使风险结束后虚警时间变长，但是虚警时间仍然在可接受范围内，可以保证风险识别效果。前车车速变化复杂造成修正误差增大，但是安全控制策略仍然可以实现稳定跟车行驶。

4 结论

针对强降雨场景下毫米波雷达感知的运动信息存在非预期误差可能触发自适应巡航控制系统性能局限的SOTIF 问题，本文中提出了一种安全控制策略。使用双状态检验实时对毫米波雷达的测量信息进行安全风险检验，将毫米波雷达观测信息输入到卡尔曼滤波器和两个状态递推器当中，通过比较卡尔曼滤波器和状态递推器的差值判断系统是否存在安全风险。识别到系统存在风险时，使用卡尔曼滤波对毫米波雷达观测信息进行修正，将修正后的信息输入ACC 上层控制器，基于PID 控制得到期望加速度输入下层控制器，下层控制器将期望加速度转化为驱动信号或制动信号对车辆进行控制。通过搭建的Prescan/Simulink 联合仿真平台对安全控制策略进行仿真验证，仿真验证结果表明：所提强降雨场景下自适应巡航控制系统安全控制策略能够实时检测由于强降雨导致的SOTIF 风险，并能够实时修正非预期测量误差，距离修正误差在3.66 m 以内，有效保证了ACC 系统在强降雨场景下安全稳定运行。