基于行车安全场理论的预期功能安全场景风险评估*

2022-12-08李维汉白先旭李楚照

汽车工程 2022年11期

陈浩，王红，李维汉，白先旭，陈炯，李楚照，5，石琴，孙骏

（1.合肥工业大学，安徽省智慧交通车路协同工程研究中心，合肥 230009；2.合肥工业大学汽车与交通工程学院，车辆工程系自适应结构与智能系统实验室，合肥 230009；3.清华大学车辆与运载学院，北京 100084；4.上海蔚来汽车有限公司，上海 201804；5.中国汽车工程研究院股份有限公司汽车噪声振动和安全技术国家重点实验室，重庆 401122）

前言

自动驾驶技术给汽车安全提出了诸多挑战，研发人员无法做到让自动驾驶车辆在任何情况下都能保障自车及周围行人的安全。2020年特斯拉公司的产品Model Y因传感器未检测到前方静止的白色货车而导致与其相撞［1］。这表明即使通过现有的测试标准，自动驾驶车辆在真实交通场景中的安全性也不如预期。

自动驾驶的技术发展与测试体系建立不同步，导致自动驾驶的实际应用受到限制，全面推广受到阻碍，因此行业须建立针对不同自动驾驶等级的测试标准与评价指标。针对这样的问题国际标准化组下设的功能安全工作组（ISO∕TC22∕SC32∕WG8）于2016年启动了ISO 21448的制定工作，并于2019年发布了《ISO∕PAS 21448—2019：Road vehicles-Safety of the intended functionality》，旨在解决因预期功能不足或合理预见的人员误操作而造成的车辆危害行为。

基于场景的方法可以应用于ISO 26262标准中V型开发过程的众多步骤。Menzel等［2］根据不同步骤的场景要求提出了场景的3个抽象层次，还给出了每个抽象层的定义。Weber等［3］提出了根据主车和障碍物之间潜在的碰撞区域定义与安全相关的场景框架。

虽然基于仿真场景的自动驾驶系统测试验证可以降低测试成本和缩短测试时间，但与现实中的安全效益关联性不强。为解决此问题，Zhao等［4-6］提出了一个大规模、可拓展的自然驾驶场景库TrafficNet和一种基于重要性采样的加速评估测试方法，并以跟车和换道场景为例进行了验证。Xu等［7］利用遗传算法对重要性抽样进行改进，提高了切入场景下的测试效率。Feng等［8-10］提出了一种新的高级自动驾驶系统的安全评估框架，该框架包含增强现实的测试平台和自适应的测试场景库生成方法。他们还进一步通过强化学习技术改进了该方法，保证其在高维场景下测试评估的无偏性和高效性［11-12］。

如图1所示，在ISO 21448中车辆的运行场景被分为4个部分，分别是区域1已知安全场景、区域2已知不安全场景、区域3未知不安全场景和区域4未知安全场景［13］。预期功能安全（safety of the intended functionality，SOTIF）的目标就是最大可能地减少区域2和区域3的面积，提高车辆在不同场景下的安全性。要实现此目标，不仅需要基于场景的测试方法，还需要应用准确的指标评估场景风险。

图1 SOTIF中车辆运行场景的分类

Li等［14］将智能车辆危险评估的关键指标分为5组：基于时间的指标、基于运动学的指标、基于统计学的指标、基于势场的指标和基于非预期驾驶行为的指标。其中基于碰撞时间的指标（time-tocollision，TTC）在纵向场景下准确而有效，常应用于避撞产品的设计中，如预警系统［15］、碰撞缓解和制动系统［16-17］。但是TTC对移动障碍物的横向碰撞风险不敏感，在变道或切入场景中易发生误报警［14］。

基于势场的指标在多目标的风险等级划分方面优势明显，这与日益复杂的交通场景相符合。Wang等［18］提出的行车安全场（driving safety field，DSF）模型是势场理论应用于车辆领域的最新成果，该模型定量地描述了各交通因素对行车安全的影响，为复杂环境下行车风险评价和车辆主动安全技术提供了一种新的思路和方法。基于该理论，Wang等［19］还提出了针对多车场景的车辆碰撞预警算法，并通过24名驾驶员的实车实验验证了算法的有效性。但文献［18］和文献［19］中DSF模型的参数是假设的。Li等［20］进一步建立了一个基于灰度关系度分析的优化模型对DSF模型的风险系数进行校准。Li等［21］对文献［18］中的DSF模型进行了改进，通过缩放距离矢量将车辆的安全场结构优化为椭圆形，使模型解释更加形象，但并未深入研究其他模型参数。Wu等［22］在DSF模型中加入了轨迹预测模块，提出了一种用于无信号路段行人-车辆风险评估的方法，该方法缩短了制动时间，提高了TTC，但适用场景存在局限性。除车辆主动安全技术以外，势场理论还广泛应用于自动驾驶车辆的运动规划［23-24］和路径规划［25-26］中。

为解决SOTIF验证过程中测试场景的风险评估问题，本文中提出通过DSF模型将不同层级的场景元素造成的行车风险进行集成，从而全面准确地计算场景风险的方法。从SOTIF场景架构与DSF模型参数的关系层面，给出DSF模型满足SOTIF场景风险评估的要求。为完善并应用所提的评估方法，利用交通事故数据对DSF模型中部分参数进行标定，并将该方法用于划分SOTIF车辆运行场景。采用场地测试和道路测试途径，对标定参数的有效性和所提方法的正确性进行验证。本文的主要贡献有：（1）提出基于DSF理论的SOTIF场景风险评估方法，从SOTIF场景层级和DSF模型参数的角度阐述了评估方法的全面性和适用性；（2）利用中国道路交通安全数据集对DSF模型中虚拟质量、道路条件影响因子和驾驶员风险因子等参数进行标定，并通过场地测试验证标定值的准确性和DSF指标的敏锐性；（3）将所提风险评估方法进行具体应用，提出基于相对驾驶安全系数指标（relative driving safety index，RDSI）的SOTIF场景划分方法，并通过道路测试验证划分的实用性。

1 SOTIF场景风险评估模型

Ulbrich等［27］将场景定义为一系列图片中部分图片之间时间发展的描述，所以从一个场景到另一个场景的移动是通过事件的因果链进行的，且风险和轨迹的变化图也是连续的。如果能够完整地记录行车过程中场景元素的量化值，同时合理准确地计算场景的瞬时风险，就可以实现SOTIF场景的风险评估。基于此，风险评估的问题可以分为两步，一是选择完善的SOTIF场景架构，二是准确的风险计算模型。

风险的准确表达需要以完善的场景架构为基础，因为在日益复杂的交通环境中自车受到的危险是来自多方面的。Wu等［28］提出的7层SOTIF场景架构满足完整性要求，具体的层级描述如表1所示，该场景架构中元素众多，因此须结合先进的风险模型，对各类元素造成的风险进行权衡和统筹。

表1 场景的层级描述

DSF模型综合考虑了人-车-路3方面的风险，实现了感知区域内所有场景要素的风险量化。文献［18］中DSF由道路上静止物体形成的势能场、运动物体形成的动能场和驾驶员形成的行为场势组成，所以主车i的安全势能（safety potential energy，SPE）的表达式为

式中：SPER，ai为主车i在第一类静止物体a产生的势能场中的安全势能；R为道路条件影响因子；M为物体的虚拟质量；DR为驾驶员风险因子；rai为相对距离矢量；K和k1为风险系数；SPER，ai，L为主车i在第二类静止物体（车道线标记L）产生的势能场中的安全势能，其中LTa表示车道类型，D表示线宽，k2表示风险系数；SPEv，bi为主车i在运动物体b产生的动能场中的安全势能，其中vb是物体b的速度矢量，θb表示rbi与vb之间的夹角，k3表示风险系数；SPED，ci为主车i在背景车内的驾驶员c产生的行为场中的安全势能。

虽然式（1）～式（4）的变量仅涉及场景架构的层级1-5，但已经能全面反映物理世界中的风险，层级6和7与信息世界相关，不是本文的研究重点。由式（1）～式（4），可以推导出主车i在复杂场景下的SPEi、行车安全指数（driving safety index，DSIi）和RDSIi的表达式为

因为当式（3）中运动物体b的速度vb为0时，式（3）与式（1）相等，所以式（5）将第一类静止物体的势能场和运动物体的动能场合并。规定如果物体j不是由人类驾驶员控制时，DRi为0。式（6）表示DSI是行车风险在空间和时间上的线性组合。式（7）中DSI*是特定场景中的标准行车安全指数。

SOTIF研究有两个主要原则，一是所有的场景都可以按照已知和未知及安全和不安全正确地划分，二是系统开发过程中进行的改进直接影响给定测试用例集中不安全场景的数量，因此利用精确的风险评估指标对场景进行划分是SOTIF开发和验证的前提。

如表2所示，本文中以RDSI指标作为不同的SOTIF场景的划分依据。在DSF理论中，车辆的运行状态可以按照RDSI的不同分为以下3类：

表2 基于DSF模型的SOTIF场景划分

（1）当RDSI＜RDSI1*时，车辆的驾驶状态为安全；

（2）当RDSI1*＜RDSI＜RDSI2*时，车辆的驾驶状态为危险；

（3）当RDSI＞RDSI2*时，车辆的驾驶状态为极危险。

其中RDSI1*和RDSI2*的计算是基于现有的标准，跟车场景和切入场景下的阈值计算标准为1 s的车头时距（THW）和4 s的TTC［19］，换道场景为动态最小安全距离［29］。认为RDSI＜RDSI1*和RDSI＞RDSI2*的场景分别为已知安全和已知不安全。当RDSI1*＜RDSI＜RDSI2*时，车辆存在发生事故的可能性，无法准确地判断出运行状态，认为这样的场景包括了未知不安全和未知安全。

RDSI1

*和RDSI2*既对应已知安全（区域1）和已知不安全（区域2）的边界，也代表特定场景中风险的上、下界。为计算未知场景下自车的行车风险，实现安全性能的全面可控，区别于传统的技术路线（只研究未知不安全区域），本文将区域3和区域4合并，并以该区域RDSI对时间的积分值作为场景的风险计算结果。

如图2所示，未知场景下的驾驶风险可以表示为图中的黄色部分面积：

图2 车辆不同驾驶状态与RDSI的关系

式中｛ti|RDSI=RDSI1*∪RDSI=RDSI2*，i=1，2，…，n｝。

2 DSF模型的参数标定

虽然DSF模型可以全面反映场景风险，但模型中的部分参数未经标定，且驾驶员风险因子很难通过实验标定，比如违章违法行为。为进一步提升模型在复杂交通环境中评价车辆行车风险的优势和有效性，拓展其应用范围，采用基于统计数据的参数标定方法，参考附录A。

DSF模型中虚拟质量Mi、道路条件影响因子Ri和驾驶员风险因子DRi的表达式为

式（9）～式（11）中的参数可以分为连续型（速度vi）和离散型（物体类型Ti），参数的意义和对应的类型如表3所示。

表3 DSF模型中参数的意义与类型

为解决参数标定问题，从2010-2016年中国道路交通安全数据集［30］中提取出与表3中参数相关的数据。连续型参数的标定方法是采用曲线拟合求解出该参数和单位事故财产损失的关系函数，离散型参数的标定方法是利用式（12）建立查找表：式中Pd|x=xi是离散型参数x为xi时引起的单位事故财产损失。

式（9）～式（11）可以分别改写为

2.1 虚拟质量的标定

式（13）中g（vi）代表车速对行车风险的影响，根据世卫组织的报告，发展中国家的交通事故数量、相关伤害和死亡数分别与速度的二次方、三次方和四次方有关。表4列出2010-2016年中国5种主要类型的公路车速与事故数据。如图3所示，利用多项式拟合求出平均速度与单位事故损失的关系g（vi）：

图3 单位事故损失和道路平均车速的关系

表4 2010-2016年中国道路安全交通事故数据（道路等级）

如表5所示，目前车辆感知系统能够准确检测出的交通参与者大致分为汽车、载货车、摩托车、非机动车和行人。记这5类目标的i为1-5，将各自的事故数据代入到式（12）中，得出物体类别的标定结果。

表5 5种道路物体的单位事故损失与标定值

2.2 道路条件影响因子的标定

能见度、道路坡度和道路曲率无法准确测量，所以采用离散型参数的标定方法。如表6所示，能见度可分为4类，记i值为1-4，将各自的事故数据代入到式（12）中，得出能见度的标定结果。所搜集的数据集中坡度和曲率是联合在一起的，因此建立的是二维的查找表，如表7所示。表7中τ1～τ4分别表示平路、一般坡、陡坡和连续坡，ρ1～ρ3分别表示直路、一般弯和急弯。

表6 4种能见度的单位事故损失和标定值

表7 不同道路线形的单位事故损失标定值

如表8所示，本文用数据集中的路面状态去估算路面附着系数。如图4所示，利用多项式拟合求出路面附着系数与单位事故损失的关系φ（μi）为

图4 单位事故损失和路面附着系数的关系

表8 2010-2016年中国道路安全交通事故数据（路面状态）

2.3 驾驶员条件影响因子的标定

表9～表12分别列出驾驶员身心状态、认知水平、技能水平和违法行为的标定结果。由于人因参数难以准确测量，以数据集中驾驶员的统计信息作为标定依据。用驾驶员的年龄去衡量其生理、心理状态，用驾驶员受教育程度去衡量其认知水平，用驾驶员的驾龄去衡量其驾驶技能水平。

表9 不同年龄段驾驶员的风险标定值

表12 违法行为的标定值

2.4 其他参数的取值

根据文献［19］和文献［20］，式（1）～式（3）中风险系数的最优解，分别是K=0.1、k1=1.5、k2=1和k3=160。参数α的取值为0.1，参数DSI*的计算以1 s的THW和4 s的TTC为标准。

表10 不同受教育水平驾驶员的风险标定值

表11 不同驾龄驾驶员的风险标定值

3 实验验证

3.1 封闭场地测试

为验证第2节参数标定的准确性，以AEB测试场景为例，进行封闭场地测试。如图5所示，实验在中国汽研大足区试验场进行，实验设备包括实验车、定位与数采系统、操作控制系统和目标物系统。实验车和目标物上都装有定位与数据采集系统（RTrange），以便在实验过程中记录车辆和目标物的位置、速度、航向角等信息。操作控制系统包括驾驶机器人和目标物控制器，实现车辆和目标物物理状态的精确控制，满足设定的场景。AEB测试场景中包含主车和目标物，目标物可以分为汽车、自行车和人，具体的场景示意图和场景解释如图6和表13所示。

表13 AEB测试场景的场景解释

图5 封闭场地测试的实验设备

图6 AEB测试场景示意图

AEB系统中常用的安全指标是碰撞剩余时间TTC，TTC的表达式为

但是当自车和目标物速度相同时，TTC趋近于无穷大。且TTC越大表示车辆越安全，这与相对驾驶安全系数RDSI相反。为使指标的对比效果更明显，以TTC的倒数作为参照指标，记为

如图7所示，在6种不同场景的测试过程中主车的RDSI与TTCi的变化趋势基本一致，所以RDSI可以准确表示主车的行车风险和驾驶状态，所标定的DSF模型参数也是正确的。但因为DSF模型考虑到的场景变量比TTCi多，所以在AEB系统执行控制后主车的TTCi很快降为0，而RDSI仍存在波动。如图7（c）～图7（f）所示，由于TTCi指标对横向运动物体的风险表达不敏感，导致TTCi在行人横穿、自行车横穿和侧方车切入的场景中变化延迟于RDSI，这表明RDSI指标对横向风险的评估能力优于TTCi。

图7 6类AEB测试场景下RDSI和TTCi的对比

3.2 开放道路测试

如图8所示，为验证所提出的场景划分方法，须进行真实道路测试以采集自然驾驶数据。实验在中国合肥市智能网联汽车测试道路上进行，主车车速设置为低速30 km∕h、中速45 km∕h和高速60 km∕h。与封闭场地测试不同，开放道路测试中目标车由驾驶员控制，无法实现物理量的精确控制，所以不再设定具体场景。目标车的随机动作与场景的不确定性一方面可以更好地验证RDSI指标，另一方面可以为SOTIF场景划分提供场景基础。

图8 开放道路测试图

如图9（a）所示，根据所提的基于RDSI的场景划分方法，在开放道路的实验中主车在109-110 s，117-118 s和169.0-169.5 s处于危险驾驶状态，所以这3个时间段的驾驶场景属于SOTIF的未知安全∕不安全场景，对应的风险值为0.12、0.13和0.04。其他时间段主车为安全驾驶状态，所以驾驶场景为已知安全场景。主车在实验中执行了跟车-换道-跟车操作，在换道过程中出现了两次SOTIF不足的问题，在跟车过程中出现了一次SOTIF不足问题。如场景②所示，目标车道有静止车辆，但是主车仍进行换道，所以导致停驶在车道线上的时间和整个换道时间过长。如场景③所示，由于跟车距离过近，主车的行车风险也超出安全阈值。如图9（b）所示，主车在77.0-77.5 s和148-149 s区间的RDSI比设定的安全阈值高，这表示出现了两次预期不安全的场景，对应的风险值为0.01和0.05。在本次实验中，主车执行了换道-跟车-换道-跟车操作。第一次跟车过程中，由于目标车换道导致主车采集的目标车数据波动大，造成了RDSI值的突变。如场景⑤所示，第二次换道完成前，前车也执行了变道操作，因此主车在车道线上行驶且与前车的距离过近。

图9 基于RDSI的SOTIF场景划分

表14列出开放道路测试中部分场景的划分结果和其中未知安全∕不安全场景②、③和⑤的文本解释。场景①、④和⑥中主车为安全驾驶状态，划分为已知安全场景，在整个测试过程车辆未遇到已知不安全场景。

表14 开放道路实验的场景划分

4 结论

为准确划分测试场景，从而完善基于场景的SOTIF测试验证体系，提出了一种基于DSF理论的SOTIF场景的风险评估方法。所提方法综合考虑了SOTIF场景架构中不同层级的场景元素造成的行车风险，并通过DSF模型实现了风险的集成计算，从而可以全面准确地评估不同场景下主车的安全性。

封闭场地测试结果表明，RDSI指标能准确评估主车的行车风险，基于交通事故数据标定的DSF模型参数是正确的。虽然低风险区域的RDSI波动频率高，但对横向运动物体的风险评估能力比TTCi更敏锐。开放道路实验结果表明，RDSI能有效划分未知安全∕不安全场景和已知安全场景，为SOTIF场景边界的界定问题提供了新方法。此外，所提出的风险评估方法可以导出预期功能不足的致因场景，为系统级和整车级的安全性能提升提供场景依据。

附录A

第一类静止物体a形成的势能场场强ER，ai表达式为