港城運輸場景下智能重型卡車的預期功能安全測試評估方法研究

文/王瀟屹 李俊成 劉建泉

港城運輸是自動駕駛的應用落地場景之一，具有切實的市場需求和巨大的經濟效益。港城自動駕駛因特殊的地理位置、作業狀況（如集裝箱堆積、團霧、橫風）和智能重型卡車（以下簡稱“重卡”）的特點（如總質量大且質量變化范圍大），會觸發一些特定的安全問題。因此，本文采用《道路車輛預期功能安全》ISO 21448：2022中的方法論，從預期功能安全（SOTIF）的角度出發，研究港城運輸場景下智能重卡特有的安全問題，并提出測試和評價方法，助力企業通過測試，更全面、高效地發現自動駕駛系統的不足，指導企業提出改進措施。

一、港城運輸場景下的智能重卡SOTIF測試評估方案設計思路

自動駕駛汽車的安全性與其自動駕駛等級、自動駕駛功能、設計運行條件（ODC）密切相關。本文研究的智能重卡搭載了L3級別的自動駕駛功能，具備在設計運行域（ODD）范圍內完成車道保持、行駛時躲避障礙物、自動超車等功能，當駕駛員提出接管請求時，會移交控制權。ODD主要為天氣狀態良好下的港城大橋、部分港內道路等。

根據ISO 21448：2022中的方法論，引發自動駕駛SOTIF問題有3個重要因素：觸發條件（包含自動駕駛各系統存在的功能不足、性能局限和人為誤用）；引發安全問題的特定場景；一旦發生危害事件是否可控（見圖1）。

圖1 SOTIF相關的危害事件模型

從圖1中可以看出，解決自動駕駛汽車SOTIF可以從這3個引發安全問題的因素入手。本文所提出的智能重卡SOTIF測試評估方案（見圖2），通過耦合特定的測試場景和觸發條件，有針對性地設計測試用例并執行相應測試，最終通過選定的評價指標對測試結果進行評價，找出上述3個因素中切實引起問題的原因，從而對自動駕駛的設計提出改進措施。

圖2 智能重卡SOTIF測試評估流程

二、測試方案設計

由于本次研究暫未考慮車輛與人的交互，故在進行測試需求分析和測試用例設計時，著重考慮對觸發條件的分析和測試場景的研究。

1.觸發條件分析

觸發條件是場景中的特定條件，這些條件引發了系統的后續反應，促成了危害行為或無法防止、探測和減輕合理可預見的間接誤用。因此，觸發條件和應用場景、自動駕駛的特定功能、組成自動駕駛系統的部件和整個系統的功能和性能局限高度相關。本文從兩個方面來研究港城運輸場景下智能重卡的觸發條件。

① 基于智能重卡搭載的感知、決策和執行系統已知的性能局限

基于智能重卡搭載的感知、決策和執行系統已知的性能局限，本文推導出可能導致的危害行為場景的通用觸發條件（見表1）。

表1 部分感知系統的性能局限

如在雨雪天氣狀態下感知系統中的雷達性能會下降，攝像頭會由于太陽眩光看不清；決策系統由于機器學習不足，導致情況誤判；執行機構如制動系統的最大可用制動壓力存在上限值，導致當汽車總質量過大時，無法在一定的距離內制動并停車等。

② 基于港城運輸特有的運行環境

基于港城運輸特有的運行環境，本文推導可能對感知、決策和執行系統的影響范圍，從而獲得可能導致危害行為場景的觸發條件（見表2）。

表2 基于特定環境推導出部分觸發條件

2.測試場景選取

在進行測試用例基礎場景選取時，考慮干線物流常規道路條件、港城運輸特有道路條件和交通參與者的交互情況，本文結合中國智能網聯汽車產業創新聯盟SOTIF工作組提出的自動駕駛SOTIF研究的7層場景庫架構[1]，進行測試場景關鍵要素的提取（見圖3）。

圖3 港城運輸特有的部分道路場景

3.測試用例構建

如圖2所示，測試用例構建的基本要素包括觸發條件和測試場景。在測試用例的設計時，考慮到測試數量對于待驗證目標的覆蓋率和對未知不安全的場景的挖掘，本文結合模擬仿真測試可對場景參數值進行大量泛化的優勢，進行測試用例的構建（見圖4）。

圖4 通過場景參數泛化生成覆蓋率更全面的測試用例示例

三、測試執行

圍繞所設計的SOTIF測試用例，本文采用模擬仿真、封閉場地和實際道路測試等方法對智能重卡的SOTIF進行測試。3種測試方法的優缺點見表3。

表3 SOTIF測試方法對比[2]

模擬仿真、封閉場地和實際道路3種測試方法各有側重。基于模擬仿真測試低成本、高效率和高覆蓋度的優勢，大部分的SOTIF測試用例通過模擬仿真測試開展，進而對智能重卡的SOTIF特性進行全面性的評估，識別盡可能多的已知不安全場景，并推斷未知不安全場景。模擬仿真測試中無法可信模擬的SOTIF場景及其所識別的不安全場景，可通過封閉場地進行進一步測試，結合模擬仿真測試結果，形成更為全面且可信的測試結果。實際道路測試重點關注關鍵觸發條件的覆蓋度，通過測試路段的選擇、測試里程和測試時長的制定，開展相應的測試工作，通過真實交通場景下的測試，評估待測車輛的SOTIF，并可反饋補充所設計的SOTIF測試用例。

四、測試評價

對于SOTIF測試結果，本文從碰撞風險、碰撞是否發生和碰撞嚴重程度等維度出發，通過如表4所列碰撞時間、潛在碰撞嚴重指數、潛在碰撞時長、最小安全距離因子、制動安全閾值和碰撞指標等指標，對智能重卡在特定場景下所發生危害事件的嚴重度和可控性進行評價。針對存在不合理風險的測試結果，筆者需進一步分析其是否滿足智能重卡在對應場景下的殘余風險接收準則。根據ISO 21448：2022建議，殘余風險接收準則可通過風險容忍原則、正向風險平衡原則、風險可接受（ALARP）原則或最小內源性死亡率原則中的一種或多種綜合考慮得到。對于不能接受的殘余風險，可通過減少觸發條件、合理定義ODC以及增加可控性措施等方法進行設計改進。

表4 SOTIF測試評價指標

五、結語

本文基于SOTIF的方法論，研究了港城運輸場景下可能引起智能重卡潛在安全問題的觸發條件，并結合實際駕駛場景，提出了測試用例的設計方法。在考慮了測試用例的可復現性、可執行性和對安全目標覆蓋度等因素，本文結合模擬仿真、封閉場地和實際道路的測試特點，提出了測試執行環境的分配原則，并選取了測試評價指標，形成測試評價方法，目的是助力企業通過測試，更全面、更高效地發現自動駕駛系統的不足，指導企業改進，使自動駕駛智能重卡在港城運輸場景下更好更快地落地應用。