基于行車安全場理論的預期功能安全場景風險評估*

陳 浩，王 紅，李維漢，白先旭，陳 炯，李楚照，5，石 琴，孫 駿

（1.合肥工業大學，安徽省智慧交通車路協同工程研究中心，合肥 230009；2.合肥工業大學汽車與交通工程學院，車輛工程系自適應結構與智能系統實驗室，合肥 230009；3.清華大學車輛與運載學院，北京 100084；4.上海蔚來汽車有限公司，上海 201804；5.中國汽車工程研究院股份有限公司汽車噪聲振動和安全技術國家重點實驗室，重慶 401122）

前言

自動駕駛技術給汽車安全提出了諸多挑戰，研發人員無法做到讓自動駕駛車輛在任何情況下都能保障自車及周圍行人的安全。2020年特斯拉公司的產品Model Y因傳感器未檢測到前方靜止的白色貨車而導致與其相撞［1］。這表明即使通過現有的測試標準，自動駕駛車輛在真實交通場景中的安全性也不如預期。

自動駕駛的技術發展與測試體系建立不同步，導致自動駕駛的實際應用受到限制，全面推廣受到阻礙，因此行業須建立針對不同自動駕駛等級的測試標準與評價指標。針對這樣的問題國際標準化組下設的功能安全工作組（ISO∕TC22∕SC32∕WG8）于2016年啟動了ISO 21448的制定工作，并于2019年發 布 了《ISO∕PAS 21448—2019：Road vehicles-Safety of the intended functionality》，旨在解決因預期功能不足或合理預見的人員誤操作而造成的車輛危害行為。

基于場景的方法可以應用于ISO 26262標準中V型開發過程的眾多步驟。Menzel等［2］根據不同步驟的場景要求提出了場景的3個抽象層次，還給出了每個抽象層的定義。Weber等［3］提出了根據主車和障礙物之間潛在的碰撞區域定義與安全相關的場景框架。

雖然基于仿真場景的自動駕駛系統測試驗證可以降低測試成本和縮短測試時間，但與現實中的安全效益關聯性不強。為解決此問題，Zhao等［4-6］提出了一個大規模、可拓展的自然駕駛場景庫TrafficNet和一種基于重要性采樣的加速評估測試方法，并以跟車和換道場景為例進行了驗證。Xu等［7］利用遺傳算法對重要性抽樣進行改進，提高了切入場景下的測試效率。Feng等［8-10］提出了一種新的高級自動駕駛系統的安全評估框架，該框架包含增強現實的測試平臺和自適應的測試場景庫生成方法。他們還進一步通過強化學習技術改進了該方法，保證其在高維場景下測試評估的無偏性和高效性［11-12］。

如圖1所示，在ISO 21448中車輛的運行場景被分為4個部分，分別是區域1已知安全場景、區域2已知不安全場景、區域3未知不安全場景和區域4未知 安 全 場 景［13］。預 期 功 能 安 全（safety of the intended functionality，SOTIF）的目標就是最大可能地減少區域2和區域3的面積，提高車輛在不同場景下的安全性。要實現此目標，不僅需要基于場景的測試方法，還需要應用準確的指標評估場景風險。

圖1 SOTIF中車輛運行場景的分類

Li等［14］將智能車輛危險評估的關鍵指標分為5組：基于時間的指標、基于運動學的指標、基于統計學的指標、基于勢場的指標和基于非預期駕駛行為的指標。其中基于碰撞時間的指標（time-tocollision，TTC）在縱向場景下準確而有效，常應用于避撞產品的設計中，如預警系統［15］、碰撞緩解和制動系統［16-17］。但是TTC對移動障礙物的橫向碰撞風險不敏感，在變道或切入場景中易發生誤報警［14］。

基于勢場的指標在多目標的風險等級劃分方面優勢明顯，這與日益復雜的交通場景相符合。Wang等［18］提出的行車安全場（driving safety field，DSF）模型是勢場理論應用于車輛領域的最新成果，該模型定量地描述了各交通因素對行車安全的影響，為復雜環境下行車風險評價和車輛主動安全技術提供了一種新的思路和方法。基于該理論，Wang等［19］還提出了針對多車場景的車輛碰撞預警算法，并通過24名駕駛員的實車實驗驗證了算法的有效性。但文獻［18］和文獻［19］中DSF模型的參數是假設的。Li等［20］進一步建立了一個基于灰度關系度分析的優化模型對DSF模型的風險系數進行校準。Li等［21］對文獻［18］中的DSF模型進行了改進，通過縮放距離矢量將車輛的安全場結構優化為橢圓形，使模型解釋更加形象，但并未深入研究其他模型參數。Wu等［22］在DSF模型中加入了軌跡預測模塊，提出了一種用于無信號路段行人-車輛風險評估的方法，該方法縮短了制動時間，提高了TTC，但適用場景存在局限性。除車輛主動安全技術以外，勢場理論還廣泛應用于自動駕駛車輛的運動規劃［23-24］和路徑規劃［25-26］中。

為解決SOTIF驗證過程中測試場景的風險評估問題，本文中提出通過DSF模型將不同層級的場景元素造成的行車風險進行集成，從而全面準確地計算場景風險的方法。從SOTIF場景架構與DSF模型參數的關系層面，給出DSF模型滿足SOTIF場景風險評估的要求。為完善并應用所提的評估方法，利用交通事故數據對DSF模型中部分參數進行標定，并將該方法用于劃分SOTIF車輛運行場景。采用場地測試和道路測試途徑，對標定參數的有效性和所提方法的正確性進行驗證。本文的主要貢獻有：（1）提出基于DSF理論的SOTIF場景風險評估方法，從SOTIF場景層級和DSF模型參數的角度闡述了評估方法的全面性和適用性；（2）利用中國道路交通安全數據集對DSF模型中虛擬質量、道路條件影響因子和駕駛員風險因子等參數進行標定，并通過場地測試驗證標定值的準確性和DSF指標的敏銳性；（3）將所提風險評估方法進行具體應用，提出基于相對駕駛安全系數指標（relative driving safety index，RDSI）的SOTIF場景劃分方法，并通過道路測試驗證劃分的實用性。

1 SOTIF場景風險評估模型

Ulbrich等［27］將場景定義為一系列圖片中部分圖片之間時間發展的描述，所以從一個場景到另一個場景的移動是通過事件的因果鏈進行的，且風險和軌跡的變化圖也是連續的。如果能夠完整地記錄行車過程中場景元素的量化值，同時合理準確地計算場景的瞬時風險，就可以實現SOTIF場景的風險評估。基于此，風險評估的問題可以分為兩步，一是選擇完善的SOTIF場景架構，二是準確的風險計算模型。

風險的準確表達需要以完善的場景架構為基礎，因為在日益復雜的交通環境中自車受到的危險是來自多方面的。Wu等［28］提出的7層SOTIF場景架構滿足完整性要求，具體的層級描述如表1所示，該場景架構中元素眾多，因此須結合先進的風險模型，對各類元素造成的風險進行權衡和統籌。

表1 場景的層級描述

DSF模型綜合考慮了人-車-路3方面的風險，實現了感知區域內所有場景要素的風險量化。文獻［18］中DSF由道路上靜止物體形成的勢能場、運動物體形成的動能場和駕駛員形成的行為場勢組成，所以主車i的安全勢能（safety potential energy，SPE）的表達式為

式中：SPER，ai為主車i在第一類靜止物體a產生的勢能場中的安全勢能；R為道路條件影響因子；M為物體的虛擬質量；DR為駕駛員風險因子；rai為相對距離矢量；K和k1為風險系數；SPER，ai，L為主車i在第二類靜止物體（車道線標記L）產生的勢能場中的安全勢能，其中LTa表示車道類型，D表示線寬，k2表示風險系數；SPEv，bi為主車i在運動物體b產生的動能場中的安全勢能，其中vb是物體b的速度矢量，θb表示rbi與vb之間的夾角，k3表示風險系數；SPED，ci為主車i在背景車內的駕駛員c產生的行為場中的安全勢能。

雖然式（1）～式（4）的變量僅涉及場景架構的層級1-5，但已經能全面反映物理世界中的風險，層級6和7與信息世界相關，不是本文的研究重點。由式（1）～式（4），可以推導出主車i在復雜場景下的SPEi、行車安全指數（driving safety index，DSIi）和RDSIi的表達式為

因為當式（3）中運動物體b的速度vb為0時，式（3）與式（1）相等，所以式（5）將第一類靜止物體的勢能場和運動物體的動能場合并。規定如果物體j不是由人類駕駛員控制時，DRi為0。式（6）表示DSI是行車風險在空間和時間上的線性組合。式（7）中DSI*是特定場景中的標準行車安全指數。

SOTIF研究有兩個主要原則，一是所有的場景都可以按照已知和未知及安全和不安全正確地劃分，二是系統開發過程中進行的改進直接影響給定測試用例集中不安全場景的數量，因此利用精確的風險評估指標對場景進行劃分是SOTIF開發和驗證的前提。

如表2所示，本文中以RDSI指標作為不同的SOTIF場景的劃分依據。在DSF理論中，車輛的運行狀態可以按照RDSI的不同分為以下3類：

表2 基于DSF模型的SOTIF場景劃分

（1）當RDSI＜RDSI1*時，車輛的駕駛狀態為安全；

（2）當RDSI1*＜RDSI＜RDSI2*時，車輛的駕駛狀態為危險；

（3）當RDSI＞RDSI2*時，車輛的駕駛狀態為極危險。

其中RDSI1*和RDSI2*的計算是基于現有的標準，跟車場景和切入場景下的閾值計算標準為1 s的車頭時距（THW）和4 s的TTC［19］，換道場景為動態最小安全距離［29］。認為RDSI＜RDSI1*和RDSI＞RDSI2*的場景分別為已知安全和已知不安全。當RDSI1*＜RDSI＜RDSI2*時，車輛存在發生事故的可能性，無法準確地判斷出運行狀態，認為這樣的場景包括了未知不安全和未知安全。

RDSI1

*和RDSI2*既對應已知安全（區域1）和已知不安全（區域2）的邊界，也代表特定場景中風險的上、下界。為計算未知場景下自車的行車風險，實現安全性能的全面可控，區別于傳統的技術路線（只研究未知不安全區域），本文將區域3和區域4合并，并以該區域RDSI對時間的積分值作為場景的風險計算結果。

如圖2所示，未知場景下的駕駛風險可以表示為圖中的黃色部分面積：

圖2 車輛不同駕駛狀態與RDSI的關系

式 中｛ti|RDSI=RDSI1*∪RDSI=RDSI2*，i=1，2，…，n｝。

2 DSF模型的參數標定

雖然DSF模型可以全面反映場景風險，但模型中的部分參數未經標定，且駕駛員風險因子很難通過實驗標定，比如違章違法行為。為進一步提升模型在復雜交通環境中評價車輛行車風險的優勢和有效性，拓展其應用范圍，采用基于統計數據的參數標定方法，參考附錄A。

DSF模型中虛擬質量Mi、道路條件影響因子Ri和駕駛員風險因子DRi的表達式為

式（9）～式（11）中的參數可以分為連續型（速度vi）和離散型（物體類型Ti），參數的意義和對應的類型如表3所示。

表3 DSF模型中參數的意義與類型

為解決參數標定問題，從2010-2016年中國道路交通安全數據集［30］中提取出與表3中參數相關的數據。連續型參數的標定方法是采用曲線擬合求解出該參數和單位事故財產損失的關系函數，離散型參數的標定方法是利用式（12）建立查找表：式中Pd|x=xi是離散型參數x為xi時引起的單位事故財產損失。

式（9）～式（11）可以分別改寫為

2.1 虛擬質量的標定

式（13）中g（vi）代表車速對行車風險的影響，根據世衛組織的報告，發展中國家的交通事故數量、相關傷害和死亡數分別與速度的二次方、三次方和四次方有關。表4列出2010-2016年中國5種主要類型的公路車速與事故數據。如圖3所示，利用多項式擬合求出平均速度與單位事故損失的關系g（vi）：

圖3 單位事故損失和道路平均車速的關系

表4 2010-2016年中國道路安全交通事故數據（道路等級）

如表5所示，目前車輛感知系統能夠準確檢測出的交通參與者大致分為汽車、載貨車、摩托車、非機動車和行人。記這5類目標的i為1-5，將各自的事故數據代入到式（12）中，得出物體類別的標定結果。

表5 5種道路物體的單位事故損失與標定值

2.2 道路條件影響因子的標定

能見度、道路坡度和道路曲率無法準確測量，所以采用離散型參數的標定方法。如表6所示，能見度可分為4類，記i值為1-4，將各自的事故數據代入到式（12）中，得出能見度的標定結果。所搜集的數據集中坡度和曲率是聯合在一起的，因此建立的是二維的查找表，如表7所示。表7中τ1～τ4分別表示平路、一般坡、陡坡和連續坡，ρ1～ρ3分別表示直路、一般彎和急彎。

表6 4種能見度的單位事故損失和標定值

表7 不同道路線形的單位事故損失標定值

如表8所示，本文用數據集中的路面狀態去估算路面附著系數。如圖4所示，利用多項式擬合求出路面附著系數與單位事故損失的關系φ（μi）為

圖4 單位事故損失和路面附著系數的關系

表8 2010-2016年中國道路安全交通事故數據（路面狀態）

2.3 駕駛員條件影響因子的標定

表9～表12分別列出駕駛員身心狀態、認知水平、技能水平和違法行為的標定結果。由于人因參數難以準確測量，以數據集中駕駛員的統計信息作為標定依據。用駕駛員的年齡去衡量其生理、心理狀態，用駕駛員受教育程度去衡量其認知水平，用駕駛員的駕齡去衡量其駕駛技能水平。

表9 不同年齡段駕駛員的風險標定值

表12 違法行為的標定值

2.4 其他參數的取值

根據文獻［19］和文獻［20］，式（1）～式（3）中風險系數的最優解，分別是K=0.1、k1=1.5、k2=1和k3=160。參數α的取值為0.1，參數DSI*的計算以1 s的THW和4 s的TTC為標準。

表10 不同受教育水平駕駛員的風險標定值

表11 不同駕齡駕駛員的風險標定值

3 實驗驗證

3.1 封閉場地測試

為驗證第2節參數標定的準確性，以AEB測試場景為例，進行封閉場地測試。如圖5所示，實驗在中國汽研大足區試驗場進行，實驗設備包括實驗車、定位與數采系統、操作控制系統和目標物系統。實驗車和目標物上都裝有定位與數據采集系統（RTrange），以便在實驗過程中記錄車輛和目標物的位置、速度、航向角等信息。操作控制系統包括駕駛機器人和目標物控制器，實現車輛和目標物物理狀態的精確控制，滿足設定的場景。AEB測試場景中包含主車和目標物，目標物可以分為汽車、自行車和人，具體的場景示意圖和場景解釋如圖6和表13所示。

表13 AEB測試場景的場景解釋

圖5 封閉場地測試的實驗設備

圖6 AEB測試場景示意圖

AEB系統中常用的安全指標是碰撞剩余時間TTC，TTC的表達式為

但是當自車和目標物速度相同時，TTC趨近于無窮大。且TTC越大表示車輛越安全，這與相對駕駛安全系數RDSI相反。為使指標的對比效果更明顯，以TTC的倒數作為參照指標，記為

如圖7所示，在6種不同場景的測試過程中主車的RDSI與TTCi的變化趨勢基本一致，所以RDSI可以準確表示主車的行車風險和駕駛狀態，所標定的DSF模型參數也是正確的。但因為DSF模型考慮到的場景變量比TTCi多，所以在AEB系統執行控制后主車的TTCi很快降為0，而RDSI仍存在波動。如圖7（c）～圖7（f）所示，由于TTCi指標對橫向運動物體的風險表達不敏感，導致TTCi在行人橫穿、自行車橫穿和側方車切入的場景中變化延遲于RDSI，這表明RDSI指標對橫向風險的評估能力優于TTCi。

圖7 6類AEB測試場景下RDSI和TTCi的對比

3.2 開放道路測試

如圖8所示，為驗證所提出的場景劃分方法，須進行真實道路測試以采集自然駕駛數據。實驗在中國合肥市智能網聯汽車測試道路上進行，主車車速設置為低速30 km∕h、中速45 km∕h和高速60 km∕h。與封閉場地測試不同，開放道路測試中目標車由駕駛員控制，無法實現物理量的精確控制，所以不再設定具體場景。目標車的隨機動作與場景的不確定性一方面可以更好地驗證RDSI指標，另一方面可以為SOTIF場景劃分提供場景基礎。

圖8 開放道路測試圖

如圖9（a）所示，根據所提的基于RDSI的場景劃分方法，在開放道路的實驗中主車在109-110 s，117-118 s和169.0-169.5 s處于危險駕駛狀態，所以這3個時間段的駕駛場景屬于SOTIF的未知安全∕不安全場景，對應的風險值為0.12、0.13和0.04。其他時間段主車為安全駕駛狀態，所以駕駛場景為已知安全場景。主車在實驗中執行了跟車-換道-跟車操作，在換道過程中出現了兩次SOTIF不足的問題，在跟車過程中出現了一次SOTIF不足問題。如場景②所示，目標車道有靜止車輛，但是主車仍進行換道，所以導致停駛在車道線上的時間和整個換道時間過長。如場景③所示，由于跟車距離過近，主車的行車風險也超出安全閾值。如圖9（b）所示，主車在77.0-77.5 s和148-149 s區間的RDSI比設定的安全閾值高，這表示出現了兩次預期不安全的場景，對應的風險值為0.01和0.05。在本次實驗中，主車執行了換道-跟車-換道-跟車操作。第一次跟車過程中，由于目標車換道導致主車采集的目標車數據波動大，造成了RDSI值的突變。如場景⑤所示，第二次換道完成前，前車也執行了變道操作，因此主車在車道線上行駛且與前車的距離過近。

圖9 基于RDSI的SOTIF場景劃分

表14列出開放道路測試中部分場景的劃分結果和其中未知安全∕不安全場景②、③和⑤的文本解釋。場景①、④和⑥中主車為安全駕駛狀態，劃分為已知安全場景，在整個測試過程車輛未遇到已知不安全場景。

表14 開放道路實驗的場景劃分

4 結論

為準確劃分測試場景，從而完善基于場景的SOTIF測試驗證體系，提出了一種基于DSF理論的SOTIF場景的風險評估方法。所提方法綜合考慮了SOTIF場景架構中不同層級的場景元素造成的行車風險，并通過DSF模型實現了風險的集成計算，從而可以全面準確地評估不同場景下主車的安全性。

封閉場地測試結果表明，RDSI指標能準確評估主車的行車風險，基于交通事故數據標定的DSF模型參數是正確的。雖然低風險區域的RDSI波動頻率高，但對橫向運動物體的風險評估能力比TTCi更敏銳。開放道路實驗結果表明，RDSI能有效劃分未知安全∕不安全場景和已知安全場景，為SOTIF場景邊界的界定問題提供了新方法。此外，所提出的風險評估方法可以導出預期功能不足的致因場景，為系統級和整車級的安全性能提升提供場景依據。

附錄A

第一類靜止物體a形成的勢能場場強ER，ai表達式為

第二類靜止物體形成的勢能場場強ER，ai，L表達式為

運動物體b形成的動能場場強Ev，bi表達式為

駕駛員c形成的行為場場強ED，ci表達式為

位于行車安全場中的車輛會受到場力的作用，在物體j形成的行車安全場中，車輛i受到的場力矢量Fji為

安全勢能SPE是車輛由于在行車安全場中受到保守場力作用而具有的勢能標量，規定距離場源無窮遠處的車輛具有的安全勢能為0，那么車輛i由于物體j的作用而具備的安全勢能SPEj，i可以表示為

安全勢能隨時間的變化率為

由式（A1）～式（A7）可以計算出車輛i在第一類靜止物體a、第二類靜止物體、運動物體b和駕駛員c形成的行車安全場中具有的安全勢能為

附錄B

如圖B1所示，基于交通事故數據的DSF模型參數標定包含以下4個步驟：數據搜集、數據篩選、數據量化和參數標定。

圖B1 DSF模型參數標定流程圖

（1）數據搜集從交通專業知識服務系統中獲取道路安全數據集。本文選取了2010-2016年中國道路安全數據集，詳見https：∕∕transport.ckcest.cn∕CatsCategory∕load2？code=C。

（2）數據篩選根據DSF模型中待標定的參數，從數據集中提取出關聯性較高的部分。例如：模型中道路曲率ρ和道路坡度τ與數據集中不同道路線性相關性最高，故將不同道路線性的事故數據篩選出來。

（3）數據量化由于數據集大部分都是以文本形式記錄的，所以在標定前須進行量化處理，根據特征的文本描述估算所對應模型參數的區間。例如：數據集中不同的路面通行條件是以干燥、潮濕等形式記錄的，對應的路面附著系數φ可估算為0.9、0.6等。

（4）參數標定若模型參數為連續型變量，則利用多項式擬合出該參數和造成的單位事故財產損失的關系，從而完成標定；若為離散型，則以最大單位事故財產損失為標準值，建立完整的查找表。