功能安全風(fēng)險(xiǎn)評估方法探究

王劍峰　李小俠　何南　王遠(yuǎn)波　王愛紅

【摘? 要】本文主要闡述道路車輛功能安全場景元素的創(chuàng)建思路和風(fēng)險(xiǎn)等級的評估方法，并從嚴(yán)重度、暴露率、可控度風(fēng)險(xiǎn)評估幾方面入手，結(jié)合實(shí)際案例，進(jìn)一步說明功能安全風(fēng)險(xiǎn)評估的風(fēng)險(xiǎn)等級。希望能挖掘出某個(gè)功能在失效時(shí)所處的駕駛環(huán)境是否會造成人員的嚴(yán)重傷害，進(jìn)而為后續(xù)的設(shè)計(jì)工作提供依據(jù)。

【關(guān)鍵詞】場景元素；嚴(yán)重度；暴露率；可控度；風(fēng)險(xiǎn)評估

中圖分類號：U463.6? ? 文獻(xiàn)標(biāo)志碼：A? ? 文章編號：1003-8639（ 2023 ）09-0046-03

Research on Risk Assessment Method of Functional Safety

WANG Jianfeng，LI Xiaoxia，HE Nan，WANG Yuanbo，WANG Aihong

（Automotive Engineering Research Institute of Shaanxi Heavy Duty Truck Co.，Ltd.，Xi'an 710200，China）

【Abstract】This paper mainly elaborates the creation idea of road vehicle Functional safety scenario elements and the assessment method of risk level，and further explains the risk level of Functional safety risk assessment from several aspects of risk assessment of severity，exposure rate and controllability，combined with actual cases. I hope to explore whether the driving environment in which a certain function fails will cause serious injury to personnel，and provide a basis for subsequent design work.

【Key words】scene elements；severity；exposure rate；controllability；risk assessment

作者簡介

王劍峰（1985—），男，工程師，從事汽車電子電器系統(tǒng)方案設(shè)計(jì)、整車電器原理設(shè)計(jì)、功能安全研究等工作。

1? 引言

在使用ISO 26262道路車輛功能安全標(biāo)準(zhǔn)進(jìn)行功能安全開發(fā)時(shí)，一個(gè)重要的環(huán)節(jié)是進(jìn)行危害分析和風(fēng)險(xiǎn)評估。當(dāng)對危害事件進(jìn)行評估并設(shè)置功能安全目標(biāo)ASIL等級時(shí)，不可避免地要使用嚴(yán)重度S、暴露率E和可控度C進(jìn)行指標(biāo)評價(jià)，然而量化這些指標(biāo)卻需要大量的實(shí)車測試數(shù)據(jù)庫和軟件模擬仿真數(shù)據(jù)庫。在車輛功能安全正向開發(fā)初期，主機(jī)廠也很難獲取這些數(shù)據(jù)庫作為設(shè)計(jì)支撐，故需要一種具有實(shí)際指導(dǎo)性、避免人為主觀因素影響、評估結(jié)果置信度高的評估標(biāo)準(zhǔn)和方法。

本文的研究重點(diǎn)是如何通過場景元素的特征來定義相應(yīng)的風(fēng)險(xiǎn)等級，為嚴(yán)重度（S）、暴露率（E）、可控度（C）進(jìn)行科學(xué)合理的賦值，以便于在風(fēng)險(xiǎn)評估時(shí)有可參照的評價(jià)標(biāo)準(zhǔn)，避免主觀人為因素對評估結(jié)果造成較大的偏差，得到相對準(zhǔn)確率高的功能安全目標(biāo)ASIL。

2? 功能安全概念階段開發(fā)流程簡介

功能安全概念階段旨在根據(jù)系統(tǒng)功能識別出導(dǎo)致發(fā)生人身傷害的危害事件，并對危害事件的嚴(yán)重度、暴露率和可控度進(jìn)行評估，得出功能安全目標(biāo)和功能安全需求。其開發(fā)流程如圖1所示。

1）相關(guān)項(xiàng)定義：定義一個(gè)系統(tǒng)或多個(gè)系統(tǒng)協(xié)同實(shí)現(xiàn)某個(gè)功能。

2）失效模式分析：基于功能偏離度的失效種類分析。

3）場景選擇：選擇此功能可能被激活的各種情境及情境的組合。

4）危害分析和風(fēng)險(xiǎn)評估：基于功能實(shí)現(xiàn)方式評估在不同情境下系統(tǒng)可能造成的嚴(yán)重度、暴露率和可控度等因數(shù)的等級。

5）功能安全目標(biāo)：根據(jù)危害分析和風(fēng)險(xiǎn)評估的結(jié)果，得出系統(tǒng)的功能安全目標(biāo)，即ASIL等級。

6）功能安全需求：根據(jù)功能安全目標(biāo)，提出系統(tǒng)的開發(fā)需求、安全狀態(tài)、故障容錯(cuò)時(shí)間間隔要求等。

功能安全概念階段的一個(gè)主要工作是建立功能安全場景庫，進(jìn)行危害分析和風(fēng)險(xiǎn)評估。

3? 場景元素

功能安全場景元素是具有反映車輛運(yùn)行情境的駕駛和操作特征的典型描述，是構(gòu)成場景的基礎(chǔ)要素和關(guān)鍵因子。場景包含場景分類、場景元素和場景特征，一般涉及駕駛員、車輛、道路、季候、環(huán)境等。場景元素是根據(jù)場景分類逐級分解，進(jìn)一步擴(kuò)展其屬性，提取出場景的特征。場景特征是場景元素的具體描述，屬于不可再分解的層級。場景元素具體分類可參見圖2，其中駕駛員、環(huán)境、道路的屬性可進(jìn)一步分解。

4? 場景選擇

場景是對場景元素的具體描述，是對相關(guān)項(xiàng)的故障行為導(dǎo)致一個(gè)危害事件發(fā)生時(shí)所處的運(yùn)行場景及運(yùn)行模式進(jìn)行描述，既要考慮正確使用車輛的情況，也要考慮可預(yù)見的不正確使用車輛的情況。運(yùn)行場景描述車輛在一定的天氣、環(huán)境、道路等因素下駕駛的邊界范圍，運(yùn)行模式是對車輛自身操作狀態(tài)的描述。場景選擇是進(jìn)行風(fēng)險(xiǎn)評估的前提，功能關(guān)聯(lián)的場景的選擇需根據(jù)駕駛場景和操作場景確定。場景選擇的步驟：①確定功能激活的邏輯；②確定功能的使用場景；③在場景庫中選擇與該功能使用有關(guān)的場景；④將該場景摘取到HARA分析表格。

5? 風(fēng)險(xiǎn)評估

風(fēng)險(xiǎn)評估關(guān)注的是潛在的處于風(fēng)險(xiǎn)中的每個(gè)人受到的傷害情況，包括引起危害事件的車輛的駕駛員或乘客，以及其他潛在的處于風(fēng)險(xiǎn)中的人員，如騎自行車的人員、行人或其他車輛上的人員。

風(fēng)險(xiǎn)等級（R）可在危險(xiǎn)事件被描述為一個(gè)函數(shù)（F），與危險(xiǎn)事件的發(fā)生頻率（f），即通過人的及時(shí)反應(yīng)避免特定的傷害或損害能力，損害或損傷的可控性（C）以及潛在的嚴(yán)重程度（S），相互之間的關(guān)系見公式（1）。

R=F （ f，C，S）（1）

風(fēng)險(xiǎn)評估主要通過嚴(yán)重度Severity、暴露率Exposure和可控性Controllability這3個(gè)因子來評估。嚴(yán)重度是指對駕駛員、乘員或者行人等涉險(xiǎn)人員的傷害程度，是基于確定的理由來預(yù)估潛在傷害的嚴(yán)重度，分為S0、S1、S2、S3這4個(gè)等級。暴露率是指人員暴露在系統(tǒng)的失效能夠造成危害的場景中的概率，是基于確定的理由預(yù)估每個(gè)運(yùn)行場景的暴露概率，分為E1、E2、E3、E4這4個(gè)等級?？煽匦允侵格{駛員或者其他涉險(xiǎn)人員能夠避免事故或傷害的可能性，是基于一個(gè)確定的理由預(yù)估駕駛員或其他潛在處于風(fēng)險(xiǎn)的人員對該危害事件的可控性，分為C0、C1、C2、C3這4個(gè)等級。風(fēng)險(xiǎn)評估分類標(biāo)準(zhǔn)見表1。

6? 基于場景元素的風(fēng)險(xiǎn)評估

6.1? 嚴(yán)重度評估

6.1.1? 碰撞類故障

對于碰撞類故障，嚴(yán)重度與車速相關(guān)，任何碰撞形式造成的嚴(yán)重程度最終只反映到車速上。車速越高，任何碰撞（如側(cè)碰、正碰）都可能造成嚴(yán)重后果；車速越低，任何碰撞造成的后果都是輕微的。因此，車速是主要的量化指標(biāo)，其它元素也可能影響嚴(yán)重度，如撞擊位置、撞擊環(huán)境等，但對最終嚴(yán)重度的評價(jià)結(jié)果影響較小。具體評價(jià)等級見表2，特殊情況可單獨(dú)考慮。

6.1.2? 非碰撞類故障

對于非碰撞類故障，如車輛起火、冒煙、電池短路、電機(jī)燒蝕等，則需設(shè)定工況和場景參數(shù)，根據(jù)人員在危險(xiǎn)中停留的時(shí)間確定嚴(yán)重度。

實(shí)例1：車輛行駛過程中，突發(fā)明火。此時(shí)應(yīng)參數(shù)化明火燃燒的速度、駕乘人員反應(yīng)和執(zhí)行時(shí)間、在火種停留時(shí)間等。若火勢很大，燃燒速度很快，人員根本來不及反應(yīng)，嚴(yán)重度為S3，反之，嚴(yán)重度等級可相應(yīng)降低。

實(shí)例2：車輛行駛過程中，電池或其它設(shè)備泄漏有害氣體。此時(shí)應(yīng)重點(diǎn)評估人員反應(yīng)和執(zhí)行時(shí)間、毒氣導(dǎo)致身體或生命傷害的劑量。一般若為無色無味有毒氣體，嚴(yán)重度為S3，若有刺鼻氣味，嚴(yán)重度等級可相應(yīng)降低。

6.2? 暴露率評估

暴露率依據(jù)運(yùn)行時(shí)間的占比或場景出現(xiàn)的頻率來評價(jià)。涉及到眾多場景元素的組合，場景需盡可能的全面，但無需對每一個(gè)場景組合進(jìn)行風(fēng)險(xiǎn)分析，而是挖掘可能導(dǎo)致最嚴(yán)重的危害事件的組合。通常情況下，危害發(fā)生時(shí)所處的場景是由多個(gè)獨(dú)立的場景元素組合出來的。因此，暴露度E就是這些場景元素組合發(fā)生的概率。由于場景元素彼此間是相互獨(dú)立的，那么組合場景的概率就等于各個(gè)基礎(chǔ)場景的概率之積。暴露率計(jì)算實(shí)例如下所述。

實(shí)例1：車輛正常駕駛，通過隧道，前方2m內(nèi)突然竄出行人。車輛正常駕駛的概率為95%；車輛通過隧道的暴露率為5%；車輛前方2m內(nèi)竄出行人的概率為3%。因3個(gè)場景元素均為獨(dú)立事件，所以組合概率P為：P=P_車輛×P_隧道×P_行人=95%×5%×3%=0.14%<1%。根據(jù)暴露率邊界條件，該場景的暴露率為E1。

實(shí)例2：車輛在高速公路行駛，開啟自適應(yīng)巡航，前方車輛突然減速。車輛在高速公路行駛的概率為65%；開啟自適應(yīng)巡航的概率為50%；前方車輛突然減速的概率為85%。因3個(gè)場景元素均為獨(dú)立事件，所以組合概率P為：P=P_車輛×P_巡航×P_前車=65%×50%×85%=28%＞10%。根據(jù)暴露率邊界條件，該場景的暴露率為E4。

6.3? 可控度評估

可控度為駕駛員通過觀察系統(tǒng)警示信息或快速反應(yīng)，以避免危害事件發(fā)生的難易程度?？煽囟热Q于處于風(fēng)險(xiǎn)中的交通參與者，主要是駕駛員對危害場景中的車輛的控制能力。無論車輛處于何種工況，車輛的危害行為理論上都能被交通參與者所感知。但特殊工況下，失效危害處于潛伏狀態(tài)，處于風(fēng)險(xiǎn)中的交通參與者無法感知失效的存在，直到特定的場景發(fā)生，該失效才會導(dǎo)致整車的危害行為，可感知的失效E=P（d）和潛伏的失效E=P（f）對應(yīng)關(guān)系見圖3。可控度評估可能受駕駛員的情緒、性格、年齡等影響?？煽囟仍u估的依據(jù)是功能失效后駕駛員是否依然能夠操控車輛，根據(jù)難易程度分為C0～C3等級，C0為簡單可控，C3為不可控?？煽囟仍u估的實(shí)例如下所述。

實(shí)例1：車輛高速行駛，電控助力提供了反向助力。車輛高速行駛過程中，駕駛員變道或者打方向時(shí)轉(zhuǎn)向機(jī)若提供了一個(gè)大于30N的反向助力，則駕駛員很難控制方向盤，此時(shí)可控度為C3，若提供的反向助力小于10N，則可控度為C1。

實(shí)例2：車輛高速ACC巡航，前方突然出現(xiàn)障礙物，車輛緊急制動功能失效。此時(shí)前向雷達(dá)可能探測到了障礙物，也發(fā)出了報(bào)警提示，主要考驗(yàn)駕駛員的反應(yīng)時(shí)間，以及是否能做出變道或踩制動踏板等正確的執(zhí)行動作。若車速很高，駕駛員根本來不及反應(yīng)，可控度為C3，若車速較低，可適當(dāng)降低可控度的等級。

6.4? 場景元素風(fēng)險(xiǎn)評估實(shí)例

嚴(yán)重度與車速關(guān)聯(lián)、暴露率與場景關(guān)聯(lián)、可控度與駕駛員操控能力相關(guān)聯(lián)。暴露率的評估需要提高場景的覆蓋率，而可控度則需要評估功能失效時(shí)駕駛員對車輛的控制能力。

實(shí)例1：車輛怠速，停在斜坡上，坡度﹥10°，駕駛員不在車上（此場景與季候、環(huán)境無關(guān)）。車輛怠速，嚴(yán)重度S0；車輛停在斜坡上，坡度>10°，暴露率E3；駕駛員不在車上，可控度C3。在怠速模式下，對于大多數(shù)功能失效，均不會造成傷害事故，ASIL等級為QM。但若駐車功能失效，則可能造成車輛溜坡導(dǎo)致碰撞事故，此時(shí)嚴(yán)重度為S3，ASIL等級為C。

實(shí)例2：正常駕駛，高速直行，岔路口，交通標(biāo)線清晰，夏季雨夜，車流量低。車速＞60km/h，嚴(yán)重度為S3；高速行駛，夏季雨夜，視線模糊，暴露率E4；轉(zhuǎn)向助力反向，可控度為C3，此時(shí)轉(zhuǎn)向助力的ASIL等級為D；若無法識別車道線，可控度為C2，此時(shí)車道線識別的ASIL等級為C。

實(shí)例3：城市道路，車速＞40km/h，夜間行駛，車輛前方突然出現(xiàn)行人過馬路。城市道路，車速＞40km/h，嚴(yán)重度S3；車輛前方突然竄出行人，暴露率E3，此場景下若AEB探測障礙物的功能失效，可控度為C3，故障礙物探測的ASIL等級為D；若制動不足，可控度為C3，故車輛制動的ASIL等級為D。

7? 結(jié)語

綜上所述，基于場景元素的功能安全風(fēng)險(xiǎn)評估，本質(zhì)上就是挖掘出某個(gè)功能在失效時(shí)所處的駕駛環(huán)境是否會造成人員的嚴(yán)重傷害，進(jìn)而為后續(xù)的設(shè)計(jì)工作提供依據(jù)。若能建立定量和定性的場景元素評估準(zhǔn)則，則有助于提高評估結(jié)果的準(zhǔn)確性和一致性，對于功能安全風(fēng)險(xiǎn)評估有著事半功倍的作用。若能再結(jié)合事故場景數(shù)據(jù)庫和實(shí)車測試數(shù)據(jù)，不斷優(yōu)化場景元素的評級準(zhǔn)則，最終一定可得到置信度高的功能安全目標(biāo)等級。

參考文獻(xiàn)：

[1] 陳韜，蔡博，回春，等. 基于場景元素的智能網(wǎng)聯(lián)汽車場景構(gòu)建研究[J]. 公路與汽運(yùn)，2019（6）：9-12.

[2] 樓志江. 功能安全的危害分析和風(fēng)險(xiǎn)評估方法[J]. 汽車實(shí)用技術(shù)，2019（15）：90-91.

[3] 趙征瀾. 純電動汽車轉(zhuǎn)矩控制安全概念與轉(zhuǎn)矩監(jiān)控模型[J]. 汽車工程學(xué)報(bào)，2018，8（3）：229-234.

（編輯? 凌? 波）