自動緊急制動系統控制模塊的SOTIF量化評價 *

白先旭，左 瑜，李維漢，石 琴，李楚照，趙樹廉，陳 炯

（1. 合肥工業大學，自動駕駛汽車安全技術安徽省重點實驗室，合肥 230009；2. 合肥工業大學，安徽省智慧交通車路協同工程研究中心，合肥 230009；3. 合肥工業大學汽車與交通工程學院，車輛工程系自適應結構與智能系統實驗室，合肥 230009；4. 清華大學車輛與運載學院，北京 100084；5. 中國汽車工程研究院股份有限公司汽車噪聲振動和安全技術國家重點實驗室，重慶 401122；6. 蔚來汽車有限公司，合肥 230061）

前言

我國汽車保有量逐年攀升，交通事故也隨之增多。數據顯示，僅2020 年就發生了244 674 起交通事故，導致61 703人死亡、250 723人受傷，直接財產損失達131 360.6 萬元［1］。其中，追尾是常見的交通事故之一［2］。在大多數嚴重的追尾事故中，后車駕駛員通常制動不完全或未及時有效地制動［3］。在危險情況下及時制動可以減少交通事故，降低事故嚴重度。自動緊急制動（autonomous emergency braking，AEB）系統可以在檢測到潛在的碰撞時自動制動來避免即將發生的碰撞，或在碰撞不可避免時減輕碰撞的嚴重程度［4-6］。

AEB 系統主要由傳感器模塊、決策模塊和控制模塊組成［7］。傳感器模塊檢測目標車和本車的速度、加速度及其相對距離等信息，并輸出給決策模塊；決策模塊對這些數據進行處理和計算，判斷是否制動，并將預期減速度輸出給控制模塊?？刂颇K包含制動控制器和制動執行器，制動控制器根據從決策模塊接收到的預期減速度控制制動壓力來實現制動車輛。

搭載低速AEB 系統的汽車可將追尾事故發生率降低43%，將追尾事故中受傷的發生率降低45%［8］。然而，即使如今越來越多汽車配備了AEB系統以及其他自動駕駛輔助系統，也并不意味著駕駛的絕對安全。不確定性是預測系統輸出的自然組成部分，尤其是深度學習模型［9］。由于系統自身的設計不足或性能局限，在其配備的各個元件未發生故障或失效時，也有可能導致非預期危害行為的發生［10-11］。國際標準 ISO 26262 覆蓋的故障性風險造成的功能安全問題分析已無法完全滿足當前系統的安全保障需求。

為解決因自身設計不足或性能局限導致的整車危害行為問題，國際標準化組織于2019 年發布了ISO/PAS 21448《道路車輛-預期功能安全（safety of the intended functionality， SOTIF）》［11］。如圖1 所示，ISO/FDIS 21448 將駕駛場景分為已知安全、已知不安全，未知不安全和未知安全4 類場景［12-13］。SOTIF的目標是保持或最大化已知安全場景，同時最小化已知不安全和未知不安全場景［14］。結合AEB 系統屬性，為使AEB 系統更加安全可靠，有必要對其進行SOTIF研究。

圖1 SOTIF場景分類

Becker 等［15］指 出 使 用 系 統 理 論 過 程 分 析（systems-theoretic process analysis， STPA）理論可以得到與可預見誤用和系統限制相關的危險場景，符合SOTIF 分析需求。2019年，Sharma［16］應用STPA 方法對AEB 系統進行了安全分析，并生成系統設計需求。ISO/FDIS 21448［12］針對AEB 系統可接受的誤報率進行了定義與驗證，并對AEB 系統的SOTIF 分析方法進行闡述。2021 年，Duan 等［17］提出一種結合STPA 和基于模型的系統工程的危害分析方法，該方法可以繪制符合國際標準化組織ISO 26262 和SOTIF 標準的開發過程，并在AEB 系統上驗證了該方法的有效性。

AEB 系統SOTIF 相關風險的主要來源是已知不安全和未知不安全場景。來自已知不安全場景風險可通過針對場景的功能改進消除，而來自未知不安全場景的風險難以發現，也不能完全消除。為驗證并確認AEB 系統在未知不安全場景的安全性，當前行業主要采用大量的里程累積測試方法，但大量的里程測試會造成研發周期和成本過高等問題，也無法從根本上減小風險?？茖W地評價AEB 系統 的SOTIF 性能，可以驗證系統安全性及量化系統的風險大小，并為提高系統SOTIF 性能提供一個明確的方向。

然而，目前針對SOTIF 性能的評價體系很少［18］。AEB 系統的SOTIF 研究主要集中于定性分析，雖然能夠分析系統的性能不足和可能導致的危害行為，但不能量化由于性能不足所導致的危害行為風險的大小與系統SOTIF 性能的優劣。美國公路安全保險協會（IIHS）［19］和歐洲新車安全評鑒協會（Euro-NCAP）［20］發布的AEB 系統評價方法主要是對不同速度下的減速程度進行評分。Ji等［21］提出增加碰撞時間、制動減速峰值和制動停止后距離等評價參數，可以更全面地評價AEB 系統的性能。這些AEB 系統評價方法側重于對系統功能的評價，不適用于系統的預期功能安全評價。因此，對于AEB 系統的SOTIF 量化評價進行研究顯得尤為重要，將有利于完善AEB 系統的SOTIF 評價體系，推動自動駕駛輔助系統的SOTIF 研究。AEB 系統控制模塊根據從決策模塊輸入的預期減速度對制動壓力進行控制，以達到控制精度和效率，是整個系統的核心模塊［22］。為進行針對性分析，暫不考慮由于傳感器模塊和決策模塊所導致的SOTIF 問題，認為二者均處于理想狀態。本文中將重點對AEB 系統控制模塊進行安全分析，并根據安全分析結果提出AEB 系統控制模塊的SOTIF 評價指標。通過CRITIC 法確定各個指標的權重，并基于優劣解距離（technique for order preference by similarity to ideal solution， TOPSIS）法對提出的指標進行量化評價。最后，通過實車測試驗證該評價方法能夠正確合理地反映AEB 系統控制模塊的SOTIF性能優劣。

1 AEB系統的安全分析

為得到AEB 系統在運行過程中可能存在的危害行為，在對AEB系統SOTIF研究初期，需要對AEB系統進行安全分析，識別出系統預期功能的危害，并識別出AEB 系統的不安全控制行為。這將有助于后續AEB 系統SOTIF 評價指標的確定?；赟TPA的分析方法，結合ISO/PAS 21448 中SOTIF 的分析框架對AEB 系統進行安全分析。安全分析框架如圖2所示，主要分析流程為：①部分定義AEB系統的分析目的；根據AEB 系統結構建立②部分的AEB 系統STPA控制架構；基于②部分所建立的控制架構，③部分在系統與部件均未失效的前提下，識別AEB 控制模塊系統潛在的不安全控制行為。這些不安全控制行為是AEB系統SOTIF未知不安全場景的重要來源。

圖2 安全分析框架

1.1 定義AEB系統分析目的

如圖2 中①所示，定義AEB 系統分析目的主要包括4部分：定義AEB系統功能、定義AEB系統運行場景、定義AEB 系統損失和識別AEB 系統層級危害。

1.1.1 定義AEB系統功能

如圖2 中①（a）所示，Sc代表AEB 系統所運行的場景，定義AEB 系統功能主要是定義系統在不同場景下應該表現出來的功能，即明確AEB 系統應該達到的性能。AEB系統的主要功能是在不同緊急程度下通過不同制動強度的主動制動來避免碰撞或減輕碰撞，彌補緊急情況下駕駛員制動過慢或制動力不足的缺陷。

1.1.2 定義AEB系統運行場景

如圖2 中①（b）所示，系統并非在所有情況下都能正常工作，它的正常運行存在一個邊界，這個邊界為其運行場景。為明確AEB 系統能夠發揮其預期功能的工作邊界，需要定義AEB 系統的運行場景。在定義的運行場景內，AEB 系統應正常工作。對AEB系統的SOTIF分析均應在運行場景內進行。

圖3為初步定義的AEB系統運行場景。圖3（a）為前方目標車靜止、慢行與急停的邏輯場景，圖3（b）為目標行人橫穿的邏輯場景，圖3（c）和圖3（d）分別為前方相臨車道的車輛緊急切入和前方掉落貨物的邏輯場景。在這些定義的系統運行場景中，AEB 系統應安全運行，發揮其預期功能。圖中d1和d2分別為主車與前、后方目標物的縱向距離，v1、v2和v3分別為主車、前方目標物和后方目標物的速度。

圖3 AEB系統運行場景

1.1.3 定義AEB系統損失

如圖2 中①（c）所示，損失L 主要為利益相關者無法接受的結果。損失可能包括失去生命或人身傷害、財產損失、環境污染或利益相關者無法接受的其他損失。對于AEB 系統而言，其主要功能是讓車輛避免或減輕碰撞，保護人員的安全。根據分析，AEB系統的損失定義如表1所列。其中，L-1為最重要的損失，即人員傷亡，是系統應首要避免的情況。在L-1 能避免的前提下，應盡力避免L-2 和L-3 的發生。

表1 AEB系統損失

1.1.4 識別AEB系統層級危害

如圖2 中①（d）所示，危害H 指的是一種系統狀態或是一系列條件，在特定的最不利環境條件下，會導致損失。要識別AEB 系統層級的危害，首先應明確該系統運行場景范圍與損失。根據表1 定義的AEB系統損失和圖3中AEB系統運行場景，識別了3種不同的危害，如表2所示。表2中每一項危害都對應一個到多個損失。比如當主車未與前方車輛或行人保持安全距離時（H-1），系統在一定條件下會導致L-1 和L-2 的發生。由于這些危害在一些工況下會導致系統級的損失，在系統設計時應盡量避免這些危害事件。

表2 AEB系統層級危害

這一步的主要目的是分析AEB 系統在定義的運行場景中可能存在的危害事件，在后續步驟中，將根據危害事件進一步分析系統的不安全控制行為。

1.2 建立AEB系統STPA控制架構

在系統的運行過程中由于自身性能存在不足，會導致一些不安全的控制行為，這些不安全控制行為可能會進一步引發非預期危害事件的發生，屬于系統的SOTIF問題。為分析AEB系統的不安全控制行為，首先應建立AEB 系統STPA 控制架構。圖2中②為建立AEB 系統的STPA 控制架構的流程，它由一個一般的控制回路開始，根據分析需求可對其進行不斷細化，直至符合要求。

圖4為最終建立的AEB 系統的STPA 控制架構，它是一個由反饋控制回路組成的系統模型。該控制結構的縱向分布代表控制層級，從上往下控制層級越來越低。每個個體都接收其上方直接個體的控制命令或信號，并對其下方直接個體發送控制命令和物理信號。圖4 所示的控制架構圖中向下的箭頭都代表控制命令，向上的箭頭代表反饋。傳感器模塊與駕駛員均可從環境中獲取信息，并與AEB 系統控制模塊進行交互。AEB系統控制模塊根據傳感器模塊與駕駛員輸出的信息進行決策控制，實時地輸出制動壓力。執行模塊根據AEB 系統控制模塊輸出的制動壓力進行制動，使車輛減速。最后汽車傳感器系統又將車身的物理信息反饋給AEB 系統控制模塊。

圖4 AEB系統的STPA控制架構

1.3 識別不安全的控制行為

如圖2 中③所示，不安全控制行為（UCA）指的是在特定情境和最壞環境下可能導致系統危險的控制行為。在系統或部件未失效的前提下，對圖4 中控制模塊進行不安全控制行為的識別。AEB系統決策層會輸出期望減速度，該期望減速度經由控制層轉換為制動壓力，結合STPA不安全控制動作的識別方法，得到AEB 系統控制模塊的不安全控制行為如表3所示。表3中包含8項不同的UCA，每個UCA都對應一個到多個危害。比如在給出制動命令，但未執行制動（UCA-1）的情況下，可能導致自車與前方車輛或行人距離低于安全距離（H-1），或與前方其他障礙物距離過近（H-3）。

表3 不安全控制行為

通過上述對AEB 系統控制模塊的不安全控制動作識別，得到了表3 中所列的8 種不安全控制行為，這些不安全控制行為都有可能導致系統級危害的發生。因為系統與部件均未失效，所以這些不安全控制行為均來源于系統自身的性能不足，如UCA-5 和UCA-6 可能是由于控制量收斂過慢或控制算法不充分估計自身狀態模型等。由這些不安全控制動作所引發的危害事件均屬于SOTIF 分析與評價范疇。

2 AEB系統SOTIF量化評價方法

2.1 基于STPA安全分析的評價指標

AEB 系統控制模塊自身的性能不足，在系統的運行過程中會表現為不安全的控制動作。比如在AEB系統決策模塊給出制動命令并輸出期望減速度后，由于控制模塊制動壓力控制精度局限等，會導致UCA-7 或UCA-8。又如由于控制器物理性故障和控制算法運行漏洞等，可能會導致UCA-1 或UCA-2。這些不安全控制行為，最終都會反映到整車的制動過程中，并在一些極限或未知的場景下引發非預期的危害事件，導致SOTIF 問題。為客觀地評價AEB 系統控制模塊的SOTIF 性能，根據分析得到的可能導致系統非預期危害事件的不安全控制動作，本文中提出以下自動緊急制動系統控制模塊的SOTIF評價指標。

（1）減速度大小誤差，即實際減速度第一次達到預期減速度時刻到AEB 系統激活結束時刻的減速度的誤差均值：

式中：n為實際減速度第一次達到預期減速度時刻到AEB 激活結束的時間段內采樣點個數；a為實際加速度大?。籥p為預期加速度大小。

（2）制動時刻誤差

式中：t為實際開始制動的時刻；tp為預期制動時刻。

（3）制動持續時間誤差

式中：T為實際減速度持續時間；Tp為預期減速度持續時間。

（4）相對距離誤差

式中：d為AEB 激活結束時與目標的實際相對距離；dp為AEB激活結束時與目標的預期相對距離。

（5）誤響應包含表3 中UCA-1 和UCA-2 兩種不安全控制動作，則誤響應率為

式中：m為單個場景下測試的誤響應次數；M為單個場景的測試次數。

在進行所有場景的測試后，對數據進行預處理，得到各個指標數據，并將前4 個指標的數據合并為數值矩陣：

式中：xij表示第i組測試第j項評價指標的數值；N為所有場景下的測試正確響應的次數。

2.2 各指標權重確定

為對AEB系統控制模塊的SOTIF性能進行量化評價，在確定評價指標后進一步確定各個評價指標的權重。CRITIC 法是綜合指標間的差異性與相關性來計算權重的一種賦權法［23］。相對于主觀賦權法，CRITIC 法具有很強的客觀性，不受決策者知識缺乏的影響。為保證量化評價的客觀性，采用CRITIC 法確定各個評價指標的權重，具體計算步驟如下。

（1）數據的預處理。為減少數據的絕對數值差異，將它們統一到近似的范圍內，重點關注其變化和趨勢，需要對數據進行無量綱化處理。本文所選取的指標均為極小型指標，這里將其轉為極大型：

式 中：max（xj）為 數 值 矩 陣X中 第j列 的 最 大 值；min（xj）為數值矩陣X中第j列的最小值。

轉換后的數值矩陣為

（2）指標對比強度計算。指標對比強度用標準差來表示，標準差越大表示該指標的數值差異越大，越能反映出更多的信息，該指標本身的評價強度也就越強，應該給該指標分配更大的權重：

（3）指標沖突性計算。指標沖突性使用相關系數來表示，相關性越大，該指標就與其他指標的沖突性越小，反映出相同的信息越多，所能體現的評價內容就越有重復之處，一定程度上也就削弱了該指標的評價強度，應減小對該指標分配的權重：

式中rij表示評價指標i和j之間的相關系數。

（4）指標信息量計算。指標信息量為指標對比強度與指標沖突性的乘積，指標信息量越大，指標在整個評價體系中的作用越大，應給其分配更大的權重，記指標的信息量為Cj：

（5）客觀權重計算。對指標信息量可以進一步計算各個指標的權重：

2.3 綜合量化評價

TOPSIS 法的基本原理是最佳方案離正理想解的距離最短，離負理想解的距離最長。它具有評價結果可靠、計算速度快等特點［24］。當系統評價指標的實際值與預期值距離最短時其SOTIF 性能最優。因此，可以基于TOPSIS 法對系統SOTIF 性能進行量化評價。通過計算每個評價對象與正、負理想解的距離大小評價其優劣程度。具體計算步驟如下。

（1）數據正向化與標準化處理。由于選用的指標均為極小型指標，正向化處理的表達式為

標準化處理公式為

記標準化處理后的數值矩陣為Z：

（2）確定正負理想解。由于使用TOPSIS 法的評價所選用的指標均為誤差指標，其理想情況下的值應都為0，故定義正理想解為

由于所有指標均為正向指標，負理想解為矩陣Z中各指標所有數據中的最小值，則負理想解為

（3）根據式（16）和式（17）得到的正負理想解，可計算各評價對象與正、負理想解的歐式距離為

（4）計算各組測試數據的分數

式中Si為第i組測試數據的得分，取值范圍為60～100，Si越大，表明該測試數據與正理想解的距離越小，相應地，Si越小，表明該測試數據與負理想解的距離越小。

最后，計算單個場景下所有測試數據的綜合得分：

式中Sk為單個場景下第k組測試數據的得分。

3 試驗測試與評價結果分析

為驗證上節中所提出的評價方法的合理性，參考Euro NCAP［20］的 AEB系統測試方法對某型智能汽車的AEB 系統在測試場地進行實車測試。如圖5所示，測試設備主要為RT 系統（型號RT-Range），測試場景選用前車慢行的邏輯場景。目標車速度為20 km/h，選取主車速度分別為40、50 和60 km/h。3 個測試場景分別記為CCRm-40-20kph、CCRm-50-20kph、CCRm-60-20kph，在每個測試場景中重復測試兩次。測試過程中，采集并記錄所需指標的數據。

圖5 實車測試設備與場景

3.1 試驗數據

在每次測試過程中記錄主車加速度和主車與目標車相對距離的實際值與期望值。圖6 所示為測試場景CCRm-40-20kph 中的兩組測試數據。從圖6（a）和圖6（b）可以看出，兩次測試的期望加速度隨時間變化曲線相近，由于控制性能有限，兩組測試數據中制動加速度和相對距離的實際值和期望值在制動過程中都有一定的誤差。CCRm-50-20kph 測試場景中的兩次測試結果如圖7 所示。圖7（a）中的最大加速度表現出較大的誤差，且圖7（a）和圖7（b）中實際加速度的響應時刻均晚于期望加速度的響應時刻。圖8 為測試場景CCRm-60-20kph 中的兩組測試數據，由于主車車速的增加，該測試場景中制動時間明顯比圖6和圖7中的制動時間長，在制動結束時相對距離也表現出較大誤差。

圖6 CCRm-40-20kph測試場景

圖7 CCRm-50-20kph測試場景

圖8 CCRm-60-20kph測試場景

在得到圖6、圖7 和圖8 中的測試數據后，對其進行數據處理，并利用式（1）～式（5）計算各指標的數值，得到的數據如表4所示。

表4 測試數據中各指標值

3.2 試驗結果量化評價

根據所建立的評價方法與AEB 系統實車測試所得到的數據，對被測試車型的AEB 系統的SOTIF進行量化評價。

根據表4 中各指標的測試數據，可獲得數值矩陣。首先，利用式（7）對原始數據進行預處理，即對減速度大小誤差、制動時刻誤差、制動持續時間誤差、相對距離誤差這4 個極小型指標進行正向化處理與無量綱化處理。然后，根據式（9）～式（12）確定各指標權重，如表5所示。

表5 各指標權重

利用式（13）和式（14）對原始數值矩陣進行正向化和標準化處理，獲得標準化后的數值矩陣，進而通過式（16）和式（17）確定各指標的正理想值和負理想值。利用式（18）和式（19）分別計算每組測試數據與正、負理想解的歐式距離，并根據式（20）計算每組測試數據的SOTIF 評價得分，如表6 所示。最后，綜合表6 中每次測試的單次得分，利用式（21）計算AEB系統控制模塊在每個測試場景中的SOTIF 綜合得分，結果如圖9所示。

表6 測試數據的SOTIF評價得分

圖9 不同場景下SOTIF綜合得分

通過對試驗數據的處理，表4 中列出每組測試各個指標的值，可將其轉換為式（6）的數值矩陣。在得到數值矩陣后，計算各個指標的權重大小，權重代表各個指標的相對重要性。權重越大，代表該指標反映的信息量越多，評價強度越強，對AEB 系統控制模塊的SOTIF 性能影響也越大。根據表5 所列結果，aσ的權重最大，代表該指標最能反映AEB 系統控制模塊的SOTIF 性能。表6 中得到的各組測試數據的SOTIF 得分，可直觀看出每組測試數據體現的AEB 系統控制模塊SOTIF 性能的優劣，它將用于評價AEB 系統控制模塊在每個場景中的SOTIF 綜合性能。

對表6 中每個場景下的所有測試數據SOTIF 得分進行綜合，得到如圖9 所示不同場景下的AEB 系統控制模塊SOTIF 綜合得分。由圖9 看出，在前車慢行的場景中，由于主車運行的車速不同，AEB系統控制模塊的SOTIF性能表現出一定差異。

3.3 結果分析與改進建議

根據表4 所列評價指標的測試數據，在不同場景中，被測AEB 系統控制模塊在減速度大小、制動時刻、制動持續時間以及與目標車相對距離的控制上均存在一定誤差，這些誤差會降低AEB 系統控制模塊的SOTIF性能，使其在極限工況下發生非預期危害行為。此外，隨著主車車速上升，主車與目標車的相對距離誤差表現出增加的趨勢，另外幾個評價指標值在一定范圍內波動，并未表現出明顯的增加趨勢。

如表5 所示，各評價指標的對比強度相差不大，而沖突性表現出較大的差異。其中，制動減速度誤差的沖突性最大，表明該指標與其他指標的相關性最小。綜合指標的對比強度與沖突性大小，分配給aσ最大的權重。說明在所有評價指標中，aσ最能反映AEB系統控制模塊的SOTIF性能。

如表6 所示，在CCRm-40-20kph、CCRm-50-20kph 和CCRm-60-20kph 3 個測試場景中，測試數據與正理想解的歐式距離依次遞增，與負理想解的歐氏距離依次遞減。這表明主車車速越大，AEB 系統控制模塊的預期功能表現越接近最劣值。結合圖9 所示綜合得分，被測車輛的AEB 系統控制模塊在主車速度較低的場景中SOTIF 性能表現較好，隨著主車速度的增加，SOTIF 性能隨之變差，即風險增大。評價結果與客觀事實相符，驗證了所提出的評價方法的合理性和實用性。

基于以上分析，為進一步提升AEB 系統控制模塊的SOTIF 性能，使系統更加安全可靠，建議從以下幾個方面進行功能改進：

（1）通過優化縱向控制算法，減小制動時刻誤差、減速度大小誤差和制動持續時間誤差，讓實際加速度曲線更加接近期望加速度曲線。

（2）考慮外界環境因素，如路面附著系數，改進AEB決策算法使期望加速度曲線更合理［25］。

（3）建立系統的設計運行域，限制系統使用的速度范圍，使相對距離誤差在允許范圍內。

4 結論

首先基于STPA 的方法對AEB 系統控制模塊進行安全分析，獲得了AEB 系統控制模塊的不安全控制行為，這些不安全控制行為是系統SOTIF 風險的重要來源。根據安全分析的結果提出了AEB 系統控制模塊的SOTIF 評價指標，并通過CRITIC 法確定各個指標的權重大小，并基于TOPSIS 法對評價指標進行SOTIF 量化評價。通過對某型智能汽車的AEB系統進行實車試驗，使用提出的評價方法對采集的各指標試驗數據進行SOTIF 量化評價。獲得了在不同測試場景中AEB系統控制模塊的SOTIF綜合得分依次遞減結果。評價結果表明，在前車慢行的邏輯場景中，隨著主車車速增加，被測AEB 系統控制模塊的SOTIF 性能降低，符合客觀事實，驗證了所提出的AEB系統控制模塊的SOTIF評價方法的合理性和實用性。最后，根據各評價指標試驗中的表現情況，建議通過改進縱向控制算法使實際加速度響應曲線更接近期望加速度曲線，或限制系統使用的速度范圍，使相對距離誤差在允許的范圍內，或改進AEB算法使期望加速度曲線更合理的方法提高AEB 系統控制模塊的SOTIF性能。