面向預期功能安全的NOP巡航車速控制性能優化方法

孫 川,馮 斌,許述財,2,董 浩,穆文浩,秦征驍,李 慢

(1.清華大學 蘇州汽車研究院, 江蘇 蘇州 215134;2.清華大學 車輛與運載學院, 北京 100084;3.公安部交通管理科學研究所, 江蘇 無錫 214151;4.道路交通安全公安部重點實驗室, 江蘇 無錫 214151)

0 引言

預期功能安全[1](safety of the intended functionality,SOTIF)的定義是沒有因預期功能不足或可合理預見的人為誤用導致的不合理風險。ISO 21448標準提供了實現SOTIF所需的適用設計、驗證和驗證措施的研究指南,還包含一些風險評估和觸發條件的確定方法,但是目前針對“功能改進來降低SOTIF風險”的策略的研究較少。

巡航車速控制功能[2]作為領航輔助(navigate on pilot,NOP)系統的重要組成部分,因其在融合高精地圖或具有車道級信息的導航地圖進行變道時檢測前方危險,提醒駕駛員或自動減速制動,受到了高度關注。傳統的巡航車速控制功能主要是通過車載傳感器感知周圍的環境,如毫米波雷達、激光雷達、攝像頭等傳感器來感知車輛間或障礙物的相對距離在特殊光照條件、角度及視野盲區情況下車載傳感器受到性能局限的影響等預期功能安全不足的風險,可能引起車輛NOP領航車速控制功能功能失效,導致車輛非預期車速失控行為。

傳統的巡航車速控制功能主要是通過車載傳感器感知周圍的環境,而融合了車聯網系統[3](vehicle to everything,V2X)的NOP巡航車速控制功能,則是通過傳感器感知人-車-路的方式,對交通狀態進行全方位收集,并實現人-車-路之間的信息互通及協調配合,檢測車輛間或障礙物的相對距離,通過安全距離模型決策過程來實現碰撞預警以及減速制動操作。最后達到降低NOP系統由控制策略缺陷導致的安全風險。安全距離模型是巡航車速控制功能研究的重點,Liu等[4]基于分析的基礎上,設計了讓駕駛員能夠接受的自適應巡航控制系統,在分析實際駕駛員駕駛行為的駕駛測試數據的基礎上,提出了一種新的安全距離模型。Zhang等[5]考慮了交通流的動態特性,提出了一種新的最優速度函數,采用安全距離模型代替預先設定的常數來動態實時調整后車的跟車距離。劉莊等[6]引入人工神經網絡對車輛實時駕駛工況進行識別與預測,結合工況識別結果,提出一種基于駕駛工況識別的安全距離模型.陳濤等[7]研究了每類駕駛人謹慎型、適中型和激進型駕駛特征參數進行分析,基于固定車間時距建立了考慮駕駛人風格的安全距離模型。汪長春等[8]引入了一種單目視覺原理計算車距的方法,對剎車距離分析的安全距離模型,然后憑借預警模型對自車行駛過程進行安全性分析,得出碰撞預警信息。李清清等[9]研究了前車運動狀態以及后車不同初始狀態下的安全距離模型,得出后車不同初始狀態下預警安全距離的差異及變化規律。

上述有關安全距離模型的研究都是在同向行駛工況下展開分析,然而對于交叉口路段,道路交通環境不僅復雜還有較大的視野盲區,其車載傳感器的功能受到限制,僅憑靠車載傳感器,難以進行可靠的巡航車速控制。采用V2X方案能有效解決以上問題,但同時也將引入新的預期功能安全問題。因此,本文中提出了基于車路協同系統一種針對交叉口路段的智能車NOP巡航車速控制功能的安全控制策略。首先,采用系統理論過程分析方法(systems-theoretic process analysis,STPA)對V2X-NOP系統進行風險評估[10],得到可能引起危害的觸發條件并提出相應的安全目標。其次,通過實車測試獲取車-車通信在不同工況下的通信時延值。使用該值對車輛的速度、位移和坐標等參數進行反饋修正,解決通信時延對系統決策造成的影響。然后,通過判斷兩車的坐標系投影是否存在重疊,來檢測兩車是否存在碰撞危險。在交叉口路段兩車存在碰撞風險時控制本車以最大的制動減速度進行緊急減速制動的策略研究。最后在搭建的Carsim/Prescan/Simulink聯合仿真平臺上驗證了該安全策略的有效性。

1 面向SOTIF的巡航控制車速功能設計

對于汽車NOP系統,由于運行場景和內部邏輯的復雜化以及預期功能安全風險分析的整體性,因而其巡航控制車速功能將難以利用系統內部結構的有效信息。而典型架構的巡航車速控制功能的感知認知、決策規劃和控制執行模塊解耦度高,且根據各獨立模塊的不同特點適合采取不同的分析方式。

1.1 巡航車速控制功能SOTIF設計流程

STPA將預期功能安全定義為一個控制問題,把危害歸結為系統設計和運行缺少安全限制的原因,通過控制系統的行為來限制系統安全。利用STPA對其進行安全分析,得出NOP巡航車速控制功能的不安全控制行為和不安全控制行為原因。基于STPA方法,結合NOP巡航車速控制功能的特性,本文提出一種面向NOP巡航車速控制功能的SOTIF設計流程,如圖1所示。

圖1 SOTIF設計流程

系統并非在所有情況下都能正常工作,它的正常運行存在一個邊界,這個邊界稱為運行場景。為明確NOP系統能夠發揮其預期功能工作安全邊界,需定義NOP系統的運行場景。在定義的運行場景內NOP系統的SOTIF分析均應在運行場景內進行。

1.2 基于STPA的SOTIF安全分析

根據上述預期功能安全設計流程,采用STPA方法對NOP巡航車速控制功能架構進行安全分析。根據功能定義,NOP巡航車速控制功能STPA架構,如圖2所示。系統包括5個層級控制結構,分別為:感知層、決策層、控制層、執行層和環境層。環境層的信息可經由車載傳感器、車路協同感知設備以及駕駛員的行為反應,傳遞到感知層,經過處理可作為決策層的輸入;決策層融合環境信息與車輛狀態信息,決策出期望的減速度以及緊急制動時刻等車速控制信息;控制層接收決策層信息,將其轉化為制動缸壓力信號供執行層輸出;執行層是車輛的物理實體包含預警系統、車速控制系統等執行機構。

圖2 NOP巡航車速控制功能STPA架構

1.2.1確定潛在觸發事件

根據兩車之間的最小安全距離和兩車之間的當前車距確定巡航車速緊急制動的時機,當兩車車距等于確定的最小安全距離時,巡航車速控制功能進行制動減速。車速控制動力學模塊是根據車輛的最大制動減速度以及所使用的車輛的車身結構參數計算得到車輛的主缸制動壓力,實現對車輛的車速控制。通過交叉口兩車的位置、車速及加速度判斷兩車是否存在碰撞危險,若存在碰撞危險則進行車速調整。通信時延模塊是計算車載通信設備在進行車-車通信時存在的通信延遲時間。

NOP巡航車速控制功能模型框架示意圖,如圖3所示。巡航車速控制功能通過感知層或者通過V2X等方式實時獲取車輛行駛環境與監測駕駛員的行為信息,并通過控制層對車輛與障礙物間的碰撞風險進行評估,以便對駕駛員預警或巡航車速控制功能減速制動,以防車輛碰撞。

對本文的巡航車速控制功能而言,它主要的決策結果是對車速進行緊急制動時刻的車間距S1。

1.2.2巡航車速控制功能風險評估

對于NOP巡航車速控制功能而言,其主要功能是讓車輛在危險場景下減速制動保持安全車距。危害可根據危害程度進行層級劃分[11],如表1所示,從LV1到LV5損失的嚴重程度依次增加,LV5為最嚴重的損失。

圖3 NOP巡航車速控制功能模型框架

表1 巡航車速控制功能危害評估

系統在特定場景下可能導致的危害事件發生的具體不安全控制行為即觸發事件。為避免巡航車速控制功能因SOTIF不足而造成的危害,首先要對巡航車速控制功能層級的危害事件進行識別分析,危害事件是指系統在特定場景下,系統發生非預期功能安全的表現,造成不同損失的層級。表2所示為巡航車速控制功能在運行場景下的危害事件。HV2和HV3雖然會引起駕乘人員不舒適,但未導致人員生命財產損失,對于可能引發碰撞事故的HV1和HV4類危害,在系統設計過程中應盡可能避免。

通過考察安全關鍵控制行為的錯誤模式,識別不安全控制行為[12]。在STPA通用分類方法的基礎上提出了4種故障模式,用F表示它們的集合,見表2。

表2 巡航車速控制功能的危害事件評估

1.2.3分析不安全控制行為原因

考察控制結構中決策層的信息流,可知其最終輸出結果取決于3個方面:決策系統自身、感知層輸入的環境信息和感知層輸入的定位導航信息。因此,不安全控制行為的原因(表3)可被歸納為以下3個類別,用T表示。

1)T1決策系統獲取交通環境信息發生故障:決策層未接收到感知層正確的環境信息;或信息正確,但信號傳輸故障。

2)T2決策系統獲取自車車輛狀態信息發生故障:感知層提供的車輛狀態信息有誤;或者車輛狀態信息無誤,但信號傳輸故障。

3)T3決策系統存在安全問題,主要分為:T3.1狀態轉移條件存在缺陷;T3.2轉移條件過于敏感引起狀態震蕩,多狀態之間頻繁切換;T3.3決策系統信號輸出正確,但信號傳輸存在干擾、時延等問題,導致輸出信號與預期結果存在誤差。

表3 不安全控制行為原因

1.3 提出安全目標

根據分析獲得的觸發條件及其原因構建潛在危險事件[13],如表4所示。表中展示了潛在危害、危害分類、觸發條件以及觸發原因之間的追溯關系,根據定義即可構建得到系統的危險事件。危險事件被定義為因為觸發原因R,造成系統危害分類HV,與環境中潛在危害Q,可以使用如(Ri,HVj,Qk)的有序元組進行形式化描述。對該自動駕駛決策系統可推導出以下系統危害等級,提出對應的安全目標C。

表4 巡航車速控制功能潛在危害、安全目標

通過對NOP巡航車速控制功能進行SOTIF設計,基于STPA方法對其進行風險評估,得到NOP巡航車速控制功能可能在信號傳輸通道上存在干擾、數據丟包、通信時延等安全風險問題。本文主要考慮通信時延對NOP巡航車速控制功能的影響提出安全目標,并對NOP巡航車速控制功能安全策略優化。

2 融合通信時延的車車安全距離模型

在車-車通信的過程中,車載通信設備之間的信息傳輸存在通信時延。NOP巡航車速控制功能中緊急減速制動時機受到通信時延的影響[14]。為了彌補該通信時延造成的誤差,首先要確定最小安全車距[15]。本研究將通信時延引入到安全車距的計算模型之中,基于實際數據分析時延規律,構建考慮通信時延的車輛巡航車速控制距離模型。

2.1 通信時延實車測試

通過實車實驗的方式對通信設備時延進行研究,獲取通信時延的規律特征,以此來建立安全車距模型。

在兩輛車的駕駛室內安裝有車載單元(on board unit,OBU),由星云互聯有限公司設計生產。為避免測試中車載TX2時間同步不精確的問題,采用如下測試方法。測試過程中后車通過車載的TX2將ROS包里的模擬數據以及發送數據時的時間戳發送至前車,前車接收到數據后再將接收到的數據發送至后車,同時后車記錄接收到數據的時間,將發送時的時間戳與接收到同一數據包的時間戳相減然后乘以1/2即得到該車載單元在目前環境下的通信時延,其中數據發送頻率為 20 Hz。測試示意圖如圖4。

圖4 測試示意圖

1) 測試場景

實驗選取了2個場景進行實車測試,見表5和表6。在實車行駛工況測試中,除經過交叉口道路、車輛轉彎和等候紅綠燈等行駛工況外,測試過程中兩車基本保持在同一車道內,行駛過程中偶爾有車輛穿插于兩車之間。

表5 清華大學蘇州汽車科創園場地

表6 蘇州高鐵新城相城大道部分路段

2) 測試數據

表7為清華大學蘇州汽車科創園試驗場地內兩車靜止時測得的時延數據結果。表8統計了兩車速為20、40、60和80 km/h時測得的車載通信設備的通信時延數據。

表7 兩車靜止時延測試數據

表8 兩車運行工況時延測試數據

2.2 車距檢測過程中車輛運行距離建模

1) 環境車位移

將上述計算得到的不同工況下的通信時延數據的平均值作為巡航車速控制功能的時延補償值,本車通過車載通信設備獲取到環境車的狀態參數數據包的時刻t′與環境車通過車載通信設備發出該數據包的時刻之間間隔為tdel,此時環境車的狀態已經是tdel之后的狀態,若此時采用環境車在t′時刻的車輛運動參數進行巡航車速控制的決策判斷,則會導致讀取到的環境車的坐標和速度不準確。為了得到更精確的環境車坐標和位移,用通信時延tdel對環境車的坐標和位移進行補償,由于tdel值較小,為簡化計算,忽略tdel時間段內環境車的加速度變化。即:

(1)

式中:vf為通信時延補償后的環境車車速;vf0為讀取到的環境車車速;af0為讀取到的環境車加速度;xf為保持安全車距決策所需的環境車的位移;Xf為補償后的環境車坐標;Xf0為讀取到的環境車的坐標;t為制動過程所用的時間。

2) 本車位移

在車輛車速控制的過程中,其中制動減速度是在一段時間內調整至期望效果的。將巡航車速控制的制動過程分如下幾個過程:駕駛員反應時間τ1、消除制動器間隙時間τ2、制動力增長階段τ3、穩態制動階段τ4。

在駕駛員反應時間τ1和消除制動器間隙時間τ2內,本車駛過位移為:

D1=v1(τ1+τ2)

(2)

本文中所研究的系統為NOP巡航車速控制功能,在巡航車速進入緊急減速制動階段,車輛的減速制動完全由巡航車速控制功能接管,不考慮駕駛員的反應時間,故:

D1=v1τ2

(3)

當剎車系統介入時,在極短時間τ3內,本車減速度呈線性趨勢變化。在τ3內,本車行駛位移為:

(4)

(5)

(6)

車輛在巡航車速控制緊急制動過程中采用的最大制動減速度[17],取amax=-6 m/s2。

當制動減速度在τ3時間段內增加到最大制動減速度后,本車的制動減速度保持近似不變,則車輛維持勻減速運動,該段時間本車的位移為:

(7)

(8)

式中:D3為勻減速階段位移;v3為車輛制動減速度達到最大值時的車速。

在車速控制制動過程中,本車總位移xp包括本車減速前駛過的位移D1、制動減速度增加階段駛過的位移D2、勻減速階段駛過的位移[18]。D3,即:

xp=D1+D2+D3

(9)

3 緊急狀態下巡航車速控制能力優化

針對交叉口路段的NOP巡航車速控制車車交互極限場景進行緊急減速制動研究,確定本車與環境交互車輛是否存在碰撞危險,如果發現碰撞危險,則確定巡航車速制動系統進行緊急減速制動的時刻。車輛在道路中行駛的過程中,由于行人、車輛、道路形狀以及環境等的變化,車輛的運行工況需要不斷適應交通狀況等的變化。道路沖突產生原因主要包括:道路環境對駕駛員的影響[19]、駕駛員自身因素[20]、車輛因素、道路設計問題[21]、氣候環境因素[22]。

3.1 車輛模型

為了在交叉口建立安全區域,避免定位等誤差對巡航車速控制策略造成影響,根據車輛的輪廓建立車輛的安全輪廓模型。

圖5中點A為車輛的GPS定位點,Lf為A點至車輛安全區域前邊界的距離,Le為A點至車輛安全區域后邊界的距離,Wl為A點至車輛安全區域左邊界的距離,Wr為A點至車輛安全區域右邊界的距離,φ為車輛的航向角,由GPS坐標求得,由φ確定車輛在坐標系中的位置。然后根據點A的位置以及點A到車輛安全邊界的距離確定車輛安全邊界在坐標系中的位置,其4個頂點的位置如下:

(10)

(11)

其中:點A的坐標為(XA,YA)。

圖5 車輛安全模型

3.2 兩車車距保持模型

車距保持策略是建立在兩輛車之上的,將其中一輛車作為本車,另一輛車作為環境交互車輛,將本車的GPS點作為坐標系的原點,將本車的航向角作為車輛在坐標系中的朝向。根據環境車的GPS坐標在本車的GPS坐標的方位以及兩GPS坐標之間的距離確定環境交互車輛在坐標系中的位置,最后根據環境交互車輛的航向角即可確定在坐標系中的整體位置。

圖6中綠色和黃色的粗實線為兩輛車在X軸和Y軸投影的長度,防止兩輛車碰撞的先決條件是兩輛車在X軸和Y軸的投影均不重疊。

圖6 兩車安全投影示意圖

圖6中車輛在X軸和Y軸的投影重疊用數學公式表示如下:

(12)

(13)

式中:X={XB1,XC1,XD1,XE1,XB2,XC2,XD2,XE2},Y={YB1,YC1,YD1,YE1,YB2,YC2,YD2,YE2}。

(14)

式中:X1={XB1,XC1,XD1,XE1},Y1={YB1,YC1,YD1,YE1},X2={XB2,XC2,XD2,XE2},Y2={YB2,YC2,YD2,YE2}。

將上述公式代入式(12)得:

(15)

結合圖6,通過對自變量為t的因變量SX和SY對應的函數的分析,當滿足下面條件時,所分析的兩輛車在交叉路口處是安全的。

SX>0 orSY>0

(16)

車距檢測示意圖見圖7。

圖7 車距檢測示意圖

在道路交叉口處,車輛的運動主要包含以下幾種情況:直行、右轉和左轉,本文主要考慮兩車在交叉口直行的縱向控制情況。當兩車在交叉口直行時,通過車輛的運動參數來表示車輛在坐標中的位置,對于本車有:

(17)

式中:(XA(t),YA(t))為t時刻后車輛在坐標軸中的位置;(XA0,YA0)為當前時刻讀取到的車輛在坐標軸中的位置。

對于其他運動方向垂直于本車運動方向的車輛有:

(18)

加入通信時延后有:

(19)

(20)

兩車存在碰撞危險的條件為SX<0并且SY<0。當兩車在交叉路口存在沖突時,兩車的沖突位置對于本車的運行方向來說是靜止的,即相當于位于本車前方的是一個靜止的物體,當本車與沖突區域的距離為本車能夠剎死的最小制動距離Ds,即最小的安全距離時,本車NOP巡航車速控制功能需要緊急減速制動以避免與另一輛車發生碰撞。

3.3 NOP巡航車速控制決策功能優化

使用Carsim/Prescan/Simulink聯合仿真平臺,利用上文的不安全控制行為分析法,對NOP巡航車速控制決策功能就行優化,如圖8所示,在仿真測試系統中利用決策系統對本車的巡航車速進行控制,當產生仿真事故時,對該測試結果進行觸發條件分析,得到不安全行為的觸發原因進行分析得出安全目標,然后針對安全目標對決策系統進行優化,以此來提高NOP巡航車速控制功能的性能。

圖8 NOP車速控制決策優化

4 巡航車速控制功能驗證

4.1 交叉口下車車安全距離模型驗證

1) 交叉口兩車通行測試場景

參照ISO 21448為基準,對NOP巡航車速控制功能完成規范設計與風險評估。按照SAE J2980中適用于自動駕駛系統的設計運行域的要求,主要參考UNECE R131與GB/T 39901設計該系統的性能規范與預期功能進行直線路段和交叉口不同工況的仿真測試。

仿真中的車輛模型采用Prescan中的Audi A8L車型,設置的車輛結構參數如表9所示。

表9 車輛結構參數

參照GB/T 39901—2021行業標準對汽車巡航車速控制功能的測試方案[24]中緊急減速制動階段的測試標準和測試工況,在天氣晴朗,路面附著狀況良好的條件下進行交叉口路段的不同工況的仿真測試。為了測試前文兩車安全車距保持模型的有效性,設計2種不同的工況,分別使安全車距保持模型中的SX和SY在某一時間均小于0,SX和SY不同時小于0,通過Prescan中的仿真動畫觀察兩車的沖突情況是否符合預期。同時,在交叉口處若兩車存在碰撞危險,通過NOP車速控制功能控制車輛減速制動,檢測所設計的巡航車速控制功能的制動效果。設計的場景如圖9所示。

圖9 交叉口測試場景

2) 仿真結果

圖10 (a)為安全車距保持模型求得的兩車的SX和SY隨時間變化數據圖,該工況為自車巡航車速為35 km/h,距離交叉口45 m。路口交互車輛車速為30 km/h,距離交叉口40 m。從圖10 (a)中可以看到,在3.8 s左右時,通過交叉口處的安全車距保持模型極限狀態下,求得的兩車在該工況下的SX和SY均小于0。圖10 (b)為Prescan中的車輛運動仿真界面,從該圖中可以看出,兩車已經發生碰撞。

圖10 工況1

圖11 (a)中SX和SY沒有同時小于0。圖11(b)中的Prescan仿真動畫顯示,在路口交互車到達路口時,本車馬上要離開路口,兩車沒有發生碰撞。通過兩組對比實驗可以證實該車距保持模型的有效性。

圖11 工況2

圖12為所設計的NOP巡航車速控制功能在交叉口處的制動效果,橫軸為本車與環境交互車輛輪廓邊緣之間的距離,當本車運行至4.1 s左右時,兩車間距離達到了車輛在該車速下的最小安全距離。此時本車開始緊急制動,當本車剎死時,兩車間距離為1.549 m,避免了碰撞的發生。

圖12 交叉口制動效果

4.2 NOP巡航車速控制功能優化對比

1) 交叉口V2X-NOP測試場景

實驗被測設備是國內某公司的I-VICS OBU V2X終端設備,該設備是一款車聯網多模式即插即用平臺車載設備,能夠兼容DSRC/LTE-V、4G通信方式無線通信技術,支持車車信息實時交互,同時具有前向碰撞預警等功能。V2X終端設備車載組合天線增益8 dbi,數據頻率10 Hz,通信距離大于600 m,內部含有GPS/北斗定位模塊,定位精度小于1 m;車速、位置等信息通過定位模塊獲取,滿足《合作式智能運輸系統 車用通信系統》對于車車協同式FCW應用的要求。

試驗測試中V2X終端設備通信方式采用DSRC,實驗時通過兩輛試驗用車搭載OBU,實現車-車通信的功能。具體實驗場景見圖13。

圖13 實驗場景

2) 實車結果對比

圖14為本文中提出的考慮通信時延的V2X-NOP巡航車速控制系功能實車測試的速度、加速度結果,并與單靠車載感知的巡航車速控制功能算法進行對比分析V2X-NOP巡航輔助車速控制功能啟動的時機更早,可見信號交叉口位置,V2X-NOP巡航車速控制功能能夠更早的感知到環境車的碰撞風險,提前實時制動,有更高的可靠性。

圖14 實車結果

5 結論

為解決配備NOP的車輛在視野盲區下因傳感器性能局限導致NOP巡航車速控制能力下降的問題,提出一種基于車路協同場景下的安全控制策略。利用基于系統理論過程分析STPA方法對NOP巡航車速控制功能進行風險評估,得到可能引起危害的觸發條件并提出相應的安全目標。采用實車測試采集了車載通信設備在不同工況下傳輸自車信息的通信時延值,將處理后的通信時延值反饋到安全距離模型,構建了基于車路協同的巡航車速控制功能中的安全距離模型。通過檢測兩車的輪廓在一個坐標系上的投影是否存在重疊,檢測兩車是否存在安全車距極限狀態下的碰撞危險,建立了兩車在道路交叉口處的避撞策略。搭建Carsim/Prescan/Simulink聯合仿真平臺對安全控制策略進行仿真驗證,結果表明:所提出的考慮通信時延的V2X-NOP巡航車速控制功能,對比單靠車載感知的巡航車速控制功能算法,V2X-NOP巡航車速控制功能緊急減速制動時機提前啟動,速度響應提前1.56 s,加速度響應提前2.26 s,NOP巡航車速控制能力的可靠性得到了加強。

基于STPA方法進行安全分析的全面性不足,目前只以系統運行環境作為輸入,未對NOP系統的功能安全接受準則進行量化。后續將研究以下方面:

1) 考慮將車輛狀態和運行環境兩者納入安全等級評定中,匹配二者安全等級自動化識別危害事件。

2) 針對本文識別的潛在危害事件生成的危害事件測試場景以及測試驗證危害事件的有效性,根據SOTIF中國提案中的量化思想,定量識別各部件或系統的危害狀態。