前言

上一篇簡要從SEC等參數初步探討了SOTIF validation target定義的方法論，對于如何在實踐中落地，ISO21448附錄C中給出了AEB功能的示例。

本文將結合標準與自己的理解，說明如何根據公開交通事故統計數據確定驗證AEB false positive的minimum validation distance。

總體思路

本文主要分四個步驟進行介紹：

1.識別由功能不足引起的危害事件：進行SOTIF HARA分析，初步識別SOTIF的危害事件；

2.危害事件建模與評估：對危害場景進行抽象建模，并應用仿真方式對場景復現得到關鍵參數；

3.分析事故數據：通過應用市場公開的事故統計數據分析得出可接受準則；

4.定義測試場景：結合功能使用場景，定義合理的測試場景組合對可接受準則進行確認。

步驟一

識別由功能不足引起的危害事件

AEB可能會因功能不足（如物體識別能力缺陷）而導致錯誤的緊急制動，使車輛迅速減速，導致跟隨車輛追尾，也就是常提到的false positive。

通過危害事件分析得到：S>0, C>0，ISO21448 clause6中建議對此類危害事件需定義可接受準則。

圖1：AEB誤觸發危害分析（來源ISO21448）

AEB的漏觸發（false negative），由于駕駛員是車輛控制的責任主體，可控性為C0，因此不必要進行深入分析。對于L3的系統false negative是需要考慮的，也是很重要的組成部分。

Tips：TP/FP/FN/TN含義如下：

步驟二

對危害事件建模

通過step1我們發現，AEB的誤觸發引起的危害事件是自車與后方車輛發生碰撞，因此可以對風險場景簡化如下圖的跟車場景，紅色車輛為自車，綠色車輛為后方跟隨車輛。

Note1：以下內容僅作為方法論探討，不作為實際項目應用的依據

圖2：危害事件場景建模（來源ISO21448）

以上的場景建模，需要提取關鍵參數，標準給出示例如下：

a-》開始時，兩輛車以相同的速度v行駛；

b-》與速度相關的后車跟隨距離d具有已知的概率分布；

c-》自車的AEB緊急制動時，制動曲線遵循圖3；

d-》后車設置固定駕駛員模型，包括反應時間與制動曲線，可以具有已知的概率分布也可以設置為固定值。

圖3：AEB 制動曲線（來源 ISO21448）

其中V與d是有關聯的變量，通常服從一定的概率分布，車速越高，跟隨距離越長?？梢砸哉鎸嵉能囁倥c距離作為場景建模的輸入，比如用配備雷達的采集車去實際路采，也可以采集部分真實數據后進行場景泛化。

將場景建模的輸入輸出整理如下：

表1：場景簡化參數

因為對場景其他要素要求不高，可以選擇在仿真環境下進行測試，通過輸入上表中的輸入變量數據集，觀測輸出結果。仿真環境如下圖，可以在Matlab+CarSim環境中仿真。

圖4：仿真環境示例（來源文獻1）

以一組輸入輸出變量為子集，假設總的測試集合數量為T，其中發生碰撞的集合數量為L，則通過仿真得到：碰撞概率 R?？梢砸欢ǔ潭却碚鎸嵉缆翻h境下AEB誤觸發后碰撞的概率。

其中，碰撞概率的結果中沒有區分S1，S2，S3，意味著只要發生后碰△V超過設置S1的閾值，就會被統計在L值中。

TRW有進行過相關的分析，結果見下方，這里不展開，需要深入的可以參考如下文獻。

文獻【1】：

FABRIS,S.,PRIDDY, J. and HARRIS, F., “Method for hazard severity assessment for the case of undemanded deceleration.”, Presented at VDA Automotive SYS Conference, Berlin,June 19/20, 2012, https://www.researchgate.net/publication/344452155_Method_for_hazard_severity_assessment_for_Method_for_hazard_severity_assessment_for_the_case_of_undemanded_deceleration_-_Simone_Fabris.

圖5：仿真分析結果（來源文獻1）

步驟三

分析事故數據

國家道路安全部門可以提供的交通統計數據（例如，美國國家公路交通安全管理局（NHTSA）的GES數據）。交通統計需包括以下幾個關鍵數據：

a=>現有乘用車數量（N）；

b=>每輛車每年的平均行駛距離（K）；

c=>每年行駛的車輛總公里數（M）,M=N?K;

d=>每年實地相關事故（追尾碰撞）的數量（A）。

Note2：事故統計數據是與AEB誤觸發導致危害事件類型應保持一致

Note3：以上數據可以針對功能釋放的國家或地區進行統計

通過對所考慮的變量采用統計模型，增加了通過進一步分析獲得的估計值的置信度。基于此信息，可以計算出人類駕駛員在兩次碰撞之間行駛的平均距離B：

B：是人類駕駛員在兩次碰撞之間行駛的平均距離；

M：是每年行駛的車輛總公里數；

A：是每年實地相關事故（追尾碰撞）的數量。

為了獲得最壞情況估計，M取最大值，A取最小值。因此我們可以得到一個設計目標：配備AEB的車輛可以行駛至少B公里而不會造成事故，或者AEB系統功能不足導致事故的概率低于每公里1/B。

這里隱藏了一個接受準則——AEB功能引起的危害事件可能性應等于或小于由人類駕駛員引起的相同危害事件可能性，如下方公式：

基于以上信息我們如何得到validation target呢？

結合式1與式2，則可以得到AEB validation target（VT），VT=R*B，即在VT（Km）內不允許發生AEB false positive的情況。

Note4：上述方法僅為概率理論度量，用于評估在決定將產品投放市場時可容忍的風險。因此即使滿足該目標，即使滿足了該VT目標，也可能會發生因AEB false positive而導致的accident，因此需要field monitor strategy，進一步降低AEB false positive的概率。

Note5：VT=R*B中的基準可被視為系統驗證的下限。根據交通統計數據的不確定性，可通過將B乘以因子K來校準，因此B的計算可以更新為B=K（M/A）。影響K的因素有：AEB功能可能減少交通事故的數量，進而影響A值；交通統計數據中A包括合理和非合理的制動事件，比如有些是駕駛員誤操作導致的非合理事件。

步驟四

定義測試場景

我們確定validation target后，可以通過endurance run的方式對誤觸發率進行驗證，第4步就涉及到實際道路測試如何選取場景，比如天氣條件（干燥，霧，雪，雨，陰天等），道路條件（城市道路，鄉村道路，高速高架等），光照（夜間，黃昏，清晨等），車速區間等等。

測試場景的選擇可以通過傳感器性能局限及功能特定限制的詳細分析得到。然后基于選擇場景進行數據采集，包含的相關駕駛場景的分布比例，ISO21448標準基于天氣，速度和其他參數的實際情況給出示例如下：

以上基于交通統計的方法在應用時，標準提示需注意以下幾點：

1.此方式應用L3及以上的ADS系統時需謹慎結合功能與系統架構作出具體考慮；

2.如果將AEB速度段擴展至130kph，則可接受準則會發生一些變化，因為高速度段后碰概率較低；

3.可以從系統架構考慮，如果使用多個子系統冗余控制，可通過觀察每個子系統的單個MTBC（例如，基于同質或不同技術的冗余算法），優化從交通統計數據得出的MTBC；

4.在分析系統限制后設計的特定駕駛路線（route）可以減少需要收集的數據量。

總結

本文提供了一種基于交通統計的方法，首先通過仿真的方式提煉出真實場景下誤制動發生后碰的概率，結合交通數據定義目標平均碰撞間隔時間（MTBC）與AEB validation target。最后對endurance run的場景進一步細化。該基準可用于AEB大規模量產前ADAS系統魯棒性的指標設計。