摘要

隨著車輛中新增的電氣電子部件不斷增多，車輛本身的缺陷被視為引發交通事故的最大風險因素。因此，車輛的研發一直遵循 ISO 26262（國際功能安全標準），該標準主要聚焦于電氣電子部件系統的功能缺陷安全性評估。然而，未來隨著自動駕駛技術的應用，即便是不存在功能缺陷的車輛，也必須應對由異常因素或外部因素可能引發的危害交通狀況。SOTIF（預期功能安全）正是為防范此類異常或外部因素而提出的概念。SOTIF 的核心目標是通過識別已知因素（Known factors）和不安全因素（Unsafe factors），盡可能減少未知且不安全的因素（Unknown & Unsafe factors）。本研究借助西門子公司（SIEMENS）推出的一款自動駕駛仿真軟件 Prescan，對 IGLAD（全球交通事故數據協調計劃）中的交通事故檔案進行場景建模。基于仿真結果，對不安全檔案（Unsafe cases）與安全檔案（Safe cases）進行分類和分析，進而提煉出不安全因素。

1、引言

以往，人們認為車輛本身的缺陷是導致交通事故的最主要風險因素，因此車輛的研發依據 ISO 26262 這一國際標準展開，該標準專注于汽車功能安全領域中電氣電子部件系統的功能缺陷安全性評估。然而，未來隨著自動駕駛技術或 ADAS（高級駕駛輔助系統）技術在車輛上的搭載，即便車輛不存在功能缺陷，也需應對可能由異常因素或外部因素引發的危害情況，為此，SOTIF（預期功能安全）這一概念應運而生并被納入考量。

SOTIF 的主要目的是識別我們已知的因素（Known factor）和危險因素（Unsafe factor），從而為可能影響自動駕駛車輛安全性的危險場景做好防范準備。例如，假設一輛完全不存在功能缺陷的車輛搭載了 AEBS（高級緊急制動系統），若前方車輛因不可抗拒的情況突然停車，即便 AEBS 在功能上毫無瑕疵，也可能無法正常發揮作用，進而導致事故發生。

在這種情況下，我們能夠預想到的 “前方車輛突然停車” 這一情況可被稱為 “已知因素（Known factor）”，而由于該情況可能引發事故，所以又可將其稱為 “不安全因素（Unsafe factor）”。（2）歸根結底，由于無法考慮到所有可能的情況，因此如圖 2 所示，應逐步減少圖 1 中 Area 3 所對應的 “未知且不安全的因素（Unknown & Unsafe factor）”，以此將因考慮不周而產生的不安全場景（而非技術層面的局限）降至最低。

圖 1、SOTIF（預期功能安全）示意圖

圖 2、SOTIF 的目標示意圖

近年來，隨著對自動駕駛車輛投入應用的期待日益提升，國內外關于 SOTIF 的相關研究也在積極推進。（3）美國汽車工程師學會（SAE）將自動駕駛技術的應用水平劃分為 0 至 5 級。其中，針對無需駕駛員介入即可實現充分行駛的 3 級及以上高級別自動駕駛車輛，有關 SOTIF 標準化及測評的研究已逐步開展。（5）目前，已開展的研究包括自動駕駛車輛 SOTIF 的形式化建模與結果分析，（6）以及通過模型來呈現系統功能與運行方式，并利用 SOTIF 對系統安全性進行評估的方法研究等。

然而，大多數研究并未全面考慮所有危險場景，（7）而僅是基于特定場景下的實際交通事故數據構建場景，并對結果進行分析。在部分綜合考慮多種場景的研究中，采用的是基于事故數據的統計分析方法，而非代入 ADAS 及自動駕駛算法與傳感器特性后得出的結果。此外，大部分研究均基于一個前提假設，即除了本車（研究對象車輛）之外，其他行駛的周邊車輛均未搭載自動駕駛系統。由此可見，目前尚未擁有足以實現 SOTIF 目標的完善數據庫（DB）。因此，為推進 SOTIF 標準的制定，我們認為有必要優先開展相關研究：通過能夠反映實際行駛環境及多種行駛場景的仿真，對安全因素（Safe factor）與不安全因素（Unsafe factor）進行區分。

本研究為篩選出具有代表性的交通事故類型并進行仿真，以 IGLAD（全球交通事故數據協調計劃）的 Codebook（數據手冊）為依據構建場景。此外，在當前已商業化應用的 ADAS 功能中，選取與行駛安全性關聯最為緊密的 AEBS（高級緊急制動系統），將其應用于所構建的場景中，并對仿真結果展開分析。考慮到未來大多數車輛都將搭載自動駕駛系統，本研究不僅在本車中應用 AEBS，還在對方車輛（周邊其他車輛）中也應用相同的 AEBS，進而對比分析對方車輛是否搭載自動駕駛系統會對事故結果產生怎樣的影響。

2、交通事故仿真場景建模

2.1 交通事故檔案篩選

IGLAD 截至 2019 年已收集了全球范圍內約 7050 起交通事故檔案，并依據 IGLAD Codebook 將這些檔案劃分為 7 種典型類型（Type 1 - Type 7）。本研究中用于仿真的檔案詳情如下表 1 所示。

表 1、 IGLAD 交通事故檔案統計

屬于 Type 1 的 29 起 “車輛失控事故（Loss of control accident）” 檔案，其事故原因源于本車自身缺陷，因此未納入本研究的考量范圍。

表 2 中列出的 273 起檔案雖屬于 “優先車道進入場景”，但由于該場景對自動駕駛安全性并無影響，因此未考慮優先車道相關情況，且其場景與 221、222 號檔案一致，故同樣將其排除。214 號檔案對應的場景是 “等待對方車輛完全通過后再行駛”，該場景同樣不影響自動駕駛安全性。諸如上述不影響自動駕駛安全性的場景，以及倒車場景（713 號檔案）、交通信號系統場景（623 號檔案）等不屬于常規行駛場景的特殊檔案，均未納入本研究。最終，成功應用 AEBS 并完成仿真的場景共計 176 個。

表 2、用于場景建模的典型檔案

2.2 場景詳細建模

2.2.1 場景定義

在 IGLAD Codebook 中，對各個檔案的描述存在模糊的標準，不同人從不同角度解讀可能會得出不同結論。例如，如圖 3 所示，當有 3 輛車在行駛且有 1 名行人在行走時，Codebook 中并未精確描述本車、對方車輛與行人的位置、車輛速度、道路坡度以及車道數量等信息，僅大致呈現了行駛路線和事故類型。因此，為獲取具有可靠性的仿真結果，需要為每個場景設定統一的適用標準。

圖 3、 IGLAD Codebook 中的 435 號檔案示意圖

本研究以城市道路行駛為基準構建場景，因此對本車、對方車輛、自行車、行人等移動物體（Actor）的速度按表 3 進行定義。

表 3、各移動物體（Actor）的速度

韓國警察廳于 2016 年為減少城市區域的交通事故，制定了 “安全速度 5030” 政策。該政策綜合考慮交通擁堵等因素，建議城市區域的安全行駛速度范圍為 30 km/h 至 50 km/h，本研究中將該范圍的最大值 50 km/h（換算為 13.889 m/s）設定為本車的行駛速度。對于對方車輛，其速度分別設定為比本車低 10 km/h 和 15 km/h；（10）對于自行車，由于其在交叉路口人行橫道處的平均通行速度為 18 km/h（換算為 5 m/s），因此將自行車速度設定為 5 m/s；（11）對于行人，參考普通人在人行橫道上的行走速度，將其設定為 1.5 m/s。此外，考慮到車輛在曲線道路上保持與直線行駛相同速度并不符合實際情況，因此新增了一項減速條件：當車輛的航向角變化量（yaw_rate）達到 ±30 度 / 秒及以上或以下時，車輛速度降至 5 m/s。

圖 4、在 Prescan 中對 IGLAD 412 號檔案進行場景建模的示意圖

本研究首先假設僅本車搭載 AEBS 功能，并以此為基礎構建場景：在設定速度下行駛時，若本車完全未配備 AEBS 這類 ADAS 功能，那么本車與目標物體（包括其他車輛、自行車、行人等）必然會發生碰撞事故。在獲取所有事故場景的仿真結果后，進一步在相同場景中為對方車輛也搭載 AEBS 功能，以此驗證對方車輛是否搭載 AEBS 會使仿真結果與僅本車搭載 AEBS 時產生差異。

圖 4 為使用 Prescan 對 IGLAD 412 號檔案進行仿真的結果界面。在該場景中，本車右側車道有后續車輛在行駛，左側車道有車輛停靠。在此情況下，即便被停靠車輛遮擋的行人突然進入本車行駛路線，由于本車搭載的 AEBS 正常工作，最終并未發生事故。但若本車的 AEBS 未啟動，則必然會引發事故。

2.2.2 傳感器與 ADAS 算法

每個場景中所應用的傳感器和 ADAS 算法，均是對 Prescan 軟件自帶的演示模型（DEMO）進行修改后得到的結果。本研究中，使用了 Prescan 中模擬雷達（RADAR）傳感器的 TIS（技術無關傳感器），不過根據使用需求，也可選用攝像頭（CAMERA）、激光雷達（LIDAR）等其他類型的傳感器。此外，本研究在仿真中應用的 ADAS 功能為 AEBS，但除 AEBS 外，也可應用自適應巡航控制（ACC）、車道保持輔助系統（LKAS）等其他 ADAS 算法進行仿真。

在傳感器配置方面，如圖 5 所示，共應用了 2 個 TIS：其中 1 個為遠程雷達（Long Range RADAR），可探測前方 150 米范圍內的物體；另 1 個為近程雷達（Short Range RADAR），可探測前方 30 米范圍內的物體。

圖 5、TIS 1 與 TIS 2 的配置設置示意圖

圖 6 為在 MATLAB/SIMULINK 軟件中最終完成的 AEBS 模型。由于 Prescan 可在 MATLAB/SIMULINK 環境中運行，因此能夠利用傳感器采集到的周邊環境信息構建控制算法。

圖 6 、AEBS 算法模型示意圖

該 AEBS 的工作條件依據碰撞時間（TTC）進行劃分，具體劃分標準如下表 4 所示。TTC 指的是本車與對方車輛發生碰撞前剩余的時間，其計算方式為：本車與對方車輛之間的相對距離除以兩者的相對速度。如表 4 所示，AEBS 的工作條件劃分依據為 TTC 值，而控制變量則為制動壓力（Braking pressure）。

表 4 、AEBS 工作條件

圖 7 記錄了搭載 AEBS 的車輛在行駛過程中速度和加速度的變化情況。該場景設定為：本車行駛速度高于前方車輛，兩車之間的距離逐漸縮短。仿真結果顯示，AEBS 在行駛開始后 8 秒發出警報（Warning），在行駛開始后 9 秒啟動部分制動（Partial Braking）。根據表 4 可知，警報（Warning）對應的 TTC 值與部分制動（Partial Braking）對應的 TTC 值相差 1 秒，而仿真中兩者的時間間隔也恰好為 1 秒，這表明 AEBS 正常工作，仿真結果具有合理性。

圖 7、 AEBS 速度變化曲線

2.2.3 事故有無判定

在判定交通事故是否發生時，可根據事故發生時乘客及行人的受傷程度、車輛的損壞程度，將事故劃分為輕微事故、嚴重事故等不同等級。但在本研究中，只要本車與其他任何物體（Object）發生接觸，即被視為存在不安全因素，該場景被歸類為不安全檔案（Unsafe case）。

本研究采用 Prescan 軟件中的碰撞檢測功能（Collision detection）來判定事故是否發生。如圖 8 所示，在正常行駛（無碰撞）狀態下，該功能輸出值為 0；當本車與其他物體發生接觸（碰撞）時，輸出值變為 1。Prescan 會為每個物體（Object）分配唯一的 ID 編號（ID number），通過碰撞檢測功能識別到的 ID 編號，能夠確定與本車發生接觸的具體物體。

圖 8、 Prescan 的碰撞檢測功能示意圖

3、結果與分析

3.1 仿真結果

本研究的目標是為推進 SOTIF 標準制定開展前期工作 —— 構建數據庫（DB）。具體而言，通過在仿真中反映實際行駛環境及多種行駛場景，依據仿真結果區分安全因素（Safe factor）與不安全因素（Unsafe factor）。研究過程中，篩選 IGLAD 中的典型事故類型，明確其標準并進行仿真，仿真結果總結如下：

在應用 AEBS 的 176 個場景仿真中，有 91 個場景發生了事故。各細分場景的仿真結果如下：

分析表 5 可知，在 176 個場景中，82 個場景為無交叉路口（Junction）的單車道場景，94 個場景為包含環島、道路合流點等的交叉路口場景。若將每種場景中發生事故的比例定義為事故率（AR），則單車道（Single road）場景的事故率為 45.1%，交叉路口場景的事故率為 57.4%。這一結果表明，交叉路口場景的事故率比單車道場景高出約 12.3%，因此交叉路口場景可能屬于不安全因素（Unsafe factor）。

表 5、不同道路類型的仿真結果

表 6 展示了不同行駛類型的仿真結果。其中，直線行駛（Straight）場景有 94 個，包含左轉 / 右轉及車道變更的曲線行駛（Curve）場景有 82 個。直線行駛場景的事故率為 44.6%，曲線行駛場景的事故率為 58.5%。同理，曲線行駛場景的事故率比直線行駛場景高出約 14.2%，因此曲線行駛場景也可能屬于不安全因素（Unsafe factor）。

表 6、不同行駛類型的仿真結果

綜上，在本研究所設定的車輛參數、移動物體（Actor）速度、傳感器特性及 AEBS 算法條件下，可推測交叉路口場景和曲線行駛場景屬于不安全因素（Unsafe Factor）。

3.2 本車與對方車輛同時應用 AEBS 的結果

圖 9 對比展示了對方車輛是否應用 AEBS 對仿真結果產生的影響。左側圖為 303 號檔案的仿真結果：本車在右轉過程中，與對方車輛發生了碰撞。與之相對，當對方車輛也搭載 AEBS 時，對方車輛能夠探測到本車并停車，因此如右側圖所示，未發生事故。

由此可見，即便在相同場景下進行仿真，對方車輛是否應用 AEBS 也會導致仿真結果出現差異。因此，考慮到未來自動駕駛車輛的占比將不斷提升，我們認為在研究中也應納入 “自動駕駛車輛對自動駕駛車輛” 的交互場景。

圖 9、對方車輛應用 AEBS 與否的仿真結果對比

4、結論

通過本研究，完成了用于推進 SOTIF 標準制定的基礎數據庫（DB）構建。該數據庫中納入了不同行駛場景的相關檔案，并結合傳感器特性與行駛環境進行建模，從而能夠更準確地判斷仿真結果。然而，目前應用 AEBS 的場景數量仍不足以清晰地區分安全因素（Safe factor）與不安全因素（Unsafe factor）。此外，在判定安全因素與不安全因素的標準方面，也存在模糊之處。因此，為改進當前較為依賴主觀判斷的判定方式，我們認為有必要開展相關研究，建立一套系統化的不安全因素（Unsafe factor）提取方法。在后續研究中，計劃通過分階段調整可能影響行駛安全性的車輛位置、速度、相對距離等參數，進一步擴充數據庫。

隨著 SOTIF 數據庫的不斷擴充，在算法開發階段未能考慮到的檔案（CASE）將被逐步發現。此外，在實車測試前，通過對大量場景進行仿真，能夠提前排除實車測試中可能存在的風險因素。最終，有望按照 SOTIF 的目標，確保自動駕駛車輛的安全性。