自动化测试在SOTIF开发中的应用.docxVIP

自动化测试在SOTIF开发中的应用 尚世亮;崔海峰淳B梦鸽;杨春伟【摘要】为应对自动驾驶给车辆系统安全验证和确认工作带来的新挑战，基于即将发布的自动驾驶安全标准ISO/PAS21448《车辆一预期功能安全(SOTIF)》，分析了其对车辆系统验证和确认工作的新要求，基于此开发了一种满足SOTIF开发需求的自动化测试系统，并利用该系统进行了在环及实车自动化测试，给出了车道保持功能(LKA)的SOTIF测试和指标开发示例，该测试方法及测试系统为自动驾驶车辆系统的SOTIF开发提供了支持. 【期刊名称】《汽车技术》【年(卷)，期】2018(000)011【总页数】4页(P23-26)【关键词】自动驾驶;安全;SOTIF启动化测试【作者】尚世亮;崔海峰;郭梦鸽;杨春伟【作者单位】泛亚汽车技术中心有限公司，上海201201;泛亚汽车技术中心有限公旬上海201201;泛亚汽车技术中心有限公司，上海201201;泛亚汽车技术中心有限公司，上海201201【正文语种】中文【中图分类】U463.611前言目前，自动驾驶汽车的安全问题已成为汽车行业乃至全社会关注的热点。相比传统汽车，替代人类驾驶员工作的自动驾驶车辆系统，其安全风险的主要来源已不再是系统故障，而是系统功能设计不足等导致的非失效风险。为应对这种变化，在ISO26262［1］定义车辆电子电气系统失效安全技术的基础上，2015年起，国际标准化组织启动了ISOPAS21448预期功能安全(SOTIF)标准的制定，旨在指导自动驾驶车辆的非失效安全技术发展。SOTIF技术标准着重强调了在各种场景和输入条件下，对自动驾驶车辆系统的验证和确认要求［2］。在实际开发中，如何将这些要求集成到现有开发测试体系中，同时兼顾效率、成本等因素，是汽车企业量产自动驾驶产品前必须解决的问题［3］。 2SOTIF对验证和确认的要求SOTIF技术特点SOTIF是指不存在因预期功能的不足或合理可预见的人员误用导致的整车不合理风险。通常车辆系统开发会基于运行场景的假设，从安全性和已知性角度将运行场景分为已知安全场景、已知不安全场景、未知不安全场景和未知安全场景4个区域，如图1所示。 图1自动驾驶运行场景分类［2］由于自动驾驶车辆运行场景的复杂性，在开发之初，图1中区域2和区域3的比例可能较高，而SOTIF技术通过对已知场景及用例的评估，可发现系统设计不足，可将区域2转化为区域1，并证明残留区域2的风险足够低；对于未知不安全场景(区域3)，SOTIF技术基于真实使用场景及用例测试、随机输入测试等，可将发现的设计不足转化为区域2，同时基于统计数据和测试结果，间接证明区域3已经控制到一个合理可接受的水平。由此可实现对已知和未知风险的合理控制，完成自动驾驶车辆系统的安全发布。 SOTIF验证和确认的要求SOTIF的验证和确认过程主要是对区域2和区域3的探测和转化过程。为此，SOTIF标准分别针对自动驾驶系统的传感器、控制器、执行器以及集成后的系统和车辆提出了验证和确认要求。相比于传统车辆电子电气系统的验证和确认手段，增加了典型的SOTIF验证和确认方法，如表1所列。 表1SOTIF典型验证和确认方法示例区域验证对象2传感器2控制器2执行器23系统验证系统确认典型方法示例传感器及其相关接口的故障注入测试；选定已知用例的整车测试；选定已知用例的在环测试（如SIL/HIL/MIL）；不同环境条件下的传感器测试（如低温、振动）噪声注入测试；选定已知用例的在环测试（如SIL/HIL/MIL）；选定已知用例的整车测试；触发事件注入测试不同环境条件下的测试；选定已知用例的在环测试（如SIL/HIL/MIL）；选定已知用例的整车测试噪声注入测试；选定已知用例的在环测试（如SIL/HIL/MIL）；不同环境条件下的测试；随机输入测试；选定已知用例的整车测试噪声注入测试；随机案例在环测试；随机输入测试表1说明： SOTIF标准强调整车测试和在环测试并重。这是因为在自动驾驶车辆系统的验证和确认过程中，对于区域2需要进行大量已知输入和场景组合的测试，依靠在环测试能显著提升测试效率；而对于区域3中未知输入、未知场景及驾驶员交互影响等，依靠整车测试更易实现，准确性更高。 SOTIF标准强调测试的全面性。这是因为自动驾驶车辆系统的测试要确保充分覆盖已知工况和条件，以将区域2减小到可接受的程度，这需建立大量的测试案例。C.SOTIF标准强调测试的多样性。这是因为自动驾驶车辆系统的测试需要考虑比传统汽车更为复杂的内外部影响因素及其组合，包含噪声、故障注入、随机性测试等，以此充分覆盖组件和系统的运行工况，找出潜在的功能设计不足。 SOTIF标准要求的测试条目数量众多，并且有相当大一部分是运行条件和接口输 tf坯)胡湫隹0花似此咽^解相皿长更垣竟巨货卅理玫盅8^1^1