专注于车载信息安全和预期功能安全技术研究
电话:+86 21 62655001
您的位置: 网站首页 > 学术前沿
2020-07-14 10:21:10

预期功能安全标准:ISO PAS 21448(五)

来源:学术前沿 浏览次数:414 点赞数:0

7触发事件的识别和评估

7.1 目标

• 识别可触发潜在危害行为

• 应评估其对SOTIF的可接受性

注:触发事件识别可以由详细的环境模型支持

7.2 触发事件分析

可以建立一个系统的方法来进行触发事件的分析。这种方法可以考虑从类似项目和场地的经验中获得的知识。分析的目的是识别系统的弱点(包括传感器、算法、执行器的弱点)和可能导致识别危险的相关场景

这种分析可以并行进行,从以下两个方面入手:

• 系统组件的已知限制,以确定由于这些限制可能导致危险行为的场景;

• 被识别的环境条件和可预见的误用,以确定可能触发系统潜在危险行为的系统限制。更多细节参照附录E和附录F。

这些分析将增加对系统局限性的理解,并将提升对未知触发事件的识别。

注:分析可以使用归纳或演绎的方法。

7.2.1与算法相关的触发事件

通过分析与算法相关的触发事件来确定:(目的)

• 通过8.3章节的方法减轻SOTIF风险

• 在10.3章节中决策算法验证

• 在11章节中功能确认

分析考虑分类,例如:

• 环境和位置

• 公路基础设施

• 城市基础设施

• 高速公路基础设施

• 驾驶员行为(包括合理可预见的误操作)

• 其他驾驶员或道路使用者的预期行为

• 驾驶情景(例如,建筑工地、意外、紧急通道交通挤塞、行车到错误道路)

• 算法局限性(例如,处理可能的情况或不确定性行为的能力)

注:确定的功能局限性包含在第5章节中提到的列表中。

7.2.2与传感器和执行器相关的触发事件

通过分析与传感器干扰和执行器局限性相关的触发事件来确定:(目的)

•  8.3章节制定的SOTIF风险提升方法;

•  10.2章节制定的传感器验证策略;

•  第11章节确认功能。

分析可能导致触发事件考虑的分类,例如:

• 天气条件

• 机械干扰(包括安装、设计位置、信号传输)

•  EMI干扰

• 来自其他车辆或其他来源(例如,雷达或激光雷达)的干扰

• 声音干扰

• 刺眼光线

• 低质量的反射

• 精度

• 范围

• 反应时间

• 耐久性

• 权威的能力(适用于传感器)

例1:雨雪天气会影响雷达性能

例2:太阳在汽车的前部会影响摄像机的性能

例3:厚重的羊毛大衣会影响超声波传感器的性能

例4:不正确的校准会影响许多传感器类型

注1:所考虑的传感器包括惯性传感器、摄像机、雷达等

注2:一个潜在的场景可以是由已经观察到的场景的理论组合产生的场景

注3:具体的分析类别见附件D、E和F。对于每个类别,详细的干扰清单是根据知识和经验确定的(包括在类似项目中获得的知识和领域经验)

此外,可以在可能的值范围内(包括潜在的和观察到的场景)对每个环境输入进行系统分析。

7.3 触发事件的接受

考虑SOTIF风险识别和评估期间指定的接受标准,对识别的触发事件进行评估(如第6章节所述)

出现如下情况,系统对这些触发事件的响应相对于SOTIF可以被认为是可接受的,而不需要进一步的功能改进(第8章节中描述):

• 系统发生危险事件的概率低于6.5章节中规定的验证目标值

• 对于可能导致危险事件的特定车辆,不存在系统上不可接受的场景

注:即使车队触发事件的概率非常低,但如果对于特定的系统车辆行为来说,触发事件的概率很高,这也是不可接受的。例如:一种特殊的结构,它总是导致AEB系统过度刹车。