行家來信 | 功能安全會成為自動駕駛的緊箍咒嗎？

量子位的朋友們 2019-09-21 12:34:52 來源：量子位

編者按：很快，我們就能夠坐上無人車了。但我們怎么保證無人車能夠安全駕駛？這背后需要考量什么？我們應(yīng)該關(guān)注什么？

本期行家來信來自禾多科技研發(fā)總監(jiān)李文俊，基于對ISO26262和ISO21448兩個(gè)功能安全標(biāo)準(zhǔn)和冗余機(jī)制的梳理與討論。

他回答了功能安全在自動駕駛技術(shù)發(fā)展中扮演的角色，希望能夠?yàn)槟銕韱l(fā)。

以下為文章全文：

近年來自動駕駛相關(guān)的技術(shù)迅猛發(fā)展，自動駕駛成為交通運(yùn)輸發(fā)展的下一個(gè)重要階段。

許多公司研發(fā)的自動駕駛方案可以在簡單的環(huán)境條件下實(shí)現(xiàn)車輛的自動駕駛功能，但如果將這些自動駕駛車輛投放應(yīng)用到真實(shí)的公共場景中，還有很長的路要走。

最重要的制約因素之一，就是安全性的問題。

自動駕駛的發(fā)展初衷就是為了提高車輛行駛的安全性，減少事故的發(fā)生。

有研究報(bào)告指出，人們對自動駕駛的安全性期望非常高。有數(shù)據(jù)顯示：相較于一個(gè)正常的人類司機(jī)，人們對自動駕駛的安全性要求至少高4至5倍。

為了實(shí)現(xiàn)高安全性，我們在自動駕駛技術(shù)開發(fā)過程中，明確提出要滿足功能安全的要求，其中之一就是需要滿足ISO26262功能安全標(biāo)準(zhǔn)。

ISO26262

ISO26262，概括來說就是對整車電子電氣系統(tǒng)的功能安全規(guī)范，為了確保即使發(fā)生失效情況也能保證整車的安全性。

ISO26262的規(guī)范指導(dǎo)文檔長達(dá)幾百頁、數(shù)十個(gè)章節(jié)，對車輛電子電氣系統(tǒng)開發(fā)過程中的概念設(shè)計(jì)、系統(tǒng)設(shè)計(jì)、軟硬件設(shè)計(jì)、測試驗(yàn)證、確認(rèn)評估等環(huán)節(jié)均作出了規(guī)定和指導(dǎo)。

同時(shí)也引入了諸如HAZOP、HARA、FMEA、FTA、FMEDA等一系列安全分析方法。最最重要的是，ISO26262會引入非常多的額外工作內(nèi)容和條件限制，包括上面講到的對應(yīng)各種安全分析方法的工作以及一些文檔工作。

舉個(gè)例子：系統(tǒng)的故障樹分析-FTA(Fault Tree Analyze)是功能安全里面幾乎必實(shí)施的一個(gè)工作內(nèi)容。具體來講就是對系統(tǒng)中的某個(gè)安全目標(biāo)(Safety Goal)進(jìn)行自上而下的分析，層層拆分，直到分析到某個(gè)簡單的功能是否失效。

比如為保障電源的供給，要一直分析到一個(gè)電阻是否失效。面對自動駕駛這樣一個(gè)龐大的系統(tǒng)，如果要做整套的FTA，那么工作量無疑是巨大的。

不過從目前看來，自動駕駛的功能安全體系如何建立還沒有公開的統(tǒng)一標(biāo)準(zhǔn)，業(yè)界也有越來越多聲音認(rèn)為：僅ISO26262這一標(biāo)準(zhǔn)，不能滿足自動駕駛功能安全的需求。

ISO21448(SOTIF)

ISO26262覆蓋的功能安全范圍，是在車輛電子電氣系統(tǒng)出現(xiàn)失效的情況下。在ISO26262的基礎(chǔ)上，人們提出了另一套標(biāo)準(zhǔn)——ISO21448(SOTIF)，也被稱為“預(yù)期功能安全”。

SOTIF (Safety of the Intended Functionality) 考慮的是系統(tǒng)預(yù)期的功能安全性。

ISO26262只包括整車電子電氣(E/E)系統(tǒng)失效情況下的功能安全，但是自動駕駛的功能安全往往不僅僅和電子電氣系統(tǒng)有關(guān)，還關(guān)系到非常多的其他要素，比如相關(guān)傳感器自身性能的限制，車輛行駛環(huán)境的變化等等。

SOTIF考慮的情況便是在系統(tǒng)沒有出現(xiàn)任何失效的情況下，由于系統(tǒng)功能不足所導(dǎo)致的危害，比如傳感器無法正確識別道路場景。

ISO21448(SOTIF)的前身其實(shí)是ISO26262中的第14個(gè)章節(jié)，但隨著ADAS的普及與自動駕駛技術(shù)的發(fā)展，人們發(fā)現(xiàn)在沒有系統(tǒng)失效的情況下保證功能安全是一件非常復(fù)雜的事情，便將其單獨(dú)作為一個(gè)新的標(biāo)準(zhǔn)發(fā)布。

例如，當(dāng)一輛自動駕駛車輛行駛在結(jié)冰的路面上。

ISO26262負(fù)責(zé)當(dāng)車輛剎車系統(tǒng)出現(xiàn)失效的情況時(shí)，車輛能保證在冰面上不打滑地安全停車。

而SOTIF所要解決的問題是車輛在沒有任何問題的前提下在冰面上行駛時(shí)，是否應(yīng)該保持和正常路面行駛一樣的速度，因?yàn)樵诒嫔细咚傩旭傆锌赡苓_(dá)到了車輛的安全邊界。

SOTIF的作用之一，是減少未知的安全性風(fēng)險(xiǎn)。這個(gè)定義非常寬泛，而且難以證明其是否考慮到了所有存在潛在風(fēng)險(xiǎn)的安全邊界。

因需要考慮的情況太過復(fù)雜，目前SOTIF還沒有一個(gè)正式的版本誕生，只有草案。

冗余機(jī)制

另一個(gè)功能安全經(jīng)常涉及的概念是冗余機(jī)制。

系統(tǒng)的冗余大家經(jīng)常談?wù)?，最簡單的設(shè)計(jì)是將系統(tǒng)中所有的模塊都做冗余備份，一旦一個(gè)系統(tǒng)出現(xiàn)失效，另一個(gè)系統(tǒng)便會接管車輛的操作。

但是這往往要在成本、系統(tǒng)的復(fù)雜度、魯棒性和冗余上做出相對的平衡，因此不能做到完全的系統(tǒng)冗余備份。

在L2級別以下的輔助駕駛功能中往往不會要求系統(tǒng)的冗余，或者換一個(gè)說法，在這一類的輔助駕駛中，人類駕駛員就是系統(tǒng)最好的冗余備份。

因?yàn)樵谳o助駕駛功能工作時(shí)，駕駛員的注意力依然要時(shí)刻保持在車輛上。一旦上升到了L3級別的自動駕駛系統(tǒng)，冗余的設(shè)計(jì)就顯得非常有必要了。

因?yàn)樵贚3級別的自動駕駛系統(tǒng)中，已經(jīng)允許駕駛員的手長時(shí)間脫離方向盤，也不用時(shí)刻觀察注意道路狀況。所以從系統(tǒng)出現(xiàn)失效，到駕駛員反應(yīng)過來去接管控制，是存在一定時(shí)間間隔的。

在這段時(shí)間間隔內(nèi)，系統(tǒng)要確保車輛的安全性，需要做到某一個(gè)單元失效的情況下，啟動冗余備份以保證車輛的安全。

整個(gè)自動駕駛系統(tǒng)的冗余機(jī)制又可以細(xì)分為以下幾類：

• 電源的冗余：顧名思義，是指系統(tǒng)中關(guān)鍵模塊的供電需要有冗余的設(shè)計(jì)，以防單點(diǎn)的電源失效造成事故。
• 執(zhí)行機(jī)構(gòu)的冗余：指的是車輛執(zhí)行機(jī)構(gòu)的冗余，如剎車、轉(zhuǎn)向等。任何一個(gè)機(jī)構(gòu)都可以獨(dú)立的完成車輛的制動動作。像我們熟知的Bosch，在制動機(jī)構(gòu)方面的冗余設(shè)計(jì)就是由iBooster和ESC/ESP構(gòu)成的。
• 傳感器的冗余：自動駕駛不能僅依靠某一類傳感器來實(shí)現(xiàn)功能，既需要多種傳感器的特性冗余，比如毫米波雷達(dá)的測速性和激光雷達(dá)的準(zhǔn)確性，也需要檢測范圍內(nèi)多種傳感器的檢測冗余，比如車輛行駛前方往往會有激光雷達(dá)、視覺和毫米波雷達(dá)的冗余檢測。所以在自動駕駛系統(tǒng)中，這種冗余設(shè)計(jì)常常被提及和采用。
• 計(jì)算單元的冗余 : 如果說把執(zhí)行機(jī)構(gòu)形容為自動駕駛的四肢，傳感器形容為自動駕駛的眼睛，那么計(jì)算單元就相當(dāng)于自動駕駛的大腦。計(jì)算單元的冗余也往往是功能安全里所要求的。在Tesla最新的Autopilot域控制器上就采用了兩塊Tesla FSD，兩顆處理器互相獨(dú)立，即便一個(gè)出現(xiàn)問題，另一個(gè)也能照常執(zhí)行。

為了滿足功能安全的要求，除了上述提到的，要做的工作還很多。這些工作看似和自動駕駛的功能開發(fā)沒有什么特別強(qiáng)的相關(guān)性，從某種角度來說，甚至?xí)拗谱詣玉{駛的功能開發(fā)。

如果把自動駕駛比喻成本領(lǐng)強(qiáng)大的孫悟空，功能安全可謂是孫悟空頭上的緊箍咒，時(shí)時(shí)刻刻限制著孫悟空的發(fā)揮。

但從另一方面講，孫悟空的任務(wù)是保護(hù)唐僧安全取得真經(jīng)，就如自動駕駛的首要任務(wù)也是要保障乘客的安全。

受控于緊箍咒的限制，孫悟空不會做出出格的行為，而自動駕駛在功能安全的限制下，也會變得越來越安全，能更好地為乘客服務(wù)。