功能安全性與完整性對汽車定位解決方案的重要性

　　作者：Stefania Sesia，u-blox全球汽車應用營銷總監(jiān)

　　在邁向自動駕駛車輛的道路上，每一代新車的功能集中都會增加一系列駕駛員輔助功能。例如，人工智能與計算機視覺技術的進步將推動全自動化駕駛的演進，也就是自動駕駛第5級(ADL5)。

　　到2030年，約70%的新車至少提供車道保持和車道變更功能。如今，中高端市場上已有部分車型具備這些第2級(ADL2)基本自動駕駛功能。到本十年末，市場將發(fā)展到在成本較低的細分市場內提供更高的自動駕駛級別。與此同時，基于ADL4/ADL5的出行即服務(MaaS)大眾市場產(chǎn)品也將在全球各大都市出現(xiàn)。高級駕駛輔助系統(tǒng)(ADAS)和自動駕駛系統(tǒng)(ADS)可解讀來自多個傳感器的數(shù)據(jù)(傳感器融合)。雷達、激光雷達、視頻、超聲波和攝像頭數(shù)據(jù)在經(jīng)過處理后，可生成有關車輛周邊環(huán)境及其相對位置的精準概要信息。

　　此外，全球導航衛(wèi)星系統(tǒng)(GNSS)接收機是唯一能將車輛的絕對位置精確到分米級(即精確到車道)的傳感器。因此，GNSS使車輛能夠精準確定自己在地圖上以及環(huán)境中的位置。

　　ADAS系統(tǒng)可利用GNSS信息來建議/決定最佳車輛行為，例如路線規(guī)劃。借助無線通信技術(5G/V2X)，車輛還能與附近的車輛和交通基礎設施共享這些數(shù)據(jù)，或通過這些數(shù)據(jù)確定車輛所處的道路類型是否適合使用特定駕駛功能(地理圍欄)。只要車輛依賴于自動駕駛，就等同于依賴車輛的實際位置，并根據(jù)定位做出決策，就有可能威脅到人的生命，因此有必要確定信息的可信度/完整性。

　　這就要求具備一種完整性的概念，即定位系統(tǒng)所提供信息的正確性有多可信。如下圖所示，危及完整性的潛在風險可分為：與車輛軟硬件相關的故障、環(huán)境因素和無意的誤用。在汽車領域，使用不安全信息的風險應保證低至每個駕駛周期10-8和10-6(一個駕駛周期等于一個小時)。

　　ISO 26262-功能安全性

　　汽車在嚴苛的環(huán)境中工作。諸多干擾、熱量和振動來源會降低電路的功能或對其造成損壞。自主安全系統(tǒng)一旦失靈，可能就會引發(fā)碰撞，造成人員傷亡。這是極其高昂的風險。這其中還牽涉到法律后果。

　　汽車ISO 26262標準專門用于規(guī)管系統(tǒng)(如自動駕駛系統(tǒng))在故障條件下的行為。汽車制造商必須確保其系統(tǒng)遵循安全標準開發(fā)，并提供證據(jù)來表明硬件或系統(tǒng)性開發(fā)故障的風險低到可以接受的程度。通過危險風險評估(HARA)，原始設備制造商或系統(tǒng)所有者，評估不同威脅和錯誤來源造成的潛在風險。隨后需要根據(jù)一系列指標對每項風險評估進行分類，以確定汽車安全完整性等級(ASIL等級)，并在此基礎上確定安全目標。

　　在某些情況下(特別是對于高度自動化的駕駛解決方案)，特定安全目標還與具有相應目標ASIL等級(通常是ASIL B)的GNSS接收機有關。目標是設定實施硬件和軟件的要求，以防止出現(xiàn)故障或危險。

　　預期功能安全性(SOTIF)

　　作為ISO 26262汽車功能安全性標準的補充，ISO 21448標準涵蓋了預期功能安全性，即系統(tǒng)中的電氣和/或電子(E/E)元件因外部環(huán)境條件等造成的性能缺陷而導致的危險不存在不合理的風險。

　　就GNSS而言，與環(huán)境條件有關的風險來自于更廣泛的星座和GNSS系統(tǒng)部件的故障。此類故障可能是因以下因素造成的重大誤差：對流層和電離層風暴等大氣擾動、電離層閃爍、直接信號或反射信號的多徑畸變(非視距-NLOS)以及來自其他傳感器(如慣性或輪速傳感器)的其他威脅。

　　保護級別-完整性衡量指標

　　為解決完整性問題，航空業(yè)過去曾經(jīng)推出過“保護等級”(PL)。這是一種實時統(tǒng)計計算界限。以有保證的統(tǒng)計概率顯示用戶所在區(qū)域，而且確保能在無法提供此類保證時及時發(fā)出警報。

　　PL與稱為警報限值(AL)的閾值一起使用，AL取決于應用。下圖所示的斯坦福圖展示了PL、AL和實際誤差(AE)之間的關系，以及認為系統(tǒng)正常工作的條件。特別是在實際誤差大于PL和AL時，如果未能檢測到這種誤差情況，未在“告警時間”之前發(fā)出告警，則認為系統(tǒng)處于危險、誤導性工作(不安全工作)狀態(tài)。這種情況發(fā)生的概率必須保證低于目標完整性風險(TIR)。

　　[斯坦福圖]Pr-概率，PL-保護級別，AE-實際(位置)誤差，AL-警報限值，TTA-告警時間，TIR-目標完整性風險

　　完整性概念的主要挑戰(zhàn)之一是，確定足夠嚴格的保護級別界限以及極低的目標完整性風險，例如每個駕駛周期10-6或更低。這就需要考慮到法律概率極低的錯誤。這一領域的研究非�；钴S，u-blox公司率先開發(fā)了先進技術，如參考文獻[1-3]所示。

　　為了表明完整性的重要性，我們可以舉一個例子�？紤]這樣一種應用場景，車輛使用位置信息來激活特定的自動駕駛功能。在下圖的第一種情況(左)中，車輛位置被錯誤地投射到錯誤的街道上，誤差大于平均值，而PL值低于平均值。如果沒有檢測到這種誤差，也沒有發(fā)送告警，可能會錯誤地激活特定自動駕駛功能，而這種功能并不適合車輛當前實際所在的特定道路類型。在第二個例子(右)中，位置誤差在PL和AL范圍內。這是正常工作狀態(tài)。有必要注意，在這個例子中，還需要精確可靠的地圖。

　　結論

　　為保證自主安全系統(tǒng)正常工作，必須了解車輛在環(huán)境中的位置，以及與其他車輛和物體的距離。該位置為估計值，受環(huán)境影響、硬件故障和系統(tǒng)性開發(fā)故障的影響。完整性是指所提供信息正確性的可信度。

　　GNSS傳感器可提供絕對定位信息，是傳感器融合系統(tǒng)中其他ADAS/ADS傳感器的補充。系統(tǒng)內的完整性包括及時警告用戶何時不應在系統(tǒng)內使用相應信息。如符合汽車標準ISO 26262，即可確保自主安全系統(tǒng)在故障情況下的行為具有可預見性。符合補充性ISO 21448標準(SOTIF)則可確保系統(tǒng)在嚴苛條件下的功能性。

　　未來將有更多新車配備自主安全功能，我們相信，隨著高度自動化駕駛和高級V2X應用場景的部署，GNSS等安全組件的需求將在未來大幅度增加。

　　參考文獻：

　　[1]  Julien 等，Extended Results of Single Epoch Position Bound (SEPB)

　　[2]  Martini 等，Galileo High Accuracy Service Performance and Anomaly Mitigation Capabilities，2023 年 6 月 13 日，PREPRINT (Version 1) of journal GPS solutions