已知自动驾驶的一个场景，如变道，如何做好预期功能安全

在自动驾驶的变道场景中，确保预期功能安全（SOTIF, Safety of the Intended Functionality）需要从系统设计、风险评估、测试验证等多个维度综合应对。以下是关键步骤和方法：

**1. 场景分析与风险识别

• 分解变道场景要素：

  • 环境：车道线清晰度、交通密度、天气（雨/雾）、光照条件等。

  • 动态参与者：周围车辆的速度、加速度、意图（是否主动让行）、行人或障碍物。

  • 自车状态：传感器覆盖范围、定位精度、决策置信度。

• 识别潜在风险点：

  • 传感器漏检（如盲区车辆、突然切入的车辆）；

  • 误判其他车辆意图（如后车加速拒绝让行）；

  • 决策犹豫或过于激进导致碰撞风险；

  • 高动态场景下的控制延迟。

**2. 感知与预测的冗余设计

• 多传感器融合：

  • 通过摄像头、毫米波雷达、激光雷达的冗余覆盖，减少盲区（例如A柱遮挡）；

  • 使用跨模态数据融合算法（如BEV感知）提升目标检测鲁棒性。

• 意图预测的保守性设计：

  • 假设周围车辆存在“最坏情况”行为（如后车突然加速）；

  • 采用概率模型（如POMDP）量化不确定性，避免过度依赖单一预测结果。

**3. 决策与控制的容错机制

• 分层决策框架：

  • 全局路径规划：基于高精地图和交通规则生成可行变道窗口；

  • 局部行为决策：使用强化学习或规则引擎评估变道安全性（如计算TTC/THW）；

  • 紧急干预：触发安全超控（如紧急回原车道或减速）。

• 控制鲁棒性：

  • 预留安全距离余量（如横向1.5倍车宽）；

  • 动态调整变道速度曲线，避免急转向引发失稳。

**4. 测试验证与场景覆盖

• 仿真测试：

  • 构建极端场景库（如cut-in车辆以>90%自车速度切入）；

  • 使用软件在环（SIL）和硬件在环（HIL）验证决策逻辑。

• 实车测试：

  • 覆盖长尾场景（如夜间施工路段变道、相邻车道大型车辆遮挡）；

  • 通过影子模式（Shadow Mode）收集真实道路数据，迭代优化模型。

• SOTIF专用工具链：

  • 使用故障注入（Fault Injection）模拟传感器失效；

  • 基于ISO 21448进行危害分析与风险评级（如ASIL等级）。

**5. 功能降级与人机交互

• 降级策略：

  • 当系统置信度低于阈值时，放弃变道并保持车道；

  • 触发驾驶员接管请求（HMI通过声光提示）。

• 透明化设计：

  • 向用户解释变道意图（如屏幕显示变道原因：“前方拥堵”或“更优车道”）。

**6. V2X与协同安全

• 车路协同：

  • 通过V2V获取后车加速度/转向信号，减少意图误判；

  • 利用路侧单元（RSU）提供超视距信息（如盲区车辆位置）。

• 标准化通信协议：

  • 遵循SAE J2735等标准，确保信息交互可靠性。

**7. 持续迭代与数据驱动改进

• 数据闭环：

  • 通过OTA更新修复场景漏洞（如特定天气下的误检）；

  • 利用边缘案例挖掘（Corner Case Mining）优化模型。

• 第三方认证：

  • 通过第三方机构（如TÜV）进行SOTIF合规性认证。

总结

变道场景的预期功能安全需在 “感知-决策-控制”全链路 构建防御层，通过 冗余设计、保守策略、海量测试 降低未知风险，最终实现 “已知风险可控，未知风险可探测” 的目标。