智能网联汽车视觉感知系统预期功能安全 第1部分：触发条件分析与描述方法

1智能网联汽车视觉感知系统预期功能安全第1部分：触发条件分析与描述方法本文件提供了针对智能网联汽车视觉感知系统预期功能安全相关的触发条件分析要求，规定了触发条件的描述规范，输出相应的触发条件分析结果和触发条本文件适用于智能网联汽车视觉感知系统在开发阶段、测试验证阶段、产品认证阶段的触发条件本文件适用于由交通环境要素直接影响感知任务并导致感知性能下降的触发条件分析、规范化描本文件不适用于非感知任务直接相关因素如视野盲区、设计缺陷等造成的系统性功能下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修不存在由预期功能的不足或其实现的不足引起的危害而导致的不环境要素Environmentale交通环境中可能出现的所有独立、具备特定属性的物体或自然现象，是构成交通环境的基本单元。2视觉感知要素Perceptionele环境要素中具备一定尺寸、颜色属性，能够被视觉传感器探测和感知的触发条件Triggeringcon场景中引发系统后续反应，进而导致危险行为的特定条具备特定属性和特征，能够引发感知系统性能局注：触发源与触发条件的区别在于，触发条件是由特定属性和特征的一项或多项触发源形成的，任意触发源是构触发源属性Attributeoftriggerings触发源所具备的与视觉识别相关的性质和特性，分为影响光线传播的本质属性和影响特征提取的视觉感知系统不同工作阶段受触发源直接影响形成触发条件的方不同触发模式下，视觉感知系统不同工作阶段影响视觉感知功能或性能的触发机制Triggeringmec触发模式与触发因素共同描述的触发条件形3敏感度Degreeofpenet危害度PossibilityofDa语义触发条件Semantictriggeringcon逻辑触发条件Logicaltriggeringcon具体触发条件Concretetriggeri触发条件测试场景Triggeringconditionte用于测试感知系统在触发条件影响下的性能表现所构建的ODD设计运行域（OperationalDesignSOTIF预期功能安全（SafetyFTA故障树分析（FaultTreeAnalysASV属性语义变量（AttributeSemanticVariable）AQV属性量化变量（AttributeQuantitativeVariable）DV程度变量（DegreeVariab5.1预期感知要素范围确定根据视觉感知系统所服务的自动驾驶功能及其ODD，确定系统预期应感知并输出相关识别结果感知系统需要对天气条件等进行识别并采取相应的功能降级措施，将自然环境（Layer5）也纳入45.2感知功能适用条件确定5.3感知系统预期功能确定根据视觉感知系统预期感知要素范围，应明确针对不同感知要素的预期功能。预期功能应按照目触发条件分析应完整覆盖预期感知要素范围，同时尽可能充分考虑交通环境中可能形成触发条件的各类要素，确定触发条件对感知系统预期功能造成的影响后果，并对识别到应采用FMEA、HAZOP、交叉检查等分析方法，结合视觉感知系统的硬件工作原理和软件算法识别5触发源收集时应按照实体要素类、干扰要素类和环境条件类进行收集。为避免遗漏触发源，应采用一定的组织结构进行整理，并结合专家头脑风暴等方式，生收集与车辆行驶任务直接相关的环境要素构成实体要素类触发源，实体要素类须完整覆盖视觉感收集与车辆行驶任务不直接相关且不作为视觉感知系统预期感知要素的环境要素构成干扰要素类触发源。干扰要素应考虑对感知系统实现预期功能造成干扰的要素类型，包括自车干扰、传收集会显著改变车辆行驶环境并影响系统实现预期感知功能的环境条件构成环境条件类触发源。环境条件类应根据视觉感知系统所服务的自动驾驶功能的ODD，考虑降水、空气微粒、光照条件等影所收集触发源须描述其属性，属性的描述应考虑触发源形成潜在触发条件的相关因素。触发源属本质属性应考虑触发源对可见光的透光率、反射率、反射面积等因素，不同触发源类属性如表2特征属性只针对系统预期感知要素，应考虑特征罕见性、特征相似性、特征遮挡和特征消融等因6注2：在分析非光照条件相关的触发源时，默认当前的光照条件良好，即白天触发源类/除考虑单一触发源的影响，还应对各触发源之间形成的关联关感知要素作为主触发源，考虑实体要素、干扰要素和环境条件对预期感知要素造成的影响。包括要素注：关联关系会导致预期感知要素发生本质属性或特征属性的变化。以预期感知要素为行人为例，应考虑的触发触发模式分析主要对视觉感知系统受触发条件影响的方式进行分析，应考虑传感器触发、图像质传感器触发应涵盖由于摄像头镜头、防护罩或挡风玻璃受触发源遮蔽而形成的触发条件。图像识别触发应涵盖由于预期感知要素特征触发因素分析主要对传感器不同触发模式的影响因素进行7对于触感器触发模式，应考虑触发源对视野一致性、视野完整性的影对于图像质量触发，应考虑触发源对图像亮度、图像对比度、图像动态范围、图像清晰度、图像对于图像识别触发，应考虑触发源特征的多样性对识别效果的影响，包括特征罕见程度、特征相目标识别错误按照未识别、误识别、分类错误、语义分割错误等对触发源的影响进行划分；错误按照参数偏移和精度下降等对触发源的影响进行按照图1所示的分析过程，最终应分析得到完成的潜在触发条件，潜在触发条件结果应完整包含对分析获得的触发条件需从触发条件暴露率（E）、感知系统敏感度（P）、后果危害度（D）三8对触发条件的系统敏感度评估参照表4进行。若视觉感知系统与其他类型的环境感知传感器进行了数据融合，则应根据数据融合的具体方案，考虑视觉感知结果在融合感知结果中的权重对敏感度评估系统对触发条件有一定的容忍能力，能够适应一定属性范围的触发条系统对触发条件有较弱的容忍能力，仅能适应较小属性范围的触发条系统对触发条件不具备容忍能力，极有可能无等；根据6.4条要求分析的触发条件所致整车级危害事件，对其中被评估为严重度等级最高的危害事注：实际应用中，可采用视觉感知系统与决策规划系统的联合测试、融合算法测试、决策规划系统错误注入测试触发后果有较低可能性触发后果有中等可能性触发后果有较高可能性触发后果为分类错误、参数精度下降的触发条触发后果为误识别、语义分割错误的触发条触发后果为未识别、参触发条件应根据与其相关的视觉感知性能局限，选择合适的触发源属性和特征进行描述，保证触触发条件描述主要是对触发源的描述，包括触发源实例和触发源属性。根据在触发条件分析阶段和测试验证阶段的不同需求，应按照语义触发条件、逻辑触发条件和具体触发条件进行描述（图4）。9语义触发条件描述应包含触发源实例和触发源属性。属性应按照本质属性或特征属实例进行限定。语义触发条件应表示某种特定类型的触发条件，其包含至少一条逻辑触发条件。语义对无法量化的属性确定相匹配的属性语义变量，并给出各变量尽可能完整的语义离散可量化的属性确定相匹配的属性量化变量，并确定各变量合理的取值范围。程度变量用于特定触发模应按该属性的默认值处理。不同触发模式的触发条件变量与取值范围示例注：程度变量是对触发源作用效果的描述，采用一个归一化的比值，对遮挡、覆盖、遮光、相融等情况进行描述；具体触发条件描述内容与逻辑触发条件保持一致，应在逻辑触发条件描述的变量取值集合或取值范围内确定特定的一组变量组合，以确定唯一9.1测试场景构建方式针对视觉感知系统进行测试，需根据触发条件分析获得的潜在触发条件，并按照触发条件描述规9.2场景来源构建触发条件测试场景的场景来源包括通过安全分析获得的潜在危害场景、基于专家知识构建的场景、基于场景采集获得的场景、现有标准规范要求的测试场景9.3触发条件测试场景根据触发条件描述规范，可构建相应的语义测试用例、逻辑测试用例和具体测试用例。对于触发源为实体要素的情况，触发条件作为场景中相应实体要素的补充信息。对于触发条件的触发本附录提供了视觉感知系统触发条件分析时必要考虑的触发源类A.2视觉感知系统触发源根据不同要素或条件对视觉感知系统预期功能的影响差异，触发源类应包括实体要素类、干扰要雾霾A.3触发源关联关系触发源关联属性体现了不同触发源对预期感知要素属性的影响关系。表A