车辆预期功能安全标准21448笔记（十）

 

10. 已知危险场景的评估（区域2）

10.1目标

本条款的目的是取的如下的目标：

• 系统及其组件（如环境感知传感器、地图、算法和执行器）的功能应按照已知危险场景和合理可预见的误用（源自先前的分析和知识）的规定运行；
• 已知情景应充分涵盖，例如通过测试或分析；
• 验证结果应证明已知危险情景的剩余风险相当低。

10.2总则

为了实现上述目标，需要以下信息：

• 满足条款5.4.1的规范和设计内容；
• 满足条款7.5.1的确定规范的潜在不足、性能限制和触发条件；
• 满足条款9.4.1的验证和确认策略的定义。

注1 条款5.3 给出了对于“规范和设计”中确定的现有SOTIF相关内容以及SOTIF活动迭代产生的功能修改的可追溯性的指南。

10.3感知验证

如表7所示，给出了可证明传感部件在其预期用途和合理可预见的误用情况下的正确功能性能、定时、精度和鲁棒性的方法。

10.4规划算法的验证

根据第4.2.3条，规划算法根据传感部分提供的环境模型导出控制动作，表8给出了验证在需要时作出反应的能力及其避免不必要行动的能力的方法。

10.5执行验证

表9给出了执行器预期以及合理可能误操作的验证方法。

注：如果驱动系统没有任何功能缺陷或触发条件，则仅根据ISO26262进行测试就足够了。

10.6集成系统的验证

表10给出了用于验证集成到车辆中的系统鲁棒性和可控性以及系统组件的正确交互的方法；

注1：对于非确定性系统的验证，可使用统计方法或风险管理技术对已知危险场景进行评估。

注2 附件C.4提供一个集成系统验证的示例。

10.7 已知危险情况下剩余风险的可接受性

如果满足以下条件，则已知危险场景是可接受的。

• 危险行为的概率符合验证目标，即危害风险符合规定的验收标准；
• 车队中没有一个子集会面临不合理的风险。

如：局部的几何特性（一个确定的转弯和桥）不能导致危险的急剧增加。

10.8工作原则

已知场景中预期功能安全行为应该满足要实现的目标10.1。