自动驾驶功能安全关键参数验证：ASIL等级确定与仿真平台实践

一、功能安全简介

在汽车电子电气系统开发中，我们常常听到两个核心概念：功能安全和预期功能安全。

• 功能安全 (Functional Safety, FuSa ISO 26262)：旨在消除因车载E/E系统的不合理故障风险，导致对相关人员（如驾驶员、乘客、行人）的危害超出可接受范围。
• 预期功能安全 (Safety of the Intended Functionality, SoTIF ISO 21448)：旨在消除在设计运行条件 (ODC) 内，由于系统自身性能局限或人员误用所导致的危害超出可接受范围。

简单来说，功能安全主要应对“系统出故障了怎么办”，而预期功能安全则关注“系统没故障，但能力不够或被人用错了怎么办”。两者的目标都是通过系统性的设计和验证流程，将风险控制在可接受的范围内。

基于功能安全标准（如ISO 26262）的开发流程，通常从整车层面的危害分析与风险评估 (HARA) 开始，确定安全目标和安全状态，然后逐级分解至系统、硬件和软件设计，形成具体的安全需求和方案。

二、功能安全关键参数的作用

在进行安全分析和设计时，为了确保系统能达到预设的“安全状态”或“最小风险状态”，我们需要确定一系列关键的安全参数。这些参数是安全机制设计的核心依据，例如：

• FTTI (Fault Tolerant Time Interval) 故障容错时间间隔：系统从检测到故障到进入安全状态所允许的最长时间。
• 角度控制阈值：转向系统在安全范围内的最大允许转角。
• 减速度阈值：制动系统在紧急情况下需要达到的最低减速度。
• 碰撞发生时的 ∆V (速度变化量)：用于评估碰撞严重程度的关键物理量。

这些关键参数直接影响系统的安全分析与设计。例如，一个精确的FTTI参数可以帮助我们优化控制策略，有时甚至能降低对某些子系统或元器件的要求等级（ASIL等级），从而在保证安全的前提下，更好地平衡安全设计与成本。

三、关键参数确定方法介绍与优劣势对比

如何获得这些至关重要的安全参数呢？在实际开发中，常见的方法有三种：理论模型计算、仿真测试和实车测试。在项目前期，由于成本和时间的限制，通常优先采用理论计算或仿真测试。

1. 模型计算方法介绍

这种方法基于整车的HARA分析，梳理出典型的危险场景用例，并结合具体的失效模式，进行数学建模和计算。

纵向控制举例（跟车场景）
假设场景：跟车行驶中，前车突然减速，本车因非预期加速故障而撞上前车。
我们需要构建纵向加减速计算模型。例如，通过分析不同车速下的安全跟车时距，来计算避免碰撞所需的最小减速度或最大反应时间。

横向控制举例（弯道场景）
假设场景：车辆在弯道行驶时，转向系统发生故障导致转角过大，车辆偏离本车道撞上邻车道车辆。
我们需要构建横向运动学模型。通过设定车辆质量、转弯半径、路面附着系数等参数，计算在失效情况下，车辆偏离车道并发生碰撞的时间或距离边界。

2. 仿真测试方法介绍

这种方法比纯理论计算更进一步，它依据车辆的动力学模型，在虚拟环境中构建危险工况场景，并运行测试脚本以获取更贴近实际的参数。搭建一个有效的动力学模型是仿真准确性的基础。

测试举例
基于搭建的仿真模型和测试脚本，可以对前述的危险场景1和2进行仿真。通过注入相应的故障（如非预期加速、转向卡滞），观察系统响应，并记录车辆状态数据，从而获得更精确的FTTI等参数。这个过程往往需要反复调节模型参数，使仿真结果趋于合理。

3. 实车测试方法介绍

这是最直接但也最昂贵和复杂的方法。需要搭建实车功能安全测试平台，编写专用的测试用例和可视化操作界面。在专用的封闭测试场地，基于HARA分析出的场景，向真实的车辆系统注入故障（如通过CAN总线模拟传感器失效），同时严密监控整车总线数据与车辆状态，从而确定关键安全参数。

方法对比总结

下表对三种方法的优劣势进行了详细对比：

四、基于实车测试补偿的仿真平台介绍

从上面的对比可以看出，仿真测试在效率、成本和场景覆盖面上具有显著优势，但其准确性依赖于模型的精度。那么，能否结合实车测试的“准”和仿真测试的“快”呢？

答案是肯定的。一种高效的实践路径是：构建以高精度仿真为核心，并用实车测试数据对仿真模型进行校准和补偿的验证平台。这样既能大幅提升仿真结果的可信度，又能避免纯实车测试的高成本和长周期问题。

这样构建的平台，其应用范围可以非常广泛，不仅限于FTTI的确认，还包括：

• 各类安全边界参数确认：如纵向安全距离、横向控制边界、执行器作动限值等。
• 安全机制有效性评价：验证在故障注入下，系统是否能按照设计切换到安全状态（如报警、降级、靠边停车等）。
• 预期功能安全 (SOTIF) 场景验证：对感知、决策算法的性能局限在虚拟环境中进行大规模测试。

五、总结

在自动驾驶与智能网联汽车快速发展的今天，功能安全与预期功能安全的重要性日益凸显。通过采用“实车测试数据补偿仿真模型”的融合方法，我们能够以较高的效率获得相对准确的关键安全参数。这为后续准确设定系统ASIL等级、设计经济有效的安全机制提供了强有力的数据支撑。

同时，这样一个经过校准的仿真验证平台，其价值可以复用到整车其他电子电气系统的安全分析与设计中，形成一个持续积累和优化的正向循环。对于未来更复杂的预期功能安全测试验证，它也将成为一个不可或缺的基础设施。在像云栈社区这样的技术论坛中，开发者们经常分享和讨论如何构建与优化此类复杂的仿真测试环境。