SOTIF触发条件分析指南  — 基于物理原理的场景驱动方法

面向对象： 自动驾驶系统开发、测试及安全工程师

参考文献： SAKURA safety framework

1. 引言

本指南旨在为自动驾驶系统（ADS）开发工程师提供一套系统化、工程化的方法，用以识别和分析SOTIF（预期功能安全，ISO 21448）中的触发条件。触发条件是指在无系统故障的情况下，可能导致系统功能局限并引发危害性行为的特定场景或环境条件。

本指南基于 SAKURA 项目safety framework（以下简称“安全框架”）的核心思想，特别是其中的“物理原理方法”。该方法论确保了分析的完备性和可追溯性，避免了纯数据驱动方法可能存在的覆盖度盲区。

2. 核心概念与SOTIF分析流程

开始分析前，必须统一以下几个核心概念，这些概念均源自参考文档：

• 动态驾驶任务（ DDT ） ：分解为感知、决策、操作三个基本过程（文档 表1、图5）
• 物理原理扰动：  针对每个DDT过程，基于物理原理定义可能引发危险的扰动因素
• 感知扰动（Perception Disturbance） ： 影响传感器正确感知环境的因素（如雨雾、逆光、遮挡）（文档 2.5节）
• 交通扰动（Traffic Disturbance） ： 源于道路几何、本车行为和周围交通参与者行为的危险交通态势（如相邻车道车辆突然切入）（文档 2.6节）
• 车辆动力学扰动（Vehicle-dynamics Disturbance） ： 影响车辆稳定控制的物理因素（如道路曲率、横风、路面附着系数变化）（文档 2.7节）
• 触发条件（Triggering Condition） ： 在本指南中，我们将导致系统从“正常运行”或“非危险”状态进入“关键条件（Critical Condition）” 的特定扰动或其组合定义为SOTIF的触发条件。关键条件是指风险已实体化并直接影响DDT，需要立即执行规避动作的状态（文档 1.3节，图4）

本指南推荐的SOTIF分析流程如下：

1. 明确ODD及系统架构： 定义系统设计的运行范围，清晰画出传感器、决策模块、执行器的架构
2. 识别扰动因素：对每个DDT过程及对应组件，系统性地识别可能的物理原理扰动
3. 构建触发条件场景：将识别出的扰动因素组合，构建具体的触发条件场景
4. 确定参数范围：为每个场景定义关键参数及其可预见的合理范围
5. 评估与验证：在仿真或实车测试中注入这些触发条件，评估系统响应

3. 触发条件的分类与识别方法

根据安全框架，触发条件的识别应从扰动因素入手。工程师可以遵循以下分类体系进行头脑风暴和系统分析。

3.1 感知触发条件

此类条件源于传感器受限或环境干扰，导致感知模块无法正确检测、分类或定位目标（文档 3.4.2节）。

分析方法如下：

1.确定分析对象： 逐一分析本车搭载的各类传感器（摄像头、毫米波雷达、激光雷达等）

2.查阅扰动因素分类：

• 本车/传感器因素：  传感器安装偏差、脏污遮挡、车辆姿态（如满载导致俯仰变化）。(文档 表4-6)
• 环境因素：
  • - 道路表面： 路面反射（多径效应）、积水、积雪、结冰。(文档 表7)
  • - 路侧/空中结构物： 护栏、隧道、标志牌、立交桥的反射或遮挡。(文档 表8, 9)
  • - 空间： 雨、雪、雾、扬尘、外部光源（太阳、车灯）。(文档 表10)
  • - 移动物体： 其他车辆、行人反射或遮挡。(文档 表11)
• 目标物因素：  目标的形状、尺寸、材质、颜色、运动状态。(文档 表22-25)

3.应用扰动生成原理矩阵： 对于每个传感器，利用文档附录E和表26-30中的“扰动因素-生成原理矩阵”，交叉定位出高风险的触发条件。例如，对于毫米波雷达，关注由路面多径导致的低D/U现象（文档 E.2.2节）。

3.2 交通触发条件

此类条件源于复杂的交通交互，可能超出决策规划模块的处理能力，导致碰撞风险（文档 3.4.1节）。

分析方法如下：

1. 分解场景要素： 将交通场景分解为道路几何（直道、合流、路口）、本车行为（直行、变道、转向）和周围车辆行为（直行、切入/切出、转向）的组合（文档 3.4.1.2-3.4.1.4节）。
2. 利用场景矩阵： 参考文档图23的通用车辆交通扰动矩阵，系统性地遍历所有可能的危险交互组合，这些组合即是潜在的交通触发条件。
3. 考虑弱势道路使用者（VRU）： 针对行人和自行车，使用专门的场景结构（文档 3.4.1.8节，图27）。

3.3 车辆动力学触发条件

此类条件源于超出车辆控制能力的外部物理力或路面附着条件（文档 3.4.3节）。

分析方法如下：

1. 分解扰动来源：
   • - 车体输入扰动： 道路几何（弯道、坡度）和自然现象（横风）。(文档 图71)
   • - 轮胎输入扰动： 路面状态（低附着系数、坑洼、台阶）和轮胎状态（磨损、刺破）。(文档 图74)
2. 利用附着利用率（ε）： 评估多种扰动组合叠加时是否进入不可控区域（ε > 75%），若进入则成为SOTIF的触发条件（文档 3.4.3.3节，图79）。

4. 详细分析步骤与模板

为每个识别出的候选触发条件，建立详细的分析记录。

步骤1：定义场景描述

• 场景名称： [如：雨天高速公路弯道处，前车突然减速且摄像头被路面积水反射的眩光干扰]
• ODD： [如：高速公路，设计时速100km/h，雨天]
• 触发条件类型： [感知扰动 & 交通扰动 组合]

步骤2：识别扰动因素与物理原理

组件/过程1 (感知-摄像头)

• 扰动因素： 路面积水反射。
• 分类： 环境/道路表面。
• 物理原理： 反射光造成局部饱和（过曝/Blown Highlights），导致对比度下降，目标物轮廓丢失（文档 E.4.3.1节）。

组件/过程2 (决策-目标车)

• 扰动因素： 前车突然减速。
• 分类： 交通扰动。
• 物理原理： 本车与前车的相对距离和速度关系进入“紧急”状态（文档 6.3.3节）。

步骤3：确定关键参数与可预见范围

感知相关参数：

• `环境亮度`：≥100,000 lx（晴天太阳光反射等效）
• `眩光区域占目标物比例`：>50%
• `降雨强度`：20-50 mm/h

交通相关参数：

• `本车速度 (Ve0)`：100 km/h
• `前车最大减速度 (Gx_max)`：-0.8 G
• `初始跟车距离 (dx0)`：40 m

步骤4：定义SOTIF接受准则（基于C&C Driver模型）

在触发条件下，系统（包括感知和决策）应达到或超越一个“合格且谨慎的人类驾驶员（C&C Driver）”的表现。

C&C Driver模型参数（文档 6.2.1节）

• 危险判断时间：0.4 s
• 制动延迟时间：0.75 s
• 最大减速度：0.774 G
• 接受准则： 在参数范围内的任何组合下，系统均不能发生碰撞。

5. 详细分析示例

以下提供三个不同组件的触发条件分析实例，展示如何应用该方法。

示例1：感知组件 - 毫米波雷达 “大信号强度差” 触发条件分析

1.  场景描述：

• 场景名称： 隔壁车道有大货车，本车道前方有摩托车，摩托车雷达反射信号被大货车掩盖。
• ODD ： 高速公路，直道，本车速度100km/h。
• 触发条件类型： 感知扰动（漏检/False Negative）。

2.  扰动因素与物理原理：

• 触发组件： 毫米波雷达。
• 目标物1（大货车）： 强 反射体 （RCS高），距离130m。
• 目标物2（摩托车）： 弱反射体（RCS低），距离140m。
• 物理原理： 大货车的反射信号强度远大于摩托车，在雷达信号处理中，摩托车信号被大货车的信号峰值所掩盖，或在角度检测主瓣中被压制，导致摩托车无法被检测（文档 E.2.1.1.2节，图及原理）。

• 现象参数： 目标物2的信号强度 `I_D` 与目标物1的信号强度 `I_U` 之比 `I_D/I_U` 极小，且峰值距离差 `|P_D - P_U|` 小于峰值半宽和 `W_D + W_U`。

3.  关键参数与可预见范围：

• `大货车 RCS 值 (σ1)`：10000 m²（基于实测数据库）
• `摩托车RCS值 (σ2)`：5 m²（基于实测数据库）
• `两目标雷达径向相对距离差 (Δr)`： ≤ 2 m
• `两目标雷达方位角差 (Δθ)`： ≤ 3°

4.  评价场景与接受准则：

• 构建测试场景： 按照文档 E.2.1.2.3节的建议，在虚拟/真实测试场中布置上述目标物，并设定多种相对速度和方位角组合。
• 接受准则： 系统必须在所有可预见参数组合下，通过跟踪或融合其他传感器信息，稳定检测到摩托车，并在发生交通扰动（如摩托车切入）时，做出不晚于C&C Driver模型的避撞行为。

示例2：感知组件 - 摄像头 “遮挡” 触发条件分析

1.  场景描述：

• 场景名称： 前车在弯道出口处被路边护栏部分遮挡，仅露出车身一小部分。
• ODD： 城市快速路，弯道半径380m，限速80km/h。
• 触发条件类型： 感知扰动（遮挡/Truncation）。

2.  扰动因素与物理原理：

• 触发组件： 摄像头。
• 遮挡物： 路侧波形护栏。
• 被遮挡目标： 前方静止车辆。
• 物理原理： 由于光线直线传播，护栏阻挡了部分来自目标车的光线。这导致视觉特征提取失败（例如，无法提取出完整的车轮、尾灯或车身轮廓），使得分类与位置估计算法失效（文档 E.4.1.1.2节，图及说明）。

• 现象参数： 目标物被遮挡比例 `Occlusion Ratio`，以及被遮挡的关键区域（如C、D区，文档图）。

3.  关键参数与可预见范围：

• `目标物被遮挡比例`： >40%
• `遮挡区域`： 包含目标物下半部分（车轮和保险杠处），或包含后窗/尾灯区域。
• `弯道半径 (R)`： 380m

4.  评价场景：

• 构建测试场景： 构造弯道场景，静止目标车停放在护栏后端。本车沿车道中心线行驶。
• 接受准则： 在因遮挡导致目标车可见像素逐渐减少时，系统必须在决策所需的最近时间点之前（参照C&C Driver模型）稳定识别出目标并规划减速/避让路径，不能因目标分类置信度波动而反复跳变，导致规划失效。

示例3：车辆动力学组件 - “湿滑路面+弯道” 组合触发条件分析

1.  场景描述：

• 场景名称： 雨天，车辆在高速公路弯道上保持车道时，突发侧滑风险。
• ODD： 高速公路，弯道半径460m，设计时速100km/h。
• 触发条件类型： 车辆动力学扰动。

2.  扰动因素与物理原理：

• 触发组件： 车辆动力学控制模块。
• 扰动因素1 (轮胎输入)： 湿滑路面，附着系数µ降至0.35。
• 扰动因素2 (车体输入)： 弯道半径460m，设计横向加速度约0.11G。
• 物理原理： 利用附着利用率 `ε` 进行判断。在湿滑路面（µ=0.35）下，要求的侧向力系数仍为0.11，`ε = 0.11 / 0.35 ≈ 31%`。虽然仍在可控范围（<75%），但若此时突遇横风（如20m/s横风产生额外0.15G侧向力），`ε` 可能超过75%的安全临界值，进入不可控区域（文档 3.4.3.3节，图79、图81）

3.  关键参数与可预见范围：

• `路面附着系数 (µ)`：0.3 - 1.0 （湿路面典型值）
• `弯道半径 (R)`：460 m
• `本车速度 (Ve0)`： 100 km/h
• `横风风速 (Vw)`： 0 - 10 m/s (高速未限速段，文档 3.4.3.4.2节)

4.  评价场景：

• 构建测试场景： 构建带弯道和预设超高程（如6%）的仿真场景。同时施加`µ=0.3`的路面条件和`5-10m/s`的侧向风。
• 接受准则：
  • - 可预防区域 (ε ≤ 75%)： 系统必须保持车道，不能偏离车道线。
  • - 不可预防区域 (ε > 75%)： 系统应识别出即将失去控制，立即执行最大制动力减速（Best Effort）以减轻碰撞能量，并实施功能降级（如打双闪、安全停车）。

6. 总结

本指南为工程师提供了一套严谨的SOTIF触发条件分析方法。其核心在于：

• 系统性： 不再依赖经验或随机测试，而是基于物理原理分解DDT，系统遍历扰动因素。
• 可追溯性： 每一个触发条件都能清晰追溯到物理根源、场景参数和接受准则（C&C Driver模型）。
• 完备性： 通过交叉矩阵（感知）和场景组合（交通/动力学），最大限度地减少分析盲区。

建议开发团队将此方法集成到日常开发流程中，从概念阶段开始，持续迭代更新，确保自动驾驶系统在面对复杂多变的现实世界时，其预期功能始终安全可靠。