基于HAZOP的自主泊車系統危險事件識別

朱國章，陳 楨，陳君毅Zhu Guozhang，Chen Zhen，Chen Junyi

基于HAZOP的自主泊車系統危險事件識別

朱國章1，陳 楨1，陳君毅2Zhu Guozhang1，Chen Zhen1，Chen Junyi2

（1. 上汽大眾汽車有限公司，上海 201805；2. 同濟大學 汽車學院，上海 201804）

自主泊車系統是智能汽車領域的研究熱點，但是目前缺乏針對該系統的危險識別研究，文中圍繞自主泊車系統危險事件的識別展開。首先，依據現有道路車輛安全標準，根據自主泊車系統功能定義建立功能圖，基于HAZOP（Hazard and Operability Analysis，危險與可操作性分析）方法，應用引導詞得到系統可能的失效；其次，結合運行場景推導整車級危險事件；最后，采用ASIL（Automotive Safety Integration Level，汽車安全完整性等級）進行評估，得到高風險的危險事件。所識別的危險事件可以為功能安全要求推導提供輸入，完善系統安全分析，以提高自主泊車系統的安全性。

自主泊車系統；HAZOP；危險事件

0 引 言

近年來隨著汽車保有量不斷增加，泊車的車位數量少、空間小等問題日益凸顯；同時，泊車導致的事故呈逐年上升的趨勢。2006年，密歇根大學的調查研究表明，泊車所導致的事故占各類交通事故的比重高達44%[1]；我國車輛保險公司接到的索賠申請中，1/3是由于泊車失誤所造成[2]；駕駛員在泊車過程中，一旦出現疏忽就可能發生刮蹭及碰撞事故，引發矛盾糾紛甚至危及生命安全。

為了使泊車過程更安全便捷，自主泊車成為泊車技術發展的重點。目前，自主泊車系統仍處于研發階段，技術尚未成熟，且由于沒有人類駕駛員控制，在自主泊車系統發生失效后，車輛的失控導致的后果將更加嚴重。因此，為了避免自主泊車系統失效后造成人員傷害，自主泊車系統的安全分析必不可少。

ISO（International Organization for Standardi- zation，國際標準化組織）于2011年頒布汽車功能安全標準ISO 26262《道路車輛功能安全》，為汽車安全分析提供了指導，主要包括相關性定義、危害分析和風險評估以及功能安全概念3個部分，其中以危害分析和風險評估最為關鍵[3]6-12；但對于自主泊車類自主駕駛系統，仍缺少適用的安全分析方法。

根據以上背景，基于HAZOP（Hazard and Operability Analysis，危險與可操作性分析）方法對自主泊車系統進行危險事件識別，并結合風險評估得到高風險的整車級危險事件。

1 車輛危險事件識別方法

在現有汽車安全標準[4]中，將危險事件定義為危害與運行場景的結合，其中失效是危害的主要來源。針對失效表現，現有安全標準中提出的傳統安全分析方法多基于可靠性理論，以FMEA（Failure Mode and Effect Analysis，失效模式及效應分析）及FTA（Fault Tree Analysis，失效樹分析）為主。其中FMEA自下而上分析失效及其產生的影響，主要針對單體設備；FTA自上而下尋找事故的直接原因，主要針對特定事故。對于自主泊車類自主駕駛系統，由于系統涉及大量軟硬件，結構復雜，應用這兩類方法均存在失效情況難以明確，分析任務繁重，缺乏對運行場景考慮等問題。

HAZOP作為一種可結構化的安全分析方法，通過系統地辨識各種潛在的與設計目的間的偏差，進而分析各偏差發生的原因并評估相應的后果。相較FMEA、FTA等方法，HAZOP能更全面地識別出給定系統的危險和設計缺陷。HAZOP已在化工生產[5]和電子科技[6]領域得到了廣泛應用，形成了標準化應用導則[7]。該導則提供了分析流程和具體的用于描述對設計目的偏離的引導詞。引導詞是HAZOP分析的基礎，用于概括出現偏差的所有情況，然而現有導則中的引導詞并不完全適用于自主泊車系統，本文依據對危險事件的定義，基于HAZOP分析方法，針對自主泊車系統的具體功能，建立引導詞分析系統功能失效，得到整車級危險事件。

2 自主泊車系統危險事件識別方法

自主泊車系統危險事件識別方法如圖1所示，依據現有道路車輛安全標準[3]3-12，首先對于自主泊車系統功能及運行場景進行定義與描述，基于功能定義明確系統功能階段，并構建系統功能圖；然后，基于HAZOP方法，應用面向自主泊車系統的引導詞和功能圖得到系統功能失效，結合具體場景和功能階段得到自主泊車系統的危險事件；最后，應用ASIL（Automotive Safety Integration Level，汽車安全完整性等級）進行風險評估，篩選出高風險的危險事件。

2.1 功能及運行場景

自主泊車系統是一種不需要駕駛員人工干預，能夠依據搭載的傳感器、控制器、執行器等裝置，實現自主尋位、自主泊車和主動避障等行為的高級別自動駕駛操作系統，該系統在泊車過程中可以替代駕駛員進行駕駛操作[8]。針對不同的功能可將自主泊車系統的運行過程劃分為多個階段。

2.1.1 自主泊車系統功能階段劃分

自主泊車系統主要分為自主尋位、自主泊車、位姿修正和自主駛離4個功能階段，各階段具體任務如下：

（1）自主尋位階段：駕駛員將車輛駛入待泊車區域后，進行短距離低速自主駕駛，可以完成直行、換道、避障等具體功能；

（2）自主泊車階段：車輛在確定泊車位后，依據感知系統、定位系統獲取的輸入信息反饋至決策規劃系統，并由控制系統完成泊車入位；

（3）位姿修正階段：車輛在駛入泊車位之后，根據停放位置和車位中心的距離和角度，自行進行位姿修正，使得車輛最終停放位置處于車位的中心，符合相應的角度和距離的標準要求；

（4）自主駛離階段：車輛在接收到駕駛員的召喚命令之后，自主駛離車位，短程自主駕駛至待泊區域，接駁乘客。

2.1.2 功能圖構建

在定義自主泊車系統各個功能階段后，需要系統詳細描述各個功能，功能即駕駛任務的抽象，可以構建功能圖對其進行描述。功能圖應涵蓋駕駛任務的各個方面，包括環境感知、自車狀態感知、決策和行為執行等[9]。通過對自主泊車系統各個功能及其依賴關系進行分析，構建自主泊車系統功能圖如圖2所示。功能圖中各項基礎功能以分層的方式描述系統，功能之間用箭頭相連，以表示其依賴關系。系統分為4個功能階段，各功能階段包含不同的決策規劃功能，各決策規劃功能對應特定的感知功能與執行功能，感知功能與執行功能由特定的傳感器與執行器完成。

圖2 自主泊車系統功能圖

2.1.3 運行場景定義

現有研究中對車輛運行場景存在多種定義。HalaElrofai[10]將場景劃分為主車、主動環境（交通燈狀態、天氣狀況、其他交通參與者等）、被動環境（道路、障礙物、交通標志等布置）；Geyer[11]利用戲劇術語，將場景定義為布景、動態元素和駕駛者；Simon Ulbrich[12]將場景定義為描述環境的快照，包含了風景、動態元素和觀察者的自我表示，以及這些實體之間的關系。綜合上述對于場景的定義劃分，提出將自主泊車系統的運行場景劃分為靜態元素、動態元素、自車狀態與全局環境。其中靜態元素包括所有地理空間靜止的元素，動態元素是指正在移動的元素，自車狀態包括自車速度及自身轉角等屬性，將天氣、路面等對于自主泊車系統的功能實現影響作用較小的靜態元素作為全局環境進行描述。

2.2 危害分析

2.2.1 功能失效

在確定自主泊車系統的各個功能后，結合HAZOP分析方法對功能失效進行分類。HAZOP 分析的基礎是引導詞檢查，是對系統與設計目的偏差的縝密查找過程。分析人員使用預先確定的引導詞，對每種要素及其相關的特性進行分析，識別并確認會導致不利后果的偏差。引導詞的作用是激發分析人員的想象性思維，使其專注于分析，提出觀點并進行討論，從而盡可能使分析完整全面[13]5。HAZOP應用導則中提出的基本引導詞及其含義見表1，與時間和先后順序（或序列）相關的引導詞及其含義見表2。

表1 HAZOP基本引導詞[13]5

表2 HAZOP時間相關引導詞[13]5

對于自主泊車系統，潛在的危險基于感知、決策規劃、執行類功能，例如感知自車狀態時自車速度、自車轉角等參數的識別偏差；因此，表1中部分引導詞如部分、伴隨等，并不適用于描述自主泊車系統功能的失效，故根據HAZOP分析應用導則中的基本引導詞，并結合自主泊車系統功能的實際應用，確定引導詞見表3。

表3 自主泊車危險事件引導詞

使用引導詞與功能圖中每個功能的參數進行組合，生成可能的失效，其中主要失效包括：

（1）感知功能：感知到行人有過大的速度，感知到過小的停車位區域，感知到不存在的車速，缺漏對前方行人的感知；

（2）決策規劃功能：規劃直行時存在物理不可能的速度，規劃路徑中存在與其他車輛軌跡的沖突，規劃路徑時過早的轉彎；

（3）執行功能：執行加速時存在過大的加速度，執行轉向時存在錯誤的轉向角，執行先減速后轉向時缺漏減速過程。

2.2.2 關鍵元素

在明確了場景的定義后，為確定自主泊車系統運行過程中的場景，基于泊車工作原理、實際泊車情況和泊車事故情況，建立自主泊車系統場景，見表4。

表4 自主泊車場景元素

為表4中場景的每一個元素選擇一個離散化級別，選擇適當的離散化級別是關鍵的一步，過于詳細的場景會使風險評估失真。主要采用二進制離散化，屬性設置為有/無；全局環境中的天氣和路面均分為理想和非理想，見表5。

表5 全局環境元素

2.2.3 危險事件

基于自主泊車系統功能階段、功能失效及運行場景，推導得到危險事件并分析其可能導致的事故。在生成危險事件時，還需考慮生成事件的合理性，排除以下3類不合理的危險 事件：

（1）在該功能階段下未執行功能，故不存在危險；

（2）失效與場景無關（如直行跟車場景中轉向失效），故不存在危險；

（3）多重失效，根據ISO 26262要求，不予考慮。

綜合以上分析，結合功能失效的具體場景得到整車級危險事件，如表6和圖3、圖4所示。示例1中，由于車輛在自主泊車階段執行轉向時轉角過大，導致與停放的車輛碰撞；示例2中，由于車輛在自主駛離階段規劃路徑與前方行人軌跡沖突，導致與行人碰撞。

表6 危險事件示例

圖3 危險事件示例1

圖4 危險事件示例2

2.3 風險評估

得到危險事件后，根據ISO 26262要求，必須對其進行風險評估，采用ASIL評級對每項危險事件從暴露率、嚴重度和可控性3個角度進行評估。其中暴露率指某一危險事件導致事故的場景在整個運行過程中發生的概率，根據發生的頻率或持續時間的不同分為E0―E4，其中E4為最高暴露率等級；嚴重度指事故對人員造成傷害的嚴重程度，根據受傷的嚴重程度分為S0―S3，其中S3為最高嚴重度等級；可控性指危險事件發生后駕駛員（或其他交通參與者）對風險的可控制程度[3]8-10，根據測試或分析所得成功完成控制的相關人員比例分為C0―C3，其中C0等級最為可控。最后綜合得到每項危險事件的ASIL等級，見表7，A為最低的安全完整性等級，D為最高安全完整性等級，QM等級表示不做要求。據此篩選出風險大并且必須采取措施避免或控制的危險事件。

因為自主泊車系統中均為無人駕駛，且不包含遠程操控技術，車內無人進行控制，故危險事件可控性等級均達C3；又因為事件中的場景元素及功能失效均為泊車過程中的常見要素，故組合得到的所有危險事件的暴露概率等級均達E4；因此各危險事件的ASIL等級取決于嚴重度。根據SAE J2980—201526262[14]，影響嚴重度的因素可能包括碰撞類型、相對速度、車輛尺寸、是否使用安全防護設備等。結合自主泊車系統及產生的危險事件，將相對速度作為自主泊車系統危險事件風險評估中嚴重度的重要依據。以表6中2項危險事件為例，其嚴重度及ASIL評估結果為：

（1）對于危險事件1，因自主泊車階段車速較低，且無行人，其嚴重度等級為S1、綜合可控性等級為C3、暴露概率等級為E4，綜合得到ASIL等級為B；

（2）對于危險事件2，因車速相對較快，且可能與行人發生碰撞，其嚴重度為S2、綜合可控性等級為C3、暴露概率等級為E4，綜合得到ASIL等級為C。

表7 ASIL等級評價標準

3 總結與展望

針對自主泊車復雜系統，基于HAZOP方法進行危險事件的識別，該過程遵循現有功能安全標準，通過建立功能圖描述系統功能，根據適用于自主泊車系統功能的引導詞分析得到具體功能失效，并結合不同場景生成危險事件，采用ASIL評級方法對其進行風險評估。本文為基于功能安全標準的自動駕駛汽車設計及驗證過程提供了方法支持，對于提高自動駕駛汽車安全性有重要意義。

該方法的局限性主要體現在風險評估階段依舊采用傳統的ASIL評級方法，難以將篩選出的高風險危險事件進一步分級，后續將繼續研究基于客觀指標的量化風險評估方法。

[1]王龍. 汽車自動泊車系統關鍵技術研究[D]. 重慶：重慶交通大學，2016.

[2]胡偉龍. 多段式平行泊車軌跡動態規劃及系統控制[D]. 合肥：合肥工業大學，2016.

[3]ISO. Road Vehicle-Functional Safety：ISO 26262-3[S]. Switzerland，2011.

[4]中華人民共和國國家質量監督檢驗檢疫總局，中國國家標準化管理委員會. 道路車輛功能安全第3部分：概念階段：GB∕T 34590.3—2017[S]. 北京：中國標準出版社，2017

[5]應輝.HAZOP在石油化工設計中的應用[J]. 石化技術，2019，26（10）：66-67。

[6]楊振，李世軍，劉忠哲. 基于HAZOP的集成電路安全生產風險評估[J].電工技術，2019（18）：174-175

[7]高東，肖遙，張貝克，等.基于知識本體的HAZOP信息標準化框架[J/OL].化工進展，2020：1-11[2020-03-24].https：//doi.org/10.16085/ j.issn. 1000-6613.2019-1445.

[8]左任婧. 智能汽車自主泊車系統測試用例研究[D]. 上海：同濟大學，2018.

[9]RESCHKA A，BAGSCHIK G，ULBRICH S. Ability and Skill Graphs for System Modeling，Online Monitoring，and Decision Support for Vehicle Guidance Systems[C]// Intelligent Vehicles Symposium（IV）. IEEE，2015.

[10]ELROFAI H ，WORM D ，CAMP O O D . Scenario Identification for Validation of Automated Driving Functions[M]//SCHULZE T，MüLLER B，MEYER G. Advanced Microsystems for Automotive Applications. Springer International Publishing，2016.

[11]GEYER S，BALTZER M ，FRANZ B，et al. Concept and Development of a Unified Ontology for Generating Test and Use-case Catalogues for Assisted and Automated Vehicle Guidance[J]. Intelligent Transport Systems，IET，2014，8（3）：183-189.

[12]SCHULDT F，ULBRICH S，MENZEL T，et al. Defining and Substantiat- ing the Terms Scene，Situation，and Scenario for Automated Driving[C]// Intelligent Transportation Systems. IEEE，2015.

[13]中國國家標準化管理委員會. 危險與可操作性分析（HAZOP分析）應用指南：GB/T 3520-2017[S]. 北京：中國標準出版社，2018.

[14]SAE.Considerations for ISO 26262 ASIL Hazard Classification：SAE J2980-2015 [S].USA，2015.

國家重點研發計劃（2018YFB0105101，2018YFB 0105103）。

2020-02-20

U463.6

A

10.14175/j.issn.1002-4581.2020.03.001

1002-4581（2020）03-0001-05