智駕功能安全&預期功能安全開發及驗證平臺

        安全性作為汽車行駛中須嚴格保證的要求，在汽車研發設計過程中，功能安全等相關安全設計標準及體系貫穿始終，而對于智能駕駛而言，其系統的安全穩定性，高度或依賴于其軟硬件系統的安全性能，且面臨來自環境、道路、信息、通信等各層面的非安全因素的挑戰，故在其研發設計過程中必須要考慮系統安全方面的設計。結合自身汽車電子產品研發實踐，經緯恒潤在智駕域提供覆蓋安全流程、產品開發認證及工具平臺的綜合解決方案。

        ISO26262 功能安全旨在避免由E/E系統功能失效導致的不可接受的風險，主要是針對系統性失效/隨機硬件失效導致的風險的進行分析和控制，然而傳感器和感知算法(e.g. machine learning, neural networks)，在沒有出現電子電氣系統失效時，由于設計的局限性也會導致風險，但此部分并不屬于ISO 26262的范疇。為了彌補ISO 26262的局限，預期功能安全（Safety of the intended functionality，SOTIF）應運而生。 

        SOTIF定義為不存在不可接受的由功能設計不足或者可預見的駕駛員誤操作風險，主要為了消除以下兩類風險：

• Performance limitation 例如：惡劣環境條件下，傳感器無法探測到物體
• Misuse 例如：人機界面設計差，導致駕駛員誤用自動駕駛功能

        結合功能安全及預期功能安全的要求，并基于智駕系統開發及測試的實際需求，可將系統定義——指標構建——指標驗證——定義迭代形成有效閉環。具體而言：

• 在場景定義階段，結合系統定義、功能安全&預期功能安全的定義，進行邏輯場景的描述和指標定義及預設
• 借助M-SDL語言，將上一階段定義的場景進行代碼化，同時根據指標及約束條件的預設范圍進行場景的泛化
• 結合場景建模仿真引擎可自動構建上一階段代碼化的場景，并在仿真環境中，結合車輛運動及控制模型進行場景指標的驗證，驗證后的場景指標結果可對場景定義階段中預設的場景指標進行反饋校驗，從而實現上述的系統定義——指標構建——指標驗證——定義迭代的有效閉環。