08/9/2023 |
发布日期
高度自动化的L3级自动驾驶汽车（AV）即将成为现实，在特定情况下，驾驶员可以在一定时间内脱离驾驶任务，无需关注驾驶[1]。然而，L3技术的研发极其复杂，将其推向市场成本高昂。因此，汽车制造商（OEM）优先研发成本效益更高的L2+级自动驾驶汽车（AV），以便为用户提供便捷的驾驶体验。 自动驾驶 最早具备这些功能。L2+（L2+）是业界对有条件自动驾驶车辆的术语，其自动驾驶级别介于L2和L3之间。L2+车辆能够在驾驶员双手离开方向盘的情况下，按照预先设定的路线执行驾驶功能，但驾驶员仍需保持视觉和大脑参与[2]。此外，驾驶员始终负责车辆的操控。
以下是一份简要参考指南，解释了美国汽车工程师协会 (SAE) 制定的各种自动驾驶级别。每个级别都描述了汽车在多大程度上接管驾驶员的任务和责任，以及人与机器如何交互。.
传统上，汽车制造商 (OEM) 采用了错误机制，一旦检测到影响系统运行的故障，就会立即禁用受影响的系统功能，并通知驾驶员该功能不可用，而不管系统是否能在功能减少的情况下或在有限的运行设计域 (ODD) 条件下安全运行。.
对于L0/L1/L2级自动驾驶系统而言，此类错误管理机制尚可接受，因为此时驾驶员双手仍握住方向盘，重新接管控制权不会造成重大不便。然而，在L2+级自动驾驶系统中，驾驶员双手离开方向盘，但眼睛仍注视前方，大脑也保持运转，车辆则控制着包括沿预设路线行驶、变换车道以及在交通中调节速度等在内的各项驾驶功能[2]。如果采用目前这种在发生故障时禁用L2+系统的错误管理机制，而没有给予系统足够的恢复时间（尽管系统仍能以较低的性能运行，但满足ISO 26262汽车功能安全标准所要求的完整性），则会给驾驶员带来极大的不便。.
原始设备制造商 (OEM) 正寻求通过采用优雅降级管理方法来解决这个问题。也就是说，当系统功能因故障而降低，但剩余系统功能仍能支持车辆当前运行的异常危险状况 (ODD)，且符合 ISO26262 标准规定的完整性等级时，系统将优雅降级，并同时通过系统警报通知驾驶员。这为系统提供了足够的时间进行自我修复，同时不会造成不便；或者，系统会保持降级状态，直到用户到达服务站进行必要的诊断和维修。
图 1：优雅降级策略示例
过去，L0/L1/L2 级自动驾驶主要通过多个电子控制单元 (ECU) 配置来实现，以便在车辆上集成多种功能。而 L2+ 级自动驾驶的兴起，要求我们转向集成式 ECU 配置，即使用单个强大的计算单元来承载车辆的所有功能。以往的自动驾驶系统仅通过禁用功能来应对系统故障，但集成式 ECU 配置使我们能够通过引入优雅降级机制来应对系统故障，从而在确保系统完整性的前提下，提高功能的可用性，避免根据 ISO 26262 标准造成不合理的风险。.
图 2 – 多 ECU 配置
图 2 中的示意图展示了一种典型的多 ECU 配置，其中 3 到 4 个功能分别集成在三个独立的 ECU 中。由于以下两个关键因素，这种配置的可用资源有限：.
图 3：多路 ECU 配置方法与整合式 ECU 配置方法的比较
图 3 中的示意图展示了集成式 ECU 方法，其中所有功能都集成在一个模块中。 高性能计算平台（HPC）. 这种方法克服了多ECU方法的局限性，在多ECU方法中，所有车载功能（大约25个以上）都可以访问集成ECU中的所有资源，并且能够高效地访问这些资源。.
HPC 上将提供足够的资源，可以在各个功能之间共享，从而提供 N+1 甚至在某些情况下 N+2 的组件冗余设置，如下图（图 4）所示，其中组件 3 和 5 可以由功能 1 和 3 共享，类似地，组件 9 可以由功能 2 和 3 共享。.
图 4：集成式 ECU 方法的板载特征结构
由于ECU内部资源共享结构导致功能重叠，向集成式ECU方案的过渡十分复杂。如果不进行系统分析，这可能会导致各种共因故障，甚至引发危险情况。.
图 5：在 L2+ 系统上实现优雅降级的方法
KPIT采用VDA 7步FMEA AIAG & VDA结构，同时识别组件故障对多个功能的影响及其对L2+系统板载功能完整性的关键性。此流程有助于确定合适的平滑降级策略，通过减少功能操作，并利用剩余的系统能力支持ODD，从而最大限度地提高可用性，同时确保达到ISO26262标准的完整性等级。.
这种方法会增加系统复杂性，必须将这种复杂性层层分解到架构的各个层级，同时还要确保层层分解的需求具有可追溯性和完整性。为了实现这一点，KPIT 采用了基于模型的系统工程 (MBSE) 方法，以应对系统需求、系统特定用例和场景、接口和交互数量的显著增加，这些增加导致整体工程工作量增加，需要强大的系统工程流程以及合适的工具集 [4]。
行业致力于尽快将自动驾驶汽车投入使用，这就要求尽快开发L2+级别的车辆。虽然各大汽车供应商（一级供应商）通过提供集成于车辆上的单一ECU，为能够承载所有必要功能的L2+计算单元提供解决方案，但开发合适的平滑降级策略的责任却落在了OEM厂商身上，以确保在系统故障期间，既能满足客户的舒适度需求，又能按照ISO26262标准保持功能的完整性。.
KPIT提出的实现优雅降级的方法融合了业界广泛应用的集分析方法，以了解故障对L2+功能及其完整性的影响，从而制定合适的优雅降级策略。KPIT也意识到在集成ECU上实施这些策略的复杂性，以及缩短产品上市时间和优化开发成本的严格业务需求。为了实现这一目标，KPIT采用基于模型的系统工程方法以及配套工具，帮助OEM厂商高效地将优雅降级策略层层分解至最低设计层级，同时确保可追溯性和完整性。.
1. https://www.nhtsa.gov/technology-innovation/automated-vehicles-safety
2. https://www.autocar.co.uk/car-news/business-autonomous-vehicles/l2-baffling-jargon-future-autonomy
3. 0 至 5 级是根据其自动化程度的相对高低定义的。3 至 5 级仍处于测试阶段。
4. https://www.kpit.com/insights/model-based-system-engineering/
KPIT自动驾驶领域专家
KPIT 科技
推荐
点赞
推荐
点赞
