基于IS0 26262的車道偏離預(yù)警系統(tǒng)概念設(shè)計(jì)與仿真
相關(guān)鏈接： 中國安全網(wǎng) 中國質(zhì)量網(wǎng) 中國論文網(wǎng) 中國資訊網(wǎng)
馬 行，王曉龍，穆春陽，陳雪濤
（北方民族大學(xué)信息與通信技術(shù)研究所，銀川750021）
摘要：以道路車輛功能安全規(guī)范標(biāo)準(zhǔn)IS0 26262為準(zhǔn)則，對汽車的車道偏離預(yù)警系統(tǒng)(LDWS)進(jìn)行了概念設(shè)計(jì)。首先分析了IS0 26262功能安全規(guī)范概念階段的活動(dòng)內(nèi)容，并在此基礎(chǔ)上，完成車道偏離預(yù)警系統(tǒng)的項(xiàng)目定義、危險(xiǎn)分析和評估，設(shè)計(jì)了功能安全概念的相關(guān)工作，確定了功能安全等級和安全目標(biāo)。最后搭建了UML仿真模型對LDWS概念設(shè)計(jì)階段進(jìn)行仿真測試，測試結(jié)果表明此設(shè)計(jì)能夠滿足IS0 26262規(guī)范標(biāo)準(zhǔn)，實(shí)現(xiàn)了車道偏離預(yù)警系統(tǒng)的功能安全概念設(shè)計(jì)，對車道偏離預(yù)警系統(tǒng)的安全開發(fā)具有指導(dǎo)意義。
關(guān)鍵詞：車輛工程；車道偏離預(yù)警系統(tǒng)；IS0 26262；功能安全；危險(xiǎn)分析和評估；UML
中圖分類號(hào)：X913 doi: 10. 11731/j．issn．1673 -193x．2016. 02. 019
0 引言
世界衛(wèi)生組織( WHO) 2015年12月19日發(fā)布《2015年全球道路安全現(xiàn)狀報(bào)告》(Global status reporton road safety 2015)指出，道路安全雖然獲得改善，每年仍有約125萬人死于道路交通事故。在這種壓力下，汽車產(chǎn)業(yè)不得不提供新的或改進(jìn)的車輛安全系統(tǒng)，如安全氣囊系統(tǒng)、車道偏離預(yù)警系統(tǒng)( LDWS)和非常復(fù)雜的高級駕駛員輔助系統(tǒng)( ADAS)，進(jìn)而提高事故預(yù)測和規(guī)避能力。當(dāng)前典型的車道偏離預(yù)警系統(tǒng)有美國的AURORA系統(tǒng)、德一美的AtuoVue系統(tǒng)、日本的DSS系統(tǒng)和我國吉林大學(xué)的JLUIV系統(tǒng)等，已配備此系統(tǒng)的有大眾CC、寶馬5系、奔馳E級、英菲尼迪M系等車型。但是，這些車輛安全系統(tǒng)是由非常復(fù)雜精密的機(jī)械電子系統(tǒng)組成，由于這些系統(tǒng)的系統(tǒng)失效和部件失效等安全問題導(dǎo)致的安全風(fēng)險(xiǎn)也隨之提高。因此，為了保證這些復(fù)雜系統(tǒng)下汽車的安全性，國際標(biāo)準(zhǔn)化組織ISO針對汽車功能安全根據(jù)電子、電氣及可編程器件功能安全基本標(biāo)準(zhǔn)IEC 61508發(fā)布了《道路車輛功能安全規(guī)范——IS0 26262》標(biāo)準(zhǔn)，旨在提高汽車的安全性。
IS0 26262于201 1年11月15日正式公布，共由10個(gè)部分組成，如圖1所示，提供并支持一個(gè)汽車安全生命周期（管理，研發(fā)，生產(chǎn)，經(jīng)營，服務(wù)，報(bào)廢）和風(fēng)險(xiǎn)等級的具體風(fēng)險(xiǎn)評估方法，劃分汽車安全綜合等級( Automo-tive Safety Integrity Level ASIL)A到D，其中D級為最高安全等級，對系統(tǒng)硬件和軟件的開發(fā)流程的要求最嚴(yán)格。
目前，中國汽車技術(shù)研究中心正牽頭制訂國內(nèi)道路車輛功能安全標(biāo)準(zhǔn)GB/T《道路車輛功能安全》，計(jì)劃于2016年發(fā)布實(shí)施。以色列Mobileye公司基于IS0 26262標(biāo)準(zhǔn)在2015年第四季度已經(jīng)發(fā)布了第4代ADAS視覺處理器( EyeQ4)，滿足ASIL B的安全等級。美國德州儀器( TI)公司面向汽車電子設(shè)計(jì)的HerculesMS570LS12x／11x與TRM46x微控制器以經(jīng)過TUV SUD的認(rèn)證，符合IS0 26262標(biāo)準(zhǔn)的ASIL D級。Freescale基于IS0 26262標(biāo)準(zhǔn)設(shè)計(jì)了應(yīng)用于汽車電子的BLDC電機(jī)控制解決方案。由此可見IS0 26262標(biāo)準(zhǔn)已經(jīng)得到各國及各大汽車電子芯片供應(yīng)商的廣泛關(guān)注及應(yīng)用推廣，基于ISO26262標(biāo)準(zhǔn)的車道偏離預(yù)警系統(tǒng)的研究也是勢在必行。
本文以道路車輛功能安全I(xiàn)S0 26262規(guī)范的第3部分一概念階段的設(shè)計(jì)開發(fā)為基礎(chǔ)，針對汽車的車道偏離預(yù)警系統(tǒng)( Lane departure warning system)進(jìn)行了項(xiàng)目定義、危險(xiǎn)分析和評估以及功能安全概念工作，并在最后使用UML狀態(tài)機(jī)對系統(tǒng)概念階段的功能安全進(jìn)行了建模仿真測試。
1 IS0 26262概念階段主要活動(dòng)
IS0 26262概念階段（第3部分）已經(jīng)是安全生命周期的開始，主要任務(wù)是對項(xiàng)目開發(fā)進(jìn)行風(fēng)險(xiǎn)分析和風(fēng)險(xiǎn)評估，且在這一過程中，結(jié)合汽車的運(yùn)行情況完成危險(xiǎn)事件的識(shí)別，然后根據(jù)危險(xiǎn)事件識(shí)別結(jié)果的組合進(jìn)行分類，最終確定汽車安全完整性水平( ASIL)項(xiàng)目。此階段主要活動(dòng)如表1所示。
2 車道偏離預(yù)警系統(tǒng)的概念設(shè)計(jì)
車道偏離預(yù)警系統(tǒng)是汽車安全輔助駕駛技術(shù)研究中的重要組成部分，用于警告駕駛員因疲勞或注意力不集中造成的車道偏離，使其得以修正，從而減少因車輛偏離行駛車道而造成的交通事故。車道偏離預(yù)警系統(tǒng)主要由微處理器、控制器、報(bào)警提示和道路信息獲取等子系統(tǒng)組成。為了提高系統(tǒng)及其子系統(tǒng)的抗風(fēng)險(xiǎn)能力，這里根據(jù)道路車輛功能安全I(xiàn)S0 26262規(guī)范概念階段的主要活動(dòng)內(nèi)容，對LDWS系統(tǒng)概念設(shè)計(jì)的總體流程如圖2所示。
2.1 項(xiàng)目的定義
車道偏離預(yù)警系統(tǒng)主要包括縱向和橫向車道偏離預(yù)警兩個(gè)基本功能，由電子控制單元ECU、運(yùn)動(dòng)中獲取道路信息的攝像頭感知單元、報(bào)警提示單元和CAIN信號(hào)等子系統(tǒng)組成，其架構(gòu)簡圖如圖3所示。
根據(jù)IS0 26262項(xiàng)目定義中涉及的相關(guān)內(nèi)容，車道偏離預(yù)警系統(tǒng)的工作環(huán)境為：項(xiàng)目開發(fā)人員的設(shè)計(jì)和測試調(diào)試時(shí)，系統(tǒng)制造生產(chǎn)時(shí)，車輛駕駛時(shí)，系統(tǒng)維護(hù)維修時(shí)和回收報(bào)廢時(shí)；工作條件為：系統(tǒng)零部件的裁解和替換，測試設(shè)備的鏈接和監(jiān)控，系統(tǒng)的運(yùn)輸、安裝、運(yùn)行、停止，意外狀況（非常規(guī)安裝，碰撞，極端環(huán)境下工作）；實(shí)現(xiàn)的功能為：車輛在行駛時(shí)實(shí)時(shí)獲取道路圖像，處理圖像獲取道路信息確定車輛的當(dāng)前位置和方向，危險(xiǎn)情況報(bào)警管理，判斷轉(zhuǎn)向燈是否打開，控制報(bào)警子系統(tǒng)工作，設(shè)備監(jiān)控安全保護(hù)功能。
2.2 危險(xiǎn)分析和評估
車道偏移預(yù)警系統(tǒng)的危險(xiǎn)分析和評估的主要作用是辨別其可能的危害、確定可能的風(fēng)險(xiǎn)、確定安全完整性等級ASIL和安全目標(biāo)。
2.2.1 安全完整等級ASIL概述
IS0 26262規(guī)范規(guī)定應(yīng)該辨別和確認(rèn)出所有可能影響系統(tǒng)功能安全的風(fēng)險(xiǎn)，并對其執(zhí)行風(fēng)險(xiǎn)辨別、評估和持續(xù)安全改進(jìn)。其中風(fēng)險(xiǎn)評估的主要手段是確定“功能安全完整等級”，是通過“嚴(yán)重性”、“發(fā)生概率”、和“可控性”這三個(gè)指標(biāo)進(jìn)行量化評估的，并作為后續(xù)階段流程的輸入，具體的三個(gè)指標(biāo)與ASIL的等級關(guān)系查詢表見表2。
其中，S0~S3表示該危險(xiǎn)對駕駛員或乘客潛在造成傷害的嚴(yán)重等級（嚴(yán)重性），S0是無傷害，S3是致命傷害；EO~ E4表示該風(fēng)險(xiǎn)在實(shí)際工況環(huán)境中的發(fā)生概率（發(fā)生概率），EO表示不可能發(fā)生，E4表示常見的；CO~ C3表示該風(fēng)險(xiǎn)出現(xiàn)后駕駛員或其他人員及時(shí)采取措施控制并避免傷害的能力（可控性），CO總是可控的，C3是非常難或不控制。
此外，QM表示風(fēng)險(xiǎn)可以不被接受，只需按照正常的質(zhì)量管理流程設(shè)計(jì)開發(fā)。A、B、C、D為ASIL的級別，其越高代表的風(fēng)險(xiǎn)越大，都是不可容忍，需按照IS0 26262設(shè)計(jì)開發(fā)管理。
2.2.2 風(fēng)險(xiǎn)分析和評估
在車道偏離預(yù)警系統(tǒng)中，主要失效模式有攝像頭感知單元失效、電子控制單元(ECU)失效和報(bào)警單元失效，其中報(bào)警單元失效又分為語音提示失效、LCD顯示失效和車座震動(dòng)提示裝置失效。下面將對各個(gè)失效進(jìn)行風(fēng)險(xiǎn)分析和評估。
1)攝像頭感知單元失效
嚴(yán)重性：如果攝像頭失效，行駛的車輛則無法實(shí)時(shí)獲取道路圖像，甚至獲取了錯(cuò)誤的道路圖像，這樣的圖像經(jīng)處理器處理后可能產(chǎn)生錯(cuò)誤的車道偏離角度，進(jìn)而報(bào)警提示干預(yù)駕駛，使駕駛員無法全神貫注的駕駛車輛，最壞情況造成交通事故危及生命，定義嚴(yán)重程度為S3。發(fā)生概率：只要車道偏離預(yù)警系統(tǒng)工作，其就在工作中，但是每次系統(tǒng)開機(jī)時(shí)都需自檢，發(fā)生實(shí)效的概率較低，定義發(fā)生概率為E3�？煽匦裕菏Оl(fā)生時(shí)，駕駛員獲知后能及時(shí)采取措施避免發(fā)生危險(xiǎn)，可控性為C1。
2)電子控制單元失效
嚴(yán)重性：電子控制單元作為車道偏離預(yù)警系統(tǒng)的大腦，其一旦失效，對整個(gè)系統(tǒng)的子系統(tǒng)都將有嚴(yán)重影響，甚至通過CAN總線影響其它的汽車電子控制單元，定義嚴(yán)重程度為S3。發(fā)生概率：作為系統(tǒng)的中樞核心，其在設(shè)計(jì)選型時(shí)是經(jīng)過篩選的，正常環(huán)境下正確的使用是不會(huì)產(chǎn)生的失效的，定義發(fā)生概率為E2�？煽匦裕寒�(dāng)在汽車行駛在復(fù)雜的極端環(huán)境（極端溫度和電磁環(huán)境）下，可能造成暫時(shí)失效且迅速恢復(fù)正常，這種失效是不易察覺的，不可控制的，定義可控性為C3。
3)報(bào)警單元失效
嚴(yán)重性：作為車道偏離預(yù)警系統(tǒng)的執(zhí)行部分，起著舉足輕重的作用，失效后輕則不能起到警示作用，重則對駕駛員駕駛造成影響，特殊情況下還可能導(dǎo)致車毀人亡，定義嚴(yán)重程度為S3。發(fā)生概率：作為執(zhí)部分，需要時(shí)刻保持工作狀態(tài)，且由機(jī)械和電子兩部分組成，更為復(fù)雜，定義發(fā)生概率為E3�？煽匦裕好看蜗到y(tǒng)工作時(shí)可檢測，且都可以手動(dòng)配置關(guān)閉，顯而易見語音提示、LCD顯示可控性為C0，而車座震動(dòng)提示裝置一旦在汽車運(yùn)行時(shí)發(fā)生失效，控制難度加大，可控性為C1，因此報(bào)警單元失效最終定義C1。
2.2.3 安全的目標(biāo)
對照表2并結(jié)合車道偏離預(yù)警系統(tǒng)的風(fēng)險(xiǎn)評估結(jié)果，攝像頭感知單元的功能安全等級為ASIL A，安全目標(biāo)是防止攝像機(jī)發(fā)生故障且和ECU通信正常；電子控制單元失效為ASIL B，安全目標(biāo)是防止死機(jī)或者工作異常（短暫失效或錯(cuò)誤）；報(bào)警單元失效為ASIL A，安全目標(biāo)防止發(fā)生故障或者可提前發(fā)現(xiàn)故障。根據(jù)IS0 26262標(biāo)準(zhǔn)，不同的安全等級的軟件設(shè)計(jì)實(shí)現(xiàn)和檢測效驗(yàn)流程有不同的要求，且具有向下兼容的原則�？紤]到采用不同的流程和檢測效驗(yàn)流程對軟件進(jìn)行開發(fā)，會(huì)無形的增加LDWS的開發(fā)工作量和開發(fā)成本，延長產(chǎn)品的開發(fā)周期。在IS0 26262標(biāo)準(zhǔn)第3部分的第7小節(jié)規(guī)定，相似的安全目標(biāo)可以合并為一個(gè)安全目標(biāo)，但要達(dá)到ASIL等級應(yīng)該是合并項(xiàng)目中最高的，最終定義了整個(gè)車道偏離預(yù)警系統(tǒng)ASIL等級為汽車安全中的ASIL B級，且安全目標(biāo)是：能夠檢測和識(shí)別車道線，并為駕駛員提供安全、準(zhǔn)確可靠的報(bào)警信息，完成提前預(yù)警的功能。
2.3 功能安全概念
功能安全概念的目標(biāo)是通過功能安全目標(biāo)得出功能安全要求，然后分配給項(xiàng)目的初始結(jié)構(gòu)要素以及外部量，主要包括故障的檢測和指示、失效的緩和方法、系統(tǒng)的容錯(cuò)措施、安全狀態(tài)的轉(zhuǎn)換和系統(tǒng)邏輯仲裁五個(gè)方面工作。
針對本文中提到的車道偏離預(yù)警系統(tǒng)，對其進(jìn)行安全概念定制，實(shí)現(xiàn)2.2.3節(jié)得出的安全目標(biāo)。具體的安全措施為：
1)開機(jī)自檢，具有故障提示功能。
2)使用三層監(jiān)控的思想，對系統(tǒng)的各個(gè)子系統(tǒng)（硬件和軟件）進(jìn)行全方位監(jiān)控，如道路參數(shù)信息和航向角的計(jì)算值等，圖4為系統(tǒng)的三層監(jiān)控的概念圖。
3)增加系統(tǒng)的冗余設(shè)計(jì)，減少單點(diǎn)隨機(jī)失效率和潛在隨機(jī)失效率，提升系統(tǒng)的硬件架構(gòu)指標(biāo)目標(biāo)值，實(shí)現(xiàn)安全目標(biāo)設(shè)計(jì)。
3 系統(tǒng)的功能安全UML仿真測試
根據(jù)汽車電子V模型開發(fā)流程，需要對車道偏離預(yù)警系統(tǒng)的概念設(shè)計(jì)進(jìn)行建模仿真測試。經(jīng)過分析對比當(dāng)前眾多的面向?qū)ο蠼ＵZ言，最終選擇了統(tǒng)一建模語言UML作為本系統(tǒng)的建模語言，且實(shí)現(xiàn)環(huán)境為Matlab的Stateflow。同時(shí)，根據(jù)文中提出的車道偏離預(yù)警系統(tǒng)功能安全概念，UML建模仿真測試主要對對象是系統(tǒng)的開機(jī)自檢和運(yùn)行時(shí)的三層監(jiān)控。
3.1 開機(jī)自檢仿真測試
系統(tǒng)的開機(jī)自檢的對象是道路信息感知單元（攝像頭）、報(bào)警顯示單元（LCD、車座震動(dòng)裝置和語音提示裝置）和ECU。圖5為自檢的狀態(tài)仿真圖，主要由各個(gè)模塊的事件觸發(fā)輸入信號(hào)開關(guān)、定時(shí)器、相關(guān)狀態(tài)機(jī)和顯示單元組成。其中，事件觸發(fā)信號(hào)使用的是Simulink庫中的Constant和Manual Switch模塊構(gòu)成，且通過Mux模塊連接到相應(yīng)的狀態(tài)機(jī)，如Shake Error和video Switch等；定時(shí)器主要作用是定時(shí)采集系統(tǒng)的運(yùn)行狀態(tài)，其信號(hào)的輸入為圖5中的Sys State，并將輸入信號(hào)(sys_Qt)傳輸?shù)降谌龑�；各個(gè)狀態(tài)機(jī)的作用是根據(jù)內(nèi)部運(yùn)行邏輯，判斷系統(tǒng)的各個(gè)安全單元是否在IS0 26262標(biāo)準(zhǔn)正常工作，其內(nèi)部的邏輯關(guān)系如圖6和圖7所示。
圖6為報(bào)警單元狀態(tài)機(jī)的內(nèi)部狀態(tài)變遷圖，主要有4種狀態(tài)和3個(gè)事件組成。其中狀態(tài)的標(biāo)識(shí)符為8位siren_ state，其對應(yīng)的真值表如表3所示，默認(rèn)全部為“0”，siren_ state相應(yīng)的位值是通過函數(shù)get_ state()被改變，作用是標(biāo)記和記錄每一個(gè)設(shè)備是否正常，且1號(hào)表示車座震動(dòng)設(shè)備，2號(hào)表示LCD顯示設(shè)備，3號(hào)表示語音設(shè)備。當(dāng)有外部事件(lcd_ error、shake_ error和speak _er-ror)輸入時(shí)，狀態(tài)變遷到相應(yīng)的狀態(tài)，狀態(tài)機(jī)輸入非“0”提示錯(cuò)誤。
圖7為系統(tǒng)自檢單元狀態(tài)機(jī)的內(nèi)部狀態(tài)變遷圖，有兩部分組成，且采用并行處理方式。LDWS_ Qt1是監(jiān)控系統(tǒng)子單元輸入的2個(gè)信號(hào)，判斷方法和報(bào)警單元狀態(tài)機(jī)的類似，輸出狀態(tài)為sys _state。LDWS_Qt2作用是通過定時(shí)器事件( time_ event)輸出sys_ Qt信號(hào)，用以和監(jiān)控層交互信息判斷系統(tǒng)是否正常運(yùn)行，仿真時(shí)通過外部輸入變量sys實(shí)現(xiàn)輸出信號(hào)的變遷，且“0”為正常，“1”為故障。
第三層ECU監(jiān)控狀態(tài)機(jī)，其伴隨在整個(gè)LDWS系統(tǒng)的工作過程（自檢和運(yùn)行）中，主要作用是接受LDWS功能實(shí)現(xiàn)控制層定時(shí)發(fā)送來的信號(hào)，如果超時(shí)或發(fā)送了故障信號(hào)，將主動(dòng)關(guān)閉車道偏離預(yù)警系統(tǒng)，降低風(fēng)險(xiǎn)。仿真時(shí)是通過work_ state輸出經(jīng)第三層監(jiān)控后的信號(hào)，用以判斷系統(tǒng)是否出現(xiàn)問題。
表4為自檢仿真時(shí)測試的數(shù)據(jù)，其中測試各個(gè)功能子單元的方法是通過撥動(dòng)Manual Switch產(chǎn)生電平信號(hào)，可以同時(shí)觸發(fā)多個(gè)信號(hào)，進(jìn)而實(shí)現(xiàn)狀態(tài)變遷信號(hào)的輸入；而系統(tǒng)自身測試是通過發(fā)送錯(cuò)誤信號(hào)和改變定時(shí)周期來判斷其是否正常工作。由數(shù)據(jù)可知本仿真能夠?qū)崿F(xiàn)車道偏離預(yù)警系統(tǒng)自檢時(shí)的功能安全，識(shí)別出系統(tǒng)那個(gè)子單元出現(xiàn)故障，并做出相應(yīng)的提示，關(guān)閉系統(tǒng)使其不進(jìn)入運(yùn)行狀態(tài)。
3.2 運(yùn)行實(shí)時(shí)仿真測試
圖8為系統(tǒng)運(yùn)行實(shí)時(shí)狀態(tài)仿真圖。為了實(shí)現(xiàn)LDWS系統(tǒng)真實(shí)運(yùn)行狀態(tài)的仿真，報(bào)警單元多了故障關(guān)閉輸入信號(hào)，可以讓駕駛員在突發(fā)事件時(shí)關(guān)閉相關(guān)設(shè)備，盡量不影響其它子系統(tǒng)；系統(tǒng)運(yùn)行狀態(tài)機(jī)( Sys Run)采用定時(shí)采集各個(gè)單元信號(hào)，且采用閉環(huán)的方式檢測系統(tǒng)自身運(yùn)行狀態(tài)，其信號(hào)輸入源為自檢輸出信號(hào)、經(jīng)第三層監(jiān)控后的輸出信號(hào)和系統(tǒng)對各個(gè)子系統(tǒng)的監(jiān)控信號(hào)，并實(shí)現(xiàn)了行車和車道線相對角度的狀態(tài)仿真。
運(yùn)行狀態(tài)下的報(bào)警單元內(nèi)部狀態(tài)變遷圖的仿真測試原理與自檢時(shí)的類似，且與自檢時(shí)的相比，每個(gè)狀態(tài)多了一個(gè)關(guān)閉功能的事件( xxxx _off)，默認(rèn)輸出狀態(tài)為“0”，正常。
圖9是系統(tǒng)在運(yùn)行狀態(tài)下定時(shí)采集各個(gè)單元信號(hào)的內(nèi)部狀態(tài)變遷圖，由三個(gè)并行的狀態(tài)機(jī)組成，且都是通過外部定時(shí)器( time)產(chǎn)生定時(shí)事件time_ event同時(shí)驅(qū)動(dòng)，實(shí)現(xiàn)狀態(tài)變遷的。其中運(yùn)行狀態(tài)( LDWS_ runl)和自檢時(shí)的類似，增加了恢復(fù)正常狀態(tài)條件，可以在系統(tǒng)出現(xiàn)故障的情況下通過相應(yīng)的操作使系統(tǒng)恢復(fù)正常狀態(tài)。Angle_ run狀態(tài)變遷圖主要是實(shí)現(xiàn)對經(jīng)過圖像處理后得到的行車和車道線相對角度的仿真。其中，狀態(tài)變遷的依據(jù)是an gle（得到的現(xiàn)場數(shù)據(jù)）、min（最小閾值）和max（最大閾值）三個(gè)外部輸入條件；輸出的狀態(tài)為ang _flag，“0”為可信值，執(zhí)行報(bào)警顯示提示，非“0”為置信區(qū)間以外值，不執(zhí)行動(dòng)作，且“-1”表示偏小，“1”表示偏大。
根據(jù)LDWS運(yùn)行時(shí)的實(shí)時(shí)狀態(tài)仿真系統(tǒng)，對攝像頭感知單元失效、電子控制單元( ECU)失效和報(bào)警單元失效經(jīng)行了測試，測試的數(shù)據(jù)如表5所示。其中可控率=可以控制的次數(shù)／注入故障次數(shù)。
由表5的數(shù)據(jù)可知，系統(tǒng)運(yùn)行實(shí)時(shí)狀態(tài)仿真圖能夠正確的檢測出人工注入的故障，且通過相關(guān)操作可以控制故障，使由于系統(tǒng)失效造成的損失降到最低，滿足ISO26262道路安全標(biāo)準(zhǔn)，實(shí)現(xiàn)了概念階段的LDWS的功能安全設(shè)計(jì)。
4 結(jié)束語
IS0 26262作為汽車電子及其電氣產(chǎn)品功能安全的國際標(biāo)準(zhǔn)，為從事汽車相關(guān)的研發(fā)機(jī)構(gòu)和生產(chǎn)企業(yè)提供了新的思路和方法，尤其是在當(dāng)下汽車電子產(chǎn)品快速發(fā)展和復(fù)雜性不斷提高的趨勢下，表現(xiàn)的更為重要。在此背景下，文中基于IS0 26262，針對車道偏離預(yù)警系統(tǒng)這個(gè)相對復(fù)雜的汽車電子產(chǎn)品，進(jìn)行了項(xiàng)目定義、風(fēng)險(xiǎn)分析和風(fēng)險(xiǎn)評估，并確定了系統(tǒng)的ASIL等級為B級，完成了功能安全概念的設(shè)計(jì)工作，最終實(shí)現(xiàn)了對車道偏離預(yù)警系統(tǒng)的概念設(shè)計(jì)。同時(shí)，根據(jù)車道偏離預(yù)警系統(tǒng)功能安全概念，通過UML建模對概念階段的設(shè)計(jì)進(jìn)行了系統(tǒng)仿真測試，且測試數(shù)據(jù)表明本文提出的基于ISO26262車道偏離預(yù)警系統(tǒng)設(shè)計(jì)開發(fā)流程能夠滿足ISO26262規(guī)范標(biāo)準(zhǔn)。此外，整個(gè)系統(tǒng)的概念設(shè)計(jì)流程和實(shí)現(xiàn)方法對其他汽車電子產(chǎn)品也有指導(dǎo)借鑒作用。
