作者：Stefania Sesia，u-blox全球汽車應用營銷總監

　　在邁向自動駕駛車輛的道路上，每一代新車的功能集中都會增加一系列駕駛員輔助功能。例如，人工智能與計算機視覺技術的進步將推動全自動化駕駛的演進，也就是自動駕駛第5級(ADL5)。

　　到2030年，約70%的新車至少提供車道保持和車道變更功能。如今，中高端市場上已有部分車型具備這些第2級(ADL2)基本自動駕駛功能。到本十年末，市場將發展到在成本較低的細分市場內提供更高的自動駕駛級別。與此同時，基于ADL4/ADL5的出行即服務(MaaS)大眾市場產品也將在全球各大都市出現。高級駕駛輔助系統(ADAS)和自動駕駛系統(ADS)可解讀來自多個傳感器的數據(傳感器融合)。雷達、激光雷達、視頻、超聲波和攝像頭數據在經過處理后，可生成有關車輛周邊環境及其相對位置的精準概要信息。

　　此外，全球導航衛星系統(GNSS)接收機是唯一能將車輛的絕對位置精確到分米級(即精確到車道)的傳感器。因此，GNSS使車輛能夠精準確定自己在地圖上以及環境中的位置。

　　ADAS系統可利用GNSS信息來建議/決定最佳車輛行為，例如路線規劃。借助無線通信技術(5G/V2X)，車輛還能與附近的車輛和交通基礎設施共享這些數據，或通過這些數據確定車輛所處的道路類型是否適合使用特定駕駛功能(地理圍欄)。只要車輛依賴于自動駕駛，就等同于依賴車輛的實際位置，并根據定位做出決策，就有可能威脅到人的生命，因此有必要確定信息的可信度/完整性。

　　這就要求具備一種完整性的概念，即定位系統所提供信息的正確性有多可信。如下圖所示，危及完整性的潛在風險可分為：與車輛軟硬件相關的故障、環境因素和無意的誤用。在汽車領域，使用不安全信息的風險應保證低至每個駕駛周期10-8和10-6(一個駕駛周期等于一個小時)。

　　ISO 26262-功能安全性

　　汽車在嚴苛的環境中工作。諸多干擾、熱量和振動來源會降低電路的功能或對其造成損壞。自主安全系統一旦失靈，可能就會引發碰撞，造成人員傷亡。這是極其高昂的風險。這其中還牽涉到法律后果。

　　汽車ISO 26262標準專門用于規管系統(如自動駕駛系統)在故障條件下的行為。汽車制造商必須確保其系統遵循安全標準開發，并提供證據來表明硬件或系統性開發故障的風險低到可以接受的程度。通過危險風險評估(HARA)，原始設備制造商或系統所有者，評估不同威脅和錯誤來源造成的潛在風險。隨后需要根據一系列指標對每項風險評估進行分類，以確定汽車安全完整性等級(ASIL等級)，并在此基礎上確定安全目標。

　　在某些情況下(特別是對于高度自動化的駕駛解決方案)，特定安全目標還與具有相應目標ASIL等級(通常是ASIL B)的GNSS接收機有關。目標是設定實施硬件和軟件的要求，以防止出現故障或危險。

　　預期功能安全性(SOTIF)

　　作為ISO 26262汽車功能安全性標準的補充，ISO 21448標準涵蓋了預期功能安全性，即系統中的電氣和/或電子(E/E)元件因外部環境條件等造成的性能缺陷而導致的危險不存在不合理的風險。

　　就GNSS而言，與環境條件有關的風險來自于更廣泛的星座和GNSS系統部件的故障。此類故障可能是因以下因素造成的重大誤差：對流層和電離層風暴等大氣擾動、電離層閃爍、直接信號或反射信號的多徑畸變(非視距-NLOS)以及來自其他傳感器(如慣性或輪速傳感器)的其他威脅。

　　保護級別-完整性衡量指標

　　為解決完整性問題，航空業過去曾經推出過“保護等級”(PL)。這是一種實時統計計算界限。以有保證的統計概率顯示用戶所在區域，而且確保能在無法提供此類保證時及時發出警報。

　　PL與稱為警報限值(AL)的閾值一起使用，AL取決于應用。下圖所示的斯坦福圖展示了PL、AL和實際誤差(AE)之間的關系，以及認為系統正常工作的條件。特別是在實際誤差大于PL和AL時，如果未能檢測到這種誤差情況，未在“告警時間”之前發出告警，則認為系統處于危險、誤導性工作(不安全工作)狀態。這種情況發生的概率必須保證低于目標完整性風險(TIR)。

　　[斯坦福圖]Pr-概率，PL-保護級別，AE-實際(位置)誤差，AL-警報限值，TTA-告警時間，TIR-目標完整性風險

　　完整性概念的主要挑戰之一是，確定足夠嚴格的保護級別界限以及極低的目標完整性風險，例如每個駕駛周期10-6或更低。這就需要考慮到法律概率極低的錯誤。這一領域的研究非�；钴S，u-blox公司率先開發了先進技術，如參考文獻[1-3]所示。

　　為了表明完整性的重要性，我們可以舉一個例子�？紤]這樣一種應用場景，車輛使用位置信息來激活特定的自動駕駛功能。在下圖的第一種情況(左)中，車輛位置被錯誤地投射到錯誤的街道上，誤差大于平均值，而PL值低于平均值。如果沒有檢測到這種誤差，也沒有發送告警，可能會錯誤地激活特定自動駕駛功能，而這種功能并不適合車輛當前實際所在的特定道路類型。在第二個例子(右)中，位置誤差在PL和AL范圍內。這是正常工作狀態。有必要注意，在這個例子中，還需要精確可靠的地圖。

　　結論

　　為保證自主安全系統正常工作，必須了解車輛在環境中的位置，以及與其他車輛和物體的距離。該位置為估計值，受環境影響、硬件故障和系統性開發故障的影響。完整性是指所提供信息正確性的可信度。

　　GNSS傳感器可提供絕對定位信息，是傳感器融合系統中其他ADAS/ADS傳感器的補充。系統內的完整性包括及時警告用戶何時不應在系統內使用相應信息。如符合汽車標準ISO 26262，即可確保自主安全系統在故障情況下的行為具有可預見性。符合補充性ISO 21448標準(SOTIF)則可確保系統在嚴苛條件下的功能性。

　　未來將有更多新車配備自主安全功能，我們相信，隨著高度自動化駕駛和高級V2X應用場景的部署，GNSS等安全組件的需求將在未來大幅度增加。

　　參考文獻：

　　[1]  Julien 等，Extended Results of Single Epoch Position Bound (SEPB)

　　[2]  Martini 等，Galileo High Accuracy Service Performance and Anomaly Mitigation Capabilities，2023 年 6 月 13 日，PREPRINT (Version 1) of journal GPS solutions