技术摘要：在自动驾驶时代重新构想 ISO 26262

问题陈述

ISO 26262 标准为道路车辆的功能安全提供了一个全面的框架，其基础在于以人类驾驶为中心的范式。其风险评估模型依赖于三个参数：严重度（Severity, S）、暴露率（Exposure, E）和可控性（Controllability, C）。其中，“可控性”参数专门用于评估人类驾驶员通过及时反应来减轻危险事件的可能性。

这种以驾驶员为中心的假设对于 SAE L4 和 L5 级自动驾驶汽车（AV）而言已不再有效，因为在这些等级中，没有人类操作员可以介入动态驾驶任务。因此，传统的“可控性”指标无法直接应用于无人驾驶系统。本文指出一个关键差距：现有标准缺乏一种系统性的方法来分解和量化无人驾驶情况下的“可控性”，这使得重新诠释如何针对自动驾驶系统评估危险缓解和情境控制变得至关重要。

方法论

作者提出了一种对 ISO 26262 的方法论扩展，将“可控性”这一占位符分解为两个可审计、可衡量的子维度：可转移性（Transferability）和可预测性（Predictability）。这两个维度旨在补充而非取代现有的 ISO 26262 流程，并与 ISO/PAS 21448 (SOTIF) 保持一致。

1. 可转移性（系统级能力）

可转移性将“可控性”从人类反应重新定义为系统能力。它被正式定义为：自动驾驶汽车在容错时间间隔（FTTI）内，从主要自主驾驶状态向专用退避机制（fallback mechanism）进行安全且及时转换的能力，从而在不引入新危险的情况下实现最小风险状态（minimal-risk condition）。

• 形式化定义： 可转移性（$T$）被建模为运行场景的函数：$T = T(o, f, s, m, \tau_{FTTI})$，其中 $o$ 是运行设计域（ODD）切片，$f$ 是故障族，$s$ 是场景状态，$m$ 是最小风险机动（MRM）类别，$\tau_{FTTI}$ 是时间间隔。
• 证据元组（$E_T$）： 声明由特定的证据元组支持，该元组记录了检测延迟、启动延迟、MRM 成功时间、停止区域合规性以及基于置信区间的单次请求成功概率。
• 设计值与实现值的差距（$\Delta T$）： 本文引入了一个指标，用于区分架构层面的退避声明（$T_{designed}$）与受场景约束的可实现能力（$T_{achievable}$）。$\Delta T = T_{achievable} - T_{designed}$ 在序数尺度（$T_0$ 到 $T_3$）上进行计算，以识别环境或上下文限制导致性能低于设计预期的情况。
• 分类： 可转移性根据特定 ODD 切片和故障族条件下 MRM 成功概率的置信下限，被分为四个等级（$T_0$–$T_3$）。

2. 可预测性（外部交互维度）

可预测性解决了自动驾驶汽车与外部道路使用者（行人、骑行者、其他驾驶员）之间交互的安全问题。它量化了外部代理在必须做出自身反应之前，基于可观测的运动、信号和上下文，预判自动驾驶汽车近期行为的程度。

• 形式化定义： 可预测性通过一个期望运动的参考模型（$p_{ref}$）和一个用于目标推理的观察者模型（$p(g | \xi_{0:t}, c, a)$）来定义。
• 向量监测器（$M_P$）： 可预测性通过四个诊断通道进行评估：
  1. 上下文一致性（$Q_{conf}$）： 衡量轨迹与声明的参考分布的拟合程度。
  2. 意图清晰度（$S_{intent}$）： 量化观察者目标推理中的歧义减少程度（基于香农熵）。
  3. 信号一致性（$S_{signal}$）： 评估转向灯、刹车灯与实际运动之间的对齐情况。
  4. 运动学突变（$S_{kin}$）： 检测解释不清的顿挫、急刹或犹豫。
• 聚合： 这些通道通过“最差通道原则”聚合为一个序数类别（$P_0$–$P_3$），即单个通道的失败即可降低整体类别等级。

3. 统一增强的可控性（$C_u$）

本文提出了一种在无人驾驶语境下计算统一可控性（$C_u$）的方法，通过组合可转移性（$T$）和可预测性（$P$）来实现。

• 组合规则： 作者建议使用加性惩罚规则：$C_u = \min(3, T + \Delta P)$，其中 $\Delta P$ 是源自可预测性类别的惩罚项。
• 集成： 该统一类别 $C_u$ 与标准的严重度和暴露率参数一起，作为补充证据记录在危害分析与风险评估（HARA）中。它并不取代规范性的 ASIL 判定，而是通过场景化的、可审计的数据为判定提供信息。

主要贡献

本文提出了三个主要的程序性贡献：

1. 可转移性的形式化： 通过评估最小风险机动（MRM）相对于容错时间间隔的性能，扩展了无人驾驶语境下的可控性概念，并引入了“设计值与实现值”的差距（$\Delta T$），使退避声明具有可证伪性和可追溯性。
2. 建立可预测性： 定义了可预测性作为外部道路使用者安全的一个可量化维度，涵盖了对预期运动模式的符合程度以及意图传达的清晰度，并由四通道向量监测器支持。
3. 验证方法论： 提出了具体的验收标准和验证方法，包括用于验证可转移性的故障注入测试，以及用于验证可预测性的人类观察者研究（或校准后的观察者模型），使其能够作为 ISO 26262 和 SOTIF 安全生命周期中的可证伪指标。

结果与提议的框架

本文并未展示来自特定车辆部署的实证实验结果，而是建立了一个理论和程序框架。“结果”即为提出的定义、数学公式和集成点：

• 分类表： 本文定义了非规范报告类，用于描述可转移性（$T_0$–$T_3$）和可预测性（$P_0$–$P_3$），并附带定性验收标准（例如，$T_0$ 要求无缝、容错的转换；$P_0$ 要求所有通道保持在校准范围内）。
• 统一映射： 映射表（表 IV）展示了 $T$ 和 $P$ 类别的组合如何产生统一的可控性类别（$C_0$–$C_3$），从而保留了 ISO 26262 的序数缩放特性。
• 对 ISO 26262 的修订建议： 作者概述了对 ISO 26262 第 1 至第 10 部分的具体且简明的修订建议。这包括增加可转移性和可预测性的定义，更新 HARA 以记录 $T$ 和 $P$ 等级，以及要求对规划器设计进行独立监测，以避免训练信号与安全证据之间出现循环依赖。

意义与主张

本文声称其框架为认证高度自动化（L4）和全自动驾驶（L5）系统的安全性提供了一条可扩展的、基于证据的路径。其意义在于：

• 维护标准： 它在扩展对无人驾驶系统适用性的同时，保持了 ISO 26262 的结构和意图，避免了需要开发全新标准的需求。
• 跨学科桥接： 它通过量化内在系统控制（可转移性）和外部人类理解（可预测性），实现了功能安全（ISO 26262）与 SOTIF（ISO 21448）的统一。
• 可证伪性： 通过引入 $\Delta T$ 和向量监测器 $M_P$ 等可测量指标，该框架使退避和交互声明在特定的 ODD 切片下变得可证伪且可追溯，从而摆脱了模糊、综合性的安全声明。
• 独立性： 本文强调规划器设计与安全证据必须保持独立；将可预测性指标用作训练奖励不得损害安全案例证据的有效性。

作者明确指出，这些提议是面向标准机构的研究建议，不构成规范性要求，也不反映其雇主的合规立场。作者承认存在局限性，指出数值目标是特定于场景的且需要重新校准，并且该框架并不旨在根据高可转移性或高可预测性得分来放宽 ASIL 要求。