ISO21434 之 V&V

1. V&V策略的目的

验证和测试策略旨在表明已知（区域2）和未知场景（区域3）的残余风险足够低，并且符合设定的量化指标；

针对区域3的测试场景，可以包括：

• 已识别用例的已知参数的随机组合（如，恶劣天气和特定交通条件的组合）
• 已知场景的随机组合
• 在开放道路测试中未识别的可能触发危害系统行为的特定场景

2. 确认目标的导出

Acceptance criteria通常比较小，如：10−8 / h.
一种可能的方法是考虑相关危害行为的比率R_HB;

2.1 使用危害行为比率来满足接受准则

每种危害的行为的确认目标validation target是由与该危害行为关联的接受准则导出；
接受准则的R_HB取值可以由以下步骤导出：

1. 识别导致危害H的事故/事件，这些事故/事件是由所分析的危害行为引起的；
2. 识别对于这些事故/事件的接受准则A_H；
3. 识别潜在危害场景，在这些场景下，会发生已识别的事故，这些事故是由所考虑的危害行为导致的，假设所考虑的危害行为在这种场景下已发生，则暴露在这种场景下的条件概率为P_E|HB；
4. 假设危害行为发生在已暴露的场景下，识别此场景下这一行为的不可控概率P_C|E
5. 假设可控性行为未成功，对已识别的事故/事件A_H造成的严重度分布进行识别。该分布描述了在这些事故/事件中严重度的某一程度的发生概率P_S|C

假设危害行为并不总是导致伤害，那么接受准则A_H可以分解为：

危害行为比率R_HB是可以容忍的比率，即在短时间内发生这种危害行为的概率；R_HB是直接由触发条件的发生率决定的，这些触发条件可以触发功能不足并导致危害行为，因此，可以用来导出适用的确认目标：

2.2 AEB中可接受误激活率的定义和确认示例

根据公布的交通事故统计数据计算SOTIF建议的最小确认距离的示例；
长期车辆测试/车队测试被选作确认方法；

2.2.1 危害事件的可能原因

危害事件：针对AEB非预期启动导致后方车辆追尾；
接受准则是由AEB功能引起的危害事件的可能性等于或小于由人类引起的相同的危害事件的可能性：

2.2.2 危害事件建模

危害行为：在设计意图范围内的非预期AEB制动超过340ms；
危害场景：非预期的AEB制动时间超过340ms且存在跟车距离较近的后车；

假设：

• 初始，辆车具有同样的速度行驶；
• 与速度相关的跟车距离具有已知的概率分布；
• 后方驾驶员反应时间服从已知的概率分布；
  

2.2.3 交通统计分析

为了确定 P_ha,hu，参考交通统计数据：

• 现场乘用车数量 N
• 每辆乘用车每年平均行驶里程 K
• 每年行驶的车辆总里程数M，M=N*K
• 每年现场相关追尾事故数量 A

基于上述数据，计算人类驾驶员在两次碰撞之间的平均行驶里程B
B = M / A
为了获得最坏的情况估计，M取上限值，A取下限值；

安全论证argument要求有证据evidence证明，配备AEB的车辆可以运行至少B公里而不会造成事故，或者AEB系统功能不足造成的事故概率低于每公里1/B

考虑到交通统计的不确定性，该基准可能通过乘以因子k1k2来增加或者减少，即
B = k1 * k2 * （M / A）
其中，

• k1>1可用于保守地证明，与交通事故相比，AEB功能不会导致事故数量增加；
• 交通统计数据包含合理和不合理的制动事件，对于误报AEB制动，只有导致危害事件的不合理制动才与定义基准有关，k2 被定义为危害事件的概率，k2=1/n被用于调整n个实际制动事件中只有一个由于不合理的制动而导致危害事件的情况；

2.2.5 测试场景定义

如果以必要的置信度满足了接受准则，可能没有必要通过驾驶里程等于或者超过B来证明达到了可接受的残余风险水平；