簡(jiǎn)介SAE J2980-2018是SAE發(fā)布的關(guān)于ISO 26262 ASIL危害分類的推薦實(shí)踐面向汽車功能安全工程師、系統(tǒng)設(shè)計(jì)人員及零部件供應(yīng)商用于指導(dǎo)車輛級(jí)危險(xiǎn)事件識(shí)別與風(fēng)險(xiǎn)評(píng)估。文檔詳細(xì)闡述了從危害分析到ASIL等級(jí)分配的完整方法論并涵蓋范圍、定義、參考標(biāo)準(zhǔn)及案例研究可幫助團(tuán)隊(duì)在設(shè)計(jì)階段系統(tǒng)落實(shí)功能安全要求。資源包僅含1個(gè)PDF文件約1.25MB體積輕量便于下載與離線查閱目前已有348人學(xué)習(xí)瀏覽。通過(guò)研讀這份標(biāo)準(zhǔn)讀者可深入理解ASIL A-D的分級(jí)依據(jù)掌握HARA方法在真實(shí)車型項(xiàng)目中的應(yīng)用技巧并借鑒標(biāo)準(zhǔn)修訂歷史與注釋為實(shí)際工程中的安全合規(guī)工作提供權(quán)威參考。1. 為什么需要單獨(dú)一份ASIL風(fēng)險(xiǎn)分類標(biāo)準(zhǔn)文檔做功能安全的人對(duì)ISO 26262都不會(huì)陌生但在實(shí)際項(xiàng)目中大家容易忽略一個(gè)細(xì)節(jié)ISO 26262給了ASIL等級(jí)A、B、C、D的框架卻沒(méi)有給出一套量化、可復(fù)現(xiàn)的評(píng)估方法。S、E、C三個(gè)參數(shù)——嚴(yán)重度、暴露概率、可控性——定義得清清楚楚但具體怎么打分、怎么定級(jí)標(biāo)準(zhǔn)正文并沒(méi)有展開(kāi)。各個(gè)企業(yè)基本都是拿內(nèi)部已有的經(jīng)驗(yàn)或參考某些OEM的成熟做法結(jié)果就是評(píng)審會(huì)上經(jīng)常出現(xiàn)這類場(chǎng)景“這個(gè)場(chǎng)景暴露概率你們?cè)趺丛u(píng)的是E3上一版還是E2。” “因?yàn)槲覀儞Q了個(gè)人做評(píng)估。”這恰好就是SAE J2980-2018即《Considerations for ISO 26262 ASIL Hazard Classification》要解決的核心問(wèn)題。它把ASIL風(fēng)險(xiǎn)分類從“會(huì)者不難、難者不會(huì)”的經(jīng)驗(yàn)活變成了一套有明確操作路徑、有量化工具支撐的工程方法。先看幾個(gè)關(guān)鍵背景ISO 26262定義了ASIL的判定維度是S、E、C但沒(méi)有規(guī)定具體的取值依據(jù)J2980是SAE針對(duì)ISO 26262的補(bǔ)充性技術(shù)報(bào)告于2018年正式發(fā)布取代了此前業(yè)界慣用的各種非正式評(píng)估表它重點(diǎn)提供了面向?qū)嶋H道路事故數(shù)據(jù)的嚴(yán)重度Severity量化方法尤其是用AISAbbreviated Injury Scale標(biāo)準(zhǔn)來(lái)映射傷害等級(jí)簡(jiǎn)單說(shuō)如果ISO 26262是一套“必須做什么”的法規(guī)框架J2980就是“具體怎么做”的操作手冊(cè)補(bǔ)上了從風(fēng)險(xiǎn)識(shí)別到ASIL定級(jí)中間那段最模糊的路。這篇文章的目標(biāo)讀者就是三類人正在做ASIL評(píng)定的功能安全工程師、需要評(píng)審他人評(píng)估結(jié)果的審核員、以及剛接觸功能安全的系統(tǒng)工程師。讀完你至少能搞清楚三件事J2980提供的S/E/C評(píng)估路徑與ISO 26262之間到底是什么關(guān)系、AIS傷害量化工具怎么用、以及為什么基于實(shí)際事故數(shù)據(jù)的評(píng)估會(huì)比憑經(jīng)驗(yàn)的拍腦袋可靠得多。2. J2980的核心方法論從事故場(chǎng)景到ASIL等級(jí)的完整鏈路2.1 總體評(píng)估流程先場(chǎng)景后參數(shù)先量化后分級(jí)J2980給出的ASIL評(píng)估框架本質(zhì)上是一個(gè)從行駛場(chǎng)景Operating Scenario出發(fā)、逐層收斂到風(fēng)險(xiǎn)等級(jí)的過(guò)程。它的評(píng)估鏈路比ISO 26262多了兩個(gè)環(huán)節(jié)事故后的傷害量化AIS和暴露概率的數(shù)據(jù)化判定。具體來(lái)說(shuō)J2980把評(píng)估步驟拆成了四步識(shí)別并描述目標(biāo)功能可能涉及的事故場(chǎng)景如ACC自適應(yīng)巡航在高速公路上跟隨前車且前車突然急剎對(duì)每個(gè)場(chǎng)景分別評(píng)估三個(gè)參數(shù)S嚴(yán)重度、E暴露概率、C可控性將三個(gè)參數(shù)的評(píng)級(jí)組合映射到對(duì)應(yīng)的ASIL等級(jí)S1S2的組合落在QM到ASIL B之間S3則可以向ASIL C/D延伸對(duì)整個(gè)評(píng)估過(guò)程做完整記錄形成可追溯、可復(fù)核的評(píng)估報(bào)告這里面最關(guān)鍵的改進(jìn)在第二步。ISO 26262只給了S1/S2/S3的定性描述比如S3是“危及生命的傷害survival uncertain”但什么叫“危及生命”顱骨骨折算不算內(nèi)出血算不算多根肋骨骨折算不算J2980引入AIS量表后這些問(wèn)題有了相對(duì)客觀的判定依據(jù)。2.2 S、E、C三參數(shù)在J2980里的定義變化ISO 26262-3的原始定義是SSeverity嚴(yán)重度評(píng)估潛在傷害的嚴(yán)重程度分為S0、S1、S2、S3EExposure暴露概率評(píng)估風(fēng)險(xiǎn)場(chǎng)景的出現(xiàn)概率分為E0-E4CControllability可控性評(píng)估駕駛員或其他交通參與者避免傷害的能力分為C0-C3J2980對(duì)這三個(gè)參數(shù)沒(méi)有推翻重來(lái)而是做了兩件事把S的量化依據(jù)徹底落到AIS數(shù)據(jù)上把E的評(píng)估從“感覺(jué)”導(dǎo)向“數(shù)據(jù)概率”。重點(diǎn)說(shuō)S的量化。J2980做了一張映射表直接用AIS傷害等級(jí)來(lái)刻度嚴(yán)重度等級(jí)。AIS 1代表輕微傷AIS 2代表中等傷害AIS 3代表嚴(yán)重但不危及生命的傷害AIS 4-5代表危及生命或致命傷害。這張表?yè)Q算下來(lái)就是S1AIS 1-2范圍內(nèi)的傷害輕到中度傷害S2AIS 3級(jí)別的傷害嚴(yán)重但存活概率高S3AIS 4-6級(jí)別危及生命的重傷或死亡這個(gè)映射最大的價(jià)值是讓整車廠和安全工程師可以拿著真實(shí)的事故統(tǒng)計(jì)數(shù)據(jù)做對(duì)標(biāo)。比如NHTSA、NASS-CDS、GIDAS這些數(shù)據(jù)庫(kù)里有大量基于AIS編碼的事故傷害記錄。當(dāng)你說(shuō)“這個(gè)場(chǎng)景的嚴(yán)重度是S3”時(shí)不再是主觀感覺(jué)而是“在這個(gè)碰撞形態(tài)下乘員受到AIS 4傷害的概率是多少”的事故數(shù)據(jù)支撐。2.3 從S/E/C組合到ASIL等級(jí)J2980的映射表與ISO 26262的差異ISO 26262本身給出了一張標(biāo)準(zhǔn)的S/E/C到ASIL的映射矩陣但它是死的。J2980做的主要貢獻(xiàn)之一是明確了一個(gè)原則ASIL等級(jí)應(yīng)當(dāng)反映風(fēng)險(xiǎn)的可接受水平而不是簡(jiǎn)單的參數(shù)組合結(jié)果。J2980在附錄中提供了一套更細(xì)化的“風(fēng)險(xiǎn)矩陣”Risk Matrix方法它建議工程師在確定S/E/C后先不要直接查表而是反問(wèn)一個(gè)問(wèn)題這個(gè)場(chǎng)景下的殘余風(fēng)險(xiǎn)是否達(dá)到了社會(huì)可接受的水平這句話聽(tīng)起來(lái)抽象實(shí)際操作上J2980給出的指引是三個(gè)步驟先按ISO 26262原始映射表得到初步ASIL等級(jí)再根據(jù)場(chǎng)景的相對(duì)頻率、事故嚴(yán)重度分布判斷是否需要向上或向下調(diào)整當(dāng)評(píng)估結(jié)果與統(tǒng)計(jì)數(shù)據(jù)矛盾時(shí)以數(shù)據(jù)為準(zhǔn)并在報(bào)告中注明調(diào)整理由這其實(shí)是在ISO 26262的剛性框架里加入了工程判斷空間。J2980并沒(méi)有讓你隨便調(diào)整等級(jí)而是要求你每一步都有據(jù)可查這比原來(lái)“拍腦袋定S3”的粗放方式嚴(yán)謹(jǐn)?shù)枚唷?. 嚴(yán)重度評(píng)估工具AIS量化傷害等級(jí)的實(shí)操要點(diǎn)3.1 AIS是什么為什么ISO 26262不直接用它AIS全稱Abbreviated Injury Scale簡(jiǎn)明傷害量表是汽車安全界用來(lái)量化人體傷害程度的國(guó)際通用標(biāo)準(zhǔn)由美國(guó)機(jī)動(dòng)車醫(yī)學(xué)促進(jìn)會(huì)AAAM維護(hù)。它把傷害按身體部位和嚴(yán)重程度進(jìn)行編碼等級(jí)從AIS 1輕微到AIS 6幾乎必然致死/不可救治。ISO 26262不直接引AIS的原因在版本更替上2011版ISO 26262發(fā)布時(shí)AIS標(biāo)準(zhǔn)的更新版本和汽車安全界對(duì)它的應(yīng)用還不夠成熟。而到了2018年SAE覺(jué)得這個(gè)問(wèn)題必須解決了因?yàn)樵赩2X、自動(dòng)駕駛場(chǎng)景下傳統(tǒng)的是非判斷式嚴(yán)重度評(píng)估越來(lái)越站不住腳。J2980對(duì)AIS的引用不是簡(jiǎn)單替換S等級(jí)的描述而是提供了完整的錨定邏輯每個(gè)AIS等級(jí)對(duì)應(yīng)一個(gè)傷害譜系和概率嚴(yán)重度的評(píng)定必須考慮“最嚴(yán)重場(chǎng)景下的典型傷害”而不是“所有可能傷害的平均值”如果同一個(gè)事故形態(tài)可能導(dǎo)致多種不同等級(jí)的傷害取AIS等級(jí)的分布來(lái)綜合判定S等級(jí)而不是直接取最大值3.2 用AIS做嚴(yán)重度評(píng)估時(shí)的實(shí)際步驟實(shí)際操作中我做嚴(yán)重度評(píng)估時(shí)會(huì)按下面這個(gè)流程來(lái)正好對(duì)應(yīng)J2980建議的操作路徑第一步梳理功能失效所導(dǎo)致的直接物理后果。比如LKA車道保持輔助在彎道上誤激活導(dǎo)致車輛偏離車道可能引發(fā)正面碰撞、側(cè)面碰撞或駛離道路后的翻滾。第二步把每種碰撞形態(tài)對(duì)應(yīng)到AIS傷害譜。正面碰撞時(shí)如果碰撞相對(duì)速度在60km/h以上乘員可能承受AIS 3-5級(jí)的胸部傷害如果速度在40km/h以下大概率是AIS 1-2的輕傷。第三步對(duì)照J(rèn)2980的S-AIS映射表判定S等級(jí)。這里要特別注意的是S等級(jí)對(duì)應(yīng)的不是單種傷害而是傷害譜系中“占主導(dǎo)地位且大概率出現(xiàn)”的那一級(jí)。如果統(tǒng)計(jì)數(shù)據(jù)顯示這個(gè)場(chǎng)景下AIS 3傷害的概率超過(guò)50%但低于90%通常會(huì)定為S2或S2而不是直接S3。第四步記錄所有支撐數(shù)據(jù)。每一級(jí)S評(píng)定背后都要寫明參考的事故數(shù)據(jù)庫(kù)、樣本量、統(tǒng)計(jì)方法。這個(gè)步驟看起來(lái)最繁瑣但實(shí)際上是對(duì)抗評(píng)審爭(zhēng)議最有效的武器。3.3 使用AIS時(shí)最容易踩的三個(gè)坑**坑一拿碰撞速度直接套傷害等級(jí)。**很多工程師習(xí)慣把高速碰撞直接等同于S3但AIS等級(jí)還和約束系統(tǒng)狀態(tài)、乘員位置、車身結(jié)構(gòu)密切相關(guān)。同樣50km/h的正面碰撞系了安全帶和沒(méi)系安全帶產(chǎn)生的傷害可能整整差兩個(gè)AIS等級(jí)。J2980強(qiáng)調(diào)的場(chǎng)景需要細(xì)化到碰撞速度、角度、車型類別、約束條件等多個(gè)維度就是這個(gè)原因。**坑二混淆“單個(gè)體最重傷情”和“群體傷害分布”。**有些評(píng)估報(bào)告寫S3的理由是“極端情況下可能導(dǎo)致死亡”。這在J2980框架下是站不住的——你要評(píng)估的是在合理可預(yù)見(jiàn)的事故場(chǎng)景中乘員群體的傷害分布而不是只在實(shí)驗(yàn)室里刻意構(gòu)造的最壞情形。**坑三忽略了傷害的時(shí)間維度。**AIS評(píng)估的是撞擊瞬間的解剖學(xué)傷害但J2980要求S評(píng)估還應(yīng)該考慮長(zhǎng)期后遺癥如永久殘疾。一個(gè)AIS 2級(jí)傷害如果導(dǎo)致終身跛行功能安全評(píng)估中的嚴(yán)重度顯然不應(yīng)該等同于普通軟組織挫傷。目前的AIS體系對(duì)這一塊的覆蓋還不完美需要結(jié)合其他醫(yī)學(xué)指標(biāo)做補(bǔ)充。4. 暴露概率E和可控性C容易被輕看的兩個(gè)評(píng)定環(huán)節(jié)4.1 E值的評(píng)定J2980建議的路采數(shù)據(jù)與場(chǎng)景頻率法E是“暴露概率”衡量的是車輛運(yùn)行在一個(gè)可能導(dǎo)致危害的場(chǎng)景中的概率。J2980在這塊給出了比ISO 26262更具體的操作建議用道路事故統(tǒng)計(jì)數(shù)據(jù)或自然駕駛數(shù)據(jù)NDS來(lái)估算。具體評(píng)估時(shí)我建議按兩步走先定義場(chǎng)景窗口。比如“車輛在高速公路上以100km/h以上速度行駛且與前車距離小于50m”這個(gè)場(chǎng)景定義越具體后面找數(shù)據(jù)越容易再確定頻率區(qū)間。J2980建議把暴露頻率分為四檔持續(xù)暴露幾乎每次行駛都遇到、頻繁暴露每天至少一次、偶爾暴露每月數(shù)次、罕見(jiàn)暴露每年一兩次對(duì)應(yīng)E4到E1這里要特別提醒E值的評(píng)估一定要和功能定義匹配。同一個(gè)場(chǎng)景對(duì)全速自適應(yīng)巡航來(lái)說(shuō)是E4正常行駛就處于這個(gè)狀態(tài)但對(duì)高速緊急制動(dòng)輔助來(lái)說(shuō)可能是E2只在極端接近時(shí)觸發(fā)因?yàn)閮烧弑┞兜摹笆榫场笔峭耆煌墓r。4.2 C值的評(píng)定可控性分級(jí)的難點(diǎn)在于“人的因素”可控性C評(píng)估的是駕駛員、乘客或其他交通參與者能否通過(guò)及時(shí)反應(yīng)來(lái)避免危險(xiǎn)。J2980給出的參考維度有三個(gè)駕駛員是否被事先警告、駕駛員是否有足夠反應(yīng)時(shí)間、駕駛員的平均駕駛技能是否能應(yīng)對(duì)該場(chǎng)景。這三個(gè)維度中最容易出爭(zhēng)議的是“反應(yīng)時(shí)間”。很多評(píng)估報(bào)告直接寫“駕駛員反應(yīng)時(shí)間≤1秒因此可控性為C1”但問(wèn)題在于失效發(fā)生時(shí)駕駛員可能同時(shí)在操作方向盤、觀察路況、調(diào)節(jié)車機(jī)并不會(huì)把全部注意力放在你關(guān)心的這個(gè)失效上。J2980的評(píng)估建議是要考慮駕駛員當(dāng)前的任務(wù)負(fù)荷而不是理想化地認(rèn)為駕駛員永遠(yuǎn)處于“警覺(jué)”狀態(tài)。我實(shí)際做評(píng)估時(shí)會(huì)給C值一個(gè)“降級(jí)條件”如果失效場(chǎng)景伴有明顯的聲音、振動(dòng)或視覺(jué)警示且駕駛員在無(wú)預(yù)兆的情況下仍被認(rèn)為有足夠時(shí)間反應(yīng)才可評(píng)為C1只要存在任何可能分散駕駛員注意力的合理場(chǎng)景C值就需要下調(diào)一檔。4.3 S/E/C三者之間的相互影響J2980特別指出了一點(diǎn)S、E、C三個(gè)參數(shù)不是完全獨(dú)立的。比如一個(gè)場(chǎng)景的暴露概率越高駕駛員對(duì)該場(chǎng)景的熟悉度通常也越高可控性反而可能更好——這是一個(gè)典型的“負(fù)相關(guān)”關(guān)系。這帶來(lái)的實(shí)際操作啟示是不能把三個(gè)參數(shù)完全孤立地打分后直接查表。J2980建議在組合評(píng)估時(shí)至少做一次一致性檢查——如果S3、E4、C3的組合得出了ASIL D但你的功能在使用說(shuō)明書中有明確警告且駕駛員普遍對(duì)該風(fēng)險(xiǎn)有認(rèn)知那么你應(yīng)該回頭檢查C3的合理性必要時(shí)通過(guò)增加警示手段來(lái)主動(dòng)降低C等級(jí)。這一條在整車安全目標(biāo)分解時(shí)非常有用因?yàn)樗o了你一條合法的“降級(jí)通道”。5. 實(shí)際工程中的J2980應(yīng)用從評(píng)估表到設(shè)計(jì)決策5.1 一張J2980評(píng)估表的完整樣例為了讓大家直觀理解J2980輸出的是什么我把一個(gè)實(shí)際做過(guò)的ACC自適應(yīng)巡航失效案例簡(jiǎn)化后貼出來(lái)。這個(gè)案例的背景是ACC在雨霧天氣下毫米波雷達(dá)性能衰減可能出現(xiàn)對(duì)前方靜止車輛的漏檢。場(chǎng)景描述傷害機(jī)理S評(píng)級(jí)依據(jù)E評(píng)級(jí)依據(jù)C評(píng)級(jí)依據(jù)ASIL高速公路上跟車行駛時(shí)前車遇前方事故急剎ACC因雷達(dá)性能衰減未及時(shí)制動(dòng)導(dǎo)致追尾乘員與前車尾部或安全氣囊作用胸部承受AIS 3傷害S2AIS 3為主致命概率10%E4高速ACC是持續(xù)使用場(chǎng)景C1駕駛員有可能及時(shí)接管但時(shí)間窗口短ASIL C同場(chǎng)景但雨霧更大駕駛員視野受限接管概率顯著下降同上但碰撞相對(duì)速度更高傷害升級(jí)S3AIS 4-5概率上升E3極端天氣頻率較低C2視野受限駕駛員反應(yīng)能力下降A(chǔ)SIL C城市道路低速跟車時(shí)前方車輛穿行導(dǎo)致的碰撞低速碰撞主要是AIS 1-2級(jí)軟組織傷害S1AIS 1-2為主E3城市低速跟車頻繁但工況簡(jiǎn)單C1低速下駕駛員容易控制QM看這張表就能明白J2980的價(jià)值不在于幫你把等級(jí)定得更“高級(jí)”而是讓每個(gè)評(píng)級(jí)都能說(shuō)清楚依據(jù)。上面三個(gè)場(chǎng)景最終落在不同的ASIL等級(jí)但評(píng)審的時(shí)候沒(méi)有人能質(zhì)疑你的定級(jí)邏輯因?yàn)槊恳徊蕉加袛?shù)據(jù)和推理鏈條。5.2 安全目標(biāo)與ASIL分解J2980如何影響下游設(shè)計(jì)在ISO 26262的流程中ASIL等級(jí)確定之后接下來(lái)就是分解ASIL Decomposition和安全目標(biāo)Safety Goal的拆解。J2980在這里的實(shí)際作用容易被低估。舉個(gè)真實(shí)的例子某項(xiàng)目的一個(gè)功能安全目標(biāo)被定為ASIL D單獨(dú)實(shí)現(xiàn)它的MCU微控制器成本很高。但J2980的評(píng)估報(bào)告顯示ASIL D的結(jié)論很大程度上依賴E4持續(xù)暴露場(chǎng)景的判定。如果把功能設(shè)計(jì)改成一個(gè)“預(yù)覽式模式”——系統(tǒng)只在特定條件下激活比如檢測(cè)到前方有靜止車輛且本車速度高于閾值時(shí)才介入——那么暴露場(chǎng)景的頻率就從E4降到了E2相應(yīng)的ASIL等級(jí)可以從D降到了B級(jí)。這個(gè)決策的依據(jù)就是J2980的評(píng)估邏輯。這不是說(shuō)讓項(xiàng)目組鉆標(biāo)準(zhǔn)的空子去降等級(jí)而是說(shuō)J2980讓“安全目標(biāo)→功能設(shè)計(jì)→ASIL定級(jí)”之間的閉環(huán)變得可能。你可以用評(píng)估數(shù)據(jù)反過(guò)來(lái)指導(dǎo)功能設(shè)計(jì)而不是等設(shè)計(jì)完成了再套一個(gè)高等級(jí)硬扛。5.3 評(píng)審場(chǎng)景中如何用J2980應(yīng)對(duì)爭(zhēng)議做功能安全評(píng)審時(shí)最常見(jiàn)的問(wèn)題就是評(píng)估方和被評(píng)估方對(duì)ASIL等級(jí)有分歧。J2980解決這個(gè)問(wèn)題的思路是“用證據(jù)取代辯論”。我見(jiàn)過(guò)不少評(píng)審會(huì)上的爭(zhēng)論“你們憑什么把這個(gè)場(chǎng)景評(píng)為S1我覺(jué)得怎么也是S2?！比绻p方都在打嘴仗最后往往是權(quán)威大的一方勝出這種結(jié)果對(duì)項(xiàng)目沒(méi)有任何建設(shè)性。但在J2980框架下這類爭(zhēng)議會(huì)自動(dòng)轉(zhuǎn)化成“你這個(gè)數(shù)據(jù)來(lái)源是什么AIS等級(jí)怎么確認(rèn)的場(chǎng)景定義滿足標(biāo)準(zhǔn)中的前置條件嗎”這樣具體的問(wèn)題。所以如果你要去應(yīng)對(duì)一次安全評(píng)審最有效的準(zhǔn)備方式不是背更多的標(biāo)準(zhǔn)條文而是把每一格評(píng)級(jí)背后的數(shù)據(jù)來(lái)源、統(tǒng)計(jì)口徑、分析過(guò)程完整寫清楚。J2980給的是一套方法論但只有當(dāng)你把它落實(shí)成一份“別人可以復(fù)核”的評(píng)估報(bào)告時(shí)它才能真正幫你擋住質(zhì)疑。6. 從J2980看未來(lái)ASIL評(píng)估的變化趨勢(shì)J2980-2018發(fā)布至今已經(jīng)幾年了現(xiàn)在回看它其實(shí)提前踩中了幾個(gè)后來(lái)被行業(yè)反復(fù)討論的方向。第一個(gè)趨勢(shì)是嚴(yán)重度評(píng)估從“人工判定”走向“數(shù)據(jù)驅(qū)動(dòng)”。AIS雖然給了量化框架但初期的人工查表效率很低?，F(xiàn)在不少團(tuán)隊(duì)已經(jīng)在用機(jī)器學(xué)習(xí)模型預(yù)先訓(xùn)練一套“場(chǎng)景特征→傷害等級(jí)”的映射本質(zhì)上就是把J2980的評(píng)估邏輯自動(dòng)化。未來(lái)隨著事故數(shù)據(jù)的積累S值的評(píng)估可能會(huì)像碰撞測(cè)試的NCAP星級(jí)一樣變成一個(gè)高度依賴仿真和大數(shù)據(jù)的自動(dòng)化環(huán)節(jié)。第二個(gè)趨勢(shì)是暴露概率E與自然駕駛數(shù)據(jù)的深度結(jié)合。J2980建議用NDS數(shù)據(jù)評(píng)估E值當(dāng)時(shí)這套數(shù)據(jù)在歐洲、美國(guó)已經(jīng)比較成熟國(guó)內(nèi)起步偏晚。但近兩年基于量產(chǎn)車的數(shù)據(jù)回傳已經(jīng)非常普遍E4/E3的判定完全可以基于真實(shí)道路數(shù)據(jù)做統(tǒng)計(jì)分析精度比人工估算高一個(gè)量級(jí)。第三個(gè)趨勢(shì)是可控性C在自動(dòng)駕駛場(chǎng)景下的重新定義。J2980的框架默認(rèn)還有駕駛員這個(gè)“最后防線”但L3級(jí)以上系統(tǒng)里駕駛員可能完全不參與駕駛C值怎么評(píng)目前業(yè)界的主流做法是把“系統(tǒng)的安全冗余能力”作為可控性的一部分這實(shí)際上已經(jīng)超出了J2980原有的評(píng)估框架。J2980后續(xù)版本的修訂方向大概率會(huì)在這塊做重點(diǎn)擴(kuò)展。從我個(gè)人的使用經(jīng)驗(yàn)來(lái)看J2980這份標(biāo)準(zhǔn)最值得推薦的地方不是它給了一套多么復(fù)雜的算法而是它改變了功能安全工程師的工作習(xí)慣——讓你在寫ASIL定級(jí)報(bào)告時(shí)會(huì)主動(dòng)去問(wèn)自己這個(gè)結(jié)論有沒(méi)有數(shù)據(jù)支撐換一個(gè)人來(lái)做評(píng)估能得到相同的結(jié)論嗎在行業(yè)從“經(jīng)驗(yàn)權(quán)威”轉(zhuǎn)向“工程可復(fù)現(xiàn)”的過(guò)程中這個(gè)問(wèn)題本身就是最重要的進(jìn)步。本文還有配套的精品資源點(diǎn)擊獲取