《智能车辆广义功能安全技术及应用》从功能安全、预期功能安全和广义功能安全等多个方面，对智能车辆人机协同驾驶中的环境感知、定位、决策、规划、控制执行技术等进行了深入研究。《智能车辆广义功能安全技术及应用》主要内容包括面向预期功能安全的智能车辆多传感器融合及应用、面向功能安全的智能车辆协同控制、面向预期功能安全的智能车辆协同控制、面向广义功能安全的智能车辆人机协同控制等。《智能车辆广义功能安全技术及应用》内容翔实、全面，理论与实践并重，既有理论水平和学术价值，对工程实践也有指导意义。

目录
编者的话
前言
第1章 绪论 1
1.1 功能安全概述 2
1.1.1 功能安全的定义 2
1.1.2 本质安全与功能安全的关系 4
1.1.3 智能车辆的功能安全 6
1.2 预期功能安全概述 9
1.2.1 预期功能安全的定义 9
1.2.2 智能车辆的预期功能安全问题 13
1.2.3 预期功能安全与功能安全的关系 15
1.3 广义功能安全概述 18
1.3.1 广义功能安全的定义 18
1.3.2 广义功能安全的基本特征 20
1.3.3 环境感知中的广义功能安全问题 24
1.3.4 决策规划中的广义功能安全问题 26
1.3.5 控制执行中的广义功能安全问题 29
1.3.6 整车系统的广义功能安全问题 31
1.4 面向广义功能安全的智能车辆功能改进与评价 32
1.4.1 面向广义功能安全的环境感知系统功能改进 32
1.4.2 面向广义功能安全的决策规划系统功能改进 33
1.4.3 面向广义功能安全的控制执行系统功能改进 34
1.4.4 面向广义功能安全的整车系统功能改进 35
1.4.5 面向广义功能安全的智能车辆测试与评价 38
1.4.6 未来的发展趋势 39
1.5 本书的结构体系与特色 39
参考文献 41
第2章 面向预期功能安全的智能车辆多传感器融合及应用 44
2.1 基于可拓理论的环境感知系统预期功能安全分析 44
2.1.1 可拓理论 45
2.1.2 环境感知系统有效性评估影响因素 46
2.1.3 环境感知系统可拓分析 49
2.1.4 预期功能安全可拓综合评估 51
2.1.5 可拓综合评估验证 54
2.2 面向预期功能安全的多传感器特征数据融合 59
2.2.1 传感器特征数据有效性评估 60
2.2.2 分布式多传感器特征数据融合 61
2.3 面向预期功能安全的激光雷达数据融合 63
2.3.1 激光雷达多特征数据融合 65
2.3.2 路沿和障碍物的检测与跟踪实验验证 74
2.4 基于激光雷达和视觉传感器数据融合的斜坡测距 79
2.4.1 基于激光雷达和视觉传感器数据融合的车道线检测 79
2.4.2 斜坡道路观测模型的建立 83
2.4.3 斜坡工况下车辆跟车距离检测模型 88
2.4.4 不同坡度道路上的测距仿真实验 91
2.4.5 实车试验和结果分析 92
2.5 基于毫米波雷达和视觉传感器数据融合的车辆检测与跟踪 94
2.5.1 毫米波雷达有效目标的获取 94
2.5.2 基于视觉的车辆检测 98
2.5.3 基于毫米波雷达和视觉传感器数据融合的车辆检测与跟踪 98
2.5.4 实车试验和结果分析 103
2.6 基于近邻目标区域表征的智能汽车测试场景生成 106
2.6.1 驾驶场景表征方法 106
2.6.2 测试场景生成系统 110
2.6.3 实验测试与结果分析 115
参考文献 121
第3章 面向功能安全的智能车辆协同控制 124
3.1 多重故障下悬架系统功能安全容错控制 124
3.1.1 盲区场景下速度控制策略 124
3.1.2 考虑故障的悬架动力学模型 126
3.1.3 盲区场景下悬架系统功能安全容错控制策略设计 127
3.1.4 基于状态重构MADDPG-H∞功能安全容错控制系统结构设计 131
3.1.5 系统仿真与分析 137
3.2 面向驱动电机故障的分布式驱动车辆功能安全协同控制 143
3.2.1 电机故障动力学分析 143
3.2.2 线控转向控制器设计 148
3.2.3 功能安全协同控制系统设计 152
3.2.4 仿真和试验 157
3.3 面向传感器与执行器同时故障的车辆EPS功能安全容错控制 160
3.3.1 EPS工作模式及判别方法 160
3.3.2 系统建模 162
3.3.3 EPS助力控制策略 166
3.3.4 EPS主动容错控制 166
3.3.5 仿真结果与分析 169
3.4 面向功能安全的车辆制动力补偿及跑偏辅助控制 171
3.4.1 车辆模型 172
3.4.2 基于功能安全的制动力协同控制系统设计 175
3.4.3 再生制动力自适应故障诊断观测器设计 176
3.4.4 电液制动系统协调分配策略 178
3.4.5 制动跑偏辅助控制器设计 182
3.4.6 仿真分析 185
3.4.7 硬件在环实验 191
参考文献 193
第4章 面向预期功能安全的智能车辆协同控制 196
4.1 面向预期功能安全的车辆稳定性可拓识别与控制 196
4.1.1 车辆稳定控制原理 196
4.1.2 可拓模式识别理论基础 197
4.1.3 稳定模式划分及判断 198
4.1.4 基于预期功能安全的稳定性控制研究 206
4.1.5 仿真分析 207
4.2 面向预期功能安全的智能车辆避障轨迹规划与跟踪控制 209
4.2.1 衍生状态格的概念 209
4.2.2 基于S格的避障轨迹规划算法 210
4.2.3 车辆模型 216
4.2.4 分层模型预测控制结构 219
4.2.5 基于分层模型预测控制的动态轨迹规划与跟踪控制 220
4.2.6 仿真与结果分析 225
4.3 面向预期功能安全的车辆换道控制 232
4.3.1 车-路模型建立 232
4.3.2 换道决策 235
4.3.3 车辆行驶安全边界 236
4.3.4 控制器设计 242
4.3.5 仿真与硬件在环实验 244
4.4 面向预期功能安全的主动转向与差动制动协同控制 249
4.4.1 车-路模型 250
4.4.2 协同控制层设计 252
4.4.3 执行层设计 256
4.4.4 仿真与结果分析 260
4.5 面向预期功能安全的铰接式汽车列车泊车控制 266
4.5.1 半挂汽车列车模型建立与直线倒车问题分析 267
4.5.2 半挂汽车列车倒车铰接角度稳定域与可行域 270
4.5.3 半挂汽车列车直线倒车控制设计 275
4.5.4 仿真与结果分析 279
4.5.5 实车试验 282
参考文献 284
第5章 面向广义功能安全的智能车辆人机协同控制 286
5.1 面向广义功能安全的人机协同车道保持控制 286
5.1.1 车道保持控制中的广义功能安全问题 287
5.1.2 系统建模 289
5.1.3 人机协同控制权重分配 290
5.1.4 基于模型预测控制的车道保持控制器设计 292
5.1.5 仿真与结果分析 293
5.2 面向广义功能安全的人机协同换道控制 298
5.2.1 基于自然驾驶数据的危险驾驶行为聚类 300
5.2.2 基于危险行为聚类的驾驶员失误评估 303
5.2.3 转向盘转角传感器故障分析与检测 306
5.2.4 基于混杂系统理论的人机协同控制策略 308
5.2.5 仿真与结果分析 312
5.2.6 人机协同控制硬件在环实验 317
5.3 面向广义功能安全的容错轨迹决策与人机协同避撞控制 319
5.3.1 基于转向系统执行器硬件故障的容错轨迹集 320
5.3.2 人机协同避撞控制策略设计 325
5.3.3 仿真与结果分析 326
5.3.4 硬件在环实验 329
5.4 面向广义功能安全的智能悬架容错控制 330
5.4.1 悬架系统动力学模型建立 331
5.4.2 路面预瞄信息修正策略设计 335
5.4.3 考虑广义功能安全的悬架系统容错控制策略设计 339
5.4.4 仿真与结果分析 341
5.4.5 实车试验 351
5.5 面向广义功能安全的混合队列人机协同纵向跟踪控制 352
5.5.1 混合车辆队列模型 352
5.5.2 决策与控制系统设计 354
5.5.3 仿真与结果分析 365
5.5.4 硬件在环实验 370
参考文献 373

第1章 绪论
　　随着汽车电动化、智能化、网联化和共享化的提速和高度融合，汽车行业正经历着前所未有的挑战与机遇。电动化作为基础和前提，对其余几个发展方向起到基石的作用。智能化作为核心，通过引入自动驾驶技术等，实现了汽车的智能驾驶，提高了汽车的效率和安全性。网联化起到桥梁作用，通过将汽车连接到互联网和物联网中，实现车-车、车-路之间的智能互联，为驾驶者提供了更加全面和准确的信息。共享化为汽车行业开拓了新的商业模式和市场空间，通过将汽车作为一种服务，为人们提供更加便捷和高效的出行方式，减少了城市交通压力和车辆拥有量。
　　在汽车产业“新四化”浪潮的推动下，作为汽车智能化*重要组成部分的自动驾驶技术，正以前所未有的速度发展。根据当前广泛采用的国际汽车工程师协会的自动驾驶分级标准，将自动驾驶分为L1～L5五个等级，其中L2～L4级是由驾驶员与自动驾驶系统共同驾驶车辆，即人机协同驾驶，而L5级则为完全自动驾驶。受技术和法规等的限制，目前L5级的自动驾驶较难得到大规模应用。
　　当前，人机协同驾驶技术的学术研究和产业化应用已进入快车道，大量的研究成果和汽车新产品不断涌现。但是，人机协同驾驶技术也存在一些问题和挑战，其中*主要的问题是安全性问题，尤其是功能安全、预期功能安全和信息安全。功能安全(functional safety， FS)重点关注因系统性失效和随机硬件失效带来的整车行为危害，为避免车辆安全风险提供了可行性的要求和流程。预期功能安全(safety of the intended functionality， SOTIF)重点关注因系统的预期功能不足(设计不足或性能局限)，在遇到特定触发条件(如环境干扰或人员误操作)时导致的整车行为危害，将设计不足、性能局限等产生的车辆安全风险控制在合理可接受的范围内。信息(网络)安全重点关注意外破坏、攻击后的安全风险应对的相关要求。这三个安全也被称为智能车辆的“安全三剑客”。
　　显然，功能安全和预期功能安全旨在保障功能按照设计要求正常进行，尽量减少因系统设计问题而导致的功能失效；信息(网络)安全旨在抵御外界攻击，注重系统在外界攻击下能够正常运行，保护其软硬件和数据不因偶然和恶意的原因而遭到破坏、更改和泄露，不致产生或减少损失。本书主要关注智能车辆在没有外界攻击的前提下，人机协同驾驶技术中的预期功能安全、功能安全及其相互作用问题，而对于信息(网络)安全的相关内容则不涉及。
　　1.1 功能安全概述
　　1.1.1 功能安全的定义
　　近代社会的快速发展，成为工业革命的加速器。从18世纪后期以蒸汽机为代表的**次工业革命即机械化革命开始，至21世纪初开始的以人工智能、自动驾驶、清洁能源为代表的第四次工业革命即绿色革命，全面推动了人类社会的发展。与此同时也要清醒看到，虽然工业革命的历史演进给人类带来了巨大的利益，产生了飞跃变化的经济增长率，但同时也不可避免地带来了一定的风险。工业革命推动了科学技术和工程技术的进步，使得人们应对风险挑战的能力越来越强，避险的手段也越来越发达。
　　一般情况下，安全多指没有危险、不受威胁、不出事故以及无需人为控制的理想状态。显而易见，这是一个绝对安全的概念。绝对安全是理想的，在现实中是不存在的。人们往往认为，安全是在人类生产活动中，将系统的运行状态可能对人员的生命、财产、环境造成的风险和损害控制在人类能接受的范围内。也就是说，世间没有绝对安全，只有相对安全，安全是相对于危险源的风险程度。只要风险水平处于可接受的程度，则可判定是安全的。这样，就将绝对化的安全转化为相对化的风险控制，使得可以通过控制风险的手段来解决安全问题，为安全的保障提供了可供遵循的路径。
　　从风险的角度来讲，安全的相对性与差异性表现在如下方面。
　　(1)时效性。由于人类对危险的认知程度存在差异，在某一时期认为是安全的，在另外的时期可能就被认为是不安全的。
　　(2)对风险的评估标准和可接受的风险标准。同一个危险源，由于评估风险的方法不同，或者不同的人对风险的接受程度不同，在一个地方被认为是安全的，在另外的地方则被认为是不安全的。
　　生产制造系统或生产设备，是根据人类需求创造出的人工物理系统，容易受到内外因素的干扰，加之设计、制造环节存在的问题等，均可能引发不同程度的风险。虽然风险不可避免，但只要改善应对风险的能力，处理好风险与安全的关系，就能把风险控制在可接受的安全范围内。这就是通常所说的功能安全，它的本质就是控制风险。
　　一般来说，功能安全是依赖于系统或设备对输入的正确操作，是整体安全的一部分，是以系统功能的可靠执行(即依赖于一个系统或设备对其输入的正确响应)来确保系统安全。当每一个特定的安全功能获得实现，并且每一个安全功能必需的性能等级被满足时，功能安全目标就达到了。
　　从另一方面来说，当系统满足以下条件时就认为是符合功能安全要求的，即任一随机故障、系统故障或失效都不会造成系统功能失效，不会引起人员的伤亡、环境的破坏或设备财产的损失。也就是说，装置或控制系统的安全功能无论在正常情况或者有故障存在的情况下，都应该保证能够被正确实施。虽然功能安全无法避免随机硬件故障的发生，但是功能安全可以在系统中构建安全监控以及对应的安全机制，更好地应对随机故障，降低安全风险。例如，手机长时间放在阳光下会自动关机，这是因为手机在实时监控机体温度，一旦温度上升到危险阈值，手机就会自动关机，防止电池升温过高而起火，这就是一个典型的功能安全机制在起作用。又如，功能安全机制可持续监控智能车辆中的某个传感器的信号，从而检查它是否偏离预期范围。一旦发现偏离了预期范围，安全机制就会被触发，系统将进入预先定义好的一种工作状态当中。在这种预定义的状态下，对应的功能不会产生安全风险。这里要指出，靠被动方式获得的安全不是功能安全。例如，防火门对高温的隔离本质上是采用被动方式，虽然也可以对同样的危险起到保护作用，但不是功能安全。当然，这种防护有时也可以通过功能安全来实现。
　　此外，机电系统的失效包括机械零部件失效和电子/电气系统失效，而功能安全则为应对电子/电气系统的失效提供了安全机制。例如，汽车安全带具有重要的安全特性，但安全带是机械装置，因此它的安全设计不属于汽车功能安全范畴。通常人们将安全带视为机械安全带，然而目前一些具有智能功能的安全带并非纯机械安全带，因其包含电气部件，则可认为这类汽车安全带的设计属于功能安全的范畴。
　　当前道路车辆的功能安全标准及其适用范围主要源于早期的电子/电气领域安全标准IEC 61508。20世纪末，国际电工委员会为促进电子/电气系统的安全水平提升，正式发布*部产品安全性标准—— IEC 61508-1《电气/电子/可编程电子安全相关系统的功能安全 第1部分：一般要求》[1]。该标准对功能安全的定义如下：功能安全是受控装备及其控制系统中整体安全相关部分的属性，取决于电气、电子、可编程系统功能的正确性和其他风险降低措施。标准制定的目标是保证电气、电子、可编程安全相关系统的安全可靠。当系统发生故障(包括硬件随机故障和软件故障)或错误时，安全相关系统会采取预先设定的措施，保证故障不会引起人员的伤亡、环境的破坏和设备财产的损失。
　　经过近20年的发展，以IEC 61508标准为基础，形成了适用于航空、工业仪表、道路车辆、家电等领域的功能安全技术标准，如图1.1所示。由图可见，功能安全是一个复杂而庞大的体系，涉及的内容多而繁杂，想要更好地理解功能安全的端到端、全系统和全生命周期的科学理论与方法，了解和掌握功能安全的基本概念是非常必要且十分重要的。车辆有许多不同的系统，包括液压、机械、电气、电子、传感、化学等系统，对于这些系统有各种各样的标准。这些标准的制定和发布，促进和提高了系统安全。功能安全重点关注电气和电子系统的故障，是车辆整体安全的一部分；而全生命周期科学理论与方法的应用，则是功能安全标准对安全控制技术的重要贡献。
　　图1.1 IEC 61508和其他领域功能安全标准的关系
　　1.1.2 本质安全与功能安全的关系
　　当前安全领域的主流技术很多，其中本质安全是常见的一种。本质安全一词的提出源于20世纪50年代世界宇航技术的发展，这一概念的广泛接受与人类科学技术的进步及人们对安全文化的认识是密切相连的，是人类在生产、生活实践的发展过程中对事故和故障由被动接受到积极事先预防，以实现从源头杜绝事故和人类自身安全保护的需要，是在安全认识上取得的一大进步。狭义概念指的是通过设计手段使生产过程和产品性能本身具有防止危险发生的功能，即使在误操作的情况下也不会发生事故或及时发现故障并自动消除。广义概念指的是通过各种措施(包括教育、设计、优化环境等)从源头上堵住事故发生的可能性，即利用先进的技术手段使人们生产活动全过程实现安全无危害化，即使出现人为操作失误或环境恶化时，系统或设备也能自动保证安全；当出现故障时，系统能自动发现并自动消除，有效阻止事故发生以确保人身和设备的安全。
　　本质安全是通过人-机-环境-管理这一系统所表现出来的安全性能，也就是要借助于优化资源配置和提高其完整性，使整个系统安全可靠。本质安全有四大要素：①人的本质安全；②机(物)的本质安全；③系统的本质安全；④管理体系的本质安全。这四者互为条件，互为补充。本质安全*为重要的一点，是将安全看成整个系统的问题，系统的各部分是相互关联、相互影响的，需综合考虑人、物、环境等因素，发现问题的根源，从本质上解决问题。
　　随着科学技术的进步及人类对安全认识的不断加深，本质安全的科学理论和技术措施也在不断发展并完善。本质安全的技术措施是为实现根本上的安全而采取的设计、材料、制造工艺、检测检验、安全冗余、安全防护、容错机制等系列方法的总称。当前多在考虑安全冗余的基础上，增加安全锁、紧急切断、先兆预警等措施，确保能够自动防止操纵失误或引发事故。同样，设备系统也可通过自动排除、切换或安全地停止运转，从而保障人身、设备和财产的安全。
　　本质安全包括设计安全、安全技术和质量安全三个核心内容。其中，设计安全是指通过理解生产系统的期望、需要和动机等，将其所获取的信息转化为一个能够安全、稳定运行生产系统的过程；安全技术是指利用生产过程中所积累的经验和知识，以实现生产系统安全运行的一种方法；质量安全是指某个生产系统应具备的使用性能、安全性、可靠性和经济性等，如图1.2所示。
　　图1.2 本质安全的三个核心内容
　　功能安全与本质安全在概念上有所不同。下面以避免不同行驶方向的车辆在十字路口发生碰撞事故为例，来比较这两者的差异。这里的安全目标就是避免路口事故，可采取如下两种方案来实现[2]：
　　(1)在十字路口建设立交桥，让两个方向的车辆分别从桥上和桥下通过，以确保不会发生路口车辆相撞的事故。这种根据系统特性直接把危险源消除的方法就是本质安全。
　　(2)在十字路口设置交通信号灯，用来在时间上给交通流分配通行权，指挥车辆有序行驶，避免不同方向的车辆在路口发生碰撞事故。这样，通过信号灯的安全机制来抑制事故风险的技术称为功能安全。
　　理想的情况是，不管什么场合都应采用本质安全。但现实情况是，很多场合下由于系统自身的原因，不可能把危险源除掉，特别是像智能车辆这类复杂的系统，其本质安全很难被实现和应用。因此，只能采用功能安全，其目的就是在本质安全无法达到时，尽可能地通过增加安全措施去提高安全等级，将风险降低到系统和社会可接受的范围，*终实现安全目标。也就是说，绝对的安全是不存在的，现实中的“安全”是指排除了不合理的风险(危害发生的可能性与严重程度的组合)，并将风险控制在一定限度和范围以内。
　　1.1.3 智能车辆的功能安全
　　汽车智能化和网联化技术的发展以及道路交通诸多要素的复杂变化，对汽车的行驶安全提出了更高的要求。当前汽车电控系统日趋复杂，新的功能越来越多地涉及系统安