陈君毅，刘力豪，周堂瑞，邢星宇

（同济大学汽车学院，上海201804）

安全是汽车的基本要求，自动驾驶系统的出现赋予了汽车安全性新的内涵。其中因外部环境因素、功能局限与人为误用导致的安全问题属于预期功能安全的研究范畴［1］。决策系统是自动驾驶汽车的“大脑”，其功能为根据环境及自车信息，决策获得安全舒适的驾驶行为，指导自动驾驶汽车的运动，对于乘员人身安全有着至关重要的影响，其安全性值得深入分析。

决策系统是一个典型的软件密集型系统，相比传统的汽车电子电气系统它承担更高等级的驾驶任务，具备更加复杂的逻辑。传统安全分析方法，例如基于事件链或流行病学模型的分析方法认为事故的根本原因在于系统中单个或多个组件的故障，难以覆盖系统功能局限与环境扰动带来的危险；且在分析逻辑复杂的软件密集型系统时效率有限［2］，难以应用在自动驾驶决策系统的安全分析上。

囿于传统安全分析方法的局限，近年来部分学者将以STPA方法为代表的现代安全分析方法引入自动驾驶系统的安全性研究中。Mahajan等［3］将STPA方法应用于车道辅助保持系统（lane keeping assistance，LKA），得到LKA系统的安全要求；Abdulkhaleq等［4］对一个使用有限状态机的汽车自适应巡航系统（adaptive cruise control，ACC）进行了STPA分析，得到ACC系统的安全要求；Bagschik等［5］在德国高速公路无人驾驶保护车（仅具备跟车行驶功能）上应用STPA方法，得到了该车的危险事件；笔者在前期研究中提出了一种基于STPA的符合ISO 26262的安全分析方法，并应用于一辆SAE L3级的自动驾驶清扫车上［6］，导出了该车的功能安全要求。……