EXAMENSARBETE INOM MASKINTEKNIK, Robotik och Mekatronik, högskoleingenjör 15 hp SÖDERTÄLJE, SVERIGE 2017 Specifikation av säkerhetsprinciper för ADAS-funktionalitet Säkerhetsprinciper för autonomi och ADAS-funktioner Victor Källgren SKOLAN FÖR INDUSTRIELL TEKNIK OCH MANAGEMENT INSTITUTIONEN FÖR TILLÄMPAD MASKINTEKNIK
Specifikation av säkerhetsprinciper för ADAS-funktionalitet av Victor Källgren Examensarbete TMT-547 2017:61 KTH Industriell teknik och management Tillämpad maskinteknik Mariekällgatan 3, 151 81 Södertälje
Examensarbete TMT-547 2017:61 Specifikation av säkerhetsprinciper för ADASfunktionalitet Victor Källgren Godkänt 2017-10-16 Examinator KTH Lars Johansson Uppdragsgivare Scania CV AB Handledare KTH Lars Johansson Företagskontakt/handledare Marcus Törnqvist Sammanfattning Ökad användning av avancerade förarstödsfunktioner (ADAS) och införandet av Autonoma fordon, fordrar en omprövning av dagens säkerhetsprinciper. Kraven på säkerheten har höjts vilket sätter press på utvecklingen av säkerheten hos systemen och funktionerna. Syftet med detta examensarbete är att se över och vid behov föreslå modifieringar av de generella säkerhetsprinciperna som gäller för elsystemet. För att möjliggöra modifiering och utveckling av Scanias säkerhetsprinciper, har varje princip studerats för att avgöra om de täcker behoven för ADAS funktioner och för fullt autonoma fordon. En analys av en förarstödsfunktion kan identifiera vilka delar av funktionen som behöver extra krav eller riktlinjer. Med detta som grund kan förslag ges på nya eller modifierade principer för fullt autonoma fordon. De nya principerna skall ligga till grund för utveckling av autonoma fordon. Granskningen av säkerhetsprinciperna med fokus på autonomi visar att säkerhetsprinciperna saknar anpassning av degradering vid en given trafiksituation. Dessutom efterlyses krav på identifiering av förardetekterade fel (till exempel genom syn, lukt, känsel). Efter genomförd granskning av principerna med hänsyn till ADAS funktioner, konstateras att säkerhetsprinciperna inte säger något om överlämningen mellan förarstödsfunktion och förare, och inte heller behandlar hantering av olika slags trådlösa signaler. Nyckelord ADAS, Fordon, Säkerhet, Säkerhetsprinciper, Granskning
Bachelor of Science Thesis TMT547 2017:61 Specification of safety principles for ADASfunctions Victor Källgren Approved 2017-10-16 Examiner KTH Lars Johansson Commissioner Scania CV AB Supervisor KTH Lars Johansson Contact person at company Marcus Törnqvist Abstract Given the increased application of advanced driver assistance systems (ADAS) and the introduction of fully autonomous vehicles, current driver safety principles requires a review. Demands for safety are increasing, which places more pressure on the fulfillment of safety for onboard vehicle systems and functions. The main purpose with this thesis is to scrutinize relevant safety principles, and if necessary modify the terms that exist for the safety principles to be valid for the electrical system. To be able to modify and develop Scania s safety principles, every principle has been analysed to determine whether it covers the requirements of ADAS functions and fully autonomous vehicles. An analysis of a driver assistant function may identify what parts of the function need extra demands or guidelines. Based on these suggestions new or modified terms for fully autonomous vehicles can be proposed. The new terms will comprise a foundation for the development of the autonomous vehicles. The examination of the safety principles with focus on autonomous vehicles concluded that the safety principles do not cover degradation. In addition, they do not contain demands regarding management of failures that are driver detected (through, for example, visual, olfactory, or tactile senses). The examination of principles for the ADAS functions, concluded that the safety principles do not treat passing the command of the vehicle from a function to the driver, and nor do they treat handling of wireless communication Key-words ADAS, Vehicles, Safety, Safety principles, Examination
Förord Detta arbete är ett examensarbete inom utbildningen Högskoleingenjör inom Tillämpad Maskinteknik med inriktningen Robotik och mekatronik. Examensarbetet är av typen kandidat och omfattar 15 högskolepoäng och har utförts under 10 veckor. Läsaren bör ha kännedom om Scanias fordon och en förståelse för frågor kring trafik och trafikmiljö. Jag vill först och främst tacka Marcus Törnqvist som har varit till god hjälp med tips och råd. Sen vill jag tack resten av gruppen inom RESS som alla har hjälpt till och bidragit till att arbetet gått bra. Dessa är Anna Beckman, Serdar Ulusoy, Therese Björnängen, Mattias Nyberg och Aina Johansson. Dessutom skall jag tacka alla intervjuade på Scania som tillsammans bidragit till en förståelse för funktioner, testning, säkerhet och system. Till slut vill jag tacka min handledare på KTH, Lars Johansson som har bidragit med perspektiv på problemet, bra feedback och varit en hjälpande hand. Victor Källgren, KTH Södertälje, juni 2017.
Innehållförtekning 1. Inledning... 1 1.1. Bakgrund... 1 1.2. Mål... 1 2. Metoder... 3 3. Definitioner... 5 3.1. Avancerade förarstödsfunktioner... 6 3.2. Autonomi... 9 4. Säkerhetsprinciper... 11 4.1. Säkerhetsprincipernas Syfte... 11 4.1.1. Innehåll i avsnittet Syfte... 11 4.1.2. Förslag till förändring i Syfte... 12 4.2. Fordonets säkerhetsprinciper... 12 4.2.1. Förslag till förändring i Fordons Säkerhetsprinciper... 12 4.3. Säkerhetsprinciper för elsystemet... 13 4.3.1. Förslag på förändring i Säkerhetsprinciper för elsystem... 13 4.4. Scenarier... 13 4.4.1. Förslag på förändringar i Scenarier... 13 5. Identifiering av system och funktioner... 15 5.1. Blind Spot Warning (BSW)... 15 5.2. Vulnerable Road User Detection (VRUD)... 15 5.3. Vulnerable Road User Protection (VRUP)... 16 5.4. Lane Keeping Assist (LKA)... 16 5.5. Lane Change Prevention (LCP)... 16 5.6. Attention Support (AS)... 16 5.7. Adaptive Cruise Control... 17 5.8. Traction Control (TC)... 17 5.9. Diff Lock Control (DFC)... 17 5.10. Hill Hold (HH)... 17 5.11. Auto Hold (AH)... 18 5.12. Bus Stop Brake (BBS)... 18 5.13. Highway Pilot (HP)... 18 5.14. Traffic Jam Pilot (TJP)... 18 5.15. Platooning... 19 6. Resultat... 21
6.1 Slutsats... 22 7. Diskussion... 23 7.1. Förslag till framtida examensarbeten... 23 7.1.1. Heltäckande säkerhetsanalys av de fullt autonoma fordonen... 23 7.1.2. Beräkning av styrningsalgoritm inom autonoma fordon... 24 7.1.3. Ansvarsöverlämningshantering på autonominivåerna tre och fyra... 24 Referenser... 25 Muntliga Källor... 26 figurer... 27
1. Inledning 1.1. Bakgrund I och med introduktionen av avancerade förarstödsfunktioner (ADAS) och autonoma fordon förändras interaktionen mellan fordon och förare. Beroende på graden av stöd eller autonomi kommunicerar fordonet med varningar och tips till föraren eller agerar efter egen förmåga. I samband med detta gör Scania en översyn av de grundläggande säkerhetsprinciper som företaget använder. Rapporten kartlägger de nya grunder Scania behöver ta hänsyn till, för att bedöma produkternas tillgänglighet och säkerhet vid utvecklingen av elektronik och mjukvarusystem. Säkerhetsprinciperna används för att vägleda och analysera fordonets olika delsystem och funktioner för att utveckla säkra tekniska lösningar på fordonsnivå. Säkerhetsprinciperna efterliknar krav och eller riktlinjer beträffande fordons funktioner och system. I det så kallade värsta fall scenariot ska uppfyllandet av principerna ge föraren förutsättningar att hantera fordonet på ett tillräckligt säkert sätt för föraren och medtrafikanter. 1.2. Mål Genom bakgrunden, problemdefinitionen och mål som formulerats av Scania har följande mål tagits fram för rapporten: Föreslå nya eller modifiera säkerhetsprinciper, utformade med tanke på utveckling av avancerade förarstödsfunktioner och autonoma fordon inom Scanias verksamhet. Identifiera vilka säkerhetsprinciper som inte behöver uppdateras utifrån de säkerhetsprinciper som finns för förarkontrollerade fordon inom Scania. Identifiera avancerade förarstödsfunktioner och eller autonoma system där nuvarande säkerhetsprinciper är otillräckliga som grund för utveckling av autonoma fordon. 1
2
2. Metoder En del av informationen till rapporten kommer ifrån intervjuer med anställda inom Scania som antingen arbetar med säkerhet, testning eller som funktionsägare. Med funktionsägare anses de ansvariga som utvecklar de ADAS funktioner för fordonen på Scania. De intervjuade funktionsägarna har besvarat frågor om funktionerna, hur de fungerar, hur de realiseras, de värsta fallen och olika scenarier som kan uppkomma. Till både funktionsägare och dem som arbetar med säkerhet eller testning besvaras frågor kring säkerhetsprinciperna om hur de fungerar mot den nivå på autonomi som är efterfrågad och ifall de behöver uppdateras. Material på nätet, bibliotek, rapporter, uppsatser och vetenskapliga texter kommer att användas i rapporten för information om olika funktioner, detaljer, system, säkerhet och relevanta situationer. Informationssökandet ska täcka och ge en bredare uppfattning kring säkerhetsprinciperna och också täcka sådant som inte kom upp under intervjuerna. Granskningen kommer att syna varje princip för att se om den är otillräckliga för att fastställa krav eller riktlinjer för fullt autonoma fordon. Om det finns någon princip som behöver förtydligas, skrivas om eller utvecklas för att den inte täcker det som definierats som full autonomi. Om någon princip är otillräcklig eller om något inom säkerhetsprinciperna saknas kommer en motivering att presenteras tillsammans med ett förslag till modifiering, eller en helt ny princip. För att kunna identifiera de funktioner där nuvarande säkerhetsprinciper är otillräckliga kommer funktionerna att beskrivas. Funktionsbeskrivningarna skall vara korta och sammanfatta funktionerna och kommer att synliggöra ett eventuellt behov av nya principer. De principer som rapporten hänvisar till är inte specifika för en viss funktion eller del av fordonen. De är generella för fordonet och det centrala elsystemet. Definitioner av autonomi och funktioner är inkluderade i rapporten (se kapitel 3). 3
4
3. Definitioner Kapitlet beskriver vilka nivåer av autonomi som kan beröras samt vad som menas med fullt autonoma fordon. De dokument som definierar detta är Taxonomy and Definitions for Terms Related to Driving Automation Systems for On-Road Motor Vehicles (SAE, 2016) om autonoma funktioner på olika nivåer samt System Classification and Glossary från Adaptive (Adaptive, 2015). I dokumenten presenteras standardiserade definitioner av olika nivåer av autonomi. Figur 1 illustrerar hur olika nivåer av autonomi är definierade inom SAE (Society of Atomotive Engineers) och vilka system som agerar vid olika situationer. Figur 1. SAE international, den tabell som är satt med de nivåerna. 5
3.1. Avancerade förarstödsfunktioner Avancerade förarstödsfunktioner är de funktioner som ger assistans till föraren utöver det som en förare normalt har vid framförande av fordonet. Inom industrin är avancerade förarstödsfunktioner känt som ADAS, vilket står för Advanced Driver-Assistance System. De autonominivåer som är analyserade i rapporten är på nivå två och tre (Figur 1). Anledningen till att rapporten inte tar med lägre nivåer, är att nivå ett inte omfattar sådan fordonshantering som är intressant för fullt autonoma fordon. Klassningen av ADASfunktioner är komfort- eller assisterandefunktioner, delvis autonoma samt villkorligt autonomt körande funktion eller system. Komfortfunktioner är de funktioner som ger en bättre förarmiljö. Det kan vara klimatet för föraren, radiofunktion och liknande. Dessa funktioner kommer inte att granskas i denna studie. Assisterandefunktioner är funktioner som ger stöd till beslut eller funktioner som underlättar körningen. Assisterandefunktioner har inte någon dominerande, utan endast en lätt påverkan på den dynamiska hanteringen av fordonet. Det betyder att föraren utan någon ansträngning skall kunna avbryta funktionen. Dessa funktioner befinner sig på nivå två i autonomi skalan. Delvis autonoma funktioner anses vara funktioner som liknar assisterande men inkluderar en högre grad av beslutsfattande. Funktionen tar beslut och försöker att rätta till situationer där en förare inte är helt observant. Dessa funktioner anses vara inom nivå två inom autonomi skalan. Villkorligt autonomkörande funktioner eller system är sådana som kan antingen hantera en miljö eller situation där föraren anser sig behöva hjälp, eller ta över körningen så att föraren kan göra något annat. Dessa funktioner eller system är på nivå tre enligt autonomi skalan. De funktioner som analyserats i denna studie är: Blind Spot Warning (BSW): En funktion som assisterar föraren och varnar när ett objekt som en bil, buss, lastbil eller annat befinner sig i den döda vinkeln. Funktionen i sig ger endast en varning till föraren som kontrollerar om det stämmer att det är något objekt i vägen eller inte. (Roos, 2017) 6
Vulnerable Road User Detection (VRUD): En påbyggnad av BSW som är mer inriktad på att upptäcka personer, barnvagnar, mopedister, motorcyklar, cyklister och andra mindre och svårupptäckta personer och objekt. Funktionen fungerar som en assisterandefunktion och eller komfortfunktion vilket betyder att den endast varnar och förtydligar hur situationen är. (Roos, 2017) Vulnerable Road User Protection (VRUP): En funktion som bygger på VRUD funktionen, men som även hjälper till att hindra olyckor och krockar. Det betyder att den inte bara skickar varningar till föraren, utan också försöker styra fordonet för att hindra eventuella krockar. (Roos, 2017) Lane Keeping Assist (LKA): En funktion som håller fordonet inom linjerna för filen. Funktionen hanterar fordonet i både longitudinellt och lateralt på vägarna, vilket betyder att funktionen accelererar och bromsar samt styr fordonet för att hålla sig i filen. (Roos, 2017) (Ah-King, 2017) Lane Change Prevention (LCP): En funktion som använder BSW och andra detaljer för att kunna hjälpa föraren att kontrollera om det är klart att byta fil eller inte. Funktionen hindrar föraren när en eventuell situation kommer och föraren inte kan eller bör byta fil. Funktionen håller sig passiv då inget hinder för att byta fil finns (Roos, 2017). Attention Support (AS): Är en funktion som är implementerad i alla lastbilar och bussar, och är en standard inom EU och vissa länder utanför EU. Funktionen övervakar arbetstiderna för lastbilsförarna och varnar dem för att köra mer än vad lagen tillåter. All information om förarnas arbetstider finns på ett id-kort som alla förare skall ha. (Roos, 2017) Adaptive Cruise Control (ACC): En farthållare som anpassar hastigheten till fordonet framför. Funktionen använder radar och kamera för att kunna mäta avståndet till framkörande fordon. Funktionen accelererar eller bromsar fordonet för att kunna anpassa hastigheten till omgivningen, och dessutom har den en övre hastighetsgräns som är inställd efter förarens önskan (Norén, 2017). Traction control (TC): En funktion som styr bromsningen och drivning av hjulen vid halka. Funktionen sänker rotationshastigheten på hjulen för att hindra dem från att slira, och ger ett bättre väggrepp. (Östlund, 2017) Diff Lock Control (DLC): En funktion som för över rotationshastigheten på ett hjul till det andra för att kunna ha samma rotationshastighet sett över en drivaxel. Detta kan underlätta körningen under besvärliga körförhållanden (Östlund, 2017). 7
Hill Hold (HH): En funktion som håller bromsen när fordonet befinner sig i en backe. Funktionen underlättar för föraren att komma iväg genom att sakta släppa bromsen när gasen trycks ned. (Östlund, 2017) Auto Hold (AH): Är en utveckling av Hill Hold som fungerar som en automatisk parkeringsbroms. (Östlund, 2017) Buss Stop Brake (BSB): En funktion som hindrar bussen från att åka iväg när dörrarna på bussen är öppna. Det är snarare en funktion för säkerhet än en stödfunktion för föraren. (Östlund, 2017) Highway Pilot: Ett system som hanterar körning på motorvägar och inte kräver mer från föraren än att vara alert när han vill eller bör ta över från funktionen. Systemet hanterar all körning när den är aktiverad och används endast inom miljön motorväg och ingen annan miljö. Systemet avaktiveras när en lastbil närmar sig en avfart där lastbilen bör köra av (Roos, 2017) (Ah-King, 2017). Traffic Jam Pilot: Ett system eller funktion som anpassar hastighet och körning till trafiken när det uppstår köer. Funktionen hanterar fordonet som Highway pilot genom longitudinell och lateral körning, med styrning och gas. Funktionen eller systemet är som Highway pilot, men anpassat till en miljö där hastigheten är lägre. (Roos, 2017) (Ah-King, 2017) Platooning: Funktion som stödjer kolonnkörning av lastbilar eller bussar. Funktionen sköter det genom att ha radar för avståndet och kamera för identifiering av fordon. Funktionen är till för att underlätta förarens arbete och göra körandet på långa sträckor mer bekvämt genom att efterfölja ett annat fordon. Förarna kan byta av och ansluta till kolonnen när det behagar, den främre föraren bestämmer hastigheten och körningen (Ah-King, 2017). Hanteringen av övergång från system till förare sker inom några sekunder och kommer via varningar och alarm för att få föraren att ta över. Om föraren inte tar över kommer systemet att ta fordonet till ett säkert läge. Eftersom detta hör till nivå tre enligt definitionen, kommer funktionen kommer de inte att kunna hantera alla miljöer och det krävs att någon tar över vid miljöbyten. Miljöbyten kan inträffa vid en avfart, minskning eller ökning av hastigheten på vägen eller byte mellan till exempel motorväg och landsväg. 8
3.2. Autonomi Autonomi och självkörande system ligger inom autonominivåerna fyra och fem, vilket är de intressanta nivåerna för detta delkapitel. Det som skiljer nivåerna är att vid nivå fem råder full autonomi inom alla miljöer där det finns eller inte finns någon person bakom ratten. Det skall vara ett system eller dator som sätts igång när en förare eller en person vid fordonet aktiverar systemet. Systemet eller datorn ansvarar för transporten från en punkt till en annan punkt via GPS koordinater eller annan hantering. Nivå fem innefattar inte mycket annat än en taxi där man säger vart man ska och fordonet tar en dit. Det är ofta denna definition av en robottaxi som kommer upp både inom SAE och inom Adaptive, då föraren ersatts av en dator på nivå fem. Datorn skall kunna genomföra allt det en förare skall kunna inom körning. Autonominivå fyra innebär att ett system kör fordonet och sköter hanteringen av beslut i specifika miljöer. Det bör understrykas att autonominivå fyra är begränsad till situationer och funktioner där bestämda händelser kan hanteras. Alltså kan nivå fyra inte hantera allt som en förare kan hantera. Full autonomi: Med full autonomi menas ett system som inte kräver en förare, och systemets körning av fordonet får inte obstrueras av att någon utomstående eller en förare ingriper. Systemet skall endast föra fordonet till de koordinater som är angivna vid start, och kunna hantera alla miljötyper som befinner sig längs körsträckan. Denna definition av full autonomi är det som rapporten kommer att använda vid genomgången av säkerhetsprinciperna. 9
10
4. Säkerhetsprinciper Detta avsnitt av rapporten granskar de säkerhetsprinciper som Scania använder mot den definition av fullt autonoma fordon som beskrevs i kapitel 3. Principer inom säkerhetsprincipernas idéer skall ställas mot definitionen av full autonomi. Varje princip granskas utifrån perspektivet att det inte är en förare som styr fordonet, och att fordonet ska a sig fram i alla olika miljöer. Såväl principer som vägledande text kommer att granskas, och för att text skall tas med vid granskningen ska det finnas en motivering bakom den. Eventuell text är mer en beskrivning av delkapitel och principerna. Principerna utgörs i fösta hand krav och riktlinjer som Scania använder inom säkerhet. Varje punkt och text läses parallellt med annan information och material för att kontrollera om något behöver modifieras och eller utvecklas. Figur 2. Exempel på autonoma fordon som Scania CV AB använder. 4.1. Säkerhetsprincipernas Syfte Säkerhetsprinciperna inleds med ett avsnitt som beskriver principernas syfte, dokumentets innehåll och bakgrunden till dess existens. 4.1.1. Innehåll i avsnittet Syfte Huvudsyftet med detta dokument är att förklara de generella säkerhetsprinciperna för ett fordon, med fokus på elsystemet Genom denna granskning av säkerhetsprinciperna står det klart att detta dokument inte bara ska gälla för förardrivna fordon utan också för autonoma fordon. 11
I säkerhetsprincipernas avsnittet Syfte ges också den förklaring av vad säkerhetsprinciper är och hur de bör följas, som tidigare tagits fram att vara i första hand krav och riktlinjer inom säkerhet. 4.1.2. Förslag till förändring i Syfte Genom en granskning av aktuell text i avsnittet syfte i säkerhetsprinciperna, framkom det att det behövs en utveckling av texten. Detta för att förtydliga att dokumentets principer gäller alla nivåer inom autonomiskalan, inklusive dem där det inte finns en förare vid ratten. Den mening som tidigare citerats bör omformuleras: Huvudsyftet med dokumentet är att förklara de generella säkerhetsprinciperna för ett fordon med eller utan förare, med fokus på elsystemet Syfte-delen av dokumentet kommer inte behöva fler förändringar på grund av att det är fortfarande samma syfte med dokumentet. 4.2. Fordonets säkerhetsprinciper Avsnittet Fordonets säkerhetsprinciper beskriver hur fordonet bör fungera. Detta omfattar vilka typer av händelser som kan uppkomma och vilka funktioner och hanteringar som gäller generellt för fordon. Detta är de principer som Scania använder för fordonen som de tillverkar. 4.2.1. Förslag till förändring i Fordons Säkerhetsprinciper Systemet kräver information om tillstånd hos hjulen, motorn, turbon, drivaxeln etc. För att kunna säkerställa att fordonet fungerar skall även synen, lukten och känslan som en förare upplever detekteras fullt ut. Detta ger ett tillägg med en punkt som förtydligar vikten av observation och information om fordonets tillstånd. Förslag till ny punkt: För säker hantering och användning av fordonet måste det vara möjligt att kunna upptäcka förardetekterbara (syn, lukt och känsla) fel Argumentet är att det är viktigt att kunna sätta skadade fordon i säkert läge. Det är viktigt oavsett om det är en förare eller ett system som upptäckter allvarliga fel. Denna formulering medför krav och riktlinjer för lättare identifiering av svåridentifierade fel som kan ha stor inverkan på det autonoma systemets hantering av fordonet. Detta kan betyda installation av sensorer för däck, lukt, och syn inne i förarhytten. (Beckman, 2017)(Claezon, 2017) 12
4.3. Säkerhetsprinciper för elsystemet Avsnittet Säkerhetsprinciperna för elsystemet är fokuserat på hur de ingående delarna skall fungera och hur bra de ingående delarna bör fungera. 4.3.1. Förslag på förändring i Säkerhetsprinciper för elsystem Degradering är att ett system anpassar sig genom att flytta ner till en lägre grad av autonomi. En degradering bör exempelvis ske när en sensor upphör att leverera värden. Då bör systemet avgöra om det går att fortsätta eller om systemet skall gå till säkert läge, vilket kan innebära att sakta ner eller köra till vägkanten och stanna. Dessa prioriteringar bör fastställas så att den mest säkra hanteringen kommer högst upp i prioriteringen (Ulusoy, 2017). Det som kan säkerställa detta är att säkerhetsprinciperna förses med en princip som: Systemet skall vid degraderingshantering anpassa degraderingen efter aktuella trafik situationen Denna punkt tillför att när en sensor går sönder, fordonet är i en tunnel som saknar GPS signal, elsystemrelaterade problem eller olika mekaniska problem tillstöter kommer fordonet att verkställa en korrekt hantering väl anpassad till trafiksituationen. 4.4. Scenarier Denna del av säkerhetsprinciperna förtydligar vilka delar eller vilka utrustningar som berörs av de säkerhetsprinciper som tas upp inom säkerhetsprinciperna. Det inkluderar allt det som Scania producerar och använder samt den utrustning som tillkommer. 4.4.1. Förslag på förändringar i Scenarier På grund av att fullt autonoma fordon inte är en ny modell av fordon utan mer ett system som hanterar fordonet är det inte aktuellt med fler scenarier med specifika fordon inblandade. Därav inga förslag till förändringar i Scenarier. 13
14
5. Identifiering av system och funktioner Ett antal avancerade förarstödsfunktioner granskas med hänsyn till de säkerhetsprinciper som Scania använder. Detta för att avgöra om säkerhetsprinciperna är otillräckliga som grund för utvecklingen mot autonoma system. Funktionerna och systemen granskas med avsikt att besvara frågan om säkerhetsprinciperna håller måttet eller om någon ny princip behöver läggas till. Det kan gälla funktioner eller system som efterlyser speciella krav eller riktlinjer, och att det därför skulle behövas en ny säkerhetsprincip som kan bidra till utvecklingen av autonoma fordon. Full autonomi kommer inte hanteras i detta kapitel med hänvisning till granskningen i föregående kapitel. De principer som är intressanta att analysera är de som är specifika för system och funktioner. Granskningen av funktionerna är baserade på det material som har tagits fram genom intervjuer med funktionsägare på Scania. Under dessa intervjuer ha frågor ställs om de värsta fallen scenarierna och alla komponenter, samt ifall de och funktionen täcks av säkerhetsprinciperna. 5.1. Blind Spot Warning (BSW) Blind Spot Warning använder sidosensorer för att kunna identifiera objekt. Det som är viktigt är att funktionen i sig använder sig av en sensor som bidrar till att identifiera något och att informera föraren om det. Vid granskningen av funktionen med funktionsansvariga med hänsyn till säkerhetsprinciperna kan konstateras att de principer som Scania använder täcker de komponenter och hanteringar denna funktion har mot fordonen. Såldes finns inga ovanliga eller nya krav finns i Blind Spot Warning som skulle kunna göra inverkan på de aktuella säkerhetsprinciperna. (Roos, 2017) 5.2. Vulnerable Road User Detection (VRUD) Vulnerable Road User Detection är en utökning av BSW och har samma typ av användning. Denna använder sidosensorer som är mer specialiserade för de objekt som ligger på lägre höjd nivå och är därigenom svårare att se. Vid granskningen av funktionen med funktionsansvariga med hänsyn till säkerhetsprinciperna kan konstateras att de principer som Scania har täcker de komponenter och hanteringar denna funktion har mot fordonen. Således finns inga ovanliga eller nya krav i Vulnerable Road User Detection som skulle kunna göra inverkan på de aktuella säkerhetsprinciperna. (Roos, 2017) 15
5.3. Vulnerable Road User Protection (VRUP) VRUP är en utveckling av VRUD. VRUP använder den information som den får, för att avgöra ifall systemet skall agera eller inte. Funktionen använder ställdon och justerar rörelsen när den identifierar objekt. Likt de tidigare använder funktionen sidosensorer för identifiering av objekt. Vid granskningen av funktionen med funktionsansvariga med hänsyn till säkerhetsprinciperna kan konstateras att de principer som Scania har täcker de komponenter och hanteringar denna funktion har mot fordonen. Således finns inga ovanliga eller nya krav i Vulnerable Road User protection som skulle kunna göra inverkan på de aktuella säkerhetsprinciperna. (Roos, 2017) 5.4. Lane Keeping Assist (LKA) LKA är en funktion som assisterar föraren under körningen för att föraren skall kunna hålla sig kvar i sin fil. Funktionen använder kamera och radar för att kunna identifiera var fordonet är. Funktionen styr fordonet så att det följer vägen och reglerar hastigheten. Vid granskningen av funktionen med funktionsansvariga med hänsyn till säkerhetsprinciperna kan konstateras att de principer som Scania har täcker de komponenter och hanteringar denna funktion har mot fordonen. Således finns inga ovanliga eller nya krav i Lane Keeping Assist som skulle kunna göra inverkan på de aktuella säkerhetsprinciperna. (Roos, 2017)(Ahking, 2017) 5.5. Lane Change Prevention (LCP) LCP är en funktion som bygger på BSW men använder andra sensorer också. Funktionen kontroller om det går att byta fil eller inte. Den hindrar föraren att byta fil ifall det är ett fordon i vägen. Vid granskningen av funktionen med funktionsansvariga med hänsyn till säkerhetsprinciperna kan konstateras att de principer som Scania har täcker de komponenter och hanteringar denna funktion har mot fordonen. Således finns inga ovanliga eller nya krav i Lane Keeping prevention som skulle kunna göra inverkan på de aktuella säkerhetsprinciperna. (Roos, 2017). 5.6. Attention Support (AS) AS är en funktion som övervakar arbetstider, och kontrollerar ID på den som kör fordonet. Denna funktion har som syfte att få trötta förare att avstå från att köra fordon. Vid granskningen av funktionen med funktionsansvariga med hänsyn till säkerhetsprinciperna kan konstateras att de principer som Scania har täcker de komponenter och hanteringar 16
denna funktion har mot fordonen. Således finns inga ovanliga eller nya krav i Attention Support som skulle kunna göra inverkan på de aktuella säkerhetsprinciperna. (Roos, 2017) 5.7. Adaptive Cruise Control Funktionen ACC liknar Cruise Control, fast den använder sensorerna på den främre delen av fordonet för att övervaka hastigheten hos fordonet framför. Funktionen bromsar eller accelererar med hänsyn till den hastighet som är inställd. Vid granskningen av funktionen med funktionsansvariga med hänsyn till säkerhetsprinciperna kan konstateras att de principer som Scania har täcker de komponenter och hanteringar denna funktion har mot fordonen. Således finns inga ovanliga eller nya krav i Adaptive Cruise Control som skulle kunna göra inverkan på de aktuella säkerhetsprinciperna. (Norén, 2017). 5.8. Traction Control (TC) Funktionen TC styr rotationshastigheten hos individuella hjul så att man förhindrar att hjul roterar utan att det har effekt på fordonets hastighet. Vid granskningen av funktionen med funktionsansvariga med hänsyn till säkerhetsprinciperna kan konstateras att de principer som Scania har täcker de komponenter och hanteringar denna funktion har mot fordonen. Således finns inga ovanliga eller nya krav i Traction Control som skulle kunna göra inverkan på de aktuella säkerhetsprinciperna. (Östlund, 2017) 5.9. Diff Lock Control (DFC) Funktionen DFC för över rotationshastigheten från ett hjul till ett annat på samma axel för att hindra att ett hjul tappar väggreppet och slirar, medan fordonet blir stillastående. Vid granskningen av funktionen med funktionsansvariga med hänsyn till säkerhetsprinciperna kan konstateras att de principer som Scania har täcker de komponenter och hanteringar denna funktion har mot fordonen. Således finns inga ovanliga eller nya krav i Diff Lock Control som skulle kunna göra inverkan på de aktuella säkerhetsprinciperna. (Östlund, 2017) 5.10. Hill Hold (HH) Funktionen HH håller bromsen när fordonet är i en backe, men när föraren trycker på gasen släpper funktionen sakta på bromsen för att få fordonet iväg. Vid granskningen av funktionen med funktionsansvariga med hänsyn till säkerhetsprinciperna kan konstateras att de principer som Scania har täcker de komponenter och hanteringar denna funktion har mot fordonen. Således finns inga ovanliga eller nya krav i Hill Hold som skulle kunna göra inverkan på de aktuella säkerhetsprinciperna. (Östlund, 2017) 17
5.11. Auto Hold (AH) Funktionen AH är en utveckling av Hill Hold som fungerar som en automatisk parkeringsbroms. Funktionen ser till att lastbilen eller bussen hålls i stilla läge i en backe. Vid granskningen av funktionen med funktionsansvariga med hänsyn till säkerhetsprinciperna kan konstateras att de principer som Scania har täcker de komponenter och hanteringar denna funktion har mot fordonen. Således finns inga ovanliga eller nya krav i Auto Hold som skulle kunna göra inverkan på de aktuella säkerhetsprinciperna. (Östlund, 2017) 5.12. Bus Stop Brake (BBS) Funktion BBS stannar bussen när dörrarna öppnar. Detta för att bussen inte skall rulla när passagerare ska av eller på bussen. Vid Granskningen av funktionen med funktionsansvariga med hänsyn till säkerhetsprinciperna kan konstateras att de principer som Scania har täcker de komponenter och hanteringar denna funktion har mot fordonen. Således finns inga ovanliga eller nya krav i Bus Stop Brake som skulle kunna göra inverkan på de aktuella säkerhetsprinciperna. (Östlund, 2017) 5.13. Highway Pilot (HP) Funktion HP sköter körningen lateralt och longitudinellt, detta genom att styra fordonets position i filen och anpassning av hastighet till fordonet framför och begränsningen av hastigheten på vägen. Funktionen är anpassad för motorvägsmiljöer och de hastigheter som förekommer där. Funktionaliteten är inte vad som krävs för nivå tre inom autonominivåerna. Principer för hanteringen att lämna över ansvaret för körningen är viktiga när det kommer till funktioner som Highway Pilot inte kan hantera under hela körningen. För säker körning krävs att en förare kan ta över utan att riskera någon fara för medtrafikanter och andra objekt. Det som kommer att efterfrågas är en genomtänkt och ändamålsenlig tidpunkt för överlämningen samt ett bra och effektivt sätt att få föraren att ta över. Principen bör utökas med sådana riktlinjer och ange en lämplig princip för överlämningen. Utöver ett krav på överlämning existerar inga övriga otydligheter som motsäger det som finns i säkerhetsprinciperna. Funktionen täcks således av de övriga aktuella principerna, men utvecklingen av överlämning med en princip är en viktig del inom autonomiska fordon (Roos, 2017) (Ah-King, 2017). 5.14. Traffic Jam Pilot (TJP) Funktionen TJP fungerar som motorvägspiloten (HP) men har krav på lägre hastigheter. 18
Genom att funktionen är som Highway Pilot, fast vid lägre hastigheter, kommer det inte att efterfrågas några andra principer än de som är aktuella för Highway Pilot. Det som skiljer är framförallt hastigheten och att funktionerna används i andra olika miljöer. Ansvarsöverlämningen från funktionen till föraren är lika betydelsefull för TJP som för alla funktioner på nivå tre(roos, 2017)(Ah-King, 2017). 5.15. Platooning Platooning handlar om att följa en lastbil eller buss på vägen. Funktionen anpassar fordonets hastighet, inom filen och avståndet. Följningen sker genom radar och kamera. Det intressanta för säkerhetsprinciperna kommer att vara utvecklingen av överföringen av information mellan två fordon via Wifi eller annan trådlös kommunikation. Denna kommunikations väg är annorlunda och har inte samma krav som kommunikation via sladdar. Därför bör det utarbetas principer för trådlös kommunikation. För denna funktion gäller, precis som för Highway pilot och Traffic jam pilot, att det är en funktion på nivå tre som kräver principer för överlämningen mellan system och förare. (Ahking, 2017) (Sadayuki Tsugawa, 2005) (Norén, 2017) 19
20
6. Resultat Denna rapport har granskat avancerade förarstödsfunktioner och autonoma fordon. I granskningen undersöks huruvida säkerhetsprinciperna utgör en tillräcklig grund för att vägleda utveckling av de avancerade förarstödsfunktioner och autonoma fordon som Scania har. Tre funktioner stack ut: Platoon funktionen, Highway Pilot och Traffic Jam Pilot. För Platoon funktionen och andra framtida funktioner kan det tillkomma föreskrifter för hantering av trådlösa signaler. Denna hantering kommer vara viktig för vidareutveckling av funktionen. Därför föreslås att de principer som hanterar signaler, data och information efterföljs vid hantering av trådlösa signaler. Highway Pilot, Trafik Jam Pilot och Platoon har alla syftet att assistera och ta över körningen tills en situation uppkommer där föraren måste ta över. Dessa funktioner kräver, precis som autonominivå tre, en tidpunkt eller en hantering för överlämning till föraren. Denna hantering ligger som grund för vidareutveckling av själva funktionerna och vidareutveckling av autonominivån tre. Säkerhetsprinciperna ställdes mot full autonomi då en dator och/eller ett system tar hand om alla beslut och agerar förare. Granskningen hade detta i åtanke och granskade de säkerhetsprinciper som Scania använder för att avgöra om de fungerar för full autonomi. Det som kunde identifieras var behovet av att hantera de förardetekterbara felen, där sensorer ersätter förarens sinnen och förmåga att se och känna fel. Detta gav upphov till följande kompletterande punkt: För säker hantering och användning av fordonet måste det vara möjligt att kunna upptäcka förardetekterbara (syn, lukt och känsla) fel Denna mening ställer krav på att rök eller skador som kan ses eller kännas av en förare också måste detekteras av systemet. En annan punkt som, enligt denna undersökning, bör infogas i dokumentet handlar om hanteringen av degradering. Detta faller delvis under kategorin sensorer och fel, men framförallt handlar det om hur hanteringen av fordonet skall ske i vissa trafiksituationer. Ifall fordonet inte uppfångar GPS signalen eller om en sensor är sönder, hur skall systemet vid fullt autonomi hantera detta? Frågeställningen gav upphov till denna punkt: Systemet skall vid degraderingshantering anpassa degraderingen till aktuella den trafiksituationen 21
Granskningen konstaterade i övrigt att de principer som finns är tillräckliga för att ge stöd och riktlinjer till säkerhetsarbetet med fullt autonoma fordon. 6.1 Slutsats Där av kunde det konstateras att granskningen av de framtida funktionerna för nivåerna tre och fyra skall kunna ha principer som riktlinjer och krav för att kunna hantera överlämningen till föraren. Det kunde konstateras att det behövs kompletterande säkerhetsprinciper för hantering av trådlösa signaler. Granskningen i denna rapport visar att de säkerhetsprinciper som finns på Scania är tillräckliga för fullt autonoma fordon med de ovanstående tilläggen. 22
7. Diskussion Säkerhetsprinciperna är ett nytt dokument som i sig innehåller de generella kraven som bör beaktas innan man börjar arbeta med mer specifika säkerhetskrav. Säkerhetsprinciperna utgör de riktlinjer som formulerar de överordnade kraven på nya funktioner och system. Resultatet av detta arbete kan i sammanfattas med att införandet av robotar och autonomi inte generellt leder till nya krav eller principer kring säkerhet. Däremot finns det mer inom autonomi att noggrant undersöka. Detta kan leda till ytterligare krav och riktlinjer när det gäller hanteringen av komplex logik, av data och av degradering inom olika miljöer. Ifall industrin och fordonstillverkarna ska ha autonoma fordon på vägarna, måste det finnas säkerhetskrav på fordonen med autonoma system. Det som framtogs om funktioner inom nivå tre är baserat på diskussioner som handlar om överlämningshantering och inom vilken tidsram det skall ske och på vilket sätt. Det måste kunna säkerställas att funktionen har en tidsram ger en behaglig hantering av överlämningen till den mänskliga föraren. Detta arbete är mest inställt på hanteringen av tid och inte hur det ska fungera. I slutet av kapitel 6 (slutsatser) konstaterades att de säkerhetsprinciper som finns inom elsystemet är i behov av en del tillägg. Det som togs upp som tillägg är att det måste finnas anordningar för identifiering av synliga fel vid situationer där systemet eller föraren inte ska fullfölja körningen (som när rök kommer upp eller när en punktering inträffar). Dessa principer är mer inriktade på situationer där fordonet drabbats av ett mekanisk fel, och föraren inte skall fortsätta eftersom det kan skada föraren, fordonet eller medtrafikanter. 7.1. Förslag till framtida examensarbeten 7.1.1. Heltäckande säkerhetsanalys av de fullt autonoma fordonen På grund av den pågående utvecklingen av autonoma funktioner, autonoma system, delvis autonoma hanteringar och högautonoma funktioner, bör krav sättas utifrån de säkerhetsprinciper som finns. För att förstå utvecklingen av styrningen, miljöhanteringar och degraderingar bör krav sättas mot de principerna som finns. Detta examensarbete har som mål att kunna modifiera och utveckla nya krav på autonoma fordon när det gäller styrningen, miljöhantering, degraderingar och förståelsen. Degraderingen är systemets hantering när en sensor går sönder under färden. Hanteringen av trafikmiljö omfattar alla typer av tänkbara trafikmiljöer. Detta för att analysera de principer som finns för att kunna vidareutveckla autonoma fordon. Detta arbete skall hjälpa till med att sätta specifika säkerhetskrav på autonoma fordon. 23
7.1.2. Beräkning av styrningsalgoritm inom autonoma fordon Styrningen av stora fordon som bussar och lastbilar kräver att man utvecklar algoritmer för styrenheten på fordonen. Dessa algoritmer säkerställer fordonet och minskar risken för felhantering av systemet vid manövrering. Med rätt hastighet och rätt hantering kommer fordonet att svänga säkert i alla tänkbara miljöer. Målet med detta arbete är att utveckla någon form av algoritm med krav på rätt hantering av styrningen och ge resultat i form av säkerhetsmarginaler mot krock eller annan otänkbarhet. 7.1.3. Ansvarsöverlämningshantering på autonominivåerna tre och fyra Det som gäller för autonominivåerna tre och fyra är att funktionen eller systemet skall hantera något. När hanteringen är klar eller om funktionen inte klarar av den hanteringen, skall funktionen överlämna ansvaret för styrningen och handhavande av fordonet till föraren. Det detta arbete skall handla om är att ta fram alla möjliga ansvarsöverlämningshanteringar, göra en bedömning sen ta fram den hantering som anses vara säkrast. 24
Referenser Adaptive. 2015. System Classification and Glossary Available at: https://www.adaptive- ip.eu/files/adaptive/content/downloads/deliverables%20&%20papers/adaptive-sp2-v12- DL-D2.1%20System%20Classification.pdf [Använd 30 03 2017] Ah-King, J. Senior Engineer [Intervju] (06 04 2017) Beckman, A. Technical Manager Electrical System Safety [Intervju] (12 04 2017) Claezon, F. Expert Engineer [Intervju] (19 04 2017) Elfvik, D. Senior Engineer [Intervju] (21 04 2017) Georghiou, M. Senior Engineer, System owner EMS [Intervju] (06 04 2017) Sadayuki Tsugawa. 2005. Issus and recent trends in vehicle safety communication systems Available at: http://www.sciencedirect.com/science/article/pii/s0386111214601138 [Använd 12 04 2017] Norén, C. Development Engineer [Intervju] (10 04 2017) Roos, P. Functions architect [Intervju] (20 04 2017) SAE International. 2016. Taxonomy and Definitions for Terms Related to Driving Automation Systems for On-Road Motor Vehicles. Available at: http://standards.sae.org/j3016_201609/ [Använd 06 04 2017] Schifferdecker, J. Test Engineer [Intervju] (19 04 2017) Ulusoy, S. Senior Engineer [Intervju] (10 04 2017) Östlund, T. Expert Engineer Brake Control Systems [Intervju] (26 04 2017) 25
Muntliga Källor Dessa personer har givit information under projektets gång antingen via intervju eller genom pratande på kontoret. Joseph Ah-King Anna Beckman Ove Bergmark Fredrich Claezon David Elfvik Michael Georghiou Nils Hänström Aina Johansson Christoffer Norén Mattias Nyberg Per Roos Jan Schifferdecker Marcus Törnqvist Serdar Ulusoy Tomas Östlund Senior Engineer, REVD Technical Manager Electrical System Safety, RESS System Architect, RESA Expert Engineer, RCIC Senior Engineer, NESX Senior Engineer, System owner EMS, NESX System Architect, RESA Development Engineer, RESS Development Engineer, REPS Expert Engineer, RESS Functions architect, RESA Test Engineer, REST Head of Systems Safety, RESS Senior Engineer, RESS Expert Engineer, REVB 26
figurer figur 1, sida 5. SAE International autonomi tabellen Hittad 2017-05-11 figur 2, sida 11. Scania CV AB Autonomus Transport Hittad 2017-05-11 27