安全被普遍认为是自动驾驶汽车被用户接受或者得到商业应用的最大的问题，传统的汽车电子按照ISO26262功能安全标准进行安全设计，但是自动驾驶汽车的安全的要求超越了ISO26262的范畴，包含了其他的安全理念比如预期功能安全（SOTIF，ISO/PAS21448）以及多主体安全。目前政府和整车厂正在努力为自动驾驶汽车的安全定义合理的要求。所以安全成为汽车制造商、服务提供商、政府以及自动驾驶生态中各个利益相关方的核心话题。

这门课将会引导学员了解功能安全，预期功能安全以及多主体安全背后的主要原则和问题。特别是车辆在与其他车辆和行人共享道路时候的安全危害，还将会根据NHTSA的指导原则深入讨论政府和整车厂的角色，撰写安全报告时候的需要填写的主要元素。学员还将参与到项目的练习中。

课程将通过演讲、项目练习、研讨会相结合的形式开展，还将附加视频材料，演示活动以及案例研究。鼓励学员积极的参与练习、讨论和仿真。研讨会主要有学员分组完成几个不同复杂度的动手项目。课程重点是多主体安全，SOTIF以及政府和OEM在自动驾驶汽车安全上的角色。总体分为三个部分，第一部分主要是自动驾驶安全的介绍和风险管理，第二部分讲授多主体安全和预期功能安全。第三分部介绍政府和OEM的安全准则。

培训目标

ü 列出并描述功能安全，预期功能安全和多主体安全的最基本理念

ü 描述ISO26262和ISO/PAS 21448标准的最重要特征

ü 解释一些安全架构.

ü 完成一个自动驾驶子系统的安全概念开发.

ü 总结主流OEM和NHTSA的自动驾驶安全规则

ü   定义汽车和其他交通参与者共享道路时候的安全危害

主讲老师

牛喀学城特约讲师，国际顶级安全专家，ISO21448标委会委员

Juan 博士,教授

本次培训讲师邀请的是美国密歇根州的教授，他是物联网、工业互联网、安全关键系统和工业计算机网络领域的专家，特别在与实时协议，安全关键协议，可靠的汽车嵌入式分布式系统以及分布式工业和嵌入式系统方面有很深的造诣。他是工业通讯和实时可靠系统领域公认的国际专家，并撰写了5本关于安全关键系统的书籍。

一.     多主体安全介绍

1.1 道路共享

二.     车辆动力学考量

三.     事故：过错，指责，罪行

四.     责任敏感安全(RSS)

4.1 自车安全

4.2 安全行为

4.3 绝对安全

五.     安全保障和小心驾驶

六.     保障行为安全

6.1 纵向安全距离

6.2 自车安全切入

七.     预期功能安全(SOTIF)

7.1 预期功能安全技术背景介绍

7.2 预期功能安全技术进展以及国际应用概况

7.3 预期功能安全与ISO26262的相互关系

7.4 预期功能安全概念设计阶段要求

7.5 预期功能安全开发过程活动定义

7.6 预期功能及系统规范定义

7.7 预期功能性危害的识别与评估

7.8 预期功能安全环境场景识别

7.9 预期功能安全已知区域与未知区域安全划分

7.10预期功能安全相关触发事件的识别与评估

7.10预期功能安全详细设计阶段要求

7.12预期功能安全风险预防的措施设计

7.13预期功能安全风险的功能改进

7.14预期功能安全相关系统规范定义与更新

八.     SOTIF的验证设计

8.1 预期功能安全集成与测试

8.2 预期功能安全已知不安全区域Area2的验证

8.3 预期功能安全传感器验证与测试

8.4 预期功能安全决策算法的验证和确认

8.5 预期功能安全系统集成车辆验证

8.6 预期功能安全未知不安全区域Area3的验证

8.7 预期功能安全系统评估原则

8.8 预期功能安全系统发布准则

8.9 预期功能安全系统验证与确认策略制定

8.10 预期功能安全系统集成与测试计划于规范定义

8.11 预期功能安全附录A—E案例解析

8.12 预期功能安全整车验证阶段

8.13 预期功能安全整车验证计划

8.14 预期功能安全整车验证要求

九.     ISO/PAS 21448介绍

十.     项目练习

练习一：评估车辆与其他交通主体共享道路时候的安全危害

·    分配ASIL等级

·    假设该危险造成事故，明确是否可以归咎于某人或某物

·    为了明确责任，需要审查的条件.

·    撰写约2页的文档，描述你的评估

练习二：定义你设计的自动驾驶汽车的主要安全相关功能（SCF）。

练习三：选择一个安全相关功能，设计降低风险的安全机制

·    确定他的ASIL等级

·    解释你确定的安全机制

ü 功能安全

ü 预期功能安全

ü 多主体安全

·    写一个3页左右的文档，描述你的设计中的SCF，以及你选择的SCF的安全机制。