1. 研究目的与意义（文献综述）

无人驾驶车辆近年来飞速发展，其主要通过传感器感知外界环境，传导控制变量于电子控制单元，控制单元根据预定算法对变量进行处理，发出执行操作信号到执行机构，实现自动驾驶功能，其功能的实现离不开各组件之间交互联系，如软件与软件、系统、设备、传感器以及人交互。无人车上包含有多种具有多输入，多输出和非线性特征的控制软件系统，并且随着软件与技术快速革新，系统的组织结构不断变化。

自动驾驶作为未来的主要发展趋势，，系统结构更加复杂，安全性要求更高，作为新兴技术产业，尚未普及到广大群众，其安全问题在实践应用中受到广泛关注。传统的安全分析方法fta（fault treeanalysis）、fmea（failure mode and effects analysis）以及hazop（hazard and operability analysis）是基于可靠性理论、顺序模型以及流行病模型提出的，具体适用于传统简单线性系统的安全分析，主要分析源头的是部件故障，在今天的复杂系统中，事故的原因不仅是组件的故障，还有软件要求错误、硬件错误、人工错误与环境影响，尤其是系统各个组件之间的相互作用，因此，传统的安全分析方法并不能完全确保安全

2004年，leveson提出了一种基于系统控制理论的新模型，即stamp（systems-theoretic accident modeland processes）模型，它充分考虑和分析了系统各个组成部分之间的相互作用，克服了传统安全分析技术的问题。stpa是基于stamp模型提出的一种能够分析复杂系统并捕捉子系统之间相互影响关系的自上而下的分析方法，其基于系统理论识别系统中存在的危险，实施安全约束，提供安全限制以减轻危害，它不仅可以分析已发生的事故，还可以防止系统中可能发生的事故。

2. 研究的基本内容与方案

研究基本内容：

依靠可靠性理论的传统安全分析方法应用场景与局限性，基于系统控制理论的stpa安全分析方法与传统分析方法相比而言的优势，stpa分析方法的具体执行步骤。

明确acc自适应巡航系统的基本功能与工作状态，通过stpa系统理论过程分析方法对acc系统进行分析，定义系统的危险控制行为情况（所需安全行为未执行、危险性行为执行、所需安全行为提供时间点过早过晚或顺序颠倒、所需的持续性安全行为停止过早或持续时间过长），基于以上定义得到软件安全要求，描绘acc系统的控制结构（包含必要的信息），利于对系统级别交互的理解。对控制结构中各种控制功能进行stpa进行分析，识别危险行为（ucas），将其转变成为安全行为限制，明确引发危险行为以及安全控制行为没有执行的方式与原因，并将其因素转变成为系统组件的安全要求。

3. 研究计划与安排

2.26~3.10完成外文文献翻译和5篇文献检索，搜集acc系统的具体功能及其执行条件，调查系统结构，目标，组件，要求，功能和组件交互，识别系统潜在的事故和不可接受的损失，系统级的系统危险。

3.10~3.17对acc系统完成定义系统的危险控制行为情况，基于以上定义得到软件安全要求，绘制系统的功能控制图。

3.18~3.31将stpa步骤2与步骤3应用对照结构acc，完善安全要求和限制。

4. 参考文献（12篇以上）

1. t. raste, s. lüke, a. eckert.automated driving, technical approach with motion control architecture. at-automatisierungstechnik 63.january 2015.

2. pohl j, birk w, westervall l. adriver-distraction-based lane-keeping assistance system. proc inst mech engpart i 2007;221(4):541–52.

3. kutila m, jokela m, markkula g,rue mr. driver distraction detection with a camera vision system.image processing, 2007. icip 2007. ieee international conference on,vol. 6.ieee; 2007, september. vi-201.